Le verdict en trois phrases
Pour une PME SaaS parisienne à qui un grand compte réclame un rapport de sécurité, un pentest en boîte grise de 5 à 10 jours à 6 000 à 12 000 € HT suffit dans la majorité des appels d'offres privés. Le label PASSI (15 000 à 30 000 €) ne devient obligatoire que pour certains clients publics, OIV ou OSE. Le budget total à prévoir inclut les correctifs et le retest : comptez 10 000 à 23 000 € HT tout compris.
Boîte noire, grise ou blanche : ce que vous achetez vraiment
Le test en boîte grise donne à l'auditeur des comptes utilisateurs de chaque rôle (client, administrateur, support) sans accès au code. C'est le meilleur ratio coût et couverture pour une application multi-tenant : il vérifie l'isolation entre clients, le cœur du risque d'un SaaS B2B.
| Type de test | Accès fourni | Durée typique | Prix 2026 à Paris (HT) | Pertinence pour un SaaS B2B |
|---|---|---|---|---|
| Boîte noire | URL seule | 3 à 5 jours | 4 000 à 7 500 € | Faible, surface externe uniquement |
| Boîte grise | Comptes par rôle | 5 à 10 jours | 6 000 à 12 000 € | Élevée, teste l'isolation des tenants |
| Boîte blanche | Code et architecture | 10 à 15 jours | 12 000 à 22 000 € | Très élevée, plus long |
| Boîte grise PASSI | Comptes par rôle | 8 à 15 jours | 15 000 à 30 000 € | Requise par certains acheteurs publics |
| Scan automatisé seul | URL | 1 jour | 500 à 2 000 € | Insuffisant pour un grand compte |
| Bug bounty privé | Programme ouvert | Continu | 5 000 à 20 000 € par an | Complément, pas un rapport d'audit |
Les TJM des auditeurs parisiens se situent entre 1 000 et 1 400 € HT en 2026, et jusqu'à 1 800 € chez les cabinets qualifiés PASSI par l'ANSSI.
Le budget complet, au-delà du rapport
Le rapport n'est que la première ligne. Un premier pentest sur une application jamais auditée remonte en moyenne 8 à 15 vulnérabilités, dont 1 à 3 critiques ou élevées (contrôle d'accès cassé, IDOR, injection, gestion des sessions).
| Poste | Fourchette 2026 (HT) | Commentaire |
|---|---|---|
| Cadrage et convention d'audit | inclus ou 500 € | Périmètre, fenêtres de test, autorisation écrite |
| Pentest boîte grise | 6 000 à 12 000 € | 5 à 10 jours selon le nombre de rôles et d'API |
| Correctifs par l'équipe de développement | 3 000 à 10 000 € | 5 à 15 jours de développeur |
| Retest des vulnérabilités | 1 500 € | 1 à 2 jours, attestation de correction |
| Lettre d'attestation pour le client | souvent incluse | Synthèse non technique à transmettre |
| Aide BPI Diag Cybersécurité | prise en charge partielle | Selon l'éligibilité et le dispositif en vigueur |
Bpifrance a proposé ces dernières années un diagnostic cybersécurité cofinancé pour les PME et ETI ; le dispositif évolue, vérifiez son état avant de signer. Il finance plutôt l'accompagnement et la feuille de route que le pentest lui-même.
Comment rédiger le cahier des charges du test
Listez les rôles utilisateurs, les API exposées (REST, GraphQL, webhooks), les fonctions sensibles (export de données, facturation, gestion des droits) et l'environnement cible. Testez de préférence sur une préproduction fidèle à la production avec des données anonymisées. Exigez un rapport avec scores CVSS 3.1 ou 4.0, preuves d'exploitation, recommandations priorisées et une synthèse dirigeante de 2 pages.
Mini cas pratique
Nadia, RSSI à temps partagé d'une PME SaaS parisienne de 2 000 clients, doit fournir un rapport d'intrusion pour signer un contrat de 180 000 € par an avec un groupe du CAC 40. Elle commande un pentest boîte grise de 8 jours à 9 600 € HT. Le rapport révèle 11 vulnérabilités, dont 2 élevées sur l'isolation des tenants. Les correctifs prennent 9 jours de développeur, soit 5 400 €, puis le retest coûte 1 500 €.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Coût total : 16 500 € HT, soit 9 % de la première année du contrat. Sans rapport, le contrat n'était pas signé. Le même rapport sert ensuite à 3 autres appels d'offres dans l'année.
FAQ
Un pentest PASSI est-il obligatoire pour vendre à un grand compte ?
Pas en général. Il est surtout exigé par l'administration, les OIV et certains marchés publics, avec un surcoût de 50 à 150 % par rapport à un cabinet non qualifié. Demandez à votre client s'il impose la qualification avant de choisir.
À quelle fréquence refaire un pentest ?
Une fois par an et après chaque évolution majeure (nouveau module de paiement, refonte des droits). Pour un SaaS qui livre chaque semaine, un test annuel de 5 à 8 jours couplé à un scan automatisé mensuel est un bon compromis.
Combien de temps faut-il pour obtenir le rapport ?
Comptez 2 à 4 semaines de délai de réservation chez un cabinet parisien, puis 5 à 10 jours de test et 5 jours de rédaction. Prévoyez donc 5 à 7 semaines avant la date de signature du contrat.
Le pentest peut-il casser la production ?
Le risque existe sur les tests d'injection et de charge. C'est pourquoi on teste à 90 % en préproduction, avec une convention signée qui fixe les horaires et les actions interdites.
Faut-il corriger toutes les failles avant de transmettre le rapport ?
Les failles critiques et élevées, oui, avec attestation de retest. Les failles moyennes et faibles peuvent figurer dans un plan de remédiation daté sur 3 à 6 mois, ce que la plupart des acheteurs acceptent.
Parlons de votre projet. Décrivez-nous votre application, ses rôles et l'exigence de votre client : nous cadrons le test, chiffrons les correctifs et organisons le retest, pour un budget de 10 000 à 23 000 € HT sur 5 à 7 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
