Le verdict en trois phrases
Un extranet client expose vos données commerciales, vos contrats et parfois des données personnelles : un test d'intrusion avant ouverture est devenu une exigence standard des assureurs cyber et des grands comptes. Comptez en ordre de grandeur 4 000 à 15 000 EUR HT pour 5 à 12 jours d'audit, avec un prestataire PASSI si vous répondez à des marchés publics ou sensibles. Le vrai budget inclut la correction des failles (2 à 4 semaines) et un contre-audit, souvent oubliés dans la ligne budgétaire.
Quel périmètre tester, et à quel prix
Le prix d'un pentest dépend d'abord du nombre de rôles utilisateurs, d'API et de fonctions sensibles (téléchargement de documents, paiement, export). Un extranet qui ne fait qu'afficher des factures n'a rien à voir avec un portail où le client passe commande et dépose des fichiers.
| Périmètre | Contenu typique | Jours d'audit | Prix indicatif 2026 (estimation marché) |
|---|---|---|---|
| Extranet simple | Consultation de documents, 2 rôles | 5 jours | 4 000 à 6 000 EUR HT |
| Extranet standard | Commandes, dépôt de fichiers, 3 à 4 rôles | 7 à 8 jours | 6 000 à 9 000 EUR HT |
| Extranet + API exposée | Application mobile ou partenaires connectés | 9 à 10 jours | 9 000 à 12 000 EUR HT |
| Extranet + infrastructure | Serveurs, VPN, annuaire | 10 à 12 jours | 11 000 à 15 000 EUR HT |
| Prestataire PASSI | Qualification ANSSI, marchés sensibles | Même périmètre | Majoration de 15 à 30 % |
| Contre-audit | Vérification des corrections | 1 à 2 jours | 900 à 2 000 EUR HT |
Deux modes d'approche coexistent. En boîte noire, l'auditeur part sans compte, comme un attaquant externe : c'est réaliste mais peu efficace sur un extranet, dont l'essentiel de la surface est derrière l'authentification. En boîte grise, il reçoit un compte par rôle et teste les escalades de privilèges : c'est le mode à privilégier pour un portail client.
La méthodologie à exiger dans le devis
Un bon devis de pentest décrit précisément ce qui sera testé. Le référentiel de base reste l'OWASP Top 10 (édition 2021, la mise à jour 2025 étant en cours d'adoption) complété par l'OWASP ASVS pour les contrôles détaillés.
| Catégorie OWASP | Ce que l'auditeur cherche sur un extranet | Fréquence observée (estimation) |
|---|---|---|
| Contrôle d'accès défaillant | Client A qui lit les factures du client B en changeant un identifiant | Très fréquente |
| Défauts cryptographiques | Mots de passe mal hachés, TLS faible | Fréquente |
| Injections | SQL, commandes, champs de recherche | Moyenne |
| Mauvaise configuration | En-têtes de sécurité absents, pages d'erreur bavardes | Très fréquente |
| Composants vulnérables | Bibliothèques JavaScript ou framework non mis à jour | Fréquente |
| Authentification faible | Pas de limitation des tentatives, pas de MFA | Fréquente |
| Journalisation insuffisante | Aucune trace des connexions suspectes | Fréquente |
Exigez dans le rapport : un résumé pour la direction, une notation CVSS de chaque faille, une preuve d'exploitation reproductible et une recommandation de correction priorisée. Un rapport de 80 pages sans priorisation fait perdre plus de temps qu'il n'en fait gagner.
Le calendrier réaliste avant ouverture
| Étape | Durée | Responsable |
|---|---|---|
| Cadrage, convention d'audit, comptes de test | 1 à 2 semaines | DSI + prestataire |
| Audit | 5 à 12 jours ouvrés | Prestataire |
| Restitution et rapport | 3 à 5 jours | Prestataire |
| Correction des failles critiques et élevées | 2 à 4 semaines | Équipe de développement |
| Contre-audit | 1 à 2 jours | Prestataire |
| Total | 6 à 10 semaines |
Côté correctifs, un extranet bien construit demande souvent 5 à 15 jours de développement. Si vous n'avez plus d'équipe sur l'application, une maintenance applicative Kolonell Standard (75 000 FCFA, soit 110 EUR par mois) ou Premium (120 000 FCFA, soit 180 EUR par mois) couvre les mises à jour de dépendances, mais la correction de failles structurelles se chiffre à part.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Thomas, DSI d'une ETI de 400 salariés spécialisée dans la logistique portuaire à Rouen, doit ouvrir un extranet de suivi de conteneurs à 150 clients. Il retient un périmètre « extranet + API » de 9 jours à 1 150 EUR HT le jour, soit 10 350 EUR HT, plus un contre-audit à 1 500 EUR HT. L'audit révèle 2 failles critiques de contrôle d'accès et 6 failles moyennes, corrigées en 12 jours de développement à 550 EUR HT, soit 6 600 EUR HT. Budget total : 18 450 EUR HT. Son assureur cyber lui annonçait une franchise relevée de 25 000 EUR sans preuve d'audit, et le coût moyen d'une fuite de données pour une ETI dépasse largement ce montant : l'audit est financé dès la première année par la seule baisse de la franchise.
FAQ
Un scan de vulnérabilités automatique suffit-il ?
Non, un scanner à 100 à 300 EUR par mois détecte les composants obsolètes et les mauvaises configurations, mais rate presque toujours les failles de contrôle d'accès entre clients. C'est pourtant la catégorie n° 1 de l'OWASP Top 10 et la plus critique sur un extranet.
Faut-il obligatoirement un prestataire PASSI ?
Uniquement pour certains marchés publics, les opérateurs d'importance vitale et les entités qui l'exigent contractuellement. Pour un extranet B2B classique, un prestataire non qualifié mais expérimenté coûte 15 à 30 % de moins pour une qualité comparable.
À quelle fréquence refaire un pentest ?
Une fois par an, et après chaque évolution majeure (nouvelle API, nouveau rôle, refonte). Un contre-audit annuel ciblé de 3 à 4 jours coûte environ 3 500 à 5 000 EUR HT.
Peut-on tester en production ?
C'est possible avec une convention d'audit précise et des fenêtres horaires, mais une préproduction identique est préférable. Comptez 1 à 2 jours pour la préparer si elle n'existe pas.
La directive NIS2 nous concerne-t-elle ?
Une ETI logistique de plus de 50 salariés entre souvent dans le champ en tant qu'entité importante. La loi française de transposition impose une gestion des risques documentée, que le rapport de pentest alimente directement.
Parlons de votre projet. Décrivez-nous votre extranet (rôles, API, données) et votre date d'ouverture : nous chiffrons le périmètre d'audit, les correctifs et le planning complet. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
