Le verdict en trois phrases
Un test d'intrusion sur une application web métier coûte de 5 000 à 15 000 € HT à Strasbourg, pour 5 à 10 jours d'audit selon le périmètre. Le vrai budget inclut les correctifs, de 3 000 à 12 000 € HT, car environ 60 % des failles relèvent de l'OWASP Top 10 et se corrigent dans le code. Vérifiez avant de signer si votre grand client exige un prestataire qualifié PASSI, ce qui change le prix et le calendrier.
Ce qui fait varier le prix d'un pentest
Le RSSI d'une PME strasbourgeoise qui édite un portail de gestion pour des industriels alsaciens reçoit une demande claire de son principal client : rapport de test d'intrusion récent avant le renouvellement du contrat. Le prix dépend du nombre de rôles utilisateurs, des API exposées, de l'approche (boîte noire, grise ou blanche) et du niveau de qualification exigé.
| Périmètre (ordre de grandeur 2026) | Jours d'audit | Budget HT |
|---|---|---|
| Application simple, 1 rôle, sans API publique | 3 à 5 jours | 5 000 à 6 500 € |
| Application métier, 2 à 3 rôles, boîte grise | 5 à 7 jours | 6 500 à 9 500 € |
| Application métier avec API REST documentée | 7 à 8 jours | 9 000 à 11 500 € |
| Application et application mobile associée | 8 à 10 jours | 11 000 à 14 000 € |
| Prestataire qualifié PASSI, même périmètre | +15 à 30 % | 6 500 à 15 000 € |
| Test de vérification après correctifs | 1 à 2 jours | 1 200 à 2 500 € |
Le tarif journalier d'un auditeur se situe entre 1 000 et 1 500 € HT, rédaction du rapport comprise. Un prix très bas cache souvent un simple scan automatisé, insuffisant pour satisfaire un donneur d'ordre exigeant.
Les failles les plus fréquentes et le coût de leur correction
Sur une application métier développée depuis plusieurs années, les auditeurs trouvent en moyenne 8 à 15 vulnérabilités, dont 1 à 3 critiques ou élevées.
| Catégorie OWASP | Fréquence observée | Exemple | Coût de correction HT |
|---|---|---|---|
| Contrôle d'accès défaillant | très fréquente | un utilisateur voit les données d'un autre client | 1 500 à 4 000 € |
| Injection (SQL, commandes) | fréquente | champ de recherche non filtré | 800 à 2 500 € |
| Mauvaise configuration de sécurité | très fréquente | en-têtes absents, erreurs bavardes | 500 à 1 500 € |
| Authentification faible | fréquente | pas de limitation des tentatives, pas de MFA | 1 000 à 3 000 € |
| Composants vulnérables | fréquente | bibliothèques obsolètes | 500 à 2 000 € |
| Défaut de journalisation | moyenne | aucune trace des actions sensibles | 800 à 2 000 € |
L'enveloppe totale de correctifs va de 3 000 à 12 000 € HT selon la dette technique.
PASSI, rapport et calendrier
La qualification PASSI, délivrée sous l'égide de l'ANSSI, est exigée par certains donneurs d'ordre publics, opérateurs d'importance vitale ou grands groupes. Les prestataires qualifiés ont souvent 4 à 8 semaines de délai de démarrage. Un prestataire non qualifié mais expérimenté démarre en 1 à 3 semaines. Lisez votre contrat client : il précise parfois le référentiel attendu et la fraîcheur du rapport, généralement moins de 12 mois.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Julien, RSSI d'une PME strasbourgeoise de 60 personnes, doit fournir un rapport de pentest avant le renouvellement d'un contrat de 420 000 € par an. Il commande un audit en boîte grise de 7 jours à 9 500 € HT, puis 6 000 € HT de correctifs et un test de vérification à 1 800 € HT. Total : 17 300 € HT, soit 4,1 % du contrat annuel sécurisé. Sur la base d'un renouvellement de 3 ans, le coût rapporté au chiffre d'affaires protégé descend à 1,4 %.
FAQ
Combien coûte un test d'intrusion sur une application web à Strasbourg ?
Comptez de 5 000 à 15 000 € HT en ordre de grandeur 2026, pour 5 à 10 jours d'audit. Une application métier avec plusieurs rôles se situe généralement entre 6 500 et 9 500 € HT.
Faut-il obligatoirement un prestataire PASSI ?
Non, sauf si votre client ou la réglementation l'exige, ce qui est fréquent dans le public et chez les opérateurs sensibles. La qualification ajoute 15 à 30 % au prix et allonge le délai de démarrage.
Combien coûtent les correctifs après le pentest ?
Prévoyez 3 000 à 12 000 € HT selon l'âge du code et le nombre de failles critiques. Environ 60 % des vulnérabilités relèvent de l'OWASP Top 10 et se corrigent en quelques jours.
Quelle différence entre boîte noire et boîte grise ?
En boîte noire, l'auditeur n'a aucun compte. En boîte grise, il reçoit des comptes de test par rôle, ce qui couvre mieux les failles de contrôle d'accès, les plus fréquentes, pour 1 à 2 jours de plus.
À quelle fréquence refaire un test d'intrusion ?
Une fois par an et après chaque évolution majeure, comme une nouvelle API ou un nouveau module de paiement. La plupart des contrats exigent un rapport de moins de 12 mois.
Parlons de votre projet. Décrivez votre périmètre, vos outils actuels et votre calendrier : nous cadrons le projet lot par lot et fixons le délai avec vous. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
