Le verdict en trois phrases
Quand l'équipe sécurité d'un grand compte demande un rapport de test d'intrusion avant signature, elle attend un pentest boîte grise mené par un tiers, sur le périmètre réellement utilisé, avec un retest prouvant que les failles critiques sont corrigées. En France, comptez 5 à 10 jours de test facturés 900 à 1 400 EUR HT par jour, et surtout 3 à 6 semaines entre la commande et le rapport final. La plupart des retards de signature ne viennent pas du test lui-même mais des corrections et du retest qu'on a oublié de planifier.
Ce que le grand compte attend vraiment
Les questionnaires sécurité des banques, assureurs, industriels et opérateurs publics se ressemblent : ils veulent savoir qui a testé, sur quel périmètre, selon quel référentiel, et ce qui reste ouvert. Un scan automatisé de vulnérabilités ne suffit pas, et un rapport de plus de 12 mois est souvent refusé.
| Exigence fréquente du grand compte | Ce qu'il faut fournir | Piège courant |
|---|---|---|
| Test réalisé par un tiers indépendant | Lettre de mission et identité du prestataire | Test fait en interne par l'équipe de dev |
| Référentiel reconnu | Couverture OWASP Top 10 et ASVS niveau 2 | Rapport sans méthodologie décrite |
| Mode boîte grise | Comptes de test par rôle (utilisateur, admin, tenant) | Test boîte noire qui ne voit que la page de connexion |
| Rapport de moins de 12 mois | Date de test explicite | Rapport de l'ancienne version de l'application |
| Aucune vulnérabilité critique ou haute ouverte | Attestation de retest | Corrections faites mais jamais vérifiées |
| Synthèse lisible par un non-technicien | Résumé exécutif de 2 pages | Rapport de 80 pages sans priorisation |
Le mode boîte grise est le bon compromis pour une application SaaS B2B : le testeur dispose de comptes avec différents rôles et peut vérifier l'isolation entre clients, qui est la première inquiétude d'un acheteur grand compte.
Combien coûte un pentest en 2026
Les prix ci-dessous sont des ordres de grandeur 2026 observés en France auprès de cabinets spécialisés et de prestataires qualifiés. Les tarifs PASSI, exigés par certains opérateurs publics, se situent en haut de fourchette.
| Périmètre testé | Jours de test | Budget HT au marché |
|---|---|---|
| Application web simple, 1 rôle | 4 à 5 jours | 3 600 à 7 000 EUR |
| SaaS B2B, 3 rôles, multi-tenant | 6 à 8 jours | 5 400 à 11 200 EUR |
| SaaS B2B avec API publique | 8 à 10 jours | 7 200 à 14 000 EUR |
| Application mobile en plus du web | +3 à 5 jours | +2 700 à 7 000 EUR |
| Retest après corrections | 1 à 2 jours | 900 à 2 800 EUR, parfois inclus |
| Rédaction et restitution | 1 jour | Généralement inclus |
Demandez systématiquement si le retest est inclus. Un devis à 6 000 EUR sans retest peut finir plus cher qu'un devis à 7 500 EUR qui l'inclut.
Le calendrier réaliste, de la commande au rapport
Le délai qui fait mal n'est pas la semaine de test, c'est l'attente de disponibilité du prestataire puis la boucle de correction.
| Étape | Durée typique | Qui agit |
|---|---|---|
| Cadrage, devis et lettre de mission | 3 à 5 jours | CTO et prestataire |
| Attente de créneau du prestataire | 1 à 3 semaines | Prestataire |
| Préparation de l'environnement de test | 2 à 3 jours | Équipe technique |
| Test boîte grise | 5 à 10 jours ouvrés | Prestataire |
| Rapport préliminaire | 3 à 5 jours | Prestataire |
| Corrections des vulnérabilités | 1 à 3 semaines | Équipe technique ou agence |
| Retest et rapport final | 2 à 5 jours | Prestataire |
En pratique, si la signature est prévue dans 6 semaines, la commande doit partir cette semaine. Testez sur un environnement de préproduction identique à la production, jamais sur la production avec de vraies données clients.
Corriger les failles : où intervient Kolonell
Les vulnérabilités qui reviennent le plus souvent sur un SaaS B2B sont le contrôle d'accès cassé entre tenants, les identifiants prévisibles dans les URL, l'absence de limitation de débit sur la connexion, des en-têtes de sécurité manquants et des dépendances obsolètes. Kolonell prend en charge la correction des vulnérabilités sur devis, à partir du rapport préliminaire, ainsi que le durcissement de l'application avant le test, via son offre cybersécurité. Le test lui-même doit rester confié à un tiers indépendant, sinon le grand compte le refusera.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Thomas, CTO d'une scale-up B2B lyonnaise de 35 personnes, doit fournir un rapport à un groupe d'assurance pour un contrat de 180 000 EUR par an. Son SaaS a 3 rôles, une API et une architecture multi-tenant : il retient 8 jours de test à 1 100 EUR HT, soit 8 800 EUR, plus 2 jours de retest à 1 100 EUR, soit 2 200 EUR, pour un total de 11 000 EUR HT.
Le test fait ressortir 2 failles hautes et 5 moyennes. Leur correction mobilise 9 jours de développement. Rapporté au contrat, le pentest représente 6,1 % de la première année de chiffre d'affaires, et le même rapport servira pour les trois appels d'offres suivants pendant 12 mois. Thomas l'a commandé 7 semaines avant la date de signature, ce qui a laissé une semaine de marge.
FAQ
Boîte noire, grise ou blanche : laquelle choisir pour un grand compte ?
La boîte grise couvre le mieux un SaaS B2B, car le testeur vérifie les droits de chaque rôle et l'isolation entre clients. La boîte blanche, avec accès au code, ajoute 30 à 50 % de jours et se justifie surtout pour des applications financières.
Un scan automatisé à 200 EUR par mois peut-il remplacer le pentest ?
Non, les scanners détectent surtout des failles connues et des erreurs de configuration. Ils ne trouvent quasiment jamais un contrôle d'accès cassé, qui représente souvent plus de 30 % des failles hautes d'un SaaS.
Faut-il un prestataire qualifié PASSI ?
C'est obligatoire pour certains opérateurs d'importance vitale et administrations, rarement pour un acheteur privé. Les prestataires PASSI facturent souvent 1 200 à 1 400 EUR HT par jour.
Combien de temps le rapport reste-t-il valable ?
La plupart des grands comptes acceptent un rapport de moins de 12 mois, à condition qu'aucune refonte majeure n'ait eu lieu entre-temps. Un pentest annuel est la norme pour un SaaS qui vend à des grands comptes.
Que faire si une faille critique est trouvée une semaine avant la signature ?
Corriger, retester et transmettre au client le rapport préliminaire avec le plan de correction daté. Une faille corrigée sous 5 jours et vérifiée inspire plus confiance qu'un rapport sans aucune remarque.
Parlons de votre projet. Nous préparons votre application avant le test et prenons en charge les corrections du rapport préliminaire, avec un planning calé sur votre date de signature. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
