Le verdict en trois phrases
Pour une ETI parisienne dont l'application client doit passer l'audit d'un grand compte, le budget réaliste 2026 se situe entre 25 000 et 65 000 € HT sur l'année : pentest, correctifs, contre-test et mesures de fond. Le pentest lui-même n'est que la partie visible : les correctifs coûtent en général 1,5 à 3 fois le prix du test, surtout si l'authentification et la journalisation n'ont jamais été pensées. Visez OWASP ASVS niveau 2 comme cible contractuelle, prévoyez 10 à 14 semaines entre le lancement et le rapport de contre-test, et vérifiez tôt si votre client vous fait entrer dans le périmètre NIS 2 de sa chaîne d'approvisionnement.
Ce que coûte un pentest en 2026 à Paris
Le tarif d'un test d'intrusion dépend surtout du nombre de jours-auditeur, lui-même lié au nombre de rôles, d'écrans et d'API exposées. Le TJM d'un auditeur qualifié tourne autour de 1 100 à 1 600 € HT à Paris en 2026, plus si le prestataire est qualifié PASSI.
| Type de test | Périmètre typique | Durée | Budget 2026 (HT) |
|---|---|---|---|
| Pentest boîte noire | Site public, sans compte | 3-5 jours | 4 000 - 8 000 € |
| Pentest boîte grise | Application métier, 2-3 rôles utilisateurs | 5-8 jours | 6 000 - 11 000 € |
| Pentest boîte grise étendu | Application + API + back-office, 4-6 rôles | 9-12 jours | 11 000 - 18 000 € |
| Audit de code ciblé | Authentification, contrôle d'accès, paiements | 4-8 jours | 5 000 - 12 000 € |
| Contre-test après correctifs | Vérification des failles signalées | 1-3 jours | 1 200 - 4 500 € |
| Prestataire qualifié PASSI | Exigé par certains grands comptes et le secteur public | +15 à 30 % | selon périmètre |
| Bug bounty (programme privé) | Récompenses + plateforme | continu | 2 000 - 10 000 € / an |
Pour un audit exigé par un client, la boîte grise est la bonne formule : l'auditeur reçoit des comptes de test pour chaque rôle et cherche les failles qui comptent vraiment, comme un commercial capable de lire les dossiers d'un autre client (IDOR) ou un utilisateur standard qui atteint une route d'administration.
Le vrai poste de dépense : les correctifs
Un rapport de pentest sur une application métier de 5 à 8 ans d'âge contient souvent 15 à 30 constats, dont 2 à 6 critiques ou élevés. Le coût des correctifs dépend de la nature des failles bien plus que de leur nombre.
| Chantier de remédiation | Effort estimé | Budget 2026 (HT) |
|---|---|---|
| Correctifs ponctuels (en-têtes, cookies, CSP, versions) | 3-6 jours | 2 500 - 6 000 € |
| Refonte du contrôle d'accès (IDOR, rôles, multi-tenant) | 10-25 jours | 8 000 - 20 000 € |
| MFA sur tous les comptes (TOTP, WebAuthn) | 5-10 jours | 4 000 - 9 000 € |
| Journalisation et alertes (connexions, exports, droits) | 6-12 jours | 5 000 - 11 000 € |
| Mise à jour des dépendances et du framework | 5-20 jours | 4 000 - 16 000 € |
| Plan d'assurance sécurité (PAS) et documentation | 3-6 jours | 2 500 - 6 000 € |
Total fréquent : 10 000 à 40 000 €. Le haut de la fourchette correspond aux applications dont les droits d'accès sont vérifiés côté interface seulement : il faut alors reprendre chaque route d'API. Les ordres de grandeur ci-dessus sont des estimations 2026 pour une application de taille moyenne, à affiner après lecture du rapport.
ASVS niveau 2, NIS 2 et calendrier
OWASP ASVS niveau 2 est le standard qu'un grand compte acceptera sans discussion pour une application qui manipule des données personnelles ou commerciales. Il couvre l'authentification, la gestion des sessions, le contrôle d'accès, la validation des entrées, la cryptographie et la journalisation. Inscrire « conformité ASVS niveau 2, vérifiée par un tiers » dans votre réponse au questionnaire sécurité évite des allers-retours de plusieurs semaines.
NIS 2, transposée en droit français, s'applique directement aux entités essentielles et importantes, et indirectement à leurs fournisseurs : votre client vous imposera des clauses de sécurité, de notification d'incident sous 24 h et d'audit. Préparez un PAS (plan d'assurance sécurité) qui décrit vos mesures, vos sauvegardes et votre processus de gestion des vulnérabilités.
Calendrier type : 2 semaines de cadrage et de choix du prestataire, 1 à 2 semaines de test, 1 semaine pour le rapport, 4 à 8 semaines de correctifs, puis le contre-test. Comptez 10 à 14 semaines au total : si l'audit client tombe dans 6 semaines, lancez le pentest tout de suite et négociez un plan de remédiation daté plutôt qu'un rapport vierge.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Claire, DSI d'une ETI de services B2B à Paris (320 salariés), doit faire auditer son portail client avant de signer un contrat de 1,2 M€ par an avec un groupe bancaire. Elle commande un pentest boîte grise de 8 jours (10 400 € HT). Le rapport relève 22 constats, dont 4 élevés : IDOR sur les factures, absence de MFA, journaux incomplets, framework en fin de support. Correctifs : 24 000 € HT sur 6 semaines, contre-test : 2 800 €. Total : 37 200 € HT, soit 3,1 % de la première année du contrat. Elle ajoute un bug bounty privé à 6 000 € par an pour garder un contrôle continu entre deux tests annuels.
FAQ
Combien coûte un pentest d'application web à Paris en 2026 ?
Un test boîte grise sur une application métier coûte 6 000 à 18 000 € HT pour 5 à 12 jours. Un site vitrine sans compte utilisateur se teste pour 4 000 à 8 000 €.
Faut-il un prestataire qualifié PASSI ?
Ce n'est obligatoire que pour certains contextes réglementés et le secteur public, mais de nombreux grands comptes le demandent. Prévoyez un surcoût de 15 à 30 % et des délais de réservation de 3 à 6 semaines.
Combien de temps pour corriger les failles ?
Comptez 4 à 8 semaines pour une application moyenne avec 2 à 6 failles élevées. Un contre-test de 1 à 3 jours (1 200 à 4 500 €) prouve ensuite la correction au client.
Un bug bounty remplace-t-il le pentest ?
Non, il le complète : 2 000 à 10 000 € par an pour une surveillance continue, alors que le pentest reste exigé une fois par an ou à chaque évolution majeure.
Mon entreprise est-elle concernée par NIS 2 ?
Directement si vous êtes entité essentielle ou importante (en général 50 salariés et 10 M€ de CA dans un secteur listé). Sinon, vos clients concernés vous imposeront des clauses de sécurité par contrat.
Parlons de votre projet. Envoyez-nous le périmètre de votre application (rôles, API, échéance d'audit) et nous chiffrons la remédiation, la MFA et la journalisation avec un planning compatible avec votre audit client. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
