Le verdict en trois phrases
Pour une application web métier qui manipule des données RH, un pentest boîte grise coûte à Paris en ordre de grandeur 2026 entre 6 000 et 15 000 EUR HT pour 5 à 10 jours d'audit, plus un retest à environ 1 500 EUR HT. Environ 40 % des failles relevées sur ce type d'application touchent le contrôle d'accès : un salarié qui consulte la fiche de paie d'un collègue en changeant un identifiant dans l'URL. Le budget de sécurité utile n'est pas le pentest seul, mais le trio correctifs OWASP, authentification multifacteur et journalisation, à prévoir dès le développement.
Boîte noire, grise ou blanche : quel pentest pour une application RH
Le type de test conditionne le prix et la profondeur. Pour une application interne avec plusieurs rôles (salarié, manager, RH, administrateur), la boîte grise est le meilleur compromis : l'auditeur reçoit des comptes de test pour chaque rôle et vérifie qu'aucun ne peut franchir ses droits.
| Type de test | Informations fournies | Durée type | Prix HT Paris 2026 | Pertinence application RH |
|---|---|---|---|---|
| Boîte noire | URL seule | 4 à 6 jours | 5 000 à 9 000 EUR | Faible, rate les failles internes |
| Boîte grise | Comptes par rôle, documentation API | 5 à 10 jours | 6 000 à 15 000 EUR | Élevée, recommandée |
| Boîte blanche | Code source + comptes | 8 à 15 jours | 10 000 à 22 000 EUR | Très élevée, plus coûteuse |
| Scan automatisé seul | URL | 1 jour | 500 à 1 500 EUR | Insuffisante pour un audit client |
| Retest après correctifs | Rapport initial | 1 à 2 jours | 1 200 à 2 000 EUR | Indispensable pour clôturer |
| Audit de configuration cloud | Accès en lecture | 2 à 4 jours | 2 500 à 6 000 EUR | Utile si hébergement AWS ou Azure |
Le tarif journalier d'un auditeur qualifié PASSI ou certifié OSCP se situe entre 1 100 et 1 600 EUR HT à Paris. Un prestataire PASSI est souvent exigé par les directions sécurité des grands comptes.
Ce que trouvent les pentests sur les applications métier
| Catégorie OWASP Top 10 | Part des failles relevées | Exemple concret | Coût de correction type |
|---|---|---|---|
| A01 Contrôle d'accès défaillant | 40 % | Accès à la fiche d'un autre salarié par l'identifiant | 2 à 5 jours de développement |
| A07 Authentification | 18 % | Absence de MFA, pas de verrouillage après échecs | 2 à 4 jours |
| A05 Mauvaise configuration | 14 % | En-têtes CSP absents, mode debug actif | 0,5 à 1 jour |
| A03 Injection | 9 % | Filtre de recherche vulnérable | 1 à 2 jours |
| A09 Journalisation insuffisante | 11 % | Aucune trace des consultations de données sensibles | 2 à 3 jours |
| A06 Composants vulnérables | 8 % | Bibliothèque front non mise à jour | 0,5 à 2 jours |
Ces répartitions sont des ordres de grandeur observés sur des applications métier sur mesure, pas une statistique officielle. Elles montrent un point clé : les failles les plus graves viennent de la logique métier, que seul un test avec comptes réels peut révéler.
Le budget complet de mise en conformité
| Poste | Budget HT |
|---|---|
| Pentest boîte grise (7 jours) | 9 800 EUR |
| Correctifs contrôle d'accès et OWASP | 6 000 à 12 000 EUR |
| Authentification multifacteur (TOTP ou SSO Entra ID) | 3 000 à 6 000 EUR |
| Journalisation et alertes (accès données RH) | 2 500 à 5 000 EUR |
| Retest | 1 500 EUR |
| Total | 22 800 à 34 300 EUR |
Mini cas pratique
Claire, DSI d'une ETI de services à Paris (1 200 salariés), doit lancer une application RH sur mesure développée pour 140 000 EUR HT. La direction sécurité du groupe impose un audit avant production.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Le pentest boîte grise de 7 jours (9 800 EUR) révèle 23 failles, dont 9 sur le contrôle d'accès. Les correctifs coûtent 8 500 EUR, le MFA via le SSO existant 3 500 EUR, la journalisation 3 000 EUR, le retest 1 500 EUR. Total : 26 300 EUR, soit 19 % du coût de l'application. En comparaison, une fuite de données RH déclarée à la CNIL peut coûter plus de 100 000 EUR entre notification, gestion de crise et sanction potentielle, sans compter l'atteinte à la confiance des salariés.
FAQ
À quel moment lancer le pentest ?
Idéalement 3 à 4 semaines avant la mise en production, sur un environnement de préproduction identique. Cela laisse 2 semaines pour corriger et 1 semaine pour le retest.
Un pentest suffit-il pour être conforme au RGPD ?
Non, il prouve une mesure de sécurité technique parmi d'autres. Le RGPD exige aussi une analyse d'impact (AIPD) pour les traitements RH sensibles, souvent facturée 3 000 à 6 000 EUR HT.
Faut-il obligatoirement un prestataire PASSI ?
Ce n'est obligatoire que pour certains opérateurs régulés, mais de nombreux grands comptes l'exigent contractuellement. L'écart de prix avec un prestataire non qualifié est d'environ 15 à 25 %.
Combien de temps le rapport reste-t-il valable ?
Un pentest est en général renouvelé tous les 12 mois ou après une évolution majeure. Un budget annuel de 6 000 à 9 000 EUR HT est réaliste pour une application stable.
Le développeur peut-il réaliser lui-même le test ?
Il peut et doit faire des revues de code et des scans automatisés, mais l'audit indépendant reste nécessaire. Un regard externe trouve en moyenne 2 à 3 fois plus de failles de logique métier.
Parlons de votre projet. Décrivez-nous votre application, ses rôles utilisateurs et votre date de mise en production : nous chiffrons l'audit, les correctifs OWASP et le MFA dans une enveloppe de 22 000 à 35 000 EUR HT. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
