Le verdict en trois phrases
Un test d'intrusion boîte grise d'application web coûte entre 6 000 et 14 000 EUR HT à Lille en 2026, pour 5 à 10 jours de tests alignés sur l'OWASP ASVS niveau 2. Il faut budgéter en plus 3 000 à 10 000 EUR HT de correctifs et un contre-audit, car c'est le rapport de retest, et non le premier rapport, que le grand compte voudra voir. Si votre client est un opérateur d'importance vitale, une banque ou une administration, vérifiez tout de suite s'il exige un prestataire qualifié PASSI par l'ANSSI : cela change le budget et le délai.
Combien coûte un pentest selon le périmètre
Le prix dépend du nombre de jours, lui-même fixé par la surface d'attaque : nombre de rôles utilisateurs, d'écrans, d'endpoints API et d'intégrations. Le taux journalier d'un pentesteur expérimenté se situe entre 1 000 et 1 400 EUR HT dans les Hauts-de-France, un peu plus chez les cabinets parisiens.
| Périmètre | Exemple | Jours de test | Budget 2026 (EUR HT) |
|---|---|---|---|
| Site vitrine ou landing avec formulaire | 10 pages, aucun compte | 2 - 3 | 2 500 - 4 000 |
| Application web simple | 2 rôles, 20 écrans, API interne | 5 - 6 | 6 000 - 8 000 |
| Plateforme SaaS B2B | 4 rôles, multi-tenant, 60 endpoints API | 7 - 8 | 8 500 - 11 000 |
| Plateforme avec paiement et intégrations | SSO, Stripe, ERP, webhooks | 9 - 10 | 11 000 - 14 000 |
| Application mobile et API associées | iOS, Android, back-end | 8 - 12 | 10 000 - 16 000 |
| Contre-audit (retest) | Vérification des correctifs | 1 - 2 | 1 200 - 2 500 |
La boîte grise (vous fournissez des comptes de test pour chaque rôle) est le meilleur rapport qualité-prix : elle teste les fuites entre clients, les élévations de privilèges et les failles métier, qu'une boîte noire rate souvent faute de temps.
Quel prestataire choisir
Le niveau d'exigence de votre futur client détermine le type de prestataire acceptable.
| Prestataire | Tarif journalier 2026 | Délai pour démarrer | Rapport accepté par | Limite |
|---|---|---|---|---|
| Pentesteur indépendant | 800 - 1 100 EUR HT | 1 - 3 semaines | PME, ETI peu régulées | Assurance et méthodologie à vérifier |
| Cabinet de sécurité régional | 1 000 - 1 300 EUR HT | 3 - 5 semaines | La plupart des grands comptes | Planning chargé en fin d'année |
| Prestataire qualifié PASSI | 1 200 - 1 600 EUR HT | 4 - 8 semaines | OIV, OSE, secteur public, banques | Budget supérieur de 20 à 30 % |
| Plateforme de bug bounty | Primes de 150 à 5 000 EUR par faille | 2 semaines | Complément, rarement suffisant seul | Pas de rapport de conformité unique |
| Scanner automatique seul | 100 - 500 EUR par mois | Immédiat | Quasiment aucun grand compte | Ne trouve pas les failles métier |
Le rapport doit contenir une synthèse pour la direction, chaque vulnérabilité avec son score CVSS 3.1 ou 4.0, une preuve d'exploitation et une recommandation. Un bon cabinet le livre sous 10 jours ouvrés après la fin des tests.
Correctifs : le budget souvent oublié
Un premier pentest sur une plateforme jamais auditée remonte typiquement 1 à 3 failles critiques ou élevées et 8 à 15 failles moyennes ou faibles : contrôle d'accès entre organisations, injection, en-têtes de sécurité, gestion des sessions, dépendances obsolètes. Corriger demande 3 à 12 jours de développement, soit 3 000 à 10 000 EUR HT selon votre TJM interne ou externe. Planifiez les correctifs dans le sprint qui suit le rapport et réservez le retest 2 à 4 semaines après, pour présenter un rapport final sans faille critique ouverte.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Thomas, DSI d'une scale-up lilloise de logiciel logistique, doit signer un contrat de 480 000 EUR par an avec un chargeur national dont la direction sécurité exige un pentest de moins de 6 mois, sans faille critique. Il commande un test boîte grise de 8 jours à 1 150 EUR, soit 9 200 EUR HT. Le rapport remonte 2 failles élevées et 11 moyennes : 7 jours de correctifs à 650 EUR, soit 4 550 EUR. Le retest d'un jour et demi coûte 1 700 EUR. Total : 15 450 EUR HT, soit 3,2 % de la première année du contrat. Calendrier : 3 semaines d'attente, 2 semaines de tests, 10 jours de rapport, 2 semaines de correctifs, retest : environ 9 semaines. Thomas lance donc la commande dès la phase de négociation, pas après.
FAQ
Quelle différence entre boîte noire, grise et blanche ?
En boîte noire, l'auditeur part sans accès ; en boîte grise, il reçoit des comptes par rôle ; en boîte blanche, il a aussi le code source. La boîte grise couvre le mieux une application B2B pour 6 000 à 14 000 EUR HT.
Le PASSI est-il obligatoire ?
Il ne l'est que pour certains clients : OIV, OSE au sens de NIS 2, administrations et une partie du secteur financier. Il ajoute 20 à 30 % au budget et 2 à 4 semaines de délai de démarrage.
À quelle fréquence refaire un pentest ?
Une fois par an au minimum, et après toute évolution majeure (nouveau module de paiement, SSO, API publique). Beaucoup de grands comptes exigent un rapport de moins de 12 mois.
Un scanner automatique ne suffit-il pas ?
Non : il détecte les failles connues et les mauvaises configurations, pour 100 à 500 EUR par mois, mais pas les failles de logique métier ni les fuites entre clients, qui représentent souvent les failles critiques.
Que demander dans le contrat avec le pentesteur ?
Une convention d'audit signée, le périmètre exact, une assurance responsabilité civile professionnelle, la confidentialité du rapport et le retest inclus ou chiffré, généralement 1 200 à 2 500 EUR HT.
Parlons de votre projet. Décrivez votre plateforme, vos rôles et l'exigence de votre client : nous cadrons le pentest, les correctifs et le retest, de 9 000 à 25 000 EUR HT au total, en 6 à 10 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
