Le verdict en trois phrases
Pour un éditeur SaaS bordelais, un pentest applicatif coûte entre 4 000 et 12 000 € HT pour 5 à 10 jours d'audit, selon le nombre de rôles, d'API et d'intégrations. Le vrai budget inclut les corrections, de 3 000 à 15 000 € HT, car un rapport sans plan de remédiation ne rassure aucun acheteur. Avec un rapport récent, la MFA et le chiffrement en place, vous répondez au questionnaire sécurité d'un grand compte en quelques jours au lieu de plusieurs semaines.
Combien coûte un pentest selon votre périmètre
Le prix dépend du nombre de jours-homme d'auditeur, facturés entre 900 et 1 300 € HT à Bordeaux et en Nouvelle-Aquitaine en 2026. Voici les configurations les plus courantes.
| Périmètre | Jours d'audit | Coût indicatif HT | Pour qui |
|---|---|---|---|
| Application web simple, 1 rôle | 4 à 5 jours | 4 000 à 6 000 € | Outil interne, MVP |
| SaaS multi-rôles, boîte grise | 6 à 8 jours | 6 500 à 9 500 € | Éditeur en phase commerciale |
| SaaS + API publique | 8 à 10 jours | 8 500 à 12 000 € | Intégrations clients |
| Application mobile associée | +3 à 4 jours | +3 000 à 4 500 € | Apps terrain |
| Retest après corrections | 1 à 2 jours | 1 000 à 2 500 € | Indispensable pour l'attestation |
| Audit de configuration cloud | 2 à 3 jours | 2 000 à 3 500 € | Hébergement AWS, Azure, OVH |
Le mode boîte grise, où l'auditeur dispose de comptes de test pour chaque rôle, est le meilleur rapport qualité prix : il teste les failles d'autorisation entre clients, première inquiétude d'un acheteur grand compte. Le référentiel de base reste l'OWASP Top 10, complété par l'OWASP API Security Top 10 si vous exposez une API.
Ce que le pentest trouve, et ce que coûtent les corrections
Sur une application développée sans revue sécurité, un rapport type remonte 10 à 25 vulnérabilités. Les plus fréquentes et leur coût de correction moyen :
| Vulnérabilité fréquente | Gravité typique | Correction HT | Délai |
|---|---|---|---|
| Accès aux données d'un autre client (IDOR) | Critique | 1 500 à 4 000 € | 1 à 2 semaines |
| Absence de MFA sur les comptes admin | Élevée | 1 000 à 2 500 € | 1 semaine |
| Sessions trop longues, jetons non révoqués | Moyenne | 500 à 1 500 € | 3 à 5 jours |
| Données sensibles non chiffrées au repos | Élevée | 1 500 à 4 000 € | 1 à 2 semaines |
| Injection et validation d'entrées | Critique | 1 000 à 3 000 € | 1 semaine |
| En-têtes de sécurité et CSP absents | Faible | 300 à 800 € | 1 à 2 jours |
| Dépendances obsolètes vulnérables | Variable | 1 000 à 3 000 € | 1 à 2 semaines |
Selon l'état de départ, la remédiation totale se situe entre 3 000 et 15 000 € HT. Priorisez les failles critiques et élevées avant le retest, car c'est l'attestation de retest que le client vous demandera.
Répondre au questionnaire sécurité d'un grand compte
Les directions achats envoient des questionnaires de 80 à 300 questions. Les points bloquants reviennent toujours : date du dernier pentest (moins de 12 mois), MFA, chiffrement en transit et au repos, sauvegardes testées, journalisation, hébergement en Europe, gestion des accès et plan de réponse aux incidents. Préparez une note de sécurité de 5 à 8 pages réutilisable : elle divise par trois le temps passé sur chaque questionnaire.
Mini cas pratique
Julien, dirigeant d'un éditeur SaaS de gestion de chantiers à Bordeaux (14 salariés), négocie un contrat de 85 000 € HT par an avec un groupe du BTP. Le questionnaire sécurité bloque : aucun pentest, pas de MFA.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Il commande un pentest boîte grise de 7 jours (8 000 € HT), des corrections ciblées (7 500 € HT : cloisonnement des données entre clients, MFA, chiffrement des pièces jointes) et un retest (1 500 € HT). Total : 17 000 € HT en 6 semaines. Le contrat est signé : l'investissement représente 20 % de la première année de ce seul client, et le rapport sert ensuite pour les trois appels d'offres suivants.
FAQ
À quelle fréquence faut-il refaire un pentest ?
Une fois par an au minimum, et après toute évolution majeure comme une nouvelle API ou un changement d'hébergement. Les grands comptes exigent généralement un rapport de moins de 12 mois.
Un scanner automatique suffit-il ?
Non. Un scanner à 100 ou 300 € par mois détecte les failles connues, mais rate les erreurs d'autorisation entre clients, qui représentent souvent plus de 30 % des failles critiques d'un SaaS.
Faut-il une certification ISO 27001 ?
Pas pour démarrer. Une certification coûte 25 000 à 60 000 € la première année ; un pentest récent et une politique de sécurité écrite suffisent pour la plupart des contrats sous 150 000 € par an.
Combien de temps dure le pentest lui-même ?
De 5 à 10 jours d'audit, plus 3 à 5 jours pour le rapport. Comptez 6 à 8 semaines en tout avec les corrections et le retest.
Le pentest peut-il perturber la production ?
On le réalise de préférence sur un environnement de préproduction identique. Si la production est testée, les tests destructifs sont exclus et planifiés hors heures ouvrées.
Parlons de votre projet. Décrivez votre application, ses rôles et ses API : nous cadrons le pentest, les corrections et le retest, entre 7 000 et 27 000 € HT selon le périmètre, en 6 à 8 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
