Le verdict en trois phrases
Un pentest en boîte grise d'un extranet client se chiffre entre 5 000 et 12 000 EUR HT à Toulouse en 2026, pour 5 à 10 jours d'audit sur le référentiel OWASP Top 10. Le budget des correctifs, entre 3 000 et 15 000 EUR HT, est souvent oublié alors qu'il conditionne la réponse au questionnaire sécurité d'un grand compte. Un test annuel, complété par un contre-audit après correction, est le rythme attendu par les acheteurs de l'aéronautique, de la santé ou de la banque.
Pourquoi le questionnaire d'un grand compte déclenche le pentest
Le DSI d'une ETI de 300 salariés reçoit un questionnaire de 80 questions d'un donneur d'ordre : « Votre extranet a-t-il fait l'objet d'un test d'intrusion de moins de 12 mois ? Fournissez la synthèse du rapport et le plan de remédiation. » Sans réponse, le référencement fournisseur est gelé. L'extranet expose des plans, des devis, parfois des données personnelles : le risque est réel, et il est désormais contractuel.
| Type de test | Ce que sait l'auditeur | Durée typique | Coût indicatif HT |
|---|---|---|---|
| Boîte noire | Uniquement l'URL publique | 3 à 6 jours | 3 500 à 8 000 EUR |
| Boîte grise | Comptes de test pour chaque rôle | 5 à 10 jours | 5 000 à 12 000 EUR |
| Boîte blanche | Comptes et accès au code source | 8 à 15 jours | 9 000 à 20 000 EUR |
| Contre-audit après correctifs | Liste des failles corrigées | 1 à 2 jours | 1 000 à 2 500 EUR |
| Scan automatisé seul | Aucun accès particulier | quelques heures | 0 à 1 500 EUR |
| Programme de bug bounty | Public de chercheurs | en continu | variable, primes par faille |
Ordre de grandeur 2026, sur la base de taux journaliers de 900 à 1 300 EUR HT pour un auditeur qualifié. La boîte grise est le meilleur compromis pour un extranet : l'auditeur teste ce qu'un client authentifié malveillant pourrait faire, c'est-à-dire le scénario le plus probable. Un scan automatisé ne suffit pas pour répondre à un grand compte : il ne détecte presque jamais les failles de contrôle d'accès.
Ce qu'un pentest trouve en général, et ce que coûte la correction
| Catégorie OWASP Top 10 | Exemple sur un extranet | Fréquence observée | Coût de correction indicatif HT |
|---|---|---|---|
| A01 Contrôle d'accès défaillant | Un client accède aux documents d'un autre en changeant un identifiant dans l'URL | très fréquente | 1 500 à 5 000 EUR |
| A02 Défaillances cryptographiques | Mots de passe mal hachés, TLS obsolète | fréquente | 500 à 2 500 EUR |
| A03 Injection | Champ de recherche vulnérable à l'injection SQL | moins fréquente sur les frameworks récents | 1 000 à 4 000 EUR |
| A05 Mauvaise configuration | En-têtes de sécurité absents, pages d'erreur bavardes | très fréquente | 300 à 1 500 EUR |
| A06 Composants vulnérables | Bibliothèques non mises à jour depuis 3 ans | fréquente | 1 000 à 6 000 EUR |
| A07 Authentification | Absence de double authentification, sessions sans expiration | fréquente | 1 000 à 3 500 EUR |
La fourchette globale des correctifs, 3 000 à 15 000 EUR HT, dépend surtout de l'état de la dette technique. Une application maintenue avec des dépendances à jour se corrige en quelques jours. Une application de 8 ans sur un framework abandonné peut nécessiter une remise à niveau plus lourde, à chiffrer à part. Demandez un rapport qui classe chaque faille par criticité (score CVSS) avec une recommandation précise : c'est ce document, et pas le seul certificat, que le grand compte demandera.
Planning type et budget annuel
| Étape | Durée | Livrable |
|---|---|---|
| Cadrage, périmètre, comptes de test | 1 semaine | Convention d'audit signée |
| Tests d'intrusion | 1 à 2 semaines | Rapport technique et synthèse dirigeants |
| Correctifs prioritaires (critiques et élevées) | 2 à 4 semaines | Version corrigée en production |
| Contre-audit | 2 à 3 jours | Attestation de correction |
| Réponse au questionnaire grand compte | 1 semaine | Dossier sécurité fournisseur |
En régime de croisière, une ETI peut viser un budget annuel de 8 000 à 20 000 EUR HT : un pentest, un contre-audit et une enveloppe de correctifs. Choisir un prestataire qualifié PASSI par l'ANSSI rassure les acheteurs publics et les opérateurs sensibles, pour un surcoût de 10 à 25 %.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Julien, DSI d'une ETI de sous-traitance aéronautique de 300 salariés à Toulouse, doit répondre au questionnaire sécurité d'un donneur d'ordre qui représente 2,4 millions d'euros de chiffre d'affaires annuel. Il commande un pentest en boîte grise de 7 jours à 8 400 EUR HT. Le rapport relève une faille critique de contrôle d'accès et quatre failles moyennes ; les correctifs coûtent 6 200 EUR HT, le contre-audit 1 500 EUR. Total : 16 100 EUR, soit 0,67 % du chiffre d'affaires du seul client concerné. Le contrat est maintenu, et le même dossier sert pour deux autres appels d'offres. Persona et montants hypothétiques.
FAQ
Quelle différence entre un pentest et un scan de vulnérabilités ?
Le scan est automatisé et coûte de 0 à 1 500 EUR ; il repère les composants obsolètes et les mauvaises configurations. Le pentest, de 5 000 à 12 000 EUR en boîte grise, ajoute un auditeur humain qui exploite la logique métier, notamment les failles de contrôle d'accès.
Faut-il couper l'application pendant le test ?
Non, mais il est recommandé de tester sur un environnement de préproduction identique à la production. Si le test se fait en production, il faut prévoir une sauvegarde récente et une fenêtre de 5 à 10 jours annoncée aux équipes.
Un pentest annuel suffit-il ?
C'est le minimum attendu par la plupart des grands comptes. Ajoutez un test ciblé, de 2 à 4 jours, après chaque évolution majeure comme un nouveau module de paiement ou un nouvel accès partenaire.
Le RGPD impose-t-il un pentest ?
Pas nommément, mais l'article 32 exige des mesures de sécurité adaptées et un processus pour en tester l'efficacité. En cas de fuite, un rapport de pentest de moins de 12 mois et son plan de correction sont des preuves utiles face à la CNIL.
Qui doit corriger les failles, l'auditeur ou le développeur ?
L'auditeur ne corrige pas, pour rester indépendant. Les correctifs reviennent à l'équipe de développement, interne ou prestataire, qui chiffre chaque point à partir du rapport, souvent entre 3 000 et 15 000 EUR HT au total.
Parlons de votre projet. Envoyez-nous le rapport de pentest ou le questionnaire de votre donneur d'ordre, nous chiffrons les correctifs par criticité avec un délai de mise en conformité. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
