Le verdict en trois phrases
Un pentest boîte grise d'une application web coûte 40 000 à 120 000 MAD HT à Casablanca en 2026, pour 5 à 15 jours d'audit. Le budget réel inclut aussi les corrections (20 000 à 60 000 MAD) et le retest, inclus chez certains prestataires et facturé environ 20 % chez d'autres. Une banque partenaire demandera un rapport final sans vulnérabilité critique ou haute ouverte, donc planifiez 6 à 10 semaines de bout en bout.
Ce qui fait varier le prix d'un pentest
Le RSSI d'une société de services casablancaise doit faire auditer son portail client avant de signer avec une banque. Le prix dépend du périmètre (nombre de rôles, d'API, de parcours), de l'approche et du niveau des auditeurs. Le TJM d'un pentesteur expérimenté au Maroc se situe autour de 7 000 à 10 000 MAD HT.
| Type d'audit | Description | Durée | Prix indicatif 2026 (MAD HT) |
|---|---|---|---|
| Scan automatisé | Outils seuls, sans exploitation manuelle | 1 à 2 jours | 8 000 à 20 000 |
| Pentest boîte noire | Attaquant externe sans accès | 4 à 8 jours | 30 000 à 70 000 |
| Pentest boîte grise | Comptes de test par rôle, scénarios métier | 5 à 15 jours | 40 000 à 120 000 |
| Pentest boîte blanche | Accès au code source et à l'architecture | 10 à 20 jours | 80 000 à 180 000 |
| Audit API seul | Endpoints REST ou GraphQL, authentification | 3 à 6 jours | 25 000 à 55 000 |
| Retest | Vérification des correctifs | 1 à 3 jours | Inclus ou 20 % du pentest |
La boîte grise est le format attendu par les banques et assureurs : elle teste les contrôles d'accès entre clients, première source de fuite sur un portail.
Le budget complet, de l'audit au rapport final
| Étape | Durée | Coût indicatif (MAD HT) |
|---|---|---|
| Cadrage et convention d'audit | 1 semaine | Inclus |
| Tests d'intrusion boîte grise (portail + API) | 2 semaines | 60 000 à 90 000 |
| Rapport et restitution | 1 semaine | Inclus |
| Corrections par l'équipe de développement | 2 à 4 semaines | 20 000 à 60 000 |
| Retest et rapport final | 1 semaine | 0 à 18 000 |
| Total | 6 à 10 semaines | 80 000 à 168 000 |
Les vulnérabilités les plus fréquentes restent celles du référentiel OWASP Top 10 : contrôle d'accès défaillant, failles d'injection, mauvaise configuration, composants obsolètes. Un code bien conçu dès le départ divise souvent par deux le coût des corrections.
Choisir le bon prestataire
Demandez la méthodologie (OWASP WSTG, OWASP ASVS), des certifications reconnues des auditeurs (OSCP, OSWE ou équivalent), un exemple de rapport anonymisé et une convention d'audit signée. Vérifiez que le rapport classe chaque faille selon un score CVSS et fournit une recommandation exploitable par les développeurs. La loi 09-08 sur la protection des données personnelles et les exigences de la DGSSI pour les organismes sensibles renforcent l'intérêt d'un rapport formel.
Mini cas pratique
M. Benjelloun, RSSI d'une société de services de 120 personnes à Casablanca, doit livrer un rapport de pentest avant un contrat bancaire de 2 400 000 MAD par an. Il retient un pentest boîte grise de 8 jours à 9 000 MAD, soit 72 000 MAD, retest facturé 20 % (14 400 MAD). L'audit révèle 2 failles hautes et 6 moyennes, corrigées en 12 jours de développement à 3 500 MAD, soit 42 000 MAD. Budget total : 128 400 MAD, environ 5,4 % de la première année du contrat qu'il sécurise.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Combien coûte un pentest d'application web à Casablanca ?
En boîte grise, comptez 40 000 à 120 000 MAD HT selon le nombre de rôles, d'API et de parcours. Un simple scan automatisé coûte 8 000 à 20 000 MAD mais ne suffit pas pour une banque.
Combien de temps dure un pentest ?
Les tests eux-mêmes durent 5 à 15 jours. Avec cadrage, corrections et retest, prévoyez 6 à 10 semaines.
Le retest est-il inclus ?
Cela dépend du prestataire. Certains l'incluent dans les 60 jours suivant le rapport, d'autres le facturent environ 20 % du prix initial.
À quelle fréquence refaire un pentest ?
Une fois par an au minimum, et après chaque évolution majeure. Un audit de suivi coûte souvent 30 à 50 % du premier.
Combien coûtent les corrections ?
En ordre de grandeur 2026, 20 000 à 60 000 MAD pour un portail de taille moyenne. Les failles de contrôle d'accès sont les plus longues à corriger.
Parlons de votre projet. Décrivez votre application, ses rôles et l'échéance de votre client : nous chiffrons l'audit, les corrections et le retest pour un budget de 80 000 à 170 000 MAD HT. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
