Le verdict en trois phrases
Un test d'intrusion en boîte grise d'une application métier coûte 6 000 à 15 000 EUR HT à Paris en 2026, pour 5 à 10 jours d'audit selon le nombre de rôles et d'API. Il faut prévoir en plus 2 000 à 8 000 EUR HT de correctifs et environ 1 500 EUR de contre-audit, soit un budget total de 10 000 à 25 000 EUR. Rapporté au coût moyen d'une fuite de données en France, estimé à 4,2 M EUR, c'est l'assurance la moins chère de votre projet.
Boîte noire, grise ou blanche : quel périmètre choisir
Pour un portail client qui expose des données personnelles ou financières, la boîte grise est le bon compromis : l'auditeur reçoit des comptes de test pour chaque rôle (client, gestionnaire, administrateur) et teste ce qu'un utilisateur authentifié malveillant pourrait faire. La boîte noire simule un attaquant externe mais rate souvent les failles d'autorisation, première cause de fuite sur les applications métier.
| Type de test | Ce que reçoit l'auditeur | Durée typique | Prix HT 2026 |
|---|---|---|---|
| Boîte noire | uniquement l'URL | 3 à 5 jours | 4 000 à 8 000 EUR |
| Boîte grise (recommandé) | comptes par rôle, documentation API | 5 à 10 jours | 6 000 à 15 000 EUR |
| Boîte blanche | code source, architecture | 8 à 15 jours | 10 000 à 22 000 EUR |
| Audit de code seul | code source | 4 à 8 jours | 5 000 à 12 000 EUR |
| Test d'API seul (REST, GraphQL) | collection d'appels, jetons | 3 à 6 jours | 3 500 à 9 000 EUR |
| Contre-audit après correctifs | rapport initial | 1 à 2 jours | 1 200 à 2 000 EUR |
Le prix journalier d'un auditeur senior se situe entre 1 000 et 1 500 EUR HT à Paris, un peu plus chez les prestataires qualifiés PASSI.
Le référentiel : OWASP Top 10 et ASVS niveau 2
Exigez que le rapport soit structuré selon l'OWASP Top 10 et que la couverture suive l'ASVS niveau 2, le niveau recommandé pour les applications qui traitent des données sensibles. Un rapport sérieux classe chaque vulnérabilité par criticité (score CVSS), fournit une preuve d'exploitation et une recommandation de correction exploitable par vos développeurs.
| Contrôle ASVS niveau 2 | Exemple de faille trouvée | Effort de correction estimé |
|---|---|---|
| Contrôle d'accès (IDOR) | un client lit les factures d'un autre en changeant un identifiant | 1 à 3 jours |
| Authentification | absence de limite de tentatives, pas de MFA administrateur | 1 à 2 jours |
| Gestion de session | jeton valide après déconnexion | 0,5 à 1 jour |
| Validation des entrées | injection dans un filtre de recherche | 1 à 2 jours |
| Téléversement de fichiers | dépôt d'un fichier exécutable | 1 jour |
| Configuration et en-têtes | CSP absente, versions exposées | 0,5 jour |
| Journalisation | aucune trace des accès administrateur | 1 à 2 jours |
PASSI ou non : comment arbitrer
La qualification PASSI délivrée par l'ANSSI n'est obligatoire que pour les opérateurs d'importance vitale, certaines administrations ou si un client contractuel l'exige. Pour une PME qui ouvre un portail client, un prestataire non qualifié mais expérimenté, avec des références et une méthodologie écrite, suffit dans la plupart des cas, pour un tarif 15 à 25 % inférieur. Vérifiez l'assurance responsabilité civile professionnelle, la convention d'audit signée et la gestion des données récupérées pendant le test. Planifiez l'audit au moins 4 semaines avant la mise en production pour laisser le temps de corriger et de contre-auditer.
Mini cas pratique
Sophie, RSSI d'une PME de services financiers à Paris, s'apprête à ouvrir un portail où 12 000 clients consultent contrats et relevés. Elle commande un pentest boîte grise de 8 jours à 10 400 EUR HT. Le rapport relève 2 failles critiques (IDOR sur les relevés, absence de MFA administrateur) et 6 moyennes. Les correctifs représentent 7 jours de développement, soit 5 600 EUR HT, et le contre-audit 1 500 EUR. Total : 17 500 EUR HT. Une fuite exposant 12 000 dossiers financiers coûterait, entre notification CNIL, gestion de crise, assistance juridique et clients perdus, plusieurs centaines de milliers d'euros au minimum : le test représente moins de 5 % de ce risque.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Combien coûte un test d'intrusion d'application web en 2026 ?
Comptez 6 000 à 15 000 EUR HT pour une boîte grise de 5 à 10 jours à Paris. Les correctifs ajoutent 2 000 à 8 000 EUR HT et le contre-audit environ 1 500 EUR.
Faut-il obligatoirement un prestataire PASSI ?
Non, sauf si vous êtes opérateur d'importance vitale, administration concernée ou si un contrat l'impose. Un prestataire PASSI coûte en moyenne 15 à 25 % plus cher.
Quand planifier le pentest ?
Au moins 4 semaines avant la mise en production, sur un environnement de préproduction identique. Cela laisse 2 à 3 semaines pour corriger et 1 semaine pour le contre-audit.
Que doit contenir le rapport ?
Une synthèse pour la direction, chaque faille classée par score CVSS avec preuve d'exploitation, et une recommandation de correction. Comptez 30 à 60 pages pour une application métier.
Faut-il refaire un pentest chaque année ?
Oui pour une application exposant des données sensibles, et après toute évolution majeure. Un audit annuel allégé de 3 à 5 jours coûte 4 000 à 7 500 EUR HT.
Parlons de votre projet. Décrivez-nous votre application, ses rôles et sa date de mise en production : nous organisons un pentest boîte grise et chiffrons les correctifs avec un budget indicatif. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
