Le verdict en trois phrases
Un test d'intrusion sur une application métier ouverte aux clients coûte 6 000 à 20 000 EUR HT à Toulouse en 2026, selon le périmètre (web en boîte grise, API, application mobile). Le prix se construit à partir d'un TJM pentesteur de 900 à 1 400 EUR et de 5 à 15 jours d'audit, rapport compris. Budgétez dès le départ 10 à 20 % du coût initial pour les correctifs et un retest, sinon le rapport reste un PDF sans effet sur votre assureur ni sur vos donneurs d'ordre.
Pourquoi l'assureur et les donneurs d'ordre l'exigent
Dans la chaîne aéronautique toulousaine, les grands donneurs d'ordre imposent des questionnaires de sécurité fournisseurs, et les assureurs cyber conditionnent désormais leurs garanties à des preuves concrètes : MFA, sauvegardes, et pentest récent sur toute application exposée sur Internet. Ouvrir un portail client (suivi d'OF, plans, non-conformités, documents export contrôlés) sans audit expose à un refus de couverture ou à une franchise relevée. Certains marchés sensibles demandent en plus un prestataire qualifié PASSI par l'ANSSI.
| Périmètre du test | Jours d'audit | Prix HT 2026 (ordre de grandeur) | Pour qui |
|---|---|---|---|
| Application web simple, boîte noire | 4 à 5 | 4 500 à 7 000 EUR | Portail vitrine avec login |
| Application web métier, boîte grise (2 rôles) | 6 à 9 | 7 000 à 12 000 EUR | Portail client ETI standard |
| Web + API REST documentée | 8 à 12 | 9 000 à 16 000 EUR | Portail avec intégrations ERP |
| Web + API + application mobile | 11 à 15 | 13 000 à 20 000 EUR | Suivi terrain, techniciens |
| Prestataire PASSI, même périmètre | Idem | +20 à 40 % | Marchés défense, OIV, sous-traitance sensible |
| Retest après correctifs | 1 à 2 | 1 000 à 2 800 EUR | Toujours recommandé |
Ce qui fait varier le devis
Le nombre de rôles utilisateurs pèse lourd : chaque profil (client, fournisseur, administrateur, qualité) multiplie les scénarios d'escalade de privilèges. Le nombre d'endpoints API compte aussi : au-delà de 60 à 80 routes, ajoutez 2 à 3 jours. La méthodologie de référence reste l'OWASP (Top 10, ASVS, et l'API Security Top 10), complétée par des tests métier spécifiques : accès aux documents d'un autre client, manipulation des statuts de commande, export de plans.
| Poste de coût | Fourchette 2026 | Commentaire |
|---|---|---|
| TJM pentesteur senior | 900 à 1 400 EUR HT | PASSI dans le haut de fourchette |
| Cadrage et convention d'audit | 0,5 à 1 jour | Autorisation écrite obligatoire |
| Rapport et restitution | 1 à 2 jours | Synthèse dirigeants + détail technique |
| Correctifs par l'équipe de développement | 10 à 20 % du coût du pentest initial, souvent 2 000 à 8 000 EUR | Selon criticité et dette technique |
| Scan automatisé continu (DAST) | 150 à 600 EUR HT par mois | Complète, ne remplace pas le pentest |
| Bug bounty privé | 3 000 à 15 000 EUR par an de primes | Pertinent après un premier pentest |
Comment bien préparer le test
Figez une version en préproduction identique à la production, avec des données anonymisées. Fournissez des comptes pour chaque rôle, la documentation OpenAPI et le schéma d'architecture. Planifiez le test 4 à 6 semaines avant le go-live : il faut le temps de corriger les vulnérabilités critiques et de passer le retest. Enfin, demandez un rapport avec scores CVSS et une attestation exploitable par l'assureur.
Mini cas pratique
Julien, DSI d'une ETI de 350 salariés à Toulouse spécialisée dans l'usinage de pièces aéronautiques (illustratif), ouvre un portail client avec web, API vers l'ERP et 3 rôles. Le devis retenu : 11 jours à 1 150 EUR, soit 12 650 EUR HT, plus un retest de 2 jours (2 300 EUR). Le rapport relève 2 failles critiques (IDOR sur les documents, jeton API sans expiration) et 6 moyennes ; les correctifs coûtent 2 400 EUR, soit 19 % du pentest.
Total : 17 350 EUR HT. En face, l'assureur maintient la garantie avec une franchise de 50 000 EUR au lieu de 150 000 EUR, et le premier donneur d'ordre valide le questionnaire fournisseur. Une seule fuite de plans clients coûterait bien davantage en pénalités et en perte de contrats.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Combien coûte un pentest d'application web à Toulouse en 2026 ?
Entre 6 000 et 20 000 EUR HT dans la plupart des cas, selon le périmètre (web, API, mobile) et le nombre de rôles. Un prestataire PASSI ajoute 20 à 40 %.
Boîte noire, grise ou blanche : que choisir ?
Pour une application métier, la boîte grise (comptes fournis pour chaque rôle) offre le meilleur rapport coût/couverture, sur 6 à 9 jours. La boîte blanche, avec accès au code, ajoute 3 à 5 jours.
Faut-il obligatoirement un prestataire PASSI ?
Non, sauf exigence contractuelle (défense, OIV, certains donneurs d'ordre). Pour un assureur cyber, un prestataire expérimenté suivant l'OWASP suffit généralement.
Combien de temps avant la mise en production ?
Prévoyez le pentest 4 à 6 semaines avant le go-live : 1 à 3 semaines d'audit, 1 à 2 semaines de correctifs, puis 1 à 2 jours de retest.
À quelle fréquence refaire le test ?
Une fois par an et après chaque évolution majeure (nouveau module, nouvelle API). Un scan DAST à 150 à 600 EUR HT par mois couvre l'intervalle.
Parlons de votre projet. Décrivez votre application (rôles, API, mobile) et votre date de mise en production : nous chiffrons le développement, les correctifs de sécurité et l'accompagnement du pentest. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
