Le verdict en trois phrases
Une banque de détail qui lance une application de banque mobile à Casablanca doit présenter à Bank Al-Maghrib un rapport d'audit qui couvre l'application, les API et le back-office, pas seulement l'écran de connexion. Un test d'intrusion mobile et API sérieux coûte de 150 000 à 400 000 MAD HT pour 10 à 20 jours d'audit, conduit selon les référentiels OWASP MASVS et ASVS. Prévoyez dès le départ 15 à 40 jours de corrections côté développement et un audit annuel, sinon le rapport restera une photographie sans effet.
Ce que le régulateur et le RSSI attendent en 2026
La directive de Bank Al-Maghrib sur la sécurité des systèmes d'information et la DNSSI (Directive nationale de la sécurité des systèmes d'information) imposent une démarche documentée : évaluation des risques, tests indépendants, plan de remédiation suivi. Pour une application mobile, cela signifie tester le binaire Android et iOS, le stockage local, les échanges avec le serveur, les API exposées et la logique métier des virements.
| Périmètre testé | Référentiel | Jours d'audit typiques | Points critiques |
|---|---|---|---|
| Application Android | OWASP MASVS L2 + résilience | 3 à 5 | Root, obfuscation, stockage des jetons |
| Application iOS | OWASP MASVS L2 + résilience | 3 à 5 | Jailbreak, trousseau, épinglage de certificat |
| API mobiles | OWASP ASVS et API Security Top 10 | 3 à 6 | Contrôle d'accès objet par objet, limitation de débit |
| Logique métier (virements, bénéficiaires) | Scénarios de fraude | 1 à 3 | Contournement de l'OTP, rejeu de transaction |
| Back-office et authentification forte | ASVS | 1 à 2 | Élévation de privilèges |
| Rapport, restitution, contre-audit | ISO 27001 annexe A | 1 à 2 | Plan de remédiation priorisé |
Un audit limité à 5 jours ne couvre en général qu'une plateforme et quelques API. Pour une banque, le minimum crédible tourne autour de 10 jours, et 15 à 20 jours dès qu'il y a deux plateformes, une API ouverte et des parcours de virement instantané.
Combien coûte un pentest bancaire mobile à Casablanca
Les tarifs marocains 2026 se situent entre 8 000 et 20 000 MAD HT par jour d'auditeur selon la séniorité et les certifications (OSCP, OSWE, GMOB). Les cabinets internationaux présents à Casablanca facturent souvent dans le haut de la fourchette.
| Formule | Jours | Budget MAD HT (ordre de grandeur 2026) | Pour qui |
|---|---|---|---|
| Audit flash une plateforme | 5 à 7 | 60 000 à 120 000 | Mise à jour mineure |
| Audit mobile et API standard | 10 à 12 | 150 000 à 220 000 | Lancement d'application |
| Audit complet deux plateformes, API, logique métier | 15 à 20 | 250 000 à 400 000 | Banque de détail, néobanque |
| Contre-audit après corrections | 2 à 4 | 25 000 à 60 000 | Validation avant mise en production |
| Audit annuel récurrent | 8 à 12 | 120 000 à 200 000 | Exigence de suivi |
| Test boîte grise avec code source | +3 à 5 | +40 000 à 90 000 | Applications développées en interne |
Méthode : du cadrage au contre-audit
Un bon test d'intrusion bancaire suit cinq étapes. Le cadrage fixe le périmètre, les comptes de test et les fenêtres d'intervention en préproduction. L'analyse statique et dynamique du binaire cherche les secrets codés en dur, les journaux trop bavards et les protections contournables. Les API sont testées objet par objet, car la faille la plus fréquente reste l'accès au compte d'un autre client en changeant un identifiant. Les scénarios de fraude simulent un attaquant qui a volé un téléphone ou intercepté un SMS. Enfin, le contre-audit vérifie que chaque vulnérabilité critique est fermée.
Côté développement, les corrections représentent 15 à 40 jours selon l'architecture : épinglage de certificat, chiffrement du stockage local, contrôle d'accès côté serveur, limitation de débit, détection de root et de jailbreak. Ces jours doivent être réservés dans le planning avant même le premier jour d'audit.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Nadia, RSSI d'une banque de détail à Casablanca, prépare le lancement d'une application Android et iOS avec virement instantané. Elle retient un audit complet de 16 jours à 15 000 MAD HT par jour, soit 240 000 MAD HT, plus un contre-audit de 3 jours à 45 000 MAD HT. Les corrections mobilisent 25 jours de développement à 6 000 MAD par jour, soit 150 000 MAD. Le budget total atteint 435 000 MAD HT. En face, une seule fraude par contournement de l'OTP sur 200 comptes, à 15 000 MAD en moyenne, coûterait 3 000 000 MAD, sans compter la sanction du régulateur et l'atteinte à la marque.
FAQ
Un test d'intrusion suffit-il pour répondre à Bank Al-Maghrib ?
Il constitue une pièce centrale, mais le régulateur attend aussi une analyse de risques et un plan de remédiation suivi. Un rapport sans contre-audit ni calendrier de corrections est rarement jugé suffisant.
Quelle différence entre MASVS L1 et L2 ?
Le niveau L1 couvre les exigences de base de toute application. Le niveau L2, attendu pour une banque, ajoute la défense en profondeur, et l'option résilience teste l'obfuscation, la détection de root et l'anti-manipulation, ce qui ajoute 2 à 4 jours d'audit.
Faut-il tester en production ou en préproduction ?
En préproduction, avec des données anonymisées et des comptes de test, dans 90 % des cas. Quelques tests de configuration peuvent viser la production, dans une fenêtre validée par écrit.
À quelle fréquence refaire l'audit ?
Au minimum une fois par an, et à chaque évolution majeure comme un nouveau parcours de paiement ou une API ouverte aux partenaires. Un audit annuel coûte en général 120 000 à 200 000 MAD HT.
Combien de vulnérabilités trouve-t-on en moyenne ?
Sur une première version, un audit sérieux remonte souvent 15 à 30 constats, dont 2 à 5 critiques ou élevés. Les plus fréquents concernent le contrôle d'accès des API et le stockage local des jetons.
Parlons de votre projet. Décrivez-nous votre application, vos plateformes et vos API : nous vous aidons à cadrer le périmètre d'audit et à chiffrer les corrections, avec budget indicatif et planning de remédiation. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
