Le verdict en trois phrases
Un test d'intrusion en boîte grise d'une application web coûte 6 000 à 18 000 EUR HT à Paris en 2026, pour 5 à 12 jours d'audit à un TJM de 1 000 à 1 400 EUR. C'est le document que demandent les directions sécurité des grands comptes avant de signer avec une scale-up, avec un rapport aligné sur l'OWASP Top 10 et un retest à 1 500 à 3 000 EUR pour prouver la correction. Pour le secteur public ou les opérateurs sensibles, prévoyez un prestataire qualifié PASSI, plus cher de 15 % à 30 %.
Boîte noire, grise ou blanche : quel périmètre choisir
Le prix dépend d'abord du périmètre : nombre de rôles utilisateurs, d'API, de fonctions sensibles (paiement, export de données, administration) et du niveau d'information donné à l'auditeur.
| Type de test | Ce que l'auditeur reçoit | Jours typiques | Budget 2026 (EUR HT) |
|---|---|---|---|
| Boîte noire | URL seule | 4 - 8 | 5 000 - 11 000 |
| Boîte grise | Comptes par rôle, documentation API | 5 - 12 | 6 000 - 18 000 |
| Boîte blanche | Accès au code source | 8 - 15 | 10 000 - 22 000 |
| API seule (REST, GraphQL) | Spécification OpenAPI, jetons | 3 - 6 | 3 500 - 8 500 |
| Application mobile + API | Binaires, comptes | 7 - 12 | 9 000 - 17 000 |
| Retest après corrections | Liste des failles | 1 - 2 | 1 500 - 3 000 |
Pour une application SaaS B2B avec trois rôles et une API publique, la boîte grise est le meilleur rapport coût et couverture : l'auditeur teste les élévations de privilèges entre clients, principal risque d'une architecture multi-tenant.
Prestataire standard ou PASSI
La qualification PASSI délivrée par l'ANSSI n'est pas obligatoire pour un client privé, mais elle est exigée dans de nombreux marchés publics et chez les opérateurs d'importance vitale. Les grands comptes privés acceptent généralement un cabinet reconnu avec une méthodologie documentée.
| Critère | Cabinet non qualifié | Prestataire PASSI |
|---|---|---|
| TJM auditeur | 900 - 1 200 EUR | 1 150 - 1 400 EUR |
| Pentest boîte grise 8 jours | 7 200 - 9 600 EUR | 9 200 - 11 200 EUR |
| Délai de démarrage | 1 - 3 semaines | 3 - 8 semaines |
| Accepté par un grand compte privé | Oui en général | Oui |
| Accepté en marché public sensible | Rarement | Oui |
| Convention d'audit formalisée | Variable | Systématique |
Le délai de démarrage est souvent le vrai goulet : réservez le créneau dès que la date de signature est connue.
Ce que contient un bon rapport
Un rapport utile pour un acheteur contient une synthèse non technique, la liste des vulnérabilités classées par criticité (score CVSS), leur correspondance OWASP Top 10, les preuves d'exploitation et un plan de correction priorisé. En pratique, une application qui n'a jamais été auditée remonte souvent 2 à 5 failles critiques ou élevées, le plus souvent des contrôles d'accès défaillants, des injections et des erreurs de configuration.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Julien, CTO d'une scale-up parisienne qui édite un SaaS RH, doit fournir un rapport de pentest à un groupe du CAC 40 avant une signature de 240 000 EUR par an. Il commande une boîte grise de 8 jours à 1 150 EUR, soit 9 200 EUR HT, puis un retest de 2 jours à 2 300 EUR. Le rapport révèle 3 failles élevées, corrigées par l'équipe en 6 jours de développement à un coût interne d'environ 3 600 EUR. Coût total : 15 100 EUR, soit 6,3 % de la première année du contrat, et un rapport réutilisable pour les trois appels d'offres suivants.
FAQ
Combien coûte un test d'intrusion d'application web à Paris en 2026 ?
Entre 6 000 et 18 000 EUR HT en boîte grise, pour 5 à 12 jours d'audit. Une API seule démarre autour de 3 500 EUR.
Faut-il un prestataire PASSI ?
Uniquement si le client est public, opérateur sensible ou l'exige au contrat. Comptez alors 15 % à 30 % de plus et 3 à 8 semaines de délai.
Le retest est-il indispensable ?
Oui, c'est lui qui prouve au client que les failles sont corrigées. Il coûte 1 500 à 3 000 EUR pour 1 à 2 jours.
Combien de temps avant le lancement faut-il planifier le pentest ?
Idéalement 4 à 6 semaines avant la mise en production : 1 à 2 semaines d'audit, 1 à 2 semaines de corrections, puis le retest.
À quelle fréquence refaire l'audit ?
Une fois par an et après toute évolution majeure (nouveau module de paiement, nouvelle API publique). Beaucoup de grands comptes demandent un rapport de moins de 12 mois.
Parlons de votre projet. Décrivez votre application, ses rôles utilisateurs et la date de signature visée : nous cadrons le périmètre de l'audit, les corrections et le budget indicatif avec nos partenaires sécurité. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
