Le verdict en trois phrases
Un test d'intrusion en boîte grise sur une application web SaaS coûte entre 5 000 et 15 000 EUR HT en 2026, pour 5 à 10 jours d'audit. Pour une scale-up qui veut signer des grands comptes, ce rapport, idéalement produit par un prestataire qualifié PASSI, est devenu une pièce exigée par les questionnaires sécurité des acheteurs. Le vrai coût n'est pas le pentest mais la remédiation, à budgéter dès le départ à hauteur de 30 à 80 % du prix de l'audit.
Combien coûte un pentest selon le périmètre
Le prix dépend de trois variables : le nombre de rôles utilisateurs, la surface d'API et le niveau d'information fourni à l'auditeur. La boîte grise (comptes de test fournis, documentation d'API partielle) offre le meilleur ratio couverture/prix pour un SaaS B2B.
| Périmètre | Approche | Jours d'audit | Prix HT 2026 (ordre de grandeur) |
|---|---|---|---|
| Site vitrine + formulaire | Boîte noire | 2 à 3 | 2 000 à 4 000 EUR |
| Application web, 2 rôles | Boîte grise | 5 | 5 000 à 7 000 EUR |
| SaaS B2B, 4 rôles + API REST | Boîte grise | 7 à 8 | 8 000 à 11 000 EUR |
| SaaS multi-tenant + API publique | Boîte grise | 10 | 12 000 à 15 000 EUR |
| Application + mobile + API | Boîte grise | 12 à 15 | 16 000 à 22 000 EUR |
| Contre-audit après corrections | Ciblé | 1 à 2 | 1 200 à 2 500 EUR |
Un prestataire qualifié PASSI facture en moyenne 10 à 20 % de plus qu'un cabinet non qualifié, avec un TJM de 1 000 à 1 400 EUR HT. Cette qualification ANSSI est rarement obligatoire pour un SaaS privé, mais elle rassure les acheteurs publics, les banques et les opérateurs d'importance vitale.
La méthode : ce que couvre un audit sérieux
Le référentiel de base reste l'OWASP Top 10 (version 2021, mise à jour 2025), complété par l'OWASP API Security Top 10 pour les plateformes exposant des API. Un audit sérieux se déroule en cinq étapes.
| Étape | Contenu | Part du temps |
|---|---|---|
| Cadrage | Périmètre, comptes de test, fenêtre de tir, autorisation écrite | 5 % |
| Reconnaissance | Cartographie des routes, des sous-domaines et des API | 15 % |
| Tests d'authentification et d'autorisation | IDOR, élévation de privilèges, fuite entre clients | 35 % |
| Tests d'injection et de logique métier | SQL, XSS, SSRF, contournement de paiement | 30 % |
| Rapport et restitution | Score CVSS, preuves, recommandations priorisées | 15 % |
Sur un SaaS multi-tenant, le point critique est le cloisonnement entre clients : dans les audits que nous observons, plus d'un pentest sur trois révèle au moins une faille d'autorisation de type IDOR permettant de lire les données d'un autre client. C'est exactement la faille qui fait échouer une due diligence.
Fuite de données contre pentest : le calcul
Le coût moyen d'une violation de données atteint 4,4 millions USD au niveau mondial selon l'étude IBM 2025. Pour une scale-up de 40 personnes, le risque se chiffre autrement : perte d'un contrat grand compte, notification CNIL sous 72 heures, amende RGPD jusqu'à 4 % du chiffre d'affaires mondial, et churn des clients existants.
| Poste | Sans pentest (incident) | Avec pentest annuel |
|---|---|---|
| Coût direct | 150 000 à 500 000 EUR (PME) | 8 000 à 15 000 EUR |
| Délai de vente grand compte | Bloqué au questionnaire sécurité | Rapport fourni en 48 h |
| Remédiation | En urgence, TJM majoré | Planifiée en sprint |
| Assurance cyber | Prime majorée ou refus | Prime standard |
| Image | Communication de crise | Argument commercial |
Le plan de remédiation
Un rapport sans plan d'action ne sert à rien. Nous recommandons de traiter les failles critiques et hautes sous 15 jours, les moyennes sous 60 jours, puis de commander un contre-audit ciblé pour obtenir une attestation propre à transmettre aux prospects. Chez Kolonell, la remédiation d'une application que nous avons développée se chiffre en général entre 3 et 8 jours de développement.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Julie, RSSI d'une scale-up RH de 45 salariés à Paris, doit répondre au questionnaire sécurité d'un groupe du CAC 40 pour un contrat de 180 000 EUR par an. Elle commande un pentest boîte grise de 8 jours à 9 600 EUR HT. Résultat : 2 failles critiques (IDOR sur l'export des fiches salariés), 4 hautes, 7 moyennes. Remédiation : 6 jours de développement à 650 EUR, soit 3 900 EUR, puis un contre-audit à 1 800 EUR. Total : 15 300 EUR HT, soit 8,5 % de la première année du contrat signé trois mois plus tard.
FAQ
Un pentest PASSI est-il obligatoire pour vendre à un grand compte ?
Non, sauf pour certains opérateurs publics ou d'importance vitale. En pratique, environ 1 grand compte sur 2 l'apprécie, et la qualification coûte 10 à 20 % de plus.
Quand faire le pentest : avant ou après le lancement ?
Avant la mise en production des fonctions sensibles, idéalement 3 à 4 semaines avant le lancement pour laisser 15 jours de corrections. Ensuite, un audit par an ou à chaque refonte majeure.
Quelle différence entre scan automatisé et test d'intrusion ?
Un scanner à 100 à 500 EUR par mois détecte les failles connues, mais rate la logique métier et les autorisations. Le pentest manuel trouve en moyenne 3 à 5 fois plus de failles exploitables.
Combien de temps dure un pentest de 5 à 10 jours en calendrier ?
Comptez 2 à 3 semaines entre la signature et le rapport final, dont 1 à 2 semaines de tests et 3 à 5 jours de rédaction.
Faut-il tester en production ?
De préférence sur un environnement de préproduction identique à la production, avec des données anonymisées. Cela évite tout risque d'interruption pour vos clients.
Parlons de votre projet. Nous préparons votre application au pentest, corrigeons les failles et coordonnons l'audit avec un prestataire qualifié, budget indicatif de 8 000 à 20 000 EUR HT remédiation comprise, sur 4 à 6 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
