Le verdict en trois phrases
Si un grand compte conditionne sa signature à la sécurité de votre application, prévoyez un pentest boîte grise de 5 à 10 jours, soit 6 000 à 18 000 € HT à Bordeaux en 2026, plus 1 000 à 3 000 € de retest. Certains acheteurs publics et opérateurs sensibles exigent un prestataire PASSI qualifié par l'ANSSI, ce qui ajoute 15 à 30 % au tarif journalier. Planifié 4 à 6 semaines avant la mise en production, le test coûte bien moins cher que la correction d'une faille critique découverte par le client, ou par un attaquant.
Combien coûte un test d'intrusion en 2026
Le prix dépend du nombre de jours, donc de la surface testée : nombre de rôles utilisateurs, d'API, de parcours critiques (paiement, export de données, administration).
| Type de test (ordre de grandeur 2026) | Durée | Prix HT à Bordeaux | Pour quel besoin |
|---|---|---|---|
| Scan automatisé et revue rapide | 1 à 2 jours | 1 500 à 3 000 € | Premier état des lieux, pas de rapport probant |
| Pentest boîte noire (sans accès) | 3 à 5 jours | 4 000 à 9 000 € | Exposition externe d'un site |
| Pentest boîte grise (comptes fournis) | 5 à 10 jours | 6 000 à 18 000 € | Application SaaS B2B, exigence grand compte |
| Pentest boîte grise avec API et application mobile | 8 à 15 jours | 12 000 à 27 000 € | Plateforme complète |
| Prestataire PASSI qualifié | 5 à 10 jours | 8 000 à 23 000 € | Clients publics, OIV, santé |
| Retest des failles corrigées | 1 à 2 jours | 1 000 à 3 000 € | Attestation de correction |
| Audit de code ciblé | 3 à 6 jours | 4 000 à 10 000 € | Composants sensibles (authentification) |
Le tarif journalier d'un auditeur confirmé se situe entre 1 100 et 1 600 € HT, et monte à 1 400 à 1 900 € chez un prestataire PASSI. Méfiez-vous des offres à moins de 3 000 € pour une application complète : il s'agit généralement d'un scan automatisé, qui ne satisfera pas le RSSI de votre client.
Avant ou après la production : le coût d'une faille
Le référentiel de base est l'OWASP Top 10 (contrôle d'accès défaillant, injections, mauvaise configuration, composants vulnérables). Les failles de contrôle d'accès, par exemple un utilisateur qui accède aux données d'un autre client en changeant un identifiant, sont les plus fréquentes dans les SaaS B2B.
| Moment de la découverte | Coût de correction indicatif | Conséquences |
|---|---|---|
| Conception (revue d'architecture) | 1 à 2 jours de développement | Aucune |
| Avant production (pentest) | 2 à 5 jours de développement | Mise en ligne décalée de 1 à 2 semaines |
| Après production, découverte interne | 5 à 15 jours plus migration de données | Communication aux clients possible |
| Découverte par le client grand compte | 10 à 30 fois le coût initial | Signature suspendue, pénalités |
| Fuite de données avérée | Notification CNIL sous 72 h, enquête | Amende RGPD jusqu'à 4 % du chiffre d'affaires |
| Rançongiciel via l'application | Plusieurs semaines d'arrêt | Coût moyen PME de 50 000 à 300 000 € |
Le calendrier conseillé : gel fonctionnel, pentest 4 à 6 semaines avant la date de production, corrections en 1 à 2 semaines, retest, puis remise du rapport et de l'attestation au client.
Préparer le pentest pour en avoir pour son argent
- Un environnement de préproduction identique à la production, avec des données fictives.
- Deux comptes par rôle (pour tester l'isolement entre clients), la documentation des API (OpenAPI).
- Un périmètre écrit et une convention d'audit signée, qui vous protège juridiquement.
- Un interlocuteur technique disponible pendant les jours de test.
- Une demande de rapport en deux parties : synthèse pour la direction et le client, détail technique avec score CVSS et recommandations.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Thomas, CTO d'une PME bordelaise qui édite un logiciel de planification pour la logistique, négocie un contrat de 240 000 € HT par an avec un grand groupe de distribution. Le RSSI du groupe exige un rapport de pentest de moins de 12 mois et une attestation de correction. Thomas commande un pentest boîte grise de 8 jours à 1 300 € par jour, soit 10 400 € HT, plus un retest à 2 000 €. Le test révèle 2 failles critiques de contrôle d'accès, corrigées en 4 jours de développement, soit environ 2 400 € de coût interne. Total : 14 800 € HT, soit 6 % de la première année du contrat. Sans ce rapport, la signature était bloquée.
FAQ
Combien coûte un pentest d'application web à Bordeaux en 2026 ?
Un pentest boîte grise de 5 à 10 jours coûte 6 000 à 18 000 € HT. Le retest des failles corrigées ajoute 1 000 à 3 000 €.
Faut-il obligatoirement un prestataire PASSI ?
Non, sauf exigence explicite du client, fréquente pour les administrations, les opérateurs d'importance vitale et la santé. Un prestataire PASSI coûte 15 à 30 % de plus.
Combien de temps avant la production faut-il tester ?
Planifiez le pentest 4 à 6 semaines avant la mise en production. Cela laisse 1 à 2 semaines pour corriger et quelques jours pour le retest.
À quelle fréquence refaire un test d'intrusion ?
Au moins une fois par an, et après toute évolution majeure (nouveau module, nouvelle API, changement d'authentification). Beaucoup de grands comptes exigent un rapport de moins de 12 mois.
Un scan de vulnérabilités suffit-il ?
Rarement : un scan à 1 500 à 3 000 € détecte les failles connues mais pas les erreurs de logique métier ni l'isolement entre clients, qui représentent l'essentiel des failles critiques des SaaS B2B.
Parlons de votre projet. Nous concevons et développons des applications web sécurisées dès la conception, avec un pentest planifié avant la production : envoyez-nous votre périmètre et votre date cible pour un budget indicatif et un calendrier. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
