Le verdict en trois phrases
Pour une startup niçoise qui lance une plateforme B2B et doit remettre un rapport de test d'intrusion à ses premiers grands comptes, un pentest en boîte grise (OWASP Top 10 et API) coûte, en ordre de grandeur 2026, 4 000 à 12 000 € HT pour 5 à 10 jours de tests. Il faut budgéter en plus 2 000 à 8 000 € HT de correctifs et un retest, sinon le rapport livré au client affiche des failles ouvertes. Pour viser des acheteurs publics ou des opérateurs sensibles, un prestataire qualifié PASSI coûte 20 à 40 % plus cher mais évite de refaire l'audit.
Ce que coûte un test d'intrusion selon le périmètre
Le prix dépend surtout du nombre de rôles utilisateurs, d'écrans et d'endpoints d'API à tester. Un devis sérieux part d'un questionnaire de cadrage, pas d'un forfait unique.
| Périmètre testé | Prix HT (ordre de grandeur 2026) | Durée de tests |
|---|---|---|
| Application web simple, boîte noire | 3 000 à 5 000 € | 3 à 5 jours |
| Plateforme B2B en boîte grise, OWASP Top 10 et API | 4 000 à 12 000 € | 5 à 10 jours |
| Plateforme multi-tenant avec 4 rôles ou plus | 8 000 à 15 000 € | 8 à 12 jours |
| Application mobile et son API | 6 000 à 14 000 € | 6 à 10 jours |
| Retest après correctifs | 800 à 2 000 € | 1 à 2 jours |
| Majoration prestataire qualifié PASSI | + 20 à 40 % | Identique |
| Programme de bug bounty privé | 2 000 à 10 000 € de primes par trimestre | Continu |
La boîte grise, où les testeurs disposent de comptes sur chaque rôle, est le format attendu par les acheteurs B2B : elle révèle les failles de contrôle d'accès entre clients, la première cause de fuite de données sur les plateformes multi-tenant.
Les failles qui reviennent et ce qu'elles coûtent à corriger
Sur une plateforme jeune, les mêmes catégories de vulnérabilités ressortent presque toujours. Leur correction est rarement complexe, mais elle doit être planifiée avant la date de lancement.
| Faille fréquente | Gravité habituelle | Effort de correction |
|---|---|---|
| Accès aux données d'un autre client par changement d'identifiant (IDOR) | Critique | 1 à 3 jours de développement |
| Contrôle des rôles absent côté API | Élevée | 2 à 4 jours |
| Jetons de session ou JWT mal configurés | Élevée | 1 à 2 jours |
| Absence de limitation de débit sur la connexion | Moyenne | 0,5 à 1 jour |
| En-têtes de sécurité et CSP manquants | Moyenne | 0,5 jour |
| Dépendances avec vulnérabilités connues | Variable | 1 à 3 jours |
| Données excessives renvoyées par l'API | Moyenne | 1 à 2 jours |
Avec un développeur à 500 à 650 € HT par jour, ces correctifs représentent 2 000 à 8 000 € HT. Kolonell intègre ces corrections dans ses missions de cybersécurité applicative : revue de code, durcissement et préparation du retest.
Bien préparer le pentest pour un rapport utile
Un test lancé sur une version instable produit un rapport obsolète en deux semaines. La bonne méthode tient en quelques étapes.
| Étape | Quand | Livrable |
|---|---|---|
| Cadrage et questionnaire de périmètre | J-30 | Devis, convention d'audit signée |
| Gel fonctionnel et environnement de préproduction | J-10 | Comptes de test par rôle |
| Tests d'intrusion | J0 à J+10 | Points d'avancement, alerte immédiate si critique |
| Rapport et restitution | J+12 | Rapport technique et synthèse dirigeants |
| Correctifs | J+12 à J+30 | Tickets fermés |
| Retest et lettre d'attestation | J+35 | Attestation remise aux clients |
La lettre d'attestation est le document que les directions achats demandent réellement : une page qui résume le périmètre, la date et l'absence de faille critique ouverte. Le rapport complet reste confidentiel et se partage sous accord de confidentialité.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Mini cas pratique
Thomas, CTO d'une startup B2B à Sophia Antipolis près de Nice (profil fictif), doit signer un premier grand compte à 180 000 € par an, conditionné à un pentest. Il budgète un test en boîte grise à 8 000 € HT, 5 000 € de correctifs et 1 500 € de retest, soit 14 500 € HT. Cela représente 8 % du premier contrat annuel. Sans rapport, la signature est repoussée d'au moins un trimestre, soit 45 000 € de chiffre d'affaires décalé. Le pentest est donc rentabilisé dès la signature et réutilisable auprès des 3 ou 4 prospects suivants pendant 12 mois.
FAQ
Faut-il obligatoirement un prestataire qualifié PASSI ?
Non pour la plupart des clients privés, qui demandent seulement un rapport sérieux et une méthode documentée. Pour un acheteur public ou un opérateur d'importance vitale, la qualification PASSI est souvent exigée et justifie 20 à 40 % de surcoût.
À quelle fréquence refaire un test d'intrusion ?
Une fois par an au minimum, et après chaque évolution majeure (nouveau module de paiement, nouveaux rôles). Beaucoup de contrats grands comptes imposent un rapport de moins de 12 mois.
Peut-on tester directement en production ?
C'est possible mais risqué : un test d'injection peut corrompre des données réelles. Une préproduction identique coûte souvent moins de 100 € par mois en hébergement.
Un scanner automatique suffit-il ?
Non, un scanner à 0 à 300 € par mois trouve les failles connues mais rate les problèmes de logique métier, comme l'accès aux données d'un autre client. Il complète le pentest annuel sans le remplacer.
Combien de temps avant le lancement faut-il planifier ?
Prévoyez 6 à 8 semaines : 2 semaines de cadrage, 2 semaines de tests, puis 2 à 4 semaines de correctifs et de retest. Les prestataires reconnus sont souvent réservés 3 à 4 semaines à l'avance.
Parlons de votre projet. Décrivez votre plateforme, ses rôles et votre date de lancement : nous chiffrons le périmètre de test, les correctifs et le délai. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
