Le verdict en trois phrases
Un test d'intrusion d'application web B2B coûte à Paris entre 4 000 et 15 000 EUR HT en 2026, pour 5 à 15 jours d'audit et un TJM d'auditeur de 900 à 1 400 EUR. Le prix dépend presque entièrement du périmètre : nombre de rôles utilisateurs, d'API et d'environnements, pas de la taille de votre entreprise. Prévoyez dès le départ 2 à 4 semaines de correction des failles critiques et un contre-audit, sinon le rapport ne servira pas à rassurer votre client grand compte.
Combien coûte un pentest selon le périmètre
Les acheteurs grands comptes (banques, assurances, industrie) demandent de plus en plus un rapport de moins de 12 mois avant de signer. Voici les ordres de grandeur constatés sur le marché parisien.
| Périmètre (estimation marché 2026, Paris) | Jours d'audit | Budget HT | Délai de rapport |
|---|---|---|---|
| Site vitrine ou landing avec formulaire | 2 à 3 | 2 000 à 4 000 EUR | 1 semaine |
| Application SaaS, 2 rôles, sans API publique | 5 à 6 | 4 500 à 8 000 EUR | 1 à 2 semaines |
| Application SaaS, 3 à 4 rôles + API REST | 7 à 10 | 7 000 à 12 000 EUR | 2 semaines |
| Plateforme multi-tenant + API publique + mobile | 10 à 15 | 10 000 à 15 000 EUR | 2 à 3 semaines |
| Contre-audit après corrections | 1 à 3 | 1 000 à 4 000 EUR | 3 à 5 jours |
| Audit de code source en complément | 3 à 8 | 3 000 à 10 000 EUR | 2 semaines |
Un pentest à 2 500 EUR pour une plateforme multi-tenant correspond le plus souvent à un scan automatisé habillé en rapport. Il ne passera pas la revue d'un RSSI de banque.
Boîte noire, grise ou blanche : quoi demander
Le choix de l'approche change le résultat bien plus que le nom du cabinet.
| Approche | Ce que l'auditeur reçoit | Ce qu'elle trouve bien | Usage conseillé |
|---|---|---|---|
| Boîte noire | L'URL seulement | Exposition externe, erreurs de configuration | Complément, rarement suffisant seul |
| Boîte grise | Comptes de test par rôle | Contrôle d'accès, fuite entre clients, logique métier | Standard pour un SaaS B2B |
| Boîte blanche | Comptes + code source + architecture | Failles profondes, secrets, injections subtiles | Données sensibles, santé, finance |
| Référentiel | OWASP Top 10 et OWASP ASVS niveau 2 | Couverture vérifiable par le client | À exiger dans la proposition |
| Qualification | Prestataire PASSI (ANSSI) | Crédibilité auprès des acteurs publics et OIV | Si votre client l'exige |
Pour un SaaS B2B, la boîte grise avec un compte par rôle et deux tenants distincts est le bon compromis. La faille la plus fréquente reste le contrôle d'accès défaillant (OWASP A01) : un utilisateur du client A qui lit une facture du client B en changeant un identifiant dans l'URL.
Préparer l'application et corriger les failles
Un pentest se prépare : environnement de préproduction identique à la production, données fictives, comptes de test, liste des API, contact technique disponible pendant l'audit. Comptez 2 à 3 jours de préparation interne.
Kolonell n'est pas un cabinet d'audit et ne délivre pas de rapport de pentest. Notre rôle se situe avant et après : revue de sécurité pendant le développement, en-têtes CSP, gestion des secrets, contrôle d'accès par tenant, puis correction des failles listées par l'auditeur. Les applications que nous développons entrent dans nos gammes de 2 500 000 à 15 000 000+ FCFA selon la complexité, et le suivi de sécurité continu passe par nos forfaits de maintenance de 35 000, 75 000 ou 120 000 FCFA par mois.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Exemple illustratif : Julien, CTO d'une scale-up SaaS RH à Paris, doit fournir un rapport de pentest pour signer un contrat grand compte de 180 000 EUR par an. L'audit en boîte grise est chiffré à 10 jours à 1 100 EUR, soit 11 000 EUR HT, plus 2 jours de contre-audit à 2 200 EUR. Le rapport relève 2 failles critiques et 5 moyennes, corrigées en 12 jours de développement, soit environ 7 200 EUR de coût interne. Total : 20 400 EUR, soit 11 % de la première année du contrat. Sans rapport, le contrat ne se signe pas. Le même rapport servira ensuite pour 2 ou 3 autres prospects pendant 12 mois.
FAQ
Combien de temps dure un test d'intrusion d'application web ?
Entre 5 et 15 jours d'audit selon le périmètre, plus 1 à 2 semaines pour le rapport. Il faut ajouter 2 à 4 semaines de corrections et 1 à 3 jours de contre-audit.
Un scan automatisé suffit-il pour un client grand compte ?
Non, un scanner détecte surtout les failles connues et les erreurs de configuration. Les failles de logique métier et de contrôle d'accès, qui représentent la majorité des critiques sur un SaaS, demandent un auditeur humain avec des comptes de test.
Faut-il un prestataire PASSI ?
Ce n'est obligatoire que dans certains contextes réglementés, par exemple pour des opérateurs d'importance vitale ou certains acteurs publics. Un prestataire qualifié coûte souvent 10 à 20 % plus cher.
À quelle fréquence refaire un pentest ?
Une fois par an au minimum, et après chaque refonte majeure de l'authentification ou des API. Beaucoup de grands comptes exigent un rapport de moins de 12 mois.
Peut-on tester directement en production ?
C'est possible mais risqué : un test peut créer des données ou ralentir le service. Une préproduction identique coûte quelques dizaines d'euros par mois d'hébergement et évite ce risque.
Parlons de votre projet. Envoyez-nous le rapport de votre auditeur ou votre périmètre applicatif : nous chiffrons la correction des failles et la mise à niveau de sécurité avec un planning de 2 à 4 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
