Le verdict en trois phrases
Avant d'obtenir son feu vert, une fintech de paiement entre entreprises à Tunis doit prouver que son application résiste à une attaque réaliste : un test d'intrusion en boîte grise coûte en 2026 de l'ordre de 8 000 à 25 000 TND HT pour 5 à 10 jours d'audit. Le référentiel à exiger est OWASP ASVS niveau 2, avec un retest inclus et un rapport exécutif lisible par la Banque centrale de Tunisie. Le calendrier se joue surtout après l'audit : prévoyez 15 jours pour corriger les failles critiques avant le retest.
Définir le périmètre avant de demander un prix
Un devis de pentest sans périmètre écrit ne vaut rien : deux prestataires peuvent annoncer 10 000 TND pour des travaux sans rapport. Le prix dépend du nombre de rôles utilisateurs, d'endpoints d'API et de flux sensibles (virement, ajout de bénéficiaire, changement d'IBAN).
| Élément de périmètre | Exemple fintech B2B | Impact sur la durée |
|---|---|---|
| Application web client | Espace entreprise, 4 rôles (admin, initiateur, valideur, lecteur) | 2 à 3 jours |
| API REST | 60 à 120 endpoints, authentification OAuth 2.0 | 2 à 3 jours |
| Back-office interne | Conformité, support, gestion des limites | 1 à 2 jours |
| Application mobile | Si elle consomme la même API | +1 à 2 jours |
| Intégrations tierces | Banque partenaire, agrégateur, fournisseur KYC | 0,5 à 1 jour |
| Rédaction du rapport | Technique et exécutif | 1 jour |
La boîte grise (le testeur reçoit des comptes de chaque rôle et la documentation de l'API) est le meilleur compromis : elle simule un client malveillant ou un compte compromis, scénario le plus probable dans le paiement B2B.
Grille de prix 2026 à Tunis
| Formule | Durée | Ordre de grandeur 2026 (HT) | Pour qui |
|---|---|---|---|
| Scan automatisé + revue manuelle légère | 2 à 3 jours | 3 000 à 6 000 TND | Prototype, pas suffisant pour un agrément |
| Pentest boîte grise web + API | 5 jours | 8 000 à 12 000 TND | MVP avec un seul portail |
| Pentest ASVS niveau 2 complet | 7 à 8 jours | 13 000 à 19 000 TND | Fintech avant lancement |
| ASVS niveau 2 + mobile + back-office | 10 jours | 20 000 à 25 000 TND | Plateforme multi-canal |
| Retest après corrections | 1 à 2 jours | Inclus dans un bon devis | Toutes |
| Prestataire étranger certifié | 8 à 10 jours | 40 000 TND et plus | Exigence d'un partenaire international |
Vérifiez la qualification des auditeurs (OSCP, OSWE ou équivalent) et, si votre partenaire bancaire l'exige, la conformité aux exigences de l'Agence nationale de la cybersécurité.
Ce que la Banque centrale lira vraiment
Le régulateur ne lira pas 80 pages de captures d'écran. Il regarde la synthèse exécutive, la liste des vulnérabilités classées par criticité (score CVSS), la preuve de correction et le statut au retest. Votre rapport doit donc contenir :
- une synthèse de 2 pages avec le niveau de risque global ;
- la matrice de couverture ASVS niveau 2 (authentification, sessions, contrôle d'accès, validation, cryptographie, journalisation) ;
- pour chaque faille : description, preuve, impact métier, recommandation ;
- un tableau de suivi des corrections avec date et résultat du retest.
Les failles qui bloquent le plus souvent un lancement en 2026 sont les IDOR (accès au virement d'une autre entreprise en changeant un identifiant), l'absence de double validation sur l'ajout de bénéficiaire, et des jetons d'API à durée de vie trop longue.
Mini cas pratique
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Yassine, CTO d'une fintech de paiement B2B à Tunis, prévoit son lancement dans 10 semaines. Il retient un pentest ASVS niveau 2 de 8 jours à 16 500 TND HT, retest inclus. L'audit trouve 2 failles critiques (IDOR sur l'historique des virements, contournement de la validation à deux personnes), 5 élevées et 11 moyennes.
Son équipe de 3 développeurs consacre 12 jours à corriger les critiques et élevées, soit environ 36 jours-homme à 350 TND, donc 12 600 TND de temps interne. Coût total : 29 100 TND. À comparer avec une seule fraude par IDOR sur un virement moyen de 85 000 TND, ou avec un report de 3 mois du lancement qui coûterait environ 90 000 TND de charges sans revenus. Le pentest se paie dès le premier incident évité.
FAQ
Boîte noire, grise ou blanche ?
La boîte noire seule rate souvent les failles de contrôle d'accès entre rôles. La boîte grise, avec comptes de test et documentation API, couvre 80 à 90 % des scénarios réalistes pour 5 à 10 jours de travail.
Le retest est-il vraiment inclus ?
Il devrait l'être pour 1 à 2 jours dans un délai de 30 à 60 jours après le rapport. Refusez un devis qui le facture au tarif plein.
Peut-on tester en production ?
C'est déconseillé pour une fintech. On utilise un environnement de préproduction identique, avec des données fictives et des montants plafonnés, et on limite la production à quelques tests non destructifs.
Faut-il refaire un pentest chaque année ?
Oui, au minimum une fois par an et après chaque évolution majeure (nouveau module de paiement, nouvelle API publique). Beaucoup de fintechs budgètent 2 tests par an.
Combien de temps pour obtenir le rapport ?
Comptez 3 à 5 jours ouvrés après la fin de l'audit pour le rapport complet, et une alerte immédiate pour toute faille critique découverte.
Parlons de votre projet. Nous préparons votre application et votre API au pentest, corrigeons les failles relevées et accompagnons le retest dans votre calendrier d'agrément. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
