Le verdict en trois phrases
Un test d'intrusion en boîte grise d'une application web métier coûte 4 000 à 12 000 € HT à Paris en 2026, soit 5 à 10 jours facturés entre 900 et 1 300 € par jour. Il faut ajouter 2 000 à 15 000 € HT de correctifs selon les failles trouvées et 1 000 à 2 500 € HT de retest, indispensable pour obtenir une attestation exploitable par un assureur ou un grand compte. Exigez une méthodologie alignée sur l'OWASP Top 10 et, si vos clients sont des opérateurs régulés, un prestataire qualifié PASSI.
Boîte noire, grise ou blanche : quel test et à quel prix
Le mode de test change le périmètre couvert. Pour une application ouverte à des clients authentifiés, la boîte grise est le meilleur rapport couverture et coût : l'auditeur dispose de comptes de test à plusieurs niveaux de droits.
| Type de test | Informations fournies | Durée typique | Prix 2026 HT |
|---|---|---|---|
| Boîte noire | URL seule | 3 à 5 jours | 3 000 à 6 500 € |
| Boîte grise | Comptes utilisateur et admin | 5 à 10 jours | 4 000 à 12 000 € |
| Boîte blanche | Comptes + code source | 8 à 15 jours | 9 000 à 19 500 € |
| Test d'API seule (REST, GraphQL) | Documentation + jetons | 3 à 6 jours | 3 000 à 7 800 € |
| Application mobile associée | APK, IPA + comptes | 4 à 8 jours | 4 000 à 10 400 € |
| Retest des failles corrigées | Rapport initial | 1 à 2 jours | 1 000 à 2 500 € |
Un prestataire qualifié PASSI par l'ANSSI facture en général dans le haut de fourchette, autour de 1 100 à 1 300 € par jour. Pour une PME sans obligation réglementaire, un cabinet non qualifié mais certifié (OSCP, OSWE) offre souvent une qualité comparable à 900 € par jour.
La grille OWASP Top 10 et le coût des correctifs
Le rapport classe chaque faille par criticité. Les correctifs sont la ligne budgétaire la plus variable, d'où l'intérêt de l'anticiper.
| Catégorie OWASP Top 10 | Exemple fréquent en PME | Coût de correction indicatif HT |
|---|---|---|
| A01 Contrôle d'accès défaillant | Un client voit les factures d'un autre en changeant l'ID | 1 500 à 5 000 € |
| A02 Défaillances cryptographiques | Mots de passe hachés en MD5 | 800 à 2 500 € |
| A03 Injection | Champ de recherche vulnérable au SQL | 1 000 à 4 000 € |
| A05 Mauvaise configuration | En-têtes de sécurité absents, mode debug actif | 400 à 1 500 € |
| A06 Composants vulnérables | Framework non mis à jour depuis 3 ans | 1 500 à 8 000 € |
| A07 Authentification défaillante | Pas de limitation des tentatives, pas de MFA | 1 000 à 3 500 € |
| A10 Requêtes côté serveur forgées (SSRF) | Import d'URL sans filtrage | 800 à 3 000 € |
Sur une application développée sans revue de sécurité, comptez en moyenne 6 à 12 vulnérabilités dont 1 à 3 critiques. D'où la fourchette de 2 000 à 15 000 € HT.
Clauses de sécurité à exiger dans vos contrats de développement
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
Le pentest coûte moins cher quand la sécurité est contractualisée en amont. Trois clauses utiles : correction gratuite des failles critiques et élevées imputables au prestataire pendant 12 mois, respect explicite de l'OWASP ASVS niveau 2, et livraison d'un inventaire des dépendances (SBOM) mis à jour. Pour les grands comptes, joignez à votre réponse le rapport de synthèse, l'attestation de retest et le plan de remédiation daté.
Mini cas pratique
Thomas, DSI d'une PME de 60 personnes à Paris qui édite un portail de gestion de flotte pour ses clients transporteurs, doit répondre au questionnaire sécurité d'un assureur cyber et d'un grand compte logistique. Il commande un pentest en boîte grise de 7 jours à 1 050 €, soit 7 350 € HT. Le rapport relève 9 failles, dont 2 critiques (A01 et A06). Les correctifs coûtent 6 800 € HT et le retest 1 500 € HT. Total : 15 650 € HT. En face : la prime d'assurance cyber baisse de 1 800 € par an grâce à l'attestation, et le contrat grand compte représente 140 000 € de chiffre d'affaires annuel, conditionné à ce rapport.
FAQ
À quelle fréquence refaire un test d'intrusion ? Une fois par an au minimum, et après chaque évolution majeure (nouveau module de paiement, ouverture d'API). Un retest annuel ciblé coûte souvent 30 à 50 % du test initial.
Le pentest peut-il casser la production ? Le risque est faible mais réel. On teste de préférence sur une préproduction identique ; à défaut, les tests intrusifs sont planifiés hors heures ouvrées avec une sauvegarde de moins de 24 heures.
Un scanner automatique suffit-il ? Non. Un scanner à 100 à 300 € par mois détecte les failles connues et les mauvaises configurations, mais pas les failles de logique métier comme l'accès aux données d'un autre client, qui représentent souvent 40 % des failles critiques.
Faut-il un prestataire PASSI ? C'est obligatoire pour les opérateurs d'importance vitale et souvent exigé par les grands comptes publics. Pour une PME sans ces clients, c'est un plus, pas une obligation, avec un surcoût de 15 à 25 %.
Que contient le rapport ? Une synthèse pour la direction, chaque faille avec sa preuve, son score CVSS et une recommandation de correction. Comptez 30 à 60 pages pour une application métier.
Parlons de votre projet. Décrivez votre application, ses rôles utilisateurs et vos exigences clients : nous chiffrons le pentest, les correctifs et le retest dans une enveloppe de 7 000 à 25 000 € HT, avec un calendrier sur 4 à 8 semaines. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
