Le verdict en trois phrases
Pour une fintech de transfert d'argent à Dakar, le test d'intrusion sert d'abord de pièce à fournir : la BCEAO, les banques partenaires et les opérateurs de mobile money exigent un rapport récent, structuré et suivi d'un contre-test. Un test web et mobile sur le référentiel OWASP ASVS niveau 2 coûte de 4 à 12 M FCFA pour 5 à 10 jours d'audit, selon le nombre d'applications, d'API et de rôles utilisateurs. Kolonell accompagne la sécurisation et la remédiation des applications dans une fourchette de 2,5 à 15 M+ FCFA (3 810 à 22 870+ EUR) selon la complexité, le reste sur devis.
Pourquoi le rapport est devenu incontournable
Le cadre de la BCEAO applicable aux établissements de paiement et de monnaie électronique de l'UMOA impose une gestion du risque opérationnel et de la sécurité des systèmes d'information. Au Sénégal, la loi 2008-12 sur les données personnelles et le contrôle de la CDP s'ajoutent. En pratique, chaque nouveau partenariat bancaire ou d'agrégation déclenche un questionnaire de sécurité où figure la question : « date et résultat du dernier test d'intrusion indépendant ».
| Format d'audit | Périmètre | Durée | Coût indicatif 2026 | Usage typique |
|---|---|---|---|---|
| Scan de vulnérabilités automatisé | Surface exposée | 1 à 2 jours | 0,8 à 2 M FCFA | Hygiène mensuelle, insuffisant pour la BCEAO |
| Test d'intrusion web boîte noire | Site et back-office | 3 à 5 jours | 3 à 5 M FCFA | Premier état des lieux |
| Test web + API boîte grise ASVS niveau 2 | Web, API, 3 rôles | 5 à 7 jours | 5 à 8 M FCFA | Dossier partenaire bancaire |
| Test web + mobile Android/iOS + API | Applications client et agent | 7 à 10 jours | 8 à 12 M FCFA | Agrément, levée de fonds |
| Audit de code source ciblé | Modules paiement et authentification | 4 à 8 jours | 4 à 9 M FCFA | Complément au test d'intrusion |
| Contre-test après remédiation | Vulnérabilités relevées | 1 à 2 jours | 0,8 à 1,8 M FCFA | Clôture du rapport |
Les livrables d'un rapport recevable
Un rapport qui satisfait un comité des risques bancaire contient des éléments précis. À défaut, il est renvoyé et le partenariat prend 2 à 3 mois de retard.
| Livrable | Contenu attendu | Pourquoi il compte |
|---|---|---|
| Synthèse dirigeante | 2 pages, niveau de risque global, top 5 des failles | Lue par la direction générale et le partenaire |
| Périmètre et méthodologie | URL, versions d'applications, comptes de test, référentiel ASVS ou MASVS | Prouve que le test couvre le produit réel |
| Fiches de vulnérabilités | Score CVSS 3.1 ou 4.0, preuve d'exploitation, impact métier | Permet de prioriser |
| Plan de remédiation | Correctif, responsable, échéance : critique sous 7 jours, élevée sous 30 jours | Exigé par les banques |
| Rapport de contre-test | Statut de chaque faille après correction | Clôt le dossier |
| Attestation de l'auditeur | Dates, signataire, indépendance | Pièce annexée au dossier BCEAO |
Sur une application de transfert, les constats les plus fréquents en 2026 restent les contrôles d'accès défaillants sur l'API (consultation du solde d'un autre client en changeant un identifiant), l'absence de limitation des tentatives sur le code PIN, les secrets embarqués dans l'application Android et la validation insuffisante des webhooks des opérateurs de mobile money.
Mini cas pratique
Aïssatou, CTO d'une fintech de transfert à Dakar, prépare un partenariat avec une banque qui apporterait 400 M FCFA de volume mensuel, rémunéré à 0,8 %, soit 3,2 M FCFA de revenus par mois. Le test web, mobile et API lui coûte 9 M FCFA, le contre-test 1,5 M FCFA et 3 semaines de correction par son équipe, soit environ 2,5 M FCFA de temps interne. Total : 13 M FCFA. Chaque mois de retard du partenariat coûte 3,2 M FCFA : l'audit est amorti en un peu plus de 4 mois de volume, et il resservira pour les deux partenaires suivants pendant 12 mois.
FAQ
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
À quelle fréquence refaire un test d'intrusion ?
Une fois par an au minimum, et après chaque évolution majeure comme une nouvelle API ou un nouveau moyen de paiement. Les banques partenaires refusent généralement un rapport de plus de 12 mois.
Boîte noire ou boîte grise : que choisir ?
La boîte grise, avec des comptes de test pour chaque rôle, couvre mieux les contrôles d'accès en 5 à 7 jours. La boîte noire seule laisse souvent de côté 30 à 50 % de la logique métier.
Peut-on tester en production ?
C'est possible avec une fenêtre convenue et des comptes dédiés, mais un environnement de préproduction identique est préférable. Il évite tout impact sur les transactions réelles.
Combien de temps pour corriger les failles relevées ?
La pratique courante fixe 7 jours pour les critiques, 30 jours pour les élevées et 90 jours pour les moyennes. Le contre-test intervient ensuite en 1 à 2 jours.
Le test d'intrusion suffit-il pour la conformité ?
Non, il complète une politique de sécurité, une gestion des accès et une journalisation. Il reste toutefois la pièce la plus demandée dans les questionnaires des partenaires.
Parlons de votre projet. Décrivez vos applications web et mobiles, vos API et l'échéance de votre dossier : nous chiffrons la préparation, la remédiation et le contre-test, dans une fourchette de 2,5 à 15 M+ FCFA selon la complexité. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
