Combien coûte un pentest ? À partir de 2 700 €.
Un test d'intrusion peut demander quatre jours ou trois semaines selon ce qu'il y a à tester : le tarif exact se fixe au cadrage. Voici nos tarifs, ce qui fait varier le montant, ce qui est toujours compris, et comment lire un devis reçu ailleurs.
En bref
- Le tarifFixé au cadrage, une fois le périmètre écrit et accepté.
- Toujours inclusRapport, restitution, retest et NDA.
- Jamais facturéLe temps de cadrage et la rédaction du devis.
- DevisSous 24 heures ouvrées après l'échange ou l'envoi de votre cahier des charges.
Le prix d'un audit, c'est du temps de recherche.
Deux devis au même prix peuvent cacher deux fois moins de recherche. Regardez toujours le nombre de jours.
Cela a une conséquence directe : à périmètre égal, un devis nettement moins cher qu'un autre achète moins de temps de recherche. Ce n'est pas forcément un mauvais choix, mais il faut savoir ce qu'on retire. Le premier jour d'un audit trouve surtout les problèmes de configuration. Les jours suivants servent à comprendre l'application et à aller plus loin : contrôles d'accès, logique métier, enchaînements de failles.
L'autre conséquence, c'est qu'un prix affiché publiquement suppose un périmètre standard, et en sécurité offensive ce périmètre n'existe pas. Une boutique en ligne de trente pages et un logiciel de gestion à sept rôles sont tous les deux des applications web, et n'ont rien de comparable en charge de travail.
Cela dit, ne donner aucun chiffre n'aide personne à monter un budget. Voici donc nos tarifs, pour une mission menée avec nos outils maison et une expertise manuelle. Ce sont des minimums : le tarif exact se fixe au cadrage, et c'est lui qui vous engage.
Moins de jours, c'est moins de recherche. Le premier jour trouve surtout la configuration, les suivants vont plus loin : logique métier, accès, enchaînements.
Nos tarifs.
Trois tailles de mission, trois tarifs. Ce qui est compris est le même partout, et rien ne s'ajoute en option.
| Site vitrine ou boutique À partir de 2700€ TTC Quatre à six jours Demander un devis | API ciblée À partir de 3200€ TTC Quatre à huit jours Demander un devis | Application métier ou SaaS À partir de 7500€ TTC Dix à quinze jours ou plus Demander un devis | |
|---|---|---|---|
| Ce qui est testé | Le site public, ses formulaires, son espace client et son tunnel de commande. | Les endpoints sensibles, chacun rejoué avec chaque rôle. | Plusieurs rôles, des droits qui se croisent, des parcours complets à franchir. |
| Comptes et rôles | L'espace client, s'il existe | Chaque route avec chaque rôle | La matrice de droits complète |
| Cadrage et devis | Offerts | Offerts | Offerts |
| NDA avant tout échange technique | Inclus | Inclus | Inclus |
| Alerte le jour même sur une faille critique | Inclus | Inclus | Inclus |
| Rapport complet, preuves rejouables | Inclus | Inclus | Inclus |
| Restitution d'une heure | Incluse | Incluse | Incluse |
| Retest sous 60 jours | Inclus | Inclus | Inclus |
Des prix « à partir de », jamais des forfaits : le montant exact se fixe au cadrage, sur un périmètre écrit, puis ne bouge plus. Un périmètre plus large ou plus profond se chiffre au même moment.
Ce qui fait bouger le montant.
Six éléments suffisent en général à cadrer une mission. Ce sont exactement les questions que nous posons lors du premier échange.
La taille du périmètre
Le nombre d'écrans, de parcours et d'endpoints réellement testés. Pas le nombre de pages du site : cent pages de contenu identiques comptent pour une, tandis qu'un seul tunnel de commande peut occuper une journée entière.
Authentifié ou non
Tester sans compte revient à regarder la façade. Dès qu'il y a des comptes, la surface se multiplie par le nombre de rôles, parce que chaque fonctionnalité doit être rejouée avec chacun d'eux.
La complexité métier
Un site de contenu applique peu de règles. Une plateforme qui gère des droits, des soldes, des validations ou des flux financiers en applique des centaines, et chacune est un endroit où la logique peut céder.
La profondeur attendue
Confirmer qu'il n'y a rien d'évident, ou chercher jusqu'aux enchaînements de failles mineures qui, mises bout à bout, donnent un accès complet. Les deux sont légitimes, ils ne coûtent pas pareil.
Le contexte technique
Une spécification d'API, un accès en lecture au code ou un environnement de préproduction dédié font gagner un temps considérable, donc baissent le prix. Leur absence se paie en temps de reconnaissance.
Le rythme
Une mission planifiée quelques semaines à l'avance coûte moins cher qu'une intervention à caler dans la semaine parce qu'un client vous réclame une attestation pour vendredi.
Comment se construit votre prix.
Six étapes, de l'échange de cadrage au retest. Le prix est fixé à la troisième, et ne bouge plus ensuite.
Lire la méthodologie complète- 01
Un échange de trente minutes
On regarde ensemble ce que fait l'application, ce qu'elle manipule comme données, et ce qui vous inquiète réellement. Cet échange n'est pas facturé et n'engage à rien. Il arrive qu'il se termine par « vous n'avez pas besoin d'un audit tout de suite ».
- 02
Un périmètre écrit
Nous vous renvoyons noir sur blanc ce qui entre dans la mission et surtout ce qui n'y entre pas. C'est le document qui protège les deux parties : sans lui, personne ne peut dire à la fin si le travail a été fait.
- 03
Une proposition chiffrée
Un montant, un nombre de jours, une fenêtre d'intervention et la liste des livrables. Le prix ne bouge plus, sauf si le périmètre change à votre demande.
- 04
Un NDA et une convention
L'accord de confidentialité est signé dès que l'on entre dans le détail technique. Une fois le devis signé, la convention d'autorisation de test d'intrusion, elle, est indispensable : sans elle, l'intervention n'a pas de cadre légal, quel que soit le prestataire.
- 05
La mission, puis le rapport
Vous recevez un point si quelque chose de critique sort en cours de route, sans attendre la fin. Le rapport arrive dans les jours qui suivent, suivi d'une restitution d'une heure.
- 06
Le retest, compris
Après vos corrections, nous rejouons les tests concernés et vous confirmons par écrit ce qui est fermé. Aucune ligne supplémentaire sur la facture.
Ce qui ne se facture jamais en plus.
Ces points figurent dans toutes nos propositions. Ils sont listés ici parce qu'ailleurs ils sont parfois en option.
- 0,00 €
Cadrage et devis
L'échange de cadrage et la rédaction du devis, quelle que soit l'issue.
- 0,00 €
Accord de confidentialité
Signé avant que vous ne partagiez le moindre détail technique.
- 0,00 €
Rapport complet
Synthèse pour la direction, détail de chaque vulnérabilité, marche à suivre pour reproduire et correctif attendu. Voir un exemple.
- 0,00 €
Alerte immédiate
Si une vulnérabilité critique sort pendant la mission, vous le savez tout de suite, sans attendre la remise du rapport.
- 0,00 €
Restitution d'une heure
Avec vos équipes techniques, pour reprendre les points qui posent question.
- 0,00 €
Retest des correctifs
Dans les 60 jours qui suivent le déploiement de vos correctifs, avec confirmation écrite de ce qui est réellement fermé.
Supplément facturé0,00 €
Rien en optionLire un devis reçu ailleurs.
Si vous avez plusieurs propositions sur la table, quatre questions suffisent à savoir si elles parlent de la même chose.
Combien de jours, et qui les fait
Un devis sans nombre de jours n'est pas comparable. Demandez aussi qui réalise : la personne qui vous a reçu, ou un profil junior affecté après signature.
Manuel ou outillé
Demandez la part de recherche manuelle. Un audit qui repose sur une passe d'outil et sa mise en forme est un scan : il a sa valeur, mais ce n'est pas le même métier ni le même prix.
Le retest est-il dedans
Sans retest, vous payez un diagnostic sans contrôle. C'est la ligne la plus souvent sortie du forfait pour faire baisser le montant affiché.
Que contient le rapport
Demandez à voir la structure, ou le détail anonymisé d'une vulnérabilité. Un rapport qui n'est qu'un export d'outil se reconnaît immédiatement à sa longueur et à son absence de contexte métier.
Pourquoi des prix « à partir de » plutôt qu'un forfait ?
Parce qu'un forfait serait faux dans les deux sens. Trop haut, il écarterait des missions courtes qui se règlent en quelques jours. Trop bas, il nous forcerait à rogner sur le temps de recherche, c'est-à-dire sur la seule chose que vous achetez réellement. Un prix « à partir de » donne l'ordre de grandeur sans prétendre connaître votre périmètre avant de l'avoir regardé.
À partir de quelle taille d'entreprise est-ce que ça a du sens ?
La taille de l'entreprise n'a pas grand-chose à voir. Ce qui compte, c'est ce que votre application manipule et ce que coûterait sa compromission. Une équipe de cinq personnes qui héberge les données de santé de ses clients a bien plus besoin d'un audit qu'un groupe de deux cents personnes dont le site est une plaquette.
Le devis peut-il bouger en cours de mission ?
Le tarif ne bouge plus une fois le périmètre écrit et accepté. Il ne bouge que si le périmètre bouge, par exemple si vous ajoutez une application en cours de route. Si nous découvrons que le périmètre est plus gros qu'annoncé, nous vous le disons avant de continuer, avec le choix entre étendre ou couper.
Le retest est-il vraiment inclus ?
Oui, et c'est un point à vérifier chez tout le monde. Un audit sans retest vous laisse avec une liste de corrections dont personne n'a confirmé l'efficacité. Le retest porte sur les vulnérabilités du rapport, dans les 60 jours qui suivent le déploiement de vos correctifs. Il ne couvre pas les fonctionnalités développées depuis.
Combien de temps ça mobilise mon équipe ?
Une demi-journée au cadrage sur un périmètre simple, le temps de définir ce qui est testé et de créer les comptes. Comptez davantage si l'application a plusieurs rôles et qu'il faut constituer un jeu de données distinct pour chacun. Rien pendant la fenêtre de test, sinon une personne joignable si quelque chose bloque. Une heure pour la restitution. Le reste, c'est notre temps, pas le vôtre.
Et si vous ne trouvez rien ?
Le prix ne change pas, parce que ce que vous achetez c'est du temps de recherche, pas un nombre de failles. Et le rapport garde sa valeur : il liste ce qui a été testé, comment, et ce qui a résisté. C'est ce document-là que vous montrez à un client ou à un auditeur. Un rapport qui annonce zéro faille sans détailler ce qui a été tenté ne vaut pas grand-chose. Le nôtre le détaille.
Est-ce moins cher qu'un cabinet ?
Généralement, oui, parce qu'il n'y a ni structure commerciale ni chef de projet à financer, et parce que la personne qui vous vend la mission est celle qui la réalise. Ce que nous ne savons pas faire, nous ne le vendons pas : un périmètre hors de notre champ est refusé, pas sous-traité.
Pour aller plus loin.
Le prix découle de la méthode et du livrable : les deux sont détaillés ailleurs.
Notre méthodologie
Les référentiels, les phases et les règles d'engagement de chaque mission.
Voir la pageExemple de rapport
Ce que vous recevez pour ce prix : les huit sections du rapport et une faille détaillée de bout en bout.
Voir la pagePentest ou scan de vulnérabilités
Pourquoi un scan coûte beaucoup moins cher, et ce qui lui échappe.
Voir la pageToutes les prestations
Les six prestations, et laquelle correspond à votre projet.
Voir la pageDemandez un devis.
Décrivez le périmètre en quelques lignes : ce que fait l'application, s'il y a des comptes et combien de rôles. Nous reviendrons vers vous avec un cadrage, un nombre de jours et un tarif. Premier échange sans engagement.