Pourquoi le prix d'un audit de code est-il si peu publié ?
Un audit de code se vend en général sur devis, car son effort dépend d'un logiciel que l'auditeur ne connaît pas encore. Le repère public le plus proche concerne les audits de cybersécurité : sur sa page mise à jour le 9 octobre 2026, La Fabrique du Net indique que 129 réalisations d'agences d'audit en cybersécurité portent un prix.
| Indicateur publié | Valeur |
|---|---|
| Médiane | 5 000 € |
| Premier quartile | 3 000 € |
| Troisième quartile | 10 000 € |
| Nature des missions | Constats et mises en conformité, pas des campagnes d'intrusion approfondies |
La même source précise qu'aucun montant de référence n'est encore calculé pour ce métier : ces chiffres situent un ordre de grandeur pour la sécurité, pas le prix d'un audit qui couvre aussi l'architecture, la dette technique et la transmissibilité du code. Les tests d'intrusion font l'objet d'une page distincte, combien coûte un test d'intrusion.
Que couvre un audit de code, brique par brique ?
| Brique | Ce que l'auditeur examine | Livrable attendu |
|---|---|---|
| Architecture | Découpage en modules, choix techniques, capacité à monter en charge | Schéma de l'existant et points de fragilité |
| Qualité et dette technique | Lisibilité, duplication, tests automatisés, code mort | Liste priorisée des zones à reprendre |
| Sécurité | Authentification, droits, injections, gestion des secrets | Failles classées par gravité, avec preuve |
| Dépendances | Bibliothèques obsolètes, vulnérabilités connues, licences | Inventaire et plan de mise à jour |
| Données | Modèle de données, sauvegardes, données personnelles | Risques de perte et écarts avec le RGPD |
| Infrastructure | Hébergement, accès, environnements, déploiement | Qui détient quoi, et comment remettre en service |
| Transmissibilité | Documentation, procédure d'installation, accès au dépôt | Estimation de l'effort de reprise par une autre équipe |
La dette technique, souvent la brique la plus coûteuse à corriger, est définie dans le glossaire.
Qui commande un audit, et pour quelle question ?
Le périmètre d'un audit dépend de la décision qu'il doit éclairer. Un audit sans question précise coûte cher et sert peu.
| Situation | Question posée | Briques prioritaires |
|---|---|---|
| Rachat d'une entreprise | Le logiciel vaut-il ce que l'on paie, et qui en détient le code ? | Transmissibilité, dépendances, données, accès |
| Départ du prestataire ou du développeur | Peut-on reprendre sans tout réécrire ? | Documentation, architecture, dette technique |
| Désaccord avec un prestataire | Le livrable est-il conforme à ce qui était prévu ? | Écarts avec le périmètre écrit, qualité, tests |
| Levée de fonds | La plateforme tiendra-t-elle la croissance annoncée ? | Architecture, montée en charge, sécurité |
| Avant une refonte | Faut-il refaire ou faire évoluer ? | Dette technique, couverture de tests, données |
Dans un désaccord, demandez à votre avocat si un audit privé suffit ou si une expertise est préférable. Pour un rachat, la page auditer les logiciels avant de racheter une entreprise détaille les points de contrôle.
Ce qui fait varier la durée et le prix d'un audit
| Facteur | Audit léger | Audit lourd |
|---|---|---|
| Taille | Une application web, quelques dizaines d'écrans | Plateforme web, applications mobiles et API, plusieurs bases |
| Accès | Code complet et environnement de test fournis dès le départ | Code partiel, aucun accès à la production, prestataire sortant peu disponible |
| Technologies | Langages et frameworks courants | Technologies anciennes ou rares, peu d'auditeurs disponibles |
| Sécurité | Revue du code et analyse automatique | Tests d'intrusion sur l'application en fonctionnement |
| Documentation existante | Schéma et procédure d'installation à jour | Rien d'écrit, tout est à reconstituer |
| Livrables | Synthèse pour le dirigeant | Rapport détaillé, plan de remédiation chiffré, estimation de reprise |
Ce qu'un outil automatique fait, et ce qu'il ne fait pas
Une partie de l'audit s'automatise, ce qui réduit son coût. Selon la documentation de GitHub, tous les dépôts publics ont accès à l'analyse de code, à l'analyse des secrets et à la révision des dépendances ; pour les dépôts privés, GitHub facture Secret Protection 19 dollars US et Code Security 30 dollars US par contributeur actif et par mois, tarifs publics relevés en octobre 2026. GitHub propose aussi aux organisations sous GitHub Team ou GitHub Enterprise Cloud une évaluation des risques de sécurité du code entièrement gratuite, limitée à 20 dépôts et renouvelable tous les 90 jours.
Ces outils repèrent des failles connues et des bibliothèques vulnérables. Ils ne disent pas si l'architecture convient à votre croissance, si le modèle de données reflète votre métier, si un développeur extérieur peut reprendre le logiciel ni combien coûtera la correction. C'est ce jugement qui fait la valeur d'un audit humain.
Après l'audit : quels coûts récurrents prévoir ?
- Remédiation : corriger les failles critiques, mettre à jour les dépendances, documenter l'installation. Ce budget peut dépasser celui de l'audit lui-même.
- Surveillance continue : alertes sur les nouvelles vulnérabilités des bibliothèques utilisées, outillage éventuel facturé par contributeur.
- Audit de contrôle : vérifier, après corrections, que les points critiques sont réellement fermés.
- Maintenance : sans contrat de maintenance, la dette se reconstitue ; la page reprise d'un logiciel existant décrit la suite possible.
Réduire le coût d'un audit sans le rendre inutile
- Formuler la question : rachat, reprise, litige ou refonte, chacun appelle des briques différentes.
- Préparer les accès : dépôt de code complet, environnement de test, comptes d'hébergement en lecture, avant le premier jour.
- Lancer d'abord les analyses automatiques gratuites ou déjà payées, pour réserver le temps humain au jugement.
- Cibler les modules critiques : paiement, données personnelles, calculs métier, plutôt qu'une lecture exhaustive.
- Vérifier la propriété du code en parallèle avec les contrats, comme l'explique le guide propriété du code source et réversibilité.
Comment YMHB Web chiffre un audit technique
YMHB Web chiffre un audit après un premier échange qui fixe la décision à éclairer et l'état des accès disponibles, puis un examen rapide du dépôt pour en mesurer la taille et les technologies. Le prix prend la forme d'un forfait global ferme sur un périmètre écrit : briques examinées, livrables, et ce qui reste hors du champ, par exemple les tests d'intrusion.
Le rapport s'adresse au dirigeant autant qu'au technicien : constats classés par gravité, plan d'action ordonné, estimation de l'effort de reprise. Le client reste libre de confier les corrections à l'équipe de son choix : un audit sert à décider, pas à engager la suite des travaux.
Questions fréquentes
Combien de temps dure un audit de code ?
La durée d'un audit de code dépend de la taille du logiciel, de la qualité des accès fournis et de la profondeur demandée sur la sécurité. Aucune source publique ne publie de durée moyenne fiable. Exigez un calendrier écrit dans la proposition, avec la date de remise du rapport, et préparez les accès au dépôt et à l'environnement de test avant le démarrage : l'auditeur n'attendra pas des accès manquants pendant le temps facturé.
Peut-on auditer un logiciel sans son code source ?
Sans le code source, un audit se limite à l'application en fonctionnement : tests d'intrusion, analyse des échanges réseau, examen de l'hébergement. Il ne peut pas juger la qualité du code, la dette technique ni la capacité d'un autre prestataire à reprendre le logiciel. Récupérer le code source est donc souvent la première étape, et parfois la plus révélatrice.
Quelle différence entre un audit de code et un test d'intrusion ?
Un audit de code lit le logiciel de l'intérieur : architecture, qualité, dépendances, données et transmissibilité. Un test d'intrusion attaque l'application en fonctionnement, de l'extérieur, comme le ferait un pirate, pour prouver qu'une faille est exploitable. Les deux se complètent : l'audit explique pourquoi une faille existe et ce qu'elle coûtera à corriger, le test d'intrusion démontre son impact réel.
Les outils d'analyse automatique suffisent-ils ?
Les outils d'analyse automatique suffisent pour repérer des failles connues, des secrets oubliés dans le code ou des bibliothèques vulnérables. Selon GitHub, tous les dépôts publics ont accès gratuitement à l'analyse de code, à l'analyse des secrets et à la révision des dépendances. Ces outils ne jugent ni l'architecture, ni l'adéquation au métier, ni l'effort de reprise, qui restent le travail d'un auditeur.
Faut-il prévenir le prestataire actuel d'un audit ?
Prévenir le prestataire actuel facilite l'audit, car il peut fournir les accès, la documentation et répondre aux questions de l'auditeur. Si la relation est tendue, vérifiez d'abord dans le contrat qui détient le code et les accès. Un audit mené dans un climat de confiance coûte moins cher qu'un audit qui doit reconstituer seul l'installation du logiciel.
À lire aussi
- Rachat d'entreprise : auditer ses logiciels avant de signer
- Reprise et maintenance d'un logiciel existant
- Reprendre un logiciel abandonné par son prestataire
- Sécuriser une application métier : les bases
- Comment récupérer le code source de son application ?
- Combien coûte un test d'intrusion d'une application ?
Sources
- La Fabrique du Net, agences d'audit cybersécurité (129 réalisations chiffrées, mis à jour le 9 octobre 2026)
- GitHub Docs, « Facturation de GitHub Advanced Security » (Secret Protection, Code Security, dépôts publics)
- GitHub, Advanced Security : tarifs par contributeur actif et par mois (relevés en octobre 2026)
- GitHub Docs, évaluation des risques de sécurité du code (gratuite, 20 dépôts, tous les 90 jours)