Quel budget prévoir pour un test d'intrusion d'application ?
Aucun baromètre public n'isole le prix des tests d'intrusion d'applications. Les repères disponibles en 2026 viennent de La Fabrique du Net, plateforme qui met en relation entreprises et agences, et d'un dispositif public dont le prix est affiché : le Diag Cybersécurité de Bpifrance.
| Repère | Ce qui est publié | Limite à garder en tête |
|---|---|---|
| Budgets de cybersécurité analysés par La Fabrique du Net (article de février 2026) | 33 % des projets entre 10 000 et 25 000 €, tranche que la source associe aux audits et tests d'intrusion ; budget médian de l'ordre de 40 000 € toutes prestations confondues | 15 budgets seulement, un échantillon que la source qualifie elle-même de limité |
| Projets de cybersécurité publiés sur la même plateforme (relevé de juillet 2026) | Médiane de 10 000 € | Toutes prestations de cybersécurité, pas seulement des tests d'intrusion |
| Projets situés en Île-de-France, dans le même échantillon de 15 budgets | Médiane de 62 500 € | Portée par des dispositifs complets, selon la source |
| Diag Cybersécurité de Bpifrance, d'après la fiche de les-aides.fr (réseau des CCI) | 8 800 € HT, subventionné à hauteur de 50 %, soit 4 400 € pris en charge par Bpifrance | Un accompagnement de 8 jours en 4 étapes, avec des tests techniques ; la fiche ne le présente pas comme un test d'intrusion d'application |
Les deux médianes de La Fabrique du Net ne se comparent pas : la première porte sur 15 budgets analysés dans un article de février 2026, la seconde sur les projets publiés sur la plateforme et relevés en juillet 2026, sans effectif indiqué. Retenez qu'un test d'intrusion se chiffre en jours d'experts, puis faites chiffrer votre périmètre réel ; le baromètre 2026 des prix réunit les repères sur le développement lui-même.
Boîte noire, grise ou blanche : que paie-t-on exactement ?
Un test d'intrusion simule une attaque menée par un humain, et le mode de test fixe ce que l'auditeur sait au départ. La Fabrique du Net rappelle qu'un tel test « nécessite plusieurs jours de travail » d'ingénieurs qualifiés : le mode choisi décide de la façon dont ces jours sont dépensés.
| Mode | Ce que l'auditeur reçoit | Ce qu'il vérifie bien | Effet sur le devis |
|---|---|---|---|
| Boîte noire | L'adresse de l'application, rien d'autre | Ce qu'un attaquant extérieur voit : pages publiques, formulaire de connexion, services exposés | Une part des jours part en reconnaissance ; les écrans situés derrière la connexion restent peu explorés |
| Boîte grise | Un compte par profil (client, technicien, administrateur) et la description des rôles | Les droits : un client qui lit le dossier d'un autre, un technicien qui obtient des pouvoirs d'administrateur | Souvent le compromis le plus rentable pour une application métier |
| Boîte blanche | Les comptes, la documentation et l'accès au code source | Ce qui ne se voit qu'en lisant le code : contrôle d'accès oublié sur une route, secret laissé dans un fichier de configuration | Davantage de jours, une couverture plus large, un recoupement avec l'audit de code |
Dans une application de gestion, le risque principal tient presque toujours aux droits des utilisateurs : la boîte grise envoie l'auditeur directement sur ce point. La boîte noire garde son intérêt pour un site public. Pour la lecture du code elle-même, voir combien coûte un audit de code.
Quels postes font varier le prix d'un pentest ?
Le prix d'un pentest se calcule en jours d'auditeur. Tout ce qui allonge la reconnaissance, multiplie les cas à tester ou impose des contraintes d'intervention ajoute des jours au devis.
| Poste | Version simple | Version coûteuse |
|---|---|---|
| Périmètre | Une application web, deux profils d'utilisateurs | Application web, API publique, applications iOS et Android, back-office d'administration |
| Rôles et cloisonnement | Une seule entreprise utilisatrice, des droits simples | Plateforme multi-clients où chaque entreprise ne doit voir que ses données, avec des rôles par site et par métier |
| Fonctions sensibles | Consultation et saisie | Paiement, export de données, import de fichiers, signature, connecteurs vers l'ERP |
| Type d'audit | Test d'intrusion seul | Test d'intrusion, audit de configuration des serveurs et audit de code source dans la même campagne |
| Prestataire | Auditeur choisi librement | Prestataire qualifié PASSI imposé par un client ou un acheteur public |
| Conditions d'intervention | Préproduction identique à la production, en heures ouvrées | Production uniquement, de nuit ou le week-end, avec un interlocuteur d'astreinte |
| Livrables | Rapport technique | Rapport, synthèse pour la direction, restitutions orales et retest des corrections |
Méfiez-vous des écarts trop beaux : La Fabrique du Net met en garde contre des offres « low cost » qui ne sont que des exports PDF d'outils automatiques. Un scanner ne teste pas la logique métier, comme la remise appliquée deux fois ou l'export qui contient les données d'un autre client.
Quand un test d'intrusion est-il exigé ?
L'exigence d'un test d'intrusion vient le plus souvent d'un tiers : un client, un acheteur public, ou un cadre de sécurité que votre client répercute sur ses fournisseurs.
- Les questionnaires de sécurité des grands comptes, qui demandent souvent un rapport de test récent et la preuve que les failles graves sont corrigées.
- La directive NIS 2 : en octobre 2026, la page que l'ANSSI consacre à la directive évoque encore sa transposition à l'échelle nationale et le projet de loi Résilience, et présente le Référentiel Cyber France (ReCyF) comme non obligatoire par défaut. Les futures entités régulées pourraient toutefois demander des garanties à leurs fournisseurs de logiciels, point développé dans le guide NIS 2 pour les PME.
- Les marchés publics et les clients régulés qui inscrivent un prestataire qualifié PASSI dans leur cahier des charges.
- Une version majeure : La Fabrique du Net recommande un test ciblé à chaque mise en production d'une version majeure.
- Après un incident ; voir sécuriser une application après une cyberattaque.
La qualification PASSI est délivrée par l'ANSSI aux prestataires d'audit de la sécurité des systèmes d'information. Elle peut porter sur cinq activités : audit d'architecture, audit de configuration, audit de code source, tests d'intrusion, audit organisationnel et physique. Depuis la version 2.2 du référentiel, annoncée par l'ANSSI le 29 novembre 2024, elle distingue deux niveaux, élevé et substantiel, et apporte selon l'agence des garanties sur l'impartialité et la compétence du prestataire. Exiger cette qualification sans obligation réelle restreint le choix ; l'oublier quand un client l'impose oblige à refaire le test.
Que doit contenir le rapport, et faut-il payer un retest ?
Le rapport est le seul livrable durable d'un test d'intrusion : la direction doit pouvoir le lire, les développeurs l'exploiter, un client le consulter.
- Une synthèse courte : risque global, failles critiques, décisions à prendre. La Fabrique du Net le dit sans détour : « un rapport de 300 pages incompréhensible est inutile ».
- Le périmètre réellement testé : dates, environnements, comptes utilisés, et ce qui n'a pas été testé.
- Une fiche par faille : gravité, démonstration, données exposées, correction recommandée.
- Un plan de correction classé par priorité, que l'équipe technique peut transformer en tâches.
Le retest, que La Fabrique du Net appelle contre-audit et recommande d'inscrire au contrat, fait revenir l'auditeur pour vérifier que les failles sont fermées. Son coût dépend du nombre de failles à revérifier, pas du périmètre complet. Il produit la preuve qu'attendent les clients. La correction elle-même reste un troisième coût, porté par l'équipe qui maintient l'application.
Quels coûts prévoir après le test ?
Un test d'intrusion photographie l'application à une date donnée ; dès la version suivante, la photographie vieillit.
- Les corrections, très variables : un en-tête manquant se règle vite, un contrôle d'accès mal conçu peut toucher l'architecture.
- Les tests suivants : à chaque version majeure, à chaque nouveau module sensible (paiement, export, accès ouvert à des partenaires), ou à la demande d'un client.
- Les contrôles automatiques entre deux tests : détection des dépendances vulnérables, tests des droits rejoués à chaque mise à jour, pour ne pas réintroduire une faille corrigée.
- La maintenance de sécurité : bibliothèques, journaux, secrets ; voir combien coûte la maintenance d'un logiciel.
Comment réduire le prix d'un test d'intrusion sans le rendre inutile ?
- Corriger d'abord ce qu'un outil gratuit trouve : dépendances obsolètes, en-têtes de sécurité, certificat.
- Choisir la boîte grise et fournir comptes, description des rôles et liste des routes de l'API : les jours vont aux failles, pas à la reconnaissance.
- Cibler les parcours à risque : connexion, droits, paiement, exports.
- Tester une préproduction fidèle, avec des données fictives réalistes, plutôt que la production de nuit.
- Regrouper application web, API et applications mobiles dans une seule campagne plutôt que trois.
- Faire chiffrer le retest dans le même devis, à prix fixé d'avance.
- Vérifier les aides : d'après la fiche de les-aides.fr, le Diag Cybersécurité de Bpifrance, destiné aux PME indépendantes, est subventionné pour moitié ; le guide financer un projet logiciel présente d'autres dispositifs.
Comment YMHB Web chiffre la préparation et le suivi d'un test d'intrusion
YMHB Web dispose de compétences internes en cybersécurité, dont la veille sur les menaces (Cyber Threat Intelligence) et la formation. L'agence ne revendique aucune qualification PASSI : quand un client ou un acheteur l'exige, le test doit être confié à un prestataire figurant sur la liste des prestataires qualifiés publiée par l'ANSSI ; YMHB Web peut alors préparer l'application et les comptes de test, puis corriger les failles relevées.
Pour les applications qu'elle construit ou reprend, YMHB Web chiffre après le cadrage, jamais avant : inventaire des rôles, des données sensibles et des flux exposés, puis forfait global ferme, avec un périmètre écrit qui précise ce qui est inclus (corrections, préparation du retest, contrôles automatiques) et ce qui ne l'est pas. Sur la plateforme Klass., projet dont le fondateur de YMHB Web est cofondateur, un programme de vérification rejoue 269 contrôles à chaque mise à jour, dont les accès et le cloisonnement entre établissements. Les bases techniques sont décrites dans le guide sécuriser une application métier.
Questions fréquentes
Combien de jours dure un test d'intrusion d'application ?
La durée d'un test d'intrusion d'application dépend du périmètre : nombre de profils, d'écrans, de routes d'API et d'applications mobiles. La Fabrique du Net indique qu'un test d'intrusion nécessite plusieurs jours de travail d'ingénieurs qualifiés. Demandez à chaque prestataire le nombre de jours prévu par composant testé : c'est la seule base qui permet de comparer deux devis de test d'intrusion entre eux.
Un scan de vulnérabilités peut-il remplacer un test d'intrusion ?
Non, un scan de vulnérabilités ne remplace pas un test d'intrusion. Le scan automatique repère des failles connues, comme une bibliothèque obsolète ou un en-tête manquant. Le test d'intrusion, mené par un humain, vérifie la logique de l'application : un client qui accède au dossier d'un autre, une remise appliquée deux fois. La Fabrique du Net met en garde contre des offres qui ne sont que des exports d'outils automatiques.
Faut-il un prestataire qualifié PASSI pour tester son application ?
Un prestataire qualifié PASSI n'est nécessaire que si un client, un acheteur public ou un cadre réglementaire l'exige. La qualification PASSI, délivrée par l'ANSSI, couvre cinq activités dont les tests d'intrusion et apporte des garanties d'impartialité et de compétence. Vérifiez l'exigence avant de consulter : un rapport produit par un prestataire non qualifié risque d'être refusé si le contrat imposait la qualification.
À quelle fréquence refaire un test d'intrusion ?
La fréquence d'un test d'intrusion se décide selon les changements de l'application et les exigences des clients. La Fabrique du Net recommande un test ciblé à chaque mise en production d'une version majeure. Un nouveau test se justifie aussi après l'ajout d'une fonction sensible, comme le paiement ou l'ouverture à des partenaires. Entre deux tests, des contrôles automatiques rejoués à chaque mise à jour limitent les régressions.
La correction des failles est-elle comprise dans le prix du test ?
La correction des failles n'est pas comprise dans le prix d'un test d'intrusion : l'auditeur décrit les failles, l'équipe qui maintient l'application les corrige. Si l'application est sous garantie ou sous contrat de maintenance, vérifiez ce que le contrat prévoit pour les failles de sécurité et dans quel délai. Le retest, qui vérifie les corrections, se négocie avec l'auditeur, de préférence dans le devis initial.
À lire aussi
Sources
- La Fabrique du Net, « Quel tarif pour un prestataire en cybersécurité » (15 budgets analysés, article du 6 février 2026), consulté en octobre 2026
- La Fabrique du Net, « Choisir son partenaire cybersécurité : certifications, budgets, pièges » (4 février 2026, médiane relevée en juillet 2026)
- ANSSI (cyber.gouv.fr), Référentiels d'exigences pour la qualification : PASSI, référentiel v2.2 et activités qualifiables
- ANSSI (cyber.gouv.fr), « L'ANSSI met à jour les référentiels PASSI (version 2.2) et PRIS (version 3.0) » (29 novembre 2024 : niveaux élevé et substantiel, garanties d'impartialité et de compétence, lien vers la liste des prestataires qualifiés)
- ANSSI (cyber.gouv.fr), Directive NIS 2 : transposition nationale et Référentiel Cyber France, consulté en octobre 2026
- les-aides.fr (base d'aides du réseau des CCI), fiche « Diag Cybersécurité » de Bpifrance (8 800 € HT, subvention de 50 %, 8 jours en 4 étapes, PME indépendantes, mise à jour le 28 août 2026)