Combien coûte un test d’intrusion (pentest) ? Prix, tarifs et jours-homme

« Combien coûte un test d’intrusion ? » est la première question d’un RSSI ou d’un DSI qui construit son budget, et la réponse qu’il obtient presque toujours est « cela dépend du périmètre ». C’est exact, et cela ne vous avance à rien.

Ce que l’on peut faire, en revanche, c’est expliquer précisément comment le nombre de jours se construit, donner les fourchettes réellement pratiquées en France, et chiffrer trois périmètres concrets jusqu’au total. C’est l’objet de cet article.

La réponse courte

Un test d’intrusion se vend en jours-homme. Le prix est le produit de deux nombres : le nombre de jours que demande votre périmètre, et le taux journalier moyen (TJM) du prestataire. En France, ce taux se situe généralement entre 800 et 1 800 € HT par jour selon le niveau d’expérience des pentesteurs et la structure de coûts du prestataire.

Ces montants sont des fourchettes de marché, pas notre grille tarifaire. Ils vous donnent l’ordre de grandeur avant le premier rendez-vous. Nos propres tarifs et ce qu’ils comprennent figurent plus bas.

Une mission Red Team sort de ce tableau : elle démarre à 5 000 € HT et se déroule sur deux à six semaines, parce qu’elle ne teste pas un système mais votre capacité de détection.

Pourquoi si peu de prestataires affichent un prix

Aucun des prestataires français que nous avons consultés ne publie de grille tarifaire : les pages /tarifs, /prix et /pricing renvoient une erreur 404 partout. À la place, on trouve des articles intitulés « Combien coûte un pentest ? » dont la réponse tient en une phrase : cela dépend.

Il y a une bonne raison à cela et une moins bonne. La bonne : le périmètre détermine réellement le prix, et un montant annoncé trop tôt produit un devis révisé en cours de route, ce qui est pire que pas de montant du tout. La moins bonne : un prix affiché rend comparable, et être comparable est inconfortable.

Nous partons du principe inverse. Vous avez besoin de la fourchette et des facteurs qui la déplacent avant le premier appel, même si la mission finit par faire l’objet d’un devis sur mesure.

Jours-homme × taux journalier : comment le nombre de jours se construit

Trois variables commandent le nombre de jours, et pratiquement rien d’autre.

Le périmètre. Ce n’est pas le nombre de machines, c’est le nombre de choses à tester séparément. Chaque rôle utilisateur supplémentaire ne s’ajoute pas, il se multiplie : les défauts de contrôle d’accès se logent entre les rôles, donc trois rôles font six paires à vérifier et quatre rôles en font douze. Chaque intégration vers un système tiers est une relation de confiance distincte, avec sa propre surface.

La profondeur. Parcourir l’OWASP Top 10 sur une application, éprouver sa logique métier, ou tester avec le code source sous les yeux : trois efforts différents. Plus profond n’est pas automatiquement mieux. Sur une première mission portant sur une application jeune, la profondeur maximale coûte plus et rapporte rarement davantage.

La forme des livrables. Un export d’outil et un rapport exploitable par un auditeur sont séparés par plusieurs jours-homme de rédaction, de hiérarchisation et de vérification des preuves. C’est cette différence qui décide si votre résultat sera accepté comme élément de preuve.

Un dernier point de vocabulaire, parce qu’il coûte cher quand il est mal compris : jour-homme n’est pas délai calendaire. Huit jours-homme ne veulent pas dire que vous avez le rapport dans huit jours. Entre le cadrage, la fenêtre de test, la rédaction et la restitution, une mission moyenne s’étale sur trois à cinq semaines.

Trois périmètres chiffrés

Les décompositions ci-dessous correspondent à des périmètres que nous rencontrons chaque mois. Les totaux utilisent la fourchette de marché indiquée plus haut.

1. Application web et API — éditeur SaaS B2B

Une application métier, une soixantaine de points d’entrée d’API, authentification par jetons, trois rôles (utilisateur, gestionnaire, administrateur). Approche en boîte grise (grey box) : un compte par rôle est fourni avant le démarrage.

• 0,5 jour — cadrage, règles d’engagement, réception des comptes
• 3 à 4 jours — tests manuels selon le guide OWASP WSTG : authentification, gestion de session, contrôle d’accès horizontal et vertical, logique métier
• 1 à 1,5 jour — surface d’API : injections, désérialisation, contrôle des limites de débit, exposition d’objets
• 1 jour — rédaction du rapport et hiérarchisation
• 0,5 jour — restitution en visioconférence

Total : 6 à 8 jours-homme, soit 4 800 à 14 400 € HT. Ce qui ferait passer ce périmètre à dix jours : un quatrième rôle, un tunnel de paiement en ligne, ou un second environnement client à tester en parallèle. Le détail de la prestation est sur la page pentest web.

2. Infrastructure interne — Active Directory

Un site, un domaine, deux contrôleurs de domaine, environ 250 postes, deux serveurs de fichiers. Approche Assumed Breach : nous partons d’un compte utilisateur standard, comme après un phishing réussi.

• 1 jour — cadrage et mise en place de l’accès (VPN ou boîtier déposé sur site)
• 4 à 5 jours — reconnaissance de l’annuaire, relais NTLM, délégations Kerberos, kerberoasting et AS-REP roasting, revue des ACL, partages exposés
• 1 à 2 jours — élévation vers administrateur de domaine, latéralisation, accès aux données réellement sensibles
• 1,5 jour — rapport avec chemins d’attaque reconstitués
• 0,5 jour — restitution

Total : 8 à 10 jours-homme, soit 6 400 à 18 000 € HT. Sans compte fourni, c’est-à-dire en boîte noire (black box) depuis une prise réseau, ajoutez deux jours de reconnaissance — pour un résultat final généralement identique. Voir la page pentest d’infrastructure et réseau.

3. Tenant Microsoft 365 et Azure

Environ 400 identités dans Entra ID, Exchange Online, SharePoint, un abonnement Azure hébergeant quelques applications internes. Un compte auditeur en lecture est fourni.

• 0,5 jour — cadrage et provisionnement du compte de revue
• 2 à 3 jours — configuration Entra ID : consentement applicatif, rôles privilégiés, accès conditionnel, couverture réelle de l’authentification multifacteur, comptes invités
• 1 à 2 jours — côté Azure : identités managées, attributions RBAC, stockage exposé, chemins d’élévation vers l’abonnement
• 1 jour — rapport
• 0,5 jour — restitution

Total : 5 à 7 jours-homme, soit 4 000 à 12 600 € HT. Un second abonnement Azure ou un environnement hybride avec synchronisation d’annuaire ajoute deux à trois jours. Voir la page pentest cloud.

Ce qui ajoute un jour, ce qui en retire un

C’est le levier le plus direct dont vous disposez sur la facture, et il vous appartient presque entièrement.

Ce qui ajoute des jours

• chaque rôle utilisateur supplémentaire, parce que la matrice d’autorisations croît plus vite que le nombre de rôles ;
• une fenêtre de test hors heures ouvrées pour épargner la production ;
• des comptes non provisionnés au démarrage — la première demi-journée part alors en attente ;
• des protections anti-robot ou une authentification multifacteur sans procédure de contournement convenue à l’avance ;
• un environnement hébergé chez un tiers dont l’autorisation écrite reste à obtenir ;
• un rapport à produire dans le format imposé par un client ou un donneur d’ordre ;
• un audit de code source en complément des tests dynamiques.

Ce qui en retire

• une préproduction iso-production, qui supprime toutes les précautions liées aux données réelles ;
• une documentation à jour et une collection OpenAPI ou Postman fournie au démarrage ;
• les adresses IP des pentesteurs autorisées sur le pare-feu applicatif ;
• un interlocuteur technique nommé, joignable pendant la fenêtre de test ;
• une approche en boîte grise plutôt qu’en boîte noire, qui économise les jours de reconnaissance ;
• un périmètre restreint à une liste écrite de domaines et de plages d’adresses, avec ce qui en est explicitement exclu.

Ce qui est compris, ce qui est facturé à part

Deux devis au même montant peuvent recouvrir des prestations très différentes. Voici la ligne de partage habituelle.

Le contre-audit est la ligne à surveiller. Sans lui, vous terminez la mission avec un problème documenté au lieu d’une correction documentée — et c’est la correction que votre auditeur, votre assureur ou votre client grand compte vous demandera de démontrer.

Comment lire un devis

Posez les mêmes neuf questions à chaque prestataire et deux devis incomparables redeviennent comparables.

1. Le périmètre est-il écrit ? Applications, domaines, plages d’adresses IP, rôles, et surtout ce qui est explicitement hors périmètre. Un devis sans cette liste ne se compare à rien.
2. Combien de jours-homme ? C’est l’unité dans laquelle le travail se mesure réellement. Un taux journalier sans nombre de jours n’est pas un prix.
3. Quelle part est manuelle ? Posez la question franchement. Un devis nettement moins cher que les autres est presque toujours un audit de vulnérabilités outillé, qui est une autre prestation — utile, mais pas moins chère pour la même chose. Nous détaillons la différence dans scan de vulnérabilités ou test d’intrusion.
4. Selon quelle méthodologie ? OWASP WSTG, MASTG, ASVS, PTES décrivent une couverture vérifiable. Un devis qui n’en cite aucune décrit une intention.
5. Qui teste, nommément ? Les certifications OSCP, OSEP ou OSWE appartiennent à des personnes, pas à des sociétés. Demandez le nom et le parcours de la personne qui interviendra. Nous développons ce point dans comment choisir un prestataire de test d’intrusion.
6. Le contre-audit est-il compris, et sous quel délai ?
7. Pouvez-vous voir un rapport d’exemple anonymisé ? Avant signature, pas après.
8. Que se passe-t-il en cas de découverte critique ? Un appel le jour même, ou une ligne dans le rapport trois semaines plus tard ?
9. Comment sont traitées les données collectées ? Où sont conservées les preuves, combien de temps, quels sous-traitants nommés, et quel accord de sous-traitance au titre de l’article 28 du RGPD.

Ajoutez-y une vérification de forme : tous les tests doivent être réalisés sur mandat écrit, dans un périmètre défini contractuellement — c’est ce qui les distingue des infractions prévues aux articles 323-1 et suivants du code pénal.

Le cadre réglementaire change-t-il le budget ?

Peu, et rarement dans le sens que l’on croit.

Le RGPD est le texte qui nomme le plus directement l’exercice : son article 32, paragraphe 1, point d) impose, selon le cas, « une procédure visant à tester, à analyser et à évaluer régulièrement l’efficacité des mesures techniques et organisationnelles pour assurer la sécurité du traitement ». La CNIL en contrôle l’application en France. Le texte ne prescrit ni une méthode, ni un prestataire, ni une périodicité chiffrée.

La directive (UE) 2022/2555 (NIS 2) n’est, à ce jour, pas transposée en droit français : le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est toujours en cours d’examen parlementaire. Les obligations, délais et plafonds de sanction que vous lisez ailleurs sont ceux de la directive, pas ceux d’une loi française en vigueur. Nous suivons l’avancement dans NIS 2 en France : où en est la loi Résilience. Sur le prix, l’effet est nul : c’est le périmètre qui fixe le montant, pas le motif.

Pour ISO/IEC 27001, le test d’intrusion alimente principalement les mesures 8.8 (gestion des vulnérabilités techniques) et 8.29 (tests de sécurité dans le développement et l’acceptation). Là encore, ce qui s’ajoute au budget n’est pas le test mais la forme de la preuve : rattachement des constats aux mesures, et attestation de contre-audit.

Deux régimes sortent du cadre de cet article. Les contrôles ordonnés au titre du dispositif applicable aux opérateurs d’importance vitale relèvent de prestataires désignés, et nous ne soumissionnons pas sur ces prestations. Les tests fondés sur la menace prévus par le règlement DORA pour le secteur financier constituent également un régime distinct, avec ses propres exigences sur les testeurs et une supervision sectorielle assurée par l’ACPR et la Banque de France ; nous ne les réalisons pas.

Faut-il un prestataire qualifié pour que le test « compte » ?

La qualification PASSI est une démarche volontaire délivrée par l’ANSSI au titre du décret n° 2015-350 du 27 mars 2015. Elle n’est pas requise pour un test d’intrusion commandé par une entreprise privée. L’ANSSI l’écrit elle-même dans sa FAQ consacrée à la directive NIS 2 :

« Il peut être pertinent de recourir si besoin aux prestataires ou solutions qualifiés par l’ANSSI mais cela n’est pas une obligation. »

Haxoris n’est pas un prestataire qualifié PASSI et ne soumissionne pas sur les prestations qui l’exigent. Nous traitons la question en détail, y compris les cas où la qualification est réellement imposée, dans faut-il un prestataire qualifié PASSI pour votre test d’intrusion.

Ce que nous facturons, nous

Nous ne publions pas de grille tarifaire au forfait, pour la raison exposée plus haut : sans périmètre, ce serait un nombre inutilisable. Ce que nous publions, ce sont nos engagements.

• Point d’entrée : 2 000 € HT pour une application web ou une API de taille réduite, soit trois à cinq jours. Nos tarifs se situent dans le bas de la fourchette du marché français : nous sommes un prestataire européen sans structure commerciale en France à financer.
• 5 à 15 jours-homme pour la grande majorité des missions, jusqu’à une vingtaine pour un périmètre large ou multi-environnements.
• Mission Red Team à partir de 5 000 € HT, sur deux à six semaines.
• Un prix ferme après un échange de cadrage, sans engagement de votre part. Pas de révision en cours de mission tant que le périmètre ne bouge pas.
• Contre-audit compris, sans surcoût, dans les 90 jours suivant la remise du rapport.
• Restitution en visioconférence avec le pentesteur qui a réalisé les tests, pas avec un commercial.

Si vous ne savez pas encore laquelle des prestations correspond à votre besoin, commencez par ce qu’est un test d’intrusion ou par la page test d’intrusion (pentest). Le test le plus cher reste celui que vous avez commandé pour la mauvaise question.

Prix d’un test d’intrusion — questions fréquentes

Nos services associés : tests d’intrusion sur vos applications et vos infrastructures · pentest d’applications web et d’API · tests d’intrusion externes et internes sur votre infrastructure · audit de vulnérabilités de vos systèmes et de vos applications · Red Team – une simulation d’attaque réaliste