Ce que change le niveau d'information donné à l'auditeur
Les trois mots décrivent une seule chose : ce que l'auditeur sait de votre système avant de commencer.
- Boîte noire : aucune information. L'auditeur se place dans la peau d'un attaquant extérieur qui ne connaît que votre nom de domaine.
- Boîte grise : un compte utilisateur, parfois un schéma d'architecture. L'auditeur teste ce qu'un client, un salarié ou un prestataire malveillant pourrait faire.
- Boîte blanche : accès complet. Code source, configuration des serveurs, comptes administrateur, documentation.
Plus l'auditeur en sait, moins il perd de temps à deviner. Il consacre ses jours à chercher les failles, pas à cartographier.
Boîte noire : le point de vue de l'attaquant
C'est le bon choix pour savoir ce qu'un inconnu voit de vous depuis Internet : sites exposés, services oubliés, versions vulnérables, comptes et mots de passe déjà publiés.
Sa limite est le temps. Une grande partie de la mission sert à découvrir votre périmètre. Une faille cachée derrière une connexion peut rester hors de portée.
Ce mode convient à une PME qui n'a jamais été auditée et veut un premier état des lieux de son exposition publique.
Boîte grise : le meilleur rapport pour la plupart des PME
Avec un compte client et un compte salarié, l'auditeur teste les vrais risques métier : un utilisateur qui lit les données d'un autre, une facture accessible en changeant un numéro dans l'adresse, un rôle qui monte en droits.
Ce sont des failles fréquentes dans les applications web, et la boîte noire les rate souvent. Pour un site avec espace client, une application métier ou une boutique, c'est notre recommandation par défaut.
Notre guide du pentest de site web pour dirigeants détaille ce que l'on teste dans ce cas.
Boîte blanche : quand l'accès complet se justifie
On ouvre tout dans trois situations : une application développée sur mesure dont le code est critique, une échéance forte (levée de fonds, audit d'un grand client, assurance cyber), ou un budget qui doit trouver un maximum de failles en un minimum de jours.
L'auditeur relit le code et les configurations. Il trouve des défauts qu'aucun test extérieur n'atteint : secret oublié dans le dépôt, contrôle d'accès absent sur une route, chiffrement mal appliqué.
Contrepartie : il faut préparer les accès, mobiliser un développeur pour répondre aux questions, et signer un cadrage précis sur ce qui est partagé.
Prix et durée : ce que nous affichons
Sur notre page audit de sécurité informatique, relue le 13/11/2026, le Pentest Starter couvre 1 site et son hébergement en 3 à 5 jours, pour 3 499 € HT au catalogue. Le Pentest Premium couvre jusqu'à 3 sites ou applications et l'infrastructure réseau en 7 à 10 jours, pour 7 999 € HT au catalogue, avec une feuille de route sur 6 à 12 mois.
La page précise que l'audit se fait en boîte noire, grise ou blanche selon le cadrage. Active Directory, cloud et Red Team se font sur devis. Les tarifs en vigueur et les offres du moment sont ceux de la page : vérifiez-les avant de décider.
Ce que le rapport doit contenir, quel que soit le niveau
Le niveau de boîte ne change pas ce que vous êtes en droit d'exiger à la fin. Un rapport utile à un dirigeant contient quatre choses.
- Un résumé lisible sans formation technique : ce qui est grave, ce qui ne l'est pas, et pourquoi.
- Chaque faille classée par gravité, avec la preuve : capture, requête, étapes pour la reproduire.
- Un plan de correction priorisé : ce qu'on répare cette semaine, ce mois-ci, ce trimestre.
- Une vérification après correction, pour confirmer que les failles sont bien fermées.
Notre page d'audit indique un contre-audit après correction inclus dans toutes les offres. Demandez la même chose à tout prestataire : un rapport sans vérification ne prouve pas que le risque a disparu.
Comment choisir en trois questions
Posez ces questions à votre équipe avant l'appel avec le prestataire.
- Votre site ou application a-t-il une zone avec connexion ? Si oui, visez au moins la boîte grise.
- Quelqu'un attend-il un rapport à une date précise (client, investisseur, assureur) ? Si oui, la boîte blanche réduit le risque d'un rapport trop pauvre.
- N'avez-vous jamais rien fait ? Commencez par la boîte noire sur l'exposition publique, puis passez au niveau supérieur après correction.
Un bon prestataire vous aide à trancher sur le cadrage, il ne vous vend pas le niveau le plus cher.
Boîte noire pour voir ce que l'extérieur voit, grise pour tester les droits des utilisateurs, blanche pour aller chercher en profondeur. La plupart des PME gagnent à commencer par la grise sur leur application principale.
Décrivez votre périmètre en quelques lignes : nous vous disons quel niveau choisir, avec un devis écrit, sans engagement.
Questions fréquentes
Quelle est la différence entre un audit boîte blanche et un pentest ?
Le pentest est un test d'intrusion qui simule une attaque. Il peut se faire en boîte noire, grise ou blanche. La boîte blanche décrit le niveau d'information donné, pas le type de mission.
Un audit en boîte blanche coûte-t-il plus cher ?
Il demande de la préparation, mais l'auditeur perd moins de temps à chercher. Le prix dépend du périmètre et des jours de travail, pas seulement de la couleur de la boîte. Il se fixe sur devis.
Faut-il donner son code source à un auditeur ?
Seulement en boîte blanche, et dans un cadre signé : périmètre, confidentialité, durée de conservation. Sans cadrage écrit, ne partagez rien.
Quel niveau choisir avant une levée de fonds ?
Les investisseurs demandent souvent un rapport récent sur l'application principale. La boîte grise ou blanche donne un rapport plus riche qu'une boîte noire seule.
Demander un audit de sécurité
Lire la suite