Test d'intrusion web pour PME : prix, périmètre, durée et livrables

La réponse courte

- Durée : 3 à 5 jours pour un site ou une application, 7 à 10 jours pour plusieurs applications avec API et back-office.

- Prix chez White-Hat : Pentest Starter à 3 499 € HT au catalogue (1 749,50 € HT avec l'offre en cours) ; Pentest Premium à 7 999 € HT au catalogue (4 799,40 € HT avec l'offre en cours). Au-delà (Active Directory, cloud, red team) : sur devis.

- Périmètre : application web, API, authentification, droits par rôle et logique métier, selon la méthode OWASP.

- Livrables : rapport de synthèse, rapport détaillé avec preuves et corrections, séance de restitution, support après livraison.

- Contre-test : en option, une fois les failles corrigées, pour vérifier qu'elles ne passent plus.

Combien coûte un pentest web pour une PME ?

Sur le marché français, les prestataires qui publient leurs prix annoncent un premier pentest web ou API entre 3 500 et 6 500 € HT environ, souvent « à partir de » 4 500 à 5 000 € HT (relevé des tarifs affichés publiquement, octobre 2026). Les prestataires qualifiés PASSI par l'ANSSI, exigés pour certains systèmes réglementés, sont en général plus chers.

Le prix suit le nombre de jours de test, et le nombre de jours suit trois choses : le nombre d'applications et d'API, le nombre de rôles utilisateurs à tester (client, gestionnaire, administrateur), et la présence de parcours sensibles comme le paiement, l'export de données ou le back-office.

- Pentest Starter : 3 499 € HT au catalogue (1 749,50 € HT avec l'offre en cours), pour un site vitrine, une petite application ou une TPE, 3 à 5 jours.

- Pentest Premium : 7 999 € HT au catalogue (4 799,40 € HT avec l'offre en cours), pour une PME, un e-commerce ou un SaaS, jusqu'à 3 sites ou applications avec l'infrastructure réseau, 7 à 10 jours.

- Red team, Active Directory, cloud ou système d'information complet : sur devis, après cadrage.

Pour aller plus loin :

- Combien coûte un pentest ? Les facteurs de prix

Ce que couvre le test d'intrusion web

- OWASP Top 10 et OWASP API Security Top 10 : injections, contrôle d'accès, configuration, exposition de données ;

- authentification et sessions : mots de passe, MFA, réinitialisation, jetons ;

- droits par rôle : un client peut-il lire ou modifier les données d'un autre (IDOR), un utilisateur peut-il devenir administrateur ;

- logique métier : panier, prix, codes promo, paiement, exports, imports de fichiers ;

- API REST ou GraphQL, et l'hébergement exposé de l'application.

Le test se fait en boîte grise par défaut : un compte de test par rôle, fourni par l'entreprise. C'est ce qui permet de trouver les failles de droits qu'aucun scanner ne voit.

Pour aller plus loin :

- Qu'est-ce qu'un pentest ? Méthode et déroulement

- Pentest d'application web

Livrables et contre-test

- un rapport de synthèse lisible par la direction : niveau de risque, failles critiques, priorités ;

- un rapport détaillé pour les développeurs : chaque faille avec sa criticité, la preuve d'exploitation, l'impact et la correction à faire ;

- une séance de restitution avec l'équipe technique ;

- un support après livraison (7 jours en Starter, 30 jours en Premium, avec une feuille de route priorisée) ;

- un contre-test en option, une fois les corrections déployées.

Pentester indépendant ou cabinet ?

Un pentester indépendant fait lui-même les tests qu'il vend : pas d'intermédiaire, un seul interlocuteur du cadrage à la restitution, et un prix sans frais de structure. Un cabinet apporte une équipe plus large et, s'il est qualifié PASSI, une qualification exigée par certains marchés publics ou opérateurs réglementés.

Pour une PME qui veut vérifier son application avant une mise en ligne, un audit client ou un renouvellement d'assurance cyber, l'indépendant suffit dans la grande majorité des cas. White-Hat est un expert cybersécurité indépendant depuis 2020.

Pour aller plus loin :

- Comment choisir un consultant cybersécurité ?

Pentest et audit NIS 2

Le test d'intrusion répond à une des dix mesures de l'article 21 de NIS 2 : évaluer l'efficacité des mesures de sécurité. Il ne suffit pas à la conformité, qui demande aussi la gouvernance, la continuité d'activité et la sécurité des fournisseurs. Un audit NIS 2 mesure l'ensemble de l'écart ; le pentest en est la vérification technique.

Pour aller plus loin :

- Audit NIS 2 pour PME : prix, durée, livrables et choix du prestataire

- Demander un cadrage

Questions fréquentes

Combien coûte un test d'intrusion web pour une PME ?

Sur le marché français, un premier pentest web se situe autour de 3 500 à 6 500 € HT selon le nombre d'applications, de rôles et d'API. Chez White-Hat : Pentest Starter, 1 site en 3 à 5 jours, à 3 499 € HT au catalogue (1 749,50 € HT avec l'offre en cours) ; Pentest Premium, 3 sites ou applications en 7 à 10 jours, à 7 999 € HT au catalogue (4 799,40 € HT avec l'offre en cours).

Combien de jours dure un pentest web ?

3 à 5 jours pour un site ou une application simple, 7 à 10 jours pour plusieurs applications avec API, back-office et paiement. Le nombre de jours se fixe au cadrage.

Que contient le rapport de pentest ?

Une synthèse pour la direction et un détail technique : chaque faille avec sa criticité, la preuve d'exploitation, l'impact métier et la correction recommandée. Une séance de restitution suit la remise du rapport.

Le contre-test (retest) est-il inclus ?

Il est proposé en option, une fois les failles corrigées : on rejoue les attaques pour vérifier qu'elles ne passent plus.

Faut-il un prestataire PASSI pour une PME ?

Non, sauf si un client, un marché public ou une réglementation l'exige. Pour la plupart des PME, un pentester indépendant qui suit la méthode OWASP et livre un rapport exploitable suffit.

Le test peut-il se faire sur la production ?

Oui, avec des tests non destructifs, des fenêtres horaires et un contact d'urgence fixés au cadrage. Une préproduction identique à la production reste l'idéal.