Combien coûte un test d'intrusion pour une PME ?

Ce qui fait varier le prix#

Un test d'intrusion se facture comme n'importe quel travail spécialisé : du temps, du risque, et la taille de ce qu'on teste. Pour une entreprise avec un produit et une petite équipe, les variables sont concrètes.

• Le nombre d'applications. Une application web grand public n'est pas le même achat que cette application, sa console d'administration et l'API que les deux appellent.
• Le nombre de rôles et de locataires. Prouver qu'un utilisateur du support ne peut pas lire la facture d'un client demande des comptes pour les deux, et les combinaisons croissent plus vite que le nombre de comptes.
• Authentifié ou anonyme. Un test anonyme voit ce que voit un inconnu. Un test authentifié demande des comptes de test, quelqu'un de disponible pendant la fenêtre, et une décision sur les données que ces comptes peuvent atteindre.
• La qualité de la documentation. Une spécification OpenAPI et un environnement de recette qui ressemble à la production économisent des heures de reconnaissance. Une application héritée non documentée les consomme.
• La fenêtre. Un test serré dans un week-end de maintenance se paie plus cher, et un test avec une date butoir aussi : le testeur ne peut pas suivre une piste qui s'avère être une impasse et reprendre la semaine suivante.
• Le rapport. Une liste de résultats est un livrable. La même liste rattachée à PCI DSS, ou au questionnaire sécurité d'un client, en est un autre, avec son propre temps de relecture.
• La fréquence. Une mission par an, c'est un instantané. Deux missions, ou un rythme trimestriel, change à la fois le tarif par mission et le contexte que le testeur emporte d'une fois sur l'autre.

L'effectif n'apparaît nulle part dans cette liste, et c'est un mauvais indicateur. Une entreprise de vingt personnes avec trois applications et un tunnel de paiement peut avoir besoin d'un périmètre plus large qu'une entreprise de deux cents personnes qui fait tourner un outil interne.

Les tarifs publics, et ce qu'ils couvrent#

Chaque montant ci-dessous a été lu sur la page nommée, à la date nommée. Ils restent en dollars américains, y compris sur cette page française : nous ne tenons pas de grille en euros.

Les montants manuels sont des fourchettes parce qu'ils décrivent un marché, pas une grille. Quiconque vous donne un chiffre unique avant d'avoir lu votre périmètre chiffre la réunion.

Pourquoi deux devis pour la même application diffèrent#

Quatre questions expliquent l'essentiel de l'écart.

D'abord, ce que nomme le périmètre. « Application web » peut désigner un nom d'hôte, ou un produit réparti sur une application, un panneau d'administration, un site vitrine et deux versions d'API. Ensuite, boîte noire ou boîte grise : un testeur à qui l'on donne la documentation et un compte de test finit plus vite, et trouve autre chose, que celui qui part d'une URL. Troisième question, l'exploitation est-elle tentée ou les faiblesses supposées sont-elles seulement listées ? Un rapport rempli de « potentiellement vulnérable » coûte moins cher à produire et moins cher à ignorer. Quatrième, le re-test. C'est la seule partie de la mission qui dit si la correction a fonctionné, et c'est souvent la ligne qu'on supprime.

Une habitude à prendre : écrivez un périmètre d'une page, envoyez la même page aux deux prestataires, et demandez à chacun de marquer ce qu'il exclurait. Les exclusions sont là où les devis divergent vraiment.

Par application, par actif ou par scan : comment les éditeurs facturent#

Les tests continus se facturent sur trois unités différentes. C'est l'unité, pas le prix affiché, qui décide de ce que vous payez sur l'année, et les éditeurs la présentent rarement dans la même colonne d'un tableau tarifaire.

Par application, par mission. Un cabinet chiffre une application pour une mission. Les fourchettes ci-dessus sont par mission, pas par portefeuille : cinq applications, ce sont cinq périmètres, menés en séquence ou regroupés dans un forfait avec remise. Notre propre scan suit la même unité, un crédit pour une application cible, et les formules sont publiées.

Par actif. Les plateformes de surveillance continue facturent des frais annuels par niveau, puis facturent l'analyse séparément, par domaine ou par cible. La facture suit la taille de la surface exposée : plus de sous-domaines, la même profondeur sur chacun. Detectify fonctionne ainsi — le comparatif Detectify porte ses niveaux publiés, les unités par domaine et la date de leur relevé.

Par scan. Le coût suit le rythme, pas la surface. Tester une application chaque semaine coûte le tarif hebdomadaire, et une deuxième application est un deuxième scan, pas un deuxième abonnement. C'est le compromis du modèle au scan : il ne devient cher que si vous voulez à la fois la largeur et un rythme élevé.

Le calcul vaut la peine, avec vos chiffres. Cinq applications testées chaque semaine font 260 scans sur un an, soit 12 740 $ au tarif fondateur et 20 540 $ au tarif standard. Sur un modèle par actif, ces cinq applications peuvent représenter vingt hôtes, chacun facturé que le code derrière ait changé ou non. Le détail des modèles de prix du scan reprend les trois unités côte à côte, avec les chiffres concurrents que nous avons pu vérifier.

Ce que chaque modèle achète#

Une mission manuelle achète le jugement d'une personne pendant une semaine ou deux : quelqu'un qui peut décider qu'une étape de validation cassée compte plus qu'un en-tête manquant, qui peut enchaîner deux faiblesses mineures en un chemin réel, et qui signe un rapport que le service achats de votre client acceptera. C'est aussi la seule voie quand un référentiel exige un testeur indépendant et qualifié. La page sur le test d'intrusion expose ce qu'une telle mission couvre et, plus utile, ce qu'elle exclut.

Un scan automatisé achète la répétition et la preuve. Il tourne sur les déploiements entre deux missions, et le résultat qui vous parvient arrive avec la requête qui l'a produit, ce qui ramène le tri à cinq minutes au lieu d'un après-midi. Ce que trouve et ce que rate un pentest automatisé est la version honnête de ce compromis.

Les chiffres annuels se comparent vite. Un rythme hebdomadaire sur une application, c'est 52 scans : 2 548 $ par an au tarif fondateur et 4 108 $ au tarif standard, contre 5 000 à 30 000 $ pour une seule mission manuelle. La comparaison ne dit pas tout, parce que ce ne sont pas les mêmes produits. Elle explique pourquoi les équipes qui achètent déjà une mission annuelle continuent de scanner entre deux.

Ce que cette page ne chiffre pas#

Les éditeurs qui ne publient aucun tarif sont absents du tableau, et tout montant que nous n'avons pas pu relire sur la page de l'éditeur le jour de la publication l'est aussi. Recopier le chiffre d'un concurrent depuis un article comparatif, ou depuis une fiche de cadrage, produit un tableau plausible et un tableau faux. Si un prix que vous cherchiez manque ici, c'est la raison.

Sources#

• Blaze InfoSec, « How much does penetration testing cost » et Deepstrike, penetration testing cost, consultés le 15 octobre 2026 : la fourchette 5 000–30 000 $ pour une mission sur application web ou SaaS.
• Invicti, penetration testing pricing guide, consulté le 15 octobre 2026 : 5 000–30 000 $ pour le réseau interne et 4 000–20 000 $ et plus pour les applications web et les API.
• Software Secured, penetration testing cost, consulté le 15 octobre 2026 : des missions manuelles de 5 000 à 100 000 $ et plus selon le périmètre.
• breachvex.com/fr/pricing, relevé le 23 octobre 2026 : nos tarifs fondateur et standard, et les formules mensuelles.
• Test d'intrusion : ce qu'un test couvre, publié le 19 octobre 2026 : le vocabulaire de périmètre utilisé ici, et la frontière de conformité.

Étape suivante#

Le périmètre d'abord, le prix ensuite. Envoyez /fr/penetration-testing à celui qui vous chiffre la mission : les exclusions listées sur cette page sont celles qui doivent figurer dans son document de périmètre.

Nos tarifs, y compris le tarif fondateur et ce que devient le tarif standard ensuite, sont sur la page des tarifs. BreachVex est en accès anticipé, l'ouverture se fait sur invitation : rejoignez la liste d'attente et nous vous écrirons quand la vôtre s'ouvrira.