Prix d'un scan de vulnérabilités : ce qu'on paie
- Le prix d'un scan se résume à une question : qu'est-ce qui compte pour une unité, un scan, une application ou un actif.
- C'est l'unité, multipliée par votre rythme et votre surface, qui prédit la facture. Pas le prix affiché.
- Les montants publiés vont de 49 $ par scan à des licences annuelles à quatre chiffres, et ils ne parlent pas du même achat.
- Le temps de tri n'apparaît jamais sur une grille tarifaire, et c'est souvent la plus grosse ligne du coût réel.
L'unité, c'est le produit
Trois modèles de facturation couvrent l'essentiel de ce marché, et chacun chiffre autre chose.
Au scan. Un crédit, un test sur une cible. La facture suit la fréquence. C'est notre modèle, à 49 $ par scan en tarif fondateur et 79 $ en tarif standard (page des tarifs, relevé le 23 octobre 2026).
Par application. Une application pour une mission ou un abonnement, quel que soit le nombre de noms d'hôtes derrière. Les missions manuelles se chiffrent ainsi, et de même les plateformes de sécurité applicative qui vendent un siège par produit.
Par actif, ou par licence. Les plateformes de surveillance continue facturent des frais annuels par niveau, puis facturent l'analyse séparément, par domaine ou par cible. La facture suit la taille de la surface exposée : plus de sous-domaines, plus d'argent, à profondeur égale sur chacun.
Un quatrième modèle existe et mérite d'être nommé, parce que c'est celui qui piège les petites équipes : la licence annuelle avec un quota de scans à l'intérieur. Les frais sont fixes jusqu'à épuisement du quota, et ensuite ils ne le sont plus.
Les prix publiés, et leur date de relevé
Chaque montant ci-dessous a été lu sur la page nommée. Quand le chiffre vient d'un comparatif que nous avons publié, la date de consultation qui y figure est reportée telle quelle : un prix que nous n'avons pas relu cette semaine n'est pas un prix que nous affirmons aujourd'hui.
| Éditeur | Modèle | Montant publié | Source, et date |
|---|---|---|---|
| BreachVex | Au scan | 49 $ fondateur, 79 $ standard | breachvex.com/fr/pricing, relevé le 23 octobre 2026 |
| BreachVex | Formules mensuelles | 120 $/mois pour 3 scans, 350 $/mois pour 10 scans (fondateur) ; 199 $ et 499 $ au standard | même page, relevé le 23 octobre 2026 |
| Burp Suite DAST | Licence annuelle, sur devis | à partir d'environ 6 040 $/an, jusqu'à 49 999 $/an et plus pour un nombre de scans concurrents illimité | comparatif Burp Suite, publié le 12 octobre 2026, d'après les tarifs communautaires rapportés en 2025-2026 |
| Detectify | Frais annuels par niveau, plus l'analyse par cible | niveaux à partir de 0 €, 2 500 €, 5 000 € et 15 000 € ; prix des scans par domaine ou par cible sur devis | comparatif Detectify, publié le 12 octobre 2026, page tarifaire de l'éditeur consultée le 15 octobre 2026 |
Deux absences sont volontaires. Les éditeurs qui ne publient aucune grille et ne chiffrent que dans un cycle commercial ne sont pas dans ce tableau. Tout montant que nous n'avons pas pu relire sur la page de l'éditeur au moment de la publication l'est aussi. Un tableau de prix assemblé à partir des articles comparatifs des autres est un tableau plausible, pas un tableau juste.
L'arithmétique, sur un cas concret
Prenez cinq applications, testées chaque semaine, sur un an.
- Au scan, tarif fondateur : 260 scans, donc 12 740 $. Au tarif standard, 20 540 $.
- Formules mensuelles : trois scans par mois font 36 scans par an et 1 440 $ au tarif fondateur. Dix scans par mois font 120 scans et 4 200 $.
- Licence annuelle : les frais dépendent du niveau et du nombre d'actifs, et les fourchettes publiées commencent autour de 6 040 $ par an en bas de barème.
La forme de ce tableau est l'argument. Une facture au scan croît avec le rythme et la surface ensemble. Une licence croît avec la surface, et seulement parfois avec le nombre d'exécutions. Si vos cinq applications sont derrière vingt noms d'hôtes et que vous testez une fois par mois plutôt que chaque semaine, la licence peut gagner sur le prix. Si vous testez à chaque déploiement, en général non.
Ce que la facture n'inclut jamais
Le prix publié couvre le test. Il ne couvre pas ce qui suit, et chacun de ces postes atterrit quelque part dans votre organisation.
- Le tri. Un scan qui rend des candidats vous a remis une file. Quelqu'un doit la lire avant que quoi que ce soit soit corrigé. Demandez combien de constats l'éditeur attend par application, et qui il imagine les lire.
- La mise en place authentifiée. Scanner derrière un login demande des comptes de test, une décision sur les données qu'ils peuvent atteindre, et quelqu'un pour rafraîchir les identifiants quand ils tournent.
- Le re-test. Qu'un nouveau scan après correction soit inclus, remisé ou facturé comme une unité neuve change le montant annuel plus qu'un petit écart de prix unitaire.
- L'intégration. Faire arriver les résultats dans un pipeline, un outil de tickets ou un tableau de bord, c'est du temps d'ingénierie chez vous, pas chez l'éditeur.
- La file que vous ne lirez pas. Tout outil produit des constats que personne ne traite. Le coût honnête d'un scanner inclut ceux que vous ignorerez, parce qu'ils coûtent quand même leur lecture.
Cinq questions qui changent le devis
- Qu'est-ce qui compte pour une unité, et un nouveau scan après correction en est-il une ?
- Combien de ces unités ai-je aujourd'hui, et ce nombre va-t-il croître sans que je le décide ?
- Le prix couvre-t-il les tests authentifiés, et pour combien de comptes ?
- À quoi ressemble un constat : un candidat ou une requête reproduite ?
- Qui lit la file, l'éditeur ou mon équipe ?
Un éditeur qui répond « un constat » à la quatrième question n'y a pas répondu.
Sources
- breachvex.com/fr/pricing, relevé le 23 octobre 2026 : nos tarifs fondateur et standard, et les formules mensuelles.
- BreachVex vs Burp Suite Enterprise, 2026, publié le 12 octobre 2026 : la fourchette de licence de Burp Suite DAST, d'après les tarifs communautaires rapportés en 2025-2026, et le modèle sur devis.
- BreachVex vs Detectify, 2026, publié le 12 octobre 2026 : les niveaux annuels de Detectify et l'analyse par cible, page tarifaire de l'éditeur consultée le 15 octobre 2026.
- Test d'intrusion : ce qu'un test couvre, publié le 19 octobre 2026 : pourquoi un rapport de scan et un rapport de mission sont deux documents différents.
Étape suivante
Si ce qu'il vous faut est le prix d'une mission plutôt que d'un scan, combien coûte un test d'intrusion couvre le versant manuel avec les mêmes sources. Si vous savez déjà que le modèle au scan est le vôtre, la page des tarifs porte les formules et ce que couvre un crédit.
BreachVex est en accès anticipé : rejoignez la liste d'attente et nous vous écrirons quand votre accès s'ouvrira.
Frequently Asked Questions
- Pourquoi deux devis de scan de vulnérabilités diffèrent-ils autant pour la même application ?
- Parce que l'unité change. Un devis compte des scans, un autre des applications, un troisième chaque hôte ou sous-domaine que l'éditeur voit. Un prix par scan paraît modeste jusqu'à ce qu'on le multiplie par un rythme hebdomadaire sur cinq produits, et un prix par actif paraît modeste jusqu'à ce que le nombre de sous-domaines double sans que personne l'ait décidé.
- Un prix au scan est-il moins cher qu'une licence annuelle ?
- Seulement au-delà d'un certain rythme. Aux tarifs publiés sur notre page, un scan hebdomadaire sur une application coûte 2 548 $ par an au tarif fondateur, ce qui reste sous le plancher de 6 040 $ des licences annuelles du tableau plus bas. Avec vingt applications testées chaque semaine, l'arithmétique s'inverse : le modèle au scan suit à la fois la surface et la fréquence, la licence suit surtout la surface.
- Qu'est-ce qu'un prix de scan publié n'inclut pas ?
- Le temps de tri, la mise en place de comptes de test authentifiés, le re-test après correction, et le travail d'intégration si vous voulez les résultats dans un pipeline. Rien de tout cela n'apparaît sur une grille tarifaire, et tout cela apparaît dans l'agenda de votre équipe. Demandez l'hypothèse de tri explicitement : un éditeur qui rend une file de candidats vous vend du travail que vous n'avez pas staffé.
- Un scan suffit-il pour produire un rapport qu'un client acceptera ?
- En général non. Un rapport de scan décrit des constats sur votre propre système et porte les détails de reproduction. Le rapport que le service achats d'un client accepte est un autre document, souvent produit par un testeur indépendant. Si c'est un questionnaire client qui motive l'achat, lisez d'abord la [page sur le test d'intrusion](/fr/penetration-testing).