Pentest ou audit de sécurité : lequel choisir pour votre site ?

Un audit de sécurité passe en revue un site ou un système de façon large, en comparant sa configuration, son code et ses pratiques à des bonnes pratiques. Un test d’intrusion attaque, dans un cadre autorisé, pour prouver que des failles sont exploitables. Pour un site de PME, l’audit est souvent le bon point de départ ; le pentest se justifie quand le site traite des comptes, des paiements ou des données sensibles, ou quand un client l’exige.

Les deux termes sont parfois employés l’un pour l’autre dans les offres commerciales. Voici comment les distinguer, comment les combiner et sur quels critères trancher.

Quelle est la différence entre un audit de sécurité et un test d’intrusion ?

La différence tient à la question posée. L’audit demande : « Notre site respecte-t-il les bonnes pratiques, et où sont les écarts ? » Le pentest demande : « Un attaquant déterminé peut-il entrer, et jusqu’où ? »

Les deux se complètent : l’audit corrige les faiblesses évidentes, le pentest éprouve ce qui reste. Faire un pentest sur un site dont les mises à jour ne sont pas faites revient à payer pour découvrir des problèmes que l’audit aurait trouvés à moindre coût.

Quand choisir un audit de sécurité ?

L’audit est adapté si :

• vous n’avez jamais fait vérifier la sécurité de votre site ;
• le site est un site vitrine ou un blog, avec peu de fonctions sensibles ;
• vous avez changé de prestataire et voulez un état des lieux ;
• vous préparez une refonte et souhaitez savoir quoi corriger ou conserver ;
• vous manquez de visibilité sur les comptes, extensions, sauvegardes et accès.

Notre page audit de sécurité du site web décrit cette démarche, et la checklist d’audit pour PME liste les points à vérifier vous-même avant de faire appel à quelqu’un.

Quand choisir un test d’intrusion ?

Le pentest se justifie davantage si :

• votre site comporte des comptes utilisateurs, un espace client ou une API ;
• vous prenez des paiements ou stockez des données personnelles en volume ;
• un client, un assureur ou un appel d’offres demande une preuve de test ;
• vous avez développé une application sur mesure dont la logique métier est sensible ;
• vous venez de corriger des failles et voulez vérifier que la correction tient.

Le principe, le déroulé et les livrables sont détaillés dans notre article sur le déroulé et le prix d’un pentest et sur la page test d’intrusion.

Comment décider en quelques questions ?

Répondez honnêtement à cette courte liste :

1. Quelles données sont en jeu ? Des fichiers clients, des données de santé ou de paiement augmentent l’exigence.
2. Le site a-t-il des comptes utilisateurs ? Si oui, le contrôle des droits d’accès mérite un test actif.
3. Qui l’exige ? Un client ou un texte peut imposer un type de vérification.
4. Quel est l’état de base ? Mises à jour, sauvegardes et accès sont-ils maîtrisés ? Sinon, commencez par l’audit.
5. Quel budget et quel délai ? Un audit est généralement plus rapide à cadrer ; le pentest demande plus de préparation.
6. Qui corrigera ? Sans personne pour appliquer les correctifs, aucun rapport ne sert.

Si vos réponses pointent des deux côtés, la séquence « audit, correction, puis pentest ciblé » est souvent plus économique qu’un pentest large d’emblée.

Que dit-on de la qualification PASSI dans ce choix ?

Les prestataires d’audit de sécurité qualifiés par l’ANSSI (PASSI) couvrent à la fois audits et tests d’intrusion, selon le référentiel publié par l’agence (ANSSI, référentiel PASSI). Cette qualification répond à des exigences de sécurité nationale ou réglementaires. Pour une TPE sans obligation particulière, elle n’est pas nécessaire par défaut, mais elle peut être exigée par un donneur d’ordre. Si votre contexte l’impose, la liste officielle des prestataires qualifiés est publiée par l’ANSSI ; précisez-le dès le cadrage.

Comment lire un devis pour comparer deux offres ?

Quel que soit le nom donné à la prestation, vérifiez les points suivants :

• le périmètre exact (domaines, applications, environnements) ;
• les méthodes (tests manuels, outils automatiques, référentiel suivi) ;
• les exclusions (déni de service, ingénierie sociale, tests physiques) ;
• les livrables (synthèse direction, détail technique, plan d’actions) ;
• la restitution et le contre-test après corrections ;
• les engagements de confidentialité et de gestion des accès.

Méfiez-vous des offres qui annoncent un « site 100 % sécurisé » : aucune démarche ne peut garantir cela, elle réduit des risques identifiés.

Et après le rapport ?

Le travail continue avec la correction, puis avec un entretien régulier : mises à jour, surveillance, sauvegardes testées. Un audit ou un test est une photographie à un instant donné. La maintenance et sécurité du site prolonge ce travail dans la durée, et notre guide sur la maintenance d’un site PME explique ce qu’elle doit couvrir.

Questions fréquentes

Un audit de sécurité inclut-il des tests d’attaque ?

Cela dépend de ce qui est convenu. Un audit peut rester à la revue (configuration, versions, comptes) ou comporter quelques vérifications actives, par exemple sur les en-têtes ou les formulaires. Si des tests actifs sont prévus, demandez une autorisation écrite, comme pour un pentest. Notre article sur la convention d’autorisation en détaille le contenu.

Peut-on commencer par un scan automatique gratuit ?

Un scan donne des indices (certificat, en-têtes, versions visibles) mais produit des faux positifs et manque les failles de logique. Il peut servir d’alerte, pas de conclusion. N’analysez par ailleurs que des sites qui vous appartiennent ou pour lesquels vous avez une autorisation.

Mon site WordPress a-t-il plutôt besoin d’un audit ?

Pour un site WordPress classique, les risques viennent souvent des mises à jour manquantes, des extensions abandonnées, des comptes d’administration mal protégés et des sauvegardes non testées. Un audit couvre ces points efficacement. Notre comparatif WordPress, Wix ou site sur mesure aide à mesurer ces enjeux selon le type de site.

Combien de temps faut-il prévoir ?

La durée dépend du périmètre, de la disponibilité des interlocuteurs et du niveau de détail attendu. Demandez au prestataire un calendrier écrit : cadrage, tests, rapport, restitution et contre-vérification, plutôt qu’une promesse globale.

Si vous hésitez entre les deux démarches, décrivez-nous votre site et vos données sans y joindre de mot de passe : nous vous dirons ce qui nous paraît proportionné. Notre page cybersécurité présente l’ensemble de l’offre.