Prix d’un audit de sécurité de site web : repères pour une PME

Le prix d’un audit de sécurité de site web n’est pas unique : il dépend du type de site, du nombre de fonctionnalités à examiner, de la profondeur des contrôles et du rapport attendu. Un contrôle de base d’un site vitrine ou WordPress ne se compare pas à l’examen d’une application avec comptes utilisateurs et paiements. Chez WebAiLab, l’audit de sécurité de site démarre à partir de 390 € HT, le prix final étant fixé sur devis après avoir cadré votre site.

Cet article explique ce qui fait varier le tarif, ce que doit contenir un rapport utile et comment comparer deux propositions. Il ne promet aucun niveau de sécurité : un audit décrit l’état d’un site à une date donnée, il ne le rend pas invulnérable. Pour le détail de notre offre, voir la page audit de sécurité de site web et celle de la cybersécurité.

Quels éléments font varier le prix d’un audit ?

Cinq facteurs expliquent l’essentiel des écarts entre deux devis.

1. Le type de site. Un site vitrine statique expose peu de surface. Un site WordPress avec extensions, une boutique en ligne ou une application avec comptes utilisateurs en exposent davantage.
2. Le périmètre. Nombre de domaines et sous-domaines, présence d’une API, d’un espace client, d’un module de paiement : chaque élément ajouté augmente le temps d’analyse.
3. La profondeur. Un contrôle de configuration (mises à jour, en-têtes HTTP, HTTPS, accès, sauvegardes) n’est pas un test d’intrusion qui cherche à exploiter activement des failles. Notre article pentest ou audit de sécurité détaille cette différence.
4. Les accès fournis. Un audit avec accès au code, à l’administration ou à l’hébergement est plus complet qu’un examen vu de l’extérieur, et il suppose un cadre de confidentialité.
5. Le rapport et l’accompagnement. Un simple relevé de constats coûte moins qu’un rapport priorisé avec recommandations et restitution commentée.

Le prix d’un audit n’inclut généralement pas la correction des constats : c’est un devis distinct. Demandez toujours si la remédiation est comprise.

Que contient un bon rapport d’audit ?

Un rapport utile à un dirigeant doit pouvoir être lu sans jargon et transmis à la personne qui corrige. Vérifiez qu’il comprend :

• le périmètre et la date : ce qui a été examiné, avec quels accès, et ce qui ne l’a pas été ;
• la méthode : référentiels utilisés, par exemple le guide de test de sécurité des applications web de l’OWASP (OWASP Web Security Testing Guide) ;
• les constats : description, localisation, niveau de criticité et conditions d’exploitation ;
• les preuves : captures ou éléments permettant de reproduire le constat, sans exposer de données sensibles ;
• les recommandations priorisées : ce qu’il faut corriger d’abord, avec un effort estimé ;
• les points positifs : ce qui est déjà bien configuré, pour ne pas le casser ensuite ;
• les limites : un audit ne prouve pas l’absence de vulnérabilités.

Pour un exemple de points contrôlés sur un site de PME, voir notre checklist d’audit de sécurité d’un site web et notre article sur les 10 risques de l’OWASP expliqués aux dirigeants.

Comment comparer deux devis d’audit ?

Ne comparez pas seulement le montant. Alignez les devis sur les mêmes lignes :

Si une proposition annonce un prix très bas sans périmètre ni exemple de rapport, demandez des précisions. Si elle promet « un site totalement sécurisé », méfiez-vous : aucune prestation sérieuse ne peut l’assurer.

Quel cadre juridique et pratique prévoir ?

Un audit de configuration d’un site que vous possédez est peu intrusif, mais dès qu’il s’agit de tests actifs, un cadre écrit est indispensable : périmètre, dates, contacts d’urgence, autorisation du propriétaire et, si le site est hébergé par un tiers, accord de l’hébergeur lorsque ses conditions l’exigent. Notre article sur la convention d’autorisation d’un test d’intrusion détaille ces éléments.

Si le site traite des données personnelles, l’audit sert aussi à documenter les mesures de sécurité attendues par le RGPD. La CNIL fournit des guides sur la sécurité des sites web et de l’authentification (CNIL, authentifier les utilisateurs). Côté pratiques de base, Cybermalveillance.gouv.fr publie des conseils de sécurisation des sites internet.

Quand faire auditer son site, et comment préparer la demande de devis ?

Un audit est particulièrement utile avant une mise en ligne importante, après une refonte, lorsque le site collecte des données personnelles ou des paiements, après un incident, ou si personne ne sait précisément qui a accès à quoi. Il l’est moins sur un site sans mise à jour depuis des années qu’il vaut mieux d’abord mettre à niveau.

Pour obtenir un devis comparable, préparez quelques informations : l’adresse du site et des sous-domaines concernés, la technologie utilisée (WordPress, site sur mesure, plateforme en ligne), les fonctionnalités sensibles (connexion, paiement, formulaires), l’hébergeur, le nom de la personne qui administre le site et l’existence de sauvegardes. Plus la description est précise, plus le prix annoncé sera proche du prix final, et moins vous risquez un supplément en cours de route. Si un incident a déjà eu lieu, notre article sur le site WordPress piraté indique les premiers réflexes.

Que se passe-t-il après l’audit ?

Le rapport est un point de départ. Un plan d’action réaliste ressemble à ceci :

1. corriger d’abord les constats les plus critiques et les plus simples à traiter (mises à jour, accès, configuration) ;
2. planifier les corrections plus lourdes, par exemple du code ;
3. refaire un contrôle ciblé pour vérifier les corrections ;
4. mettre en place une maintenance et des sauvegardes pour éviter la dérive : voir notre article sur la maintenance d’un site.

Un audit isolé a une valeur limitée si le site n’est ensuite plus mis à jour : de nouvelles failles apparaissent régulièrement dans les logiciels et leurs extensions.

Exemple fictif : un site WordPress de PME

Cet exemple est fictif et ne décrit ni un client ni un résultat mesuré.

Une PME exploite un site WordPress avec formulaire de contact et quelques extensions. Elle reçoit deux devis d’audit. Le premier est peu détaillé et ne précise ni le périmètre ni le rapport. Le second liste les contrôles (versions, extensions, comptes administrateurs, en-têtes HTTP, sauvegardes), annonce un rapport priorisé et précise que la correction est chiffrée séparément. La PME choisit la seconde proposition, même si son montant est supérieur, parce qu’elle sait ce qu’elle achète et peut la comparer.

FAQ

Un audit de sécurité suffit-il à protéger mon site ?

Non. Il identifie des faiblesses à un instant donné. La protection dépend ensuite des corrections, des mises à jour, des sauvegardes et de la surveillance.

Quelle est la différence entre audit de sécurité et test d’intrusion ?

L’audit de configuration examine l’état du site selon une liste de contrôles. Le test d’intrusion simule activement l’action d’un attaquant, avec une autorisation écrite. Il est généralement plus long, donc plus coûteux.

Quel est le prix d’un audit chez WebAiLab ?

L’audit de sécurité de site démarre à partir de 390 € HT. Le prix final est établi sur devis, selon le type de site et le périmètre à examiner.

Conclusion

Le bon prix d’un audit est celui d’un périmètre clair, d’un rapport exploitable et d’un plan d’action réaliste. Avant de commander, demandez le contenu exact du contrôle et un exemple de restitution. Pour décrire votre site et obtenir un devis, consultez notre page audit de sécurité de site web ou contactez-nous.