Combien coûte un pentest ? Déroulé et rapport d’un test d’intrusion

Un test d’intrusion, ou pentest, consiste à attaquer volontairement un site, une application ou un réseau, dans un cadre écrit et autorisé, pour trouver les failles qu’un attaquant pourrait exploiter. Il aboutit à un rapport qui classe les vulnérabilités, montre comment elles ont été exploitées et propose des corrections. Son prix dépend surtout du périmètre, de la profondeur et du niveau d’information fourni à l’auditeur, pas d’un tarif standard.

Cet article explique le déroulé d’une mission, les trois modes de test (boîte noire, grise, blanche), les critères qui font varier le budget et ce qu’un rapport sérieux doit contenir. Il vous aide à lire un devis, pas à le remplacer.

Qu’est-ce qu’un test d’intrusion, concrètement ?

Un pentest simule le comportement d’un attaquant, mais avec trois différences : l’accord préalable du propriétaire du système, un périmètre défini et l’obligation de rendre compte. Les tests sont conduits de façon à limiter les dégâts (pas de suppression de données, pas de saturation volontaire sauf mention expresse).

Il se distingue d’un simple scan automatique. Un scanner de vulnérabilités détecte des signatures connues ; un pentest ajoute le raisonnement humain : enchaîner plusieurs faiblesses mineures, contourner une logique métier, tester des droits d’accès. Si vous hésitez avec un audit de sécurité, notre article pentest ou audit de sécurité : que choisir ? compare les deux démarches.

Quels sont les modes de test : boîte noire, grise ou blanche ?

Le mode décrit ce que l’auditeur sait du système avant de commencer.

Pour un site avec espace client, la boîte grise est souvent un bon compromis : elle permet de vérifier que l’utilisateur A ne peut pas lire les données de l’utilisateur B. Le choix dépend de votre objectif et du temps disponible.

Comment se déroule une mission, étape par étape ?

Une mission suit généralement une trame commune, même si les noms varient d’un prestataire à l’autre.

1. Cadrage : objectifs, périmètre (domaines, applications, adresses IP), mode de test, dates, exclusions, contacts d’urgence.
2. Autorisation écrite : une convention signée par la personne habilitée à engager l’entreprise et, si besoin, par l’hébergeur. Voir préparer un test d’intrusion et la convention d’autorisation.
3. Reconnaissance : repérage des technologies, des pages, des comptes et des points d’entrée.
4. Analyse et tests : recherche et vérification des failles (authentification, droits d’accès, injection, configuration, gestion des sessions), manuellement et avec des outils.
5. Exploitation encadrée : preuve que la faille est réelle, sans aller au-delà de ce qui a été convenu.
6. Rapport et restitution : présentation des constats, priorisation, échange sur les corrections.
7. Contre-vérification : après correction, nouveau test des points critiques (à prévoir dans le devis).

Le référentiel de l’OWASP, organisation à but non lucratif de la sécurité applicative, publie un guide de test des applications web (Web Security Testing Guide) qui sert de base de travail à de nombreux auditeurs.

Qu’est-ce qui fait varier le prix d’un pentest ?

Aucun prix « normal » ne se déduit d’un type de site. Les éléments suivants jouent sur la charge de travail, donc sur le devis :

• Le périmètre : un site vitrine, un site e-commerce, une application avec rôles et API n’exigent pas le même temps.
• Le nombre de rôles et de fonctions : chaque profil utilisateur (client, administrateur) multiplie les cas à tester.
• Le mode de test : boîte blanche et grise demandent de la préparation ; la boîte noire demande plus de découverte.
• La profondeur attendue : vérification des failles courantes ou recherche poussée sur la logique métier.
• Le contre-test : la vérification des corrections est parfois incluse, parfois facturée à part.
• Les contraintes d’intervention : horaires, environnement de pré-production ou production, coordination avec l’hébergeur.
• La qualification du prestataire : une qualification officielle (voir plus bas) peut être exigée dans certains contextes réglementaires.

Demandez que le devis indique le nombre de jours, le périmètre exact et ce qui est exclu. Un tarif trop vague ne permet pas de comparer.

À titre de repère, notre Pentest Essentiel démarre à partir de 2 490 € HT pour un test boîte grise d’une application web simple sur 3 jours, convention d’autorisation, rapport avec niveaux de criticité et re-test des failles critiques. Le prix final dépend du périmètre (nombre d’applications, API, rôles) et il est fixé sur devis. Les autres prix sont publiés sur la page tarifs.

Que contient un bon rapport de test d’intrusion ?

Le rapport est le livrable principal. Il doit être lisible à deux niveaux :

• Une synthèse pour la direction : niveau de risque global, failles les plus importantes, actions prioritaires, en langage non technique.
• Un détail technique : pour chaque vulnérabilité, la description, l’endroit où elle se trouve, les étapes de reproduction, l’impact potentiel, un niveau de gravité et une recommandation de correction.

Vérifiez aussi la méthode (guide ou référentiel suivi), la date des tests, le périmètre réellement couvert et les points non testés. Un rapport qui ne signale aucune limite est suspect : tout test a des bornes.

Qu’est-ce que la qualification PASSI, et en faut-il une ?

PASSI désigne les prestataires d’audit de la sécurité des systèmes d’information qualifiés par l’ANSSI, l’agence nationale de cybersécurité. Le référentiel couvre notamment l’audit d’architecture, de configuration, de code source, l’audit organisationnel et les tests d’intrusion. La version 2.2 du référentiel a été publiée fin 2024 (voir l’annonce de l’ANSSI).

Cette qualification est surtout exigée ou recommandée pour des organisations soumises à des obligations particulières (opérateurs d’importance vitale, administrations, certains secteurs réglementés). Une TPE n’y est pas tenue par principe. Si un client, un donneur d’ordre ou un texte l’exige, adressez-vous à un prestataire figurant sur la liste officielle de l’ANSSI. Pour la plupart des PME, l’essentiel reste un test d’intrusion bien cadré, autorisé par écrit, avec un rapport exploitable par vos équipes.

Quand un pentest est-il vraiment utile pour une PME ?

Il prend de la valeur dans plusieurs situations : lancement d’un site avec comptes clients ou paiement, application métier contenant des données sensibles, exigence d’un client grand compte, refonte majeure ou incident passé. Pour un site vitrine sans compte ni formulaire sensible, un audit de sécurité du site web et une maintenance régulière sont souvent plus proportionnés. Notre guide sur la maintenance et les sauvegardes donne les bases.

Que faire après avoir reçu le rapport ?

Traitez les failles par priorité : d’abord celles qui exposent des données ou donnent un accès administrateur, puis les autres. Décidez qui corrige quoi et quand, conservez la preuve des corrections et planifiez le contre-test. Un rapport non suivi d’actions n’améliore rien.

Questions fréquentes sur le test d’intrusion

Un pentest peut-il casser mon site ?

Le risque existe, même s’il est encadré : un test actif envoie des requêtes inhabituelles à une application. C’est pourquoi on prévoit des sauvegardes, une fenêtre de test, un contact d’urgence et, quand c’est possible, un environnement de pré-production. Les techniques les plus perturbantes (saturation, par exemple) sont exclues sauf accord explicite.

Faut-il tester le site en production ou une copie ?

Une copie fidèle réduit les risques d’interruption, mais elle doit avoir la même configuration, sinon certaines failles passent inaperçues. Le choix se discute au cadrage, en fonction de la criticité du service et de la possibilité de créer un environnement identique.

À quelle fréquence refaire un test ?

Il n’existe pas de rythme universel. Refaites un test après une évolution importante (nouvelle fonction de connexion, refonte, changement d’hébergement) ou lorsqu’un client ou un texte l’impose. Entre deux tests, la mise à jour régulière des composants réduit l’exposition aux failles déjà connues.

Un test d’intrusion prouve-t-il que mon site est sécurisé ?

Non. Il indique ce qui a été trouvé dans un périmètre, à une date donnée, avec une méthode et un temps limités. L’absence de faille constatée n’est pas une garantie d’absence de faille.

Pour cadrer un test d’intrusion adapté à votre site ou votre application, ou pour savoir s’il est pertinent dans votre cas, vous pouvez nous contacter ; consultez aussi notre page cybersécurité.