L’essentiel
- Un pentest se facture au jour-auditeur : 900 à 1 500 € HT par jour selon les cabinets qui publient leurs tarifs (2026).
- Site vitrine avec formulaire : 2 500 à 4 000 € HT (2 à 3 jours) ; application métier : 6 000 à 10 000 € HT.
- Réseau exposé sur Internet (externe) : 6 000 à 15 000 € HT ; réseau interne : 8 000 à 20 000 € HT.
- La qualification PASSI (ANSSI) n’est obligatoire que si un texte, une aide publique ou un client l’exige.
- Prévoyez un contre-audit après corrections : 1 000 à 2 500 € HT.
Nous étudions votre besoin et vous mettons en relation avec des prestataires adaptés. Ils vous recontactent directement.
Combien coûte un test d’intrusion selon le périmètre ?
| Périmètre testé | Durée | Prix HT observé |
|---|---|---|
| Site vitrine avec formulaire | 2 à 3 jours | 2 500 à 4 000 € |
| Application web simple | 3 à 4 jours | 4 000 à 6 000 € |
| Application métier | 5 à 7 jours | 6 000 à 10 000 € |
| Application + API | variable | 8 000 à 12 000 € |
| Application + API + cloud | 8 à 10 jours | 11 000 à 15 000 € |
| Test externe (ce qui est exposé sur Internet) | 5 à 8 jours | 6 000 à 15 000 € |
| Test interne (réseau de l’entreprise, Active Directory) | variable | 8 000 à 20 000 € |
| Contre-audit après corrections | 1 à 2 jours | 1 000 à 2 500 € |
Sources : Kolonell, « Prix d’un pentest d’application web pour PME » (01/10/2026) ; Ayinedjimi Consultants (guide audit PME, 24/10/2026). Ces fourchettes sont publiées par des cabinets qui vendent ces prestations.
Ce qui fait varier le prix d’un pentest
- Le périmètre — nombre d’applications, d’API, d’adresses IP et de sites.
- Le mode de test — boîte noire (sans information), grise (avec un compte utilisateur) ou blanche (avec le code) : plus d’information, plus de profondeur.
- La qualification PASSI — exigée par certains contrats et aides.
- Le rapport — un rapport exploitable par vos développeurs, avec preuves et priorités, prend du temps.
- La restitution et le contre-audit — inclus ou facturés à part.
PASSI : quand est-ce obligatoire ?
PASSI signifie Prestataire d’Audit de la Sécurité des Systèmes d’Information. C’est une qualification délivrée par l’ANSSI. Elle n’est pas imposée à toutes les entreprises : elle le devient quand un texte (opérateurs d’importance vitale), une homologation, une aide publique ou un donneur d’ordre l’exige. Les tests réalisés par un prestataire non qualifié restent utiles pour une PME qui n’a pas cette obligation.
Pentest, audit ou scan de vulnérabilités ?
Un scanner automatique liste des failles connues en quelques heures. Un test d’intrusion prouve qu’elles sont exploitables et trouve celles qu’un outil ne voit pas (logique métier, droits d’accès). Un audit de cybersécurité vérifie vos pratiques sans attaquer. Une PME qui n’a jamais été auditée commence souvent par un audit, puis teste ce qui est exposé sur Internet.
Ce que les grilles de prix ne disent pas
Le test ne protège de rien tant que les failles ne sont pas corrigées. Demandez qui fera les corrections, dans quel délai, et si le contre-audit est inclus. Et vérifiez que votre hébergeur autorise le test : certains l’exigent par écrit.
Questions fréquentes
Quel est le prix moyen d’un pentest pour une PME ?
De 2 500 à 4 000 € HT pour un site vitrine, 6 000 à 15 000 € HT pour un test externe du réseau, selon les tarifs publiés en 2026.
Combien coûte une journée de pentest ?
Entre 900 et 1 500 € HT par jour-auditeur selon les cabinets.
Faut-il refaire un test d’intrusion chaque année ?
C’est recommandé pour ce qui est exposé sur Internet, et après chaque changement important (nouvelle application, migration).
Un scanner automatique peut-il remplacer un pentest ?
Non. Le scanner liste des failles connues ; le pentest prouve qu’elles sont exploitables et trouve les failles de logique.
La qualification PASSI est-elle obligatoire ?
Seulement si un texte, une aide publique, une homologation ou un client l’exige.
Qui corrige les failles trouvées ?
Votre équipe ou votre prestataire informatique. L’auditeur vérifie ensuite les corrections lors d’un contre-audit.
Sources
- Kolonell — Prix d’un pentest d’application web pour PME (2026)
- Ayinedjimi Consultants — Audit cybersécurité PME 2026
- Legiscope — Audit de sécurité PASSI (ANSSI)
Comment nous travaillons. Cyber-Diagnostic est édité par B1NG SASU (Le Beausset, Var). Nous ne sommes pas un prestataire informatique : nous transmettons votre demande à 3 professionnels maximum, choisis selon votre besoin, votre taille et votre localisation. Les fourchettes de prix de cette page proviennent de tarifs publiés par des prestataires, d’organismes publics et de médias spécialisés, cités ci-dessous. Elles sont indicatives : seul un devis fixe le prix exact.