Combien coûte un test d'intrusion ?
La réponse courte est « cela dépend du périmètre », ce qui n'aide pas beaucoup à lui seul. Voici donc ce qui détermine réellement le prix d'une mission, ce que comprend un véritable devis et comment obtenir un chiffre précis pour votre situation.
Pourquoi il n'y a pas de prix unique
Un prix fixe unique pour « un test d'intrusion » ne peut pas refléter ce qui est testé. Une application web de trois pages et un site vitrine ne représentent pas le même travail qu'une plateforme multi-locataires avec des centaines d'endpoints d'API. La tarification est fondée sur la charge : elle suit la quantité de temps d'un testeur qualifié que le travail nécessite réellement. Trois éléments déterminent cette charge avant tout.
La quantité d'éléments à tester : nombre d'applications, d'endpoints d'API, d'hôtes, de rôles utilisateur et d'environnements dans le périmètre convenu.
Le niveau d'assurance dont vous avez besoin (un contrôle ciblé ou une vérification approfondie en boîte blanche par rapport à un standard) et le type de boîte (noire, grise ou blanche).
La complexité de la cible. Une logique métier élaborée, une authentification sur mesure, des intégrations lourdes et des technologies spécifiques ajoutent toutes du temps de test.
Ce qui détermine le prix
Voici les leviers qui font monter ou baisser un devis. Les connaître vous aide à définir un périmètre raisonnable et à repérer un chiffre trop bas pour correspondre à un véritable test manuel.
Type et nombre de cibles
Une seule application web coûte moins cher qu'une application web accompagnée de son API, de ses clients mobiles et de son réseau externe. Chaque cible est une mission distincte avec sa propre méthode (web, API, mobile, réseau, cloud).
Taille de la surface d'attaque
Plus de pages, plus d'endpoints d'API, plus d'hôtes et plus de rôles utilisateur signifient davantage à tester. Pour les API en particulier, le nombre de routes et le nombre de rôles/locataires à tester déterminent le temps nécessaire.
Profondeur et type de boîte
La découverte en boîte noire consomme du temps ; la boîte grise (identifiants plus une spécification) est la norme efficace ; la boîte blanche permet la couverture la plus approfondie pour une assurance élevée ou la vérification par rapport à des standards. Une assurance plus poussée signifie davantage d'heures.
Complexité de l'application
Une logique métier sophistiquée, une authentification et autorisation sur mesure, des intégrations tierces et une technologie sur mesure prennent tous plus de temps à tester en profondeur qu'une application standard sur étagère.
Besoins de conformité et de reporting
Un test lié à un standard (par exemple le test de segmentation PCI DSS) comporte des exigences et des formats de rapport spécifiques. Un livrable et un dossier de preuves de qualité conformité représentent plus de travail qu'une synthèse interne.
Contre-test et contrat cadre
Vérifier que les correctifs ont réellement résolu les problèmes prend aussi du temps. Chez Vexaro, un contre-test des points corrigés est inclus sans frais supplémentaires, dans un délai fixé par l'énoncé des travaux (SoW). Les dispositifs récurrents ou sous contrat cadre sont tarifés différemment d'une mission ponctuelle.
Ce qu'inclut un véritable devis
Un test d'intrusion crédible est bien plus qu'un passage de scanner. Lorsque vous comparez des devis, vérifiez que le prix couvre un véritable test manuel et un rapport sur lequel fonder des décisions, pas seulement une sortie automatisée. Le nôtre inclut tout ce qui suit.
- Cadrage et règles d'engagement, avec un NDA avant tout accès
- Tests à dominante manuelle par un testeur humain, pas un simple passage de scanner
- Un rapport priorisé : chaque constat avec impact, preuve, reproduction et remédiation
- Sévérité notée avec CVSS 3.1 et traduite en risque métier
- Une synthèse à l'attention de la direction pour les décideurs ainsi que le détail technique pour les ingénieurs
- Un contre-test gratuit des points corrigés, dans le délai fixé par le SoW, pour confirmer que les risques sont refermés
Délais indicatifs
Le coût suit globalement la durée, et la durée suit le périmètre. À titre indicatif, d'après nos formats de mission : un test d'intrusion (web, mobile, API ou périmètre externe) dure généralement 1 à 3 semaines, un audit de sécurité et de documentation 2 à 4 semaines, et une mission Red Team 3 à 6 semaines. La préparation à la conformité prend plus de temps : par exemple 6 à 9 mois pour ISO 27001 et, pour SOC 2 Type II, une période de mise en œuvre plus une fenêtre d'observation de 3 à 12 mois.
Ce sont des durées indicatives, pas des prix. Le périmètre et la charge finaux dépendent du modèle de menace et des cibles convenus. Nous fournissons un devis ferme dès que le périmètre est clair.
Questions fréquentes sur le coût
Parce qu'un prix précis nécessite un périmètre. Un même « test d'intrusion d'application web » peut représenter quelques jours ou plusieurs semaines selon la taille, les rôles et la complexité. Nous cadrons rapidement, souvent à partir d'un court appel, puis nous vous fournissons un devis ferme plutôt qu'un chiffre qui réserve des surprises par la suite.
Le plus souvent, la profondeur. Un devis très bas correspond souvent à un scan automatisé avec une légère passe manuelle, et non à un véritable test à dominante manuelle. Comparez ce qui est réellement réalisé (tests manuels, couverture de la logique métier et de l'autorisation, un vrai rapport et un contre-test), pas seulement le chiffre affiché.
Nous commençons par une courte consultation gratuite pour comprendre les cibles, les rôles, les environnements et votre objectif. À partir de là, nous convenons d'une limite et proposons un périmètre, puis fournissons un devis ferme et un calendrier. Un NDA est signé avant tout accès.
Oui. Après votre remédiation, nous recontrôlons les points corrigés sans frais supplémentaires pour confirmer que les risques sont écartés. Le SoW précise quels points sont recontrôlés et dans quel délai : c'est donc convenu dès le départ, et non ajouté après coup.
Cela peut arriver. Un test lié à un standard (comme le test de segmentation de l'Exigence 11.4 de PCI DSS) comporte des exigences et des formats de rapport spécifiques, et un dossier de preuves de qualité conformité représente plus de travail qu'une synthèse interne. Nous cadrons cela explicitement afin qu'il n'y ait pas de surprises.