Qu'est ce qu'un Pentest ?

Nina Kristianov 30 Jul 2026

Test d'intrusion et pentest : le guide 2026 pour commanditer un audit qui débusque vraiment vos failles

Grille tarifaire par typologie, retest post-remédiation, spécificités API/mobile/cloud/LLM, impact sur la prime d'assurance cyber.

Rédigé par Nina Kristianov, analyste solutions IT B2B chez Foxeet · Mis à jour le 2026-07-29 · 12 min de lecture

Un pentest mal cadré coûte entre 15 et 40 k€ pour produire un rapport que personne n'exploite. Un test d'intrusion bien cadré coûte le même prix et découvre trois chemins d'attaque qui auraient rançonné votre SI dans les six mois. La différence ne tient ni au budget ni à la réputation du prestataire. Elle tient à la précision du brief, à l'exigence sur le retest, et à la capacité du commanditaire à poser les bonnes questions avant signature. Cet article s'adresse aux DSI et RSSI qui commandent un test de sécurité informatique pour la deuxième ou troisième fois, et qui commencent à douter que la mécanique en place détecte quoi que ce soit d'inhabituel. Nous chiffrons les fourchettes 2026 par périmètre, décomposons le cycle correction-contre-test que la plupart des devis oublient, ouvrons les typologies au-delà du boîte noire/grise/blanche générique, et posons le lien direct entre rapport de pentest récent et éligibilité à la cyber-assurance.

Ce qu'un pentest est vraiment, et ce qu'il n'est pas

Le mot est devenu élastique. Certains prestataires vendent sous ce label un scan Nessus assorti d'un formatage de rapport. D'autres livrent un vrai test d intrusion cyber où deux consultants passent trois semaines à chaîner des vulnérabilités jusqu'à sortir un domaine admin. Le prix affiché ne trie pas.

La ligne de partage se trouve dans le livrable. Un vrai pentest test d'intrusion produit un récit d'attaque reproductible : point d'entrée, pivot, escalade de privilèges, exfiltration simulée, avec captures d'écran horodatées et commandes exécutées. Un rapport qui liste des CVE par ordre de criticité CVSS sans démontrer d'exploitation réelle n'est pas un pentest. Simplement un scan de vulnérabilités déguisé.

L'ANSSI distingue quatre grandes familles dans son guide PASSI : audit de configuration, audit d'architecture, test d'intrusion, audit organisationnel. Un test de vulnérabilité automatisé mensuel complète un pentest annuel. Il ne le remplace jamais. Le scan trouve ce que l'éditeur a documenté publiquement. Le pentest trouve ce que personne n'a encore nommé chez vous.

Nous n'avons pas pu vérifier en 2026 combien de RSSI confondent encore les deux dans leur pilotage budgétaire. Les retours terrain suggèrent que la moitié des lignes "pentest" au budget cyber financent en réalité des scans récurrents mal étiquetés.

Grille tarifaire 2026 : combien coûte un test d'intrusion selon le périmètre

Aucun concurrent ne chiffre publiquement. Voici les fourchettes que nous observons sur le marché français en 2026, prestataires PASSI ou équivalents.

Périmètre	Boîte noire	Boîte grise	Boîte blanche
Site vitrine + 1 formulaire	3 500 – 6 000 €	5 000 – 8 000 €	7 000 – 12 000 €
Application SaaS métier (10-30 endpoints)	8 000 – 15 000 €	12 000 – 22 000 €	18 000 – 35 000 €
API REST/GraphQL (50+ endpoints, OAuth complexe)	10 000 – 18 000 €	15 000 – 28 000 €	22 000 – 45 000 €
Périmètre externe complet (site + APIs + AD exposé)	15 000 – 30 000 €	25 000 – 50 000 €	40 000 – 80 000 €
Interne LAN + Active Directory complet	20 000 – 40 000 €	30 000 – 60 000 €	50 000 – 100 000 €

Ces fourchettes couvrent l'intervention, le rapport, la restitution orale et un premier retest bref. Elles n'incluent ni la remédiation, ni les retests successifs, ni le suivi trimestriel. La TVA s'ajoute.

Signal d'alarme sur devis. Un pentest boîte blanche facturé sous 6 000 € pour une SaaS de taille moyenne ne peut pas être sérieux. Le seul coût-jour d'un consultant senior PASSI (900-1 400 € HT) rend l'équation impossible en moins de cinq jours-hommes. Demandez le nombre de jours-consultant chiffré au devis, pas seulement le forfait global.

Le facteur qui fait vraiment varier la facture n'est pas la couleur de la boîte. La complexité du modèle de rôles applicatif pèse davantage. Une API avec cinq niveaux de rôles et des règles d'accès conditionnelles double le temps face à une API à deux rôles plats.

Pentest par techno : sortir de la typologie générique boîte noire/grise/blanche

La segmentation boîte noire/grise/blanche décrit le niveau de connaissance donné à l'attaquant. Elle ne dit rien de la cible. Or les compétences requises pour un test de sécurité pour sites web classique n'ont plus grand rapport avec celles d'un pentest sur une application LLM ou une infrastructure cloud éphémère.

API REST et GraphQL

Les failles dominantes sortent des top OWASP web : BOLA (Broken Object Level Authorization), mass assignment, injection sur requêtes GraphQL introspectées. Le pentester doit maîtriser Burp Suite Pro avec extensions custom et savoir écrire des requêtes GraphQL malicieuses à la main. Exigez au devis une expérience documentée sur au moins trois missions API récentes.

Mobile iOS et Android

Le pentest mobile ajoute la reverse d'application, l'analyse du stockage local et l'interception TLS avec pinning bypass (Frida, Objection). Peu de prestataires ont vraiment ces profils. Beaucoup sous-traitent silencieusement. Demandez le CV nominatif du consultant qui interviendra, pas la fiche corporate.

Cloud AWS, Azure, GCP

Le pentest cloud diffère par nature : pas de tir sur le socle du cloudeur (interdit contractuellement), mais examen exhaustif des configurations IAM, buckets exposés, secrets dans les Lambda, chemins de latéralisation entre comptes. Les outils changent : Pacu, ScoutSuite, Prowler. Exigez que le prestataire soit à jour sur les évolutions 2025-2026 des politiques AWS SCP et Azure Conditional Access.

Applications IA et LLM

Terrain neuf, peu de prestataires compétents. Les attaques ciblent l'injection de prompt, l'exfiltration via chaîne d'outils, l'empoisonnement de contexte RAG, le contournement de garde-fous par jeu de rôle. Le OWASP Top 10 LLM (2024, mis à jour 2025) sert de grille de départ. Si votre prestataire ne cite pas cette référence en RDV de cadrage, il n'est pas encore mûr sur ce périmètre.

Le retest post-remédiation : la moitié invisible du travail

Personne ne facture bien cette étape. Beaucoup l'oublient. Pourtant, une vulnérabilité corrigée sans retest documenté équivaut à une vulnérabilité non corrigée dans un dossier d'assurance ou un audit ISO 27001.

Le cycle réel ressemble à ceci : rapport initial → priorisation par gravité et effort → sprint de remédiation côté équipe interne → contre-test ciblé sur chaque finding corrigé → mise à jour du rapport avec statut par vulnérabilité (corrigée / corrigée partiellement / non corrigée / risque accepté).

Le contre-test doit vérifier deux choses distinctes. La faille précise décrite dans le rapport est-elle refermée ? La classe de vulnérabilité dont elle relevait a-t-elle été corrigée ailleurs ? Une injection SQL corrigée sur un endpoint n'apprend rien sur les 40 autres endpoints du même contrôleur.

Conseil expert. Négociez au devis initial un forfait de retest calibré à 20-30 % du budget principal, valable 6 mois. Fixez un délai maximum de 5 jours ouvrés entre notification "corrigé" et livraison du statut de retest. Sans cette clause, la remédiation traîne 6 à 9 mois et le rapport initial devient obsolète avant d'être clos.

La logique du compartimentage adopté après le Titanic éclaire cette exigence. Après 1912, les commissions n'ont pas rendu les coques plus épaisses. Elles ont imposé des cloisons étanches testables individuellement à quai par mise en pression, avec preuve refaite à chaque révision. Un rapport de pentest sans retest documenté, c'est un navire dont personne n'a jamais vérifié l'étanchéité compartiment par compartiment. La preuve doit se refaire, elle ne se déduit pas de la précédente. Structurez donc votre cahier des charges pour tester la propagation entre segments réseau et privilèges, pas seulement la solidité du périmètre. Exigez la démonstration écrite qu'un compromis d'un poste ne franchit pas la cloison suivante.

Pentest et assurance cyber : le rapport comme actif financier

Depuis 2024, quasiment toutes les cyber-assurances françaises exigent un test d'intrusion récent avant souscription au-dessus de 5 M€ de garantie. En 2026, cette exigence descend vers 1-2 M€ selon les courtiers. Le rapport devient un actif tangible qui influence directement la prime.

Ce qu'un souscripteur regarde vraiment dans votre rapport :

La date : au-delà de 12 mois, le rapport n'est plus recevable pour la plupart des assureurs.
Le périmètre couvert : un pentest qui ne teste que le site vitrine ne rassure personne sur le SI de production.
Le taux de remédiation : ratio findings corrigés / findings totaux, avec preuve de retest datée.
La présence de findings critiques non résolus assortis d'une acceptation de risque signée par la direction.

Trois postures observées chez les courtiers en 2025-2026 :

Rapport de moins de 12 mois avec taux de remédiation supérieur à 80 % sur les criticités hautes → prime standard, franchise contractuelle.
Rapport ancien ou périmètre insuffisant → surprime de 25 à 40 %, franchise doublée.
Aucun pentest ou refus de communiquer → exclusion pure sur l'aléa cyber, ou refus de garantie.

Ce que votre courtier ne vous dit pas toujours. Un rapport avec zéro finding critique inquiète autant qu'un rapport avec quinze. Zéro finding signale soit un périmètre trop étroit, soit un pentester qui n'a pas cherché. Un dossier idéal montre 8-15 findings dont 2-3 critiques, tous suivis d'un statut de remédiation daté et retesté.

Cette exigence des assureurs pousse une pratique plus mûre du pentest. Un rapport qui ne trouve rien ne se vend plus. Les prestataires sérieux le savent et briefent leur équipe pour aller au-delà de la couverture d'audit par cases à cocher.

Un dernier principe, emprunté à la fauconnerie kazakhe : le berkoutchi ne dresse jamais son oiseau avec une proie qu'il pourrait rencontrer en vrai. Il choisit des leurres qui ne ressemblent à aucun gibier réel, pour que l'attaque en chasse libre reste imprévisible pour la proie. Une red team efficace fonctionne pareil. Si votre prestataire rejoue les scénarios que votre SOC a déjà entraînés, il ne teste pas votre défense : il valide votre catalogue de détection. Exigez au brief des tactiques et outils absents des playbooks connus de vos équipes. C'est là que se cachent les vraies failles d'observabilité.

Cadrer le brief : les questions à poser avant signature

Un mauvais brief produit un bon rapport inutile. Les questions à poser au prestataire ne sont pas techniques d'abord. Elles cartographient son mode opératoire réel.

Combien de jours-consultant sont facturés, à quelle séniorité, avec quel taux journalier moyen ?
Le consultant qui interviendra est-il celui qui répond au RDV de cadrage ? Nommez-le au contrat.
Quel est votre process en cas de découverte d'une vulnérabilité critique en cours de mission ? Alerte immédiate, gel du périmètre, ou remontée au rapport final ?
Combien de retests sont inclus dans le forfait ? Sur quel délai après notification de correction ?
Livrez-vous un rapport lisible par la direction générale (executive summary de 2 pages) en plus du rapport technique ?
Acceptez-vous une clause de non-régression : si un finding refermé se rouvre dans les 3 mois, vous re-testez sans facturation ?

Ces questions déplacent la logique commerciale. Elles obligent le prestataire à révéler son mode opératoire réel plutôt qu'à réciter son offre. Un pentester compétent y répond en 15 minutes avec des exemples concrets. Un vendeur pur bute sur la troisième et renvoie vers "le pôle technique".

Le test d'intrusion qui vaut son prix se cadre en amont. La qualité du livrable dépend à 60 % du cadrage, 30 % de l'exécution, 10 % du talent brut du consultant. Un consultant moyen sur un excellent brief produit plus de valeur qu'une star sur un brief flou.

Conclusion : rendre le pentest actionnable

Un test de sécurité des données ne se juge pas au nombre de pages du rapport. Il se juge à trois indicateurs simples : combien de vulnérabilités critiques ont été refermées et retestées dans les 90 jours suivant la livraison, combien de contrôles de détection ont été ajoutés au SOC à partir des TTP observés, quelle diminution de la surface d'attaque externe entre deux campagnes annuelles.

Prochaine étape concrète : ouvrez votre dernier rapport de pentest. Calculez ces trois indicateurs sur les 12 derniers mois. Si vous ne pouvez pas répondre en cinq minutes, ce n'est pas la faute du prestataire. Le pilotage interne doit s'ajuster avant de commander le suivant.

Pour aller plus loin

Tout savoir sur Qu'est ce qu'un Pentest ?

Pourquoi faire un pentest ?

Un pentest identifie les chemins d'attaque exploitables réellement, pas seulement les vulnérabilités théoriques listées par un scan. Trois motivations dominent : obligation contractuelle (client, assureur, référentiel type PCI-DSS ou ISO 27001), validation d'un nouveau produit avant mise en production, ou vérification post-incident. Un rapport récent devient également un actif dans une due diligence M&A ou lors d'un renouvellement de cyber-assurance au-dessus de 1-2 M€ de garantie.

Quelle différence entre un pentest et un scan de vulnérabilités ?

Le scan de vulnérabilités est automatisé (Nessus, Qualys, OpenVAS) et détecte les failles publiquement documentées (CVE) sur un périmètre étendu, en quelques heures. Le pentest est manuel, mené par un consultant qui chaîne plusieurs failles pour démontrer une exploitation réelle avec impact business chiffré. Le scan produit une liste triée par CVSS ; le pentest produit un récit d'attaque reproductible. Les deux sont complémentaires : scan mensuel automatisé + pentest annuel manuel.

Quelle différence entre un pentest web et un scan de vulnérabilité applicative ?

Un scan applicatif type Burp Scanner ou Acunetix crawle l'application et teste des payloads standards (XSS, SQLi, path traversal). Il détecte les failles techniques évidentes mais rate systématiquement les vulnérabilités logiques : contournement d'autorisation entre utilisateurs (BOLA), abus de workflow métier, mass assignment sur des champs cachés. Un pentest web mobilise un humain qui comprend la logique fonctionnelle de l'application et invente des attaques que le scanner ne peut pas générer sans intention métier.

Quelle différence entre un pentest et une Red Team ?

Le pentest a un périmètre technique défini (une application, un réseau) et cherche l'exhaustivité des vulnérabilités dans ce périmètre. La Red Team a un objectif business (compromettre les paies, exfiltrer un CRM, prendre le contrôle d'une usine) et utilise tous les vecteurs disponibles : technique, social engineering, physique. Le pentest teste la surface d'attaque, la Red Team teste la capacité de détection et de réponse de vos équipes SOC. Une Red Team dure 4 à 12 semaines et coûte 3 à 5 fois plus qu'un pentest équivalent en surface.

Un pentest peut-il déclencher une obligation RGPD ?

Oui, dans deux cas. Si le pentest révèle une violation de données antérieure ignorée (données déjà exfiltrées, bucket ouvert historique), le responsable de traitement doit notifier la CNIL sous 72 heures. Si le pentest lui-même accède à des données personnelles réelles pendant les tests, le prestataire doit être qualifié sous-traitant au sens RGPD avec un accord écrit encadrant l'accès. Prévoyez systématiquement un environnement de préproduction avec données anonymisées ; si impossible, formalisez l'accord de sous-traitance avant démarrage.

À quelle fréquence réaliser un pentest ?

La règle de référence : un pentest complet annuel sur le périmètre externe critique, complété par un pentest ciblé après chaque changement majeur d'architecture (mise en production d'une nouvelle API, migration cloud, refonte du modèle d'authentification). Pour les périmètres soumis à réglementation (PCI-DSS impose annuel + après changement significatif), la fréquence est contractuellement imposée. Entre deux pentests, un scan automatisé mensuel et une veille CTI sur vos technologies exposées assurent la couverture continue.