Un devis de pentest peut aller de quelques milliers d’euros à plusieurs dizaines de milliers. Si vous vous demandez combien coûte un pentest, la vraie réponse est simple : tout dépend du périmètre, de la profondeur attendue et de la valeur métier des systèmes à tester. Le prix n’est pas seulement celui d’une prestation technique. C’est aussi celui du temps passé à cadrer, tester, documenter et vous aider à corriger ce qui a été trouvé.

Pour une PME, le sujet revient souvent au même moment : migration cloud, mise en ligne d’une nouvelle application, exigence d’un client, préparation d’un audit ou volonté de vérifier que les protections en place tiennent réellement. Dans tous les cas, un pentest utile n’est pas un exercice cosmétique. Il doit répondre à une question opérationnelle précise : que peut réellement faire un attaquant, sur quel périmètre, et avec quelles conséquences pour l’entreprise ?

Combien coûte un pentest selon le type de cible

Le budget varie d’abord selon ce que vous voulez tester. Un site vitrine simple, une application métier exposée sur internet, un réseau interne multisite ou une API critique ne demandent ni le même temps ni les mêmes compétences.

Pour donner des repères réalistes, un pentest d’application web standard démarre souvent autour de 3 000 à 6 000 euros lorsque le périmètre est bien délimité et que le nombre de fonctionnalités critiques reste limité. Une application plus riche, avec authentification, gestion de rôles, tunnel d’achat, espace client ou interconnexions, bascule plus souvent entre 6 000 et 12 000 euros. Au-delà, on entre dans des environnements complexes où le coût dépend surtout du nombre de parcours métier à auditer.

Un pentest d’infrastructure externe, centré sur les actifs exposés sur internet, se situe fréquemment dans une fourchette de 2 500 à 8 000 euros. Si l’entreprise dispose de plusieurs adresses IP, de VPN, de passerelles de messagerie, d’accès distants ou d’environnements cloisonnés, le budget grimpe rapidement.

Le pentest interne est souvent plus coûteux que prévu. Beaucoup de décideurs l’imaginent plus simple, alors qu’il implique souvent d’analyser des relations de confiance, des droits trop larges, des postes utilisateurs, des serveurs, de l’Active Directory et parfois des accès entre sites. En pratique, il faut compter environ 5 000 à 15 000 euros selon la taille du système d’information.

Les tests sur API, applications mobiles, environnements cloud ou architectures hybrides sont encore plus variables. Le coût dépend moins de la technologie elle-même que de la logique métier, des mécanismes d’authentification et de la qualité de la documentation disponible.

Ce qui fait vraiment varier le prix

Le premier facteur est le périmètre. Tester 10 pages publiques n’a rien à voir avec l’analyse d’une application métier contenant plusieurs profils utilisateurs, des flux financiers ou des données sensibles. Plus le nombre de fonctionnalités, d’entrées et de scénarios augmente, plus le temps de test augmente.

Le deuxième facteur est la profondeur. Un prestataire peut réaliser un contrôle relativement standardisé pour vérifier les vulnérabilités les plus courantes. Il peut aussi conduire un test manuel avancé, avec recherche d’enchaînements d’attaques, contournement de protections, exploitation métier et validation d’impact. Les deux approches n’ont ni le même objectif ni le même prix.

Le troisième facteur est le niveau d’information fourni. En boîte noire, le test se fait avec très peu d’informations préalables, comme un attaquant externe. En boîte grise, certaines informations sont partagées, comme des comptes de test ou une documentation partielle. En boîte blanche, le prestataire dispose d’un maximum d’éléments techniques. Ce dernier cas n’est pas forcément le moins cher, car il peut permettre d’aller plus loin dans l’analyse au lieu de passer du temps à cartographier l’existant.

Le quatrième facteur est la qualité du livrable. Un bon rapport ne se contente pas de lister des failles. Il hiérarchise les risques, explique les conditions d’exploitation, précise les impacts métier et donne des recommandations actionnables. Si une restitution est prévue avec vos équipes techniques ou votre direction, cela fait aussi partie du coût.

Enfin, il faut regarder la phase de retest. Un pentest sérieux s’inscrit souvent en deux temps : l’audit, puis la vérification des corrections. Certains devis l’intègrent, d’autres non. La différence est importante, car sans validation finale, vous payez une photo du risque sans certitude sur sa résolution.

Les fourchettes de prix à connaître

Pour un dirigeant ou un responsable IT, les repères suivants sont souvent les plus utiles. En dessous de 2 000 euros, il s’agit rarement d’un pentest complet. On parle plus souvent d’un scan automatisé enrichi, d’un mini-audit ou d’un contrôle très limité. Cela peut être utile pour un premier niveau de visibilité, mais pas pour évaluer sérieusement l’exposition d’un système critique.

Entre 3 000 et 8 000 euros, on trouve la majorité des pentests ciblés pour PME : application web à périmètre réduit, infrastructure externe raisonnablement simple, ou vérification d’un composant précis. C’est souvent la bonne zone de budget lorsque l’objectif est clair et le cadrage bien préparé.

Entre 8 000 et 20 000 euros, on entre sur des environnements plus structurés : réseau interne, application métier riche, plusieurs cibles, besoin de tests manuels poussés, ou attentes élevées sur la restitution et l’accompagnement. Pour beaucoup d’entreprises, c’est la tranche où le rapport entre coût et utilité devient le plus intéressant.

Au-delà de 20 000 euros, on parle généralement d’environnements complexes, de campagnes multi-périmètres, de simulations d’attaque plus avancées ou d’organisations disposant de contraintes fortes en matière de conformité, de segmentation ou de disponibilité.

Pourquoi deux devis peuvent être très différents

Deux prestataires peuvent proposer des prix éloignés pour un périmètre apparemment similaire. Cela ne signifie pas automatiquement que l’un est trop cher ou que l’autre est une bonne affaire.

Dans certains cas, le devis bas repose sur beaucoup d’automatisation, peu de tests manuels et un rapport standardisé. C’est parfois suffisant pour une vérification de premier niveau. Mais si vous attendez une analyse qui colle à vos usages réels, aux droits utilisateurs, aux flux métiers ou aux interdépendances techniques, la part humaine devient déterminante.

À l’inverse, un devis plus élevé peut inclure le cadrage détaillé, les échanges avec vos équipes, des scénarios personnalisés, une réunion de restitution et un retest. Pour une entreprise qui veut sécuriser durablement son environnement, c’est souvent plus rentable qu’un audit moins cher mais difficile à exploiter.

Comment éviter de payer un pentest inutile

Le point de départ n’est pas le prix, mais la question à laquelle vous voulez répondre. Voulez-vous vérifier une application avant sa mise en production ? Tester la résistance de votre exposition internet ? Mesurer l’impact d’un compte compromis en interne ? Préparer une exigence contractuelle ? Sans cette clarté, vous risquez de payer trop pour un périmètre mal défini ou pas assez pour un enjeu critique.

Il faut aussi éviter le faux bon plan du “tout en un” mal cadré. Un pentest n’est pas une assurance générale contre le risque cyber. C’est une photographie ciblée, réalisée à un moment donné, sur un périmètre précis. Si votre système d’information bouge vite, l’intérêt n’est pas de faire un gros test isolé tous les trois ans, mais d’intégrer des contrôles réguliers sur les composants les plus sensibles.

Un autre point souvent sous-estimé est la capacité à corriger. Un excellent rapport ne crée aucune valeur si personne n’a le temps ou les compétences pour traiter les vulnérabilités relevées. Dans une logique de gestion centralisée, il est souvent plus efficace d’inscrire le pentest dans un accompagnement plus large, avec exploitation, support, suivi des remédiations et priorisation des actions. C’est précisément là qu’un partenaire unique peut simplifier les décisions et accélérer les corrections.

Combien coûte un pentest, et combien coûte l’absence de pentest ?

La vraie comparaison n’est pas seulement entre plusieurs devis. Elle se fait aussi entre le coût du test et le coût d’une faiblesse non détectée. Une faille exploitable sur une application exposée, un VPN mal protégé ou des droits internes trop larges peuvent entraîner une interruption d’activité, une fuite de données, une fraude ou une crise de confiance chez vos clients.

Cela ne veut pas dire qu’il faut tester tout, tout de suite. Cela veut dire qu’il faut choisir les bons périmètres, au bon moment, avec un niveau d’exigence cohérent avec vos risques réels. Pour une PME, le bon arbitrage consiste rarement à chercher le pentest le moins cher. Il consiste à acheter une évaluation utile, exploitable et proportionnée à la valeur des actifs concernés.

Si vous hésitez encore sur le budget à prévoir, partez d’un principe simple : plus votre activité dépend d’un service exposé, d’une application métier ou d’un accès distant, plus le pentest doit être pensé comme un outil de pilotage, pas comme une ligne de dépense isolée. C’est souvent à ce moment-là que le prix devient plus lisible, parce qu’il se rattache enfin à un risque concret et à une décision claire.