Prix d'un audit de sécurité web : combien ça coûte vraiment en 2026
Demandez à cinq prestataires le prix d'un audit de sécurité : vous obtiendrez cinq réponses réparties sur deux ordres de grandeur, toutes défendables. Ce n'est pas de la malhonnêteté, c'est que le mot « audit » ne désigne aucune quantité précise. Cet article explique ce que vous achetez à chaque niveau de prix, avec les chiffres publics quand il en existe, et surtout dans quels cas un audit bon marché est le mauvais achat.
Ce que vous payez, c'est du jour-homme
Presque tous les prix d'audit découlent d'un seul nombre : le nombre de jours qu'un humain passe sur votre application, multiplié par son tarif journalier. La méthodologie, le modèle de rapport, la plateforme — tout le reste est de l'emballage autour de ce nombre.
Certains prestataires publient. Le cabinet français Acylia affiche un TJM de pentester freelance de 600 à 1 000 € et trois exemples chiffrés : un test d'application web en boîte blanche sur 3 jours à 2 100 €, un test externe en boîte noire sur 6 jours à 4 800 €, un test interne sur un parc de plus de 500 postes sur 15 jours à 13 500 €. C'est la grille d'un prestataire, pas une moyenne de marché — mais la structure est la bonne : jours × tarif, rédaction comprise.
Une fois ce mécanisme intégré, l'écart de prix cesse d'être mystérieux. Un scanner ne coûte presque rien parce qu'aucun humain n'intervient. Un audit à prix fixe coûte quelques centaines d'euros parce que le temps humain est plafonné avant de commencer. Un test d'intrusion sur devis se chiffre en milliers, voire en dizaines de milliers d'euros, parce qu'il mobilise un ou deux spécialistes de quelques jours à trois semaines.
Pourquoi presque personne n'affiche ses prix
Si vous avez essayé de comparer, vous l'avez constaté : les grilles publiques sont rares. Plusieurs prestataires français établis ont une page dont l'URL promet des tarifs et dont le contenu n'en comporte aucun — seulement un formulaire de devis. La page de prix de Cobalt n'affiche qu'un seul montant public, 3 500 $ pour un pentest automatisé, et encore, présenté comme une offre à durée limitée ; tout le reste est renvoyé au commercial. Intruder publie une offre gratuite et « à partir de 3 500 $ par test » pour son pentest assisté par IA, mais masque les montants de ses offres Cloud et Pro.
Il y a de bonnes raisons à cela : le prix dépend réellement du périmètre, et le périmètre ne se connaît qu'après discussion. Il y en a de moins nobles : l'opacité rend la comparaison difficile, et les acheteurs grands comptes s'accommodent très bien du devis obligatoire.
Conséquence pour vous : tout chiffre que vous lisez en ligne — y compris ceux de cet article — est un ordre de grandeur, pas un prix. Quiconque annonce une moyenne de marché précise fait une estimation.
Niveau 1 : les outils automatiques, gratuits ou presque
On peut faire beaucoup pour zéro euro. OWASP ZAP est gratuit, open source, et explore et sonde une application web. Le MDN HTTP Observatory note vos en-têtes et votre configuration de transport en quelques secondes. Le Web Security Testing Guide de l'OWASP est la méthodologie complète, publiée sous licence Creative Commons, sur laquelle les professionnels travaillent réellement.
Juste au-dessus, les scanners commerciaux à prix public : Pentest-Tools.com démarre à 95 $/mois en engagement annuel pour 5 actifs, et le scanner DAST d'Astra démarre à 69 $/mois, 199 $ pour le palier standard.
Ce que ce niveau apporte vraiment : les CVE connues dans vos dépendances, les en-têtes de sécurité absents ou mal réglés, une configuration TLS faible, un panneau d'administration ou un fichier de sauvegarde exposé, les points d'injection les plus visibles, XSS réfléchi en tête — et, sous-estimé, la vérification en continu après chaque déploiement. Le détail de ce que vous pouvez lancer vous-même, et dans quel ordre, est dans par où commencer sans RSSI ni budget.
Ce qu'il ne peut structurellement pas apporter : tout ce qui demande de comprendre à quoi sert votre application. Un scanner ignore que la commande n° 4192 appartient à un autre client, qu'un champ role envoyé à l'inscription ne doit jamais être honoré, qu'un code promo de 12 % s'applique onze fois, ou que sauter la troisième étape du tunnel de commande expédie la marchandise sans paiement. Ce sont des failles de contrôle d'accès et de logique métier, parmi les plus coûteuses du Top 10 de l'OWASP, et aucun scanner ne les remonte. Vous récupérez par ailleurs une sortie brute, faux positifs compris, que quelqu'un doit trier : ce quelqu'un, c'est vous.
Niveau 2 : l'audit à prix fixe
Entre le scanner et le devis existe une catégorie étroite : une revue manuelle d'une application désignée, livrée pour un montant affiché à l'avance. Les offres PTaaS d'Astra (1 999 $ et 5 999 $ par an) en sont une variante ; un rapport unique produit par un développeur indépendant pour quelques centaines d'euros en est une autre.
L'arithmétique mérite d'être posée honnêtement. À 600–1 000 € la journée, une prestation à 200 € n'achète pas une semaine de travail. Elle achète une passe cadrée et limitée dans le temps sur la surface exposée d'une application : authentification et gestion de session, contrôle d'accès entre comptes, injections, endpoints exposés, configuration serveur et en-têtes, exposition des dépendances — avec des résultats reproduits à la main et rédigés.
C'est un vrai produit avec une vraie limite. Vous obtenez un rapport priorisé sur lequel agir, et que vous pouvez transmettre à un client qui vous interroge sur votre sécurité. Vous n'obtenez ni la profondeur de plusieurs semaines, ni la couverture de ce qui sort du périmètre annoncé, ni une attestation ayant une portée réglementaire. Si un prestataire à prix fixe laisse entendre le contraire, c'est le signal d'alarme.
Niveau 3 : le test d'intrusion sur devis
Au-delà de 3 000 à 5 000 €, vous achetez des jours-hommes cadrés. La même source Acylia avance 3 000 à 12 000 € pour une application web, et bien au-delà pour un réseau interne, un environnement cloud ou une campagne de red team — avec la réserve exprimée plus haut sur la solidité de ces chiffres.
Ce que cet argent achète et que les niveaux inférieurs ne peuvent pas fournir : plusieurs testeurs, des chemins d'attaque enchaînés, des tests authentifiés sur plusieurs rôles, de l'outillage sur mesure pour vos technologies, un cycle de re-test, et un prestataire identifié, que l'auditeur de votre client acceptera.
En France, il existe pour ce dernier point un repère officiel. La qualification PASSI de l'ANSSI couvre cinq portées d'audit — architecture, configuration, code source, tests d'intrusion, organisationnel et physique — et les prestataires qualifiés sont recensés dans l'annuaire public MesServicesCyber. Si votre contrat ou votre régulateur exige un prestataire qualifié, le prix n'est plus la variable que vous optimisez.
Les cas où il faut payer beaucoup plus cher
Soyez franc avec vous-même sur ce qui s'applique :
- Vous manipulez des données de carte bancaire. PCI DSS v4.x impose des tests d'intrusion internes et externes au moins annuels et après tout changement significatif, au titre de l'exigence 11.4, évalués au regard d'une méthodologie documentée — voir le PCI Security Standards Council. Un rapport bon marché ne satisfait pas un évaluateur.
- Vous hébergez des données de santé. L'hébergement de données de santé à caractère personnel exige la certification HDS, délivrée par un organisme accrédité COFRAC après revue documentaire et audit sur site. C'est un programme de certification, pas un pentest, et aucun audit ne s'y substitue.
- Vous relevez de NIS 2. Les ressources de l'ANSSI et son référentiel ReCyF décrivent ce qui est attendu des entités essentielles et importantes. C'est une démarche continue, pas un achat ponctuel.
- Vous devez tenir l'article 32 du RGPD. Le texte exige « une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles » (art. 32(1)(d)). Le mot important est procédure. Un rapport, une fois, n'en constitue pas une.
- L'application est réellement complexe ou critique. SaaS multi-tenant dont il faut prouver l'isolation, cryptographie maison, flux monétaires, systèmes industriels ou médicaux. Cela se compte en jours, pas en heures.
- Un client exige une attestation. Si un questionnaire achats nomme une qualification, seul un prestataire qui la détient débloque le contrat.
Trois questions qui démasquent un mauvais devis
Trois questions suffisent à savoir si le montant annoncé correspond à du travail :
- Combien de jours-hommes, et réalisés par qui ?
- Quelle part du travail est manuelle, quelle part est de la sortie d'outil ?
- Un re-test est-il compris dans le prix ou facturé à part, et dans quel délai ?
Les questions qui portent sur le contenu de la livraison — périmètre écrit, reproductibilité des constats, attestation, sort des preuves — sont réunies dans comment lire un rapport de sécurité, qui est l'endroit où elles servent vraiment.
Deux signaux d'alerte à nommer. Un « rapport » qui n'est qu'un export PDF de scanner avec un logo : demandez les étapes de reproduction et observez la réponse. Et la facturation à la vulnérabilité trouvée, qui récompense discrètement le volume plutôt que la justesse.
Le vrai budget, c'est la correction
L'audit est la partie la moins chère. Dans le rapport State of Pentesting 2026 de Cobalt — publication d'un éditeur, à lire comme telle —, l'organisation médiane met 39 jours à corriger ses constats à risque élevé. Le même rapport donne une demi-vie de ces constats de 10 jours chez les organisations les plus performantes, et de 249 jours chez les moins performantes. Un rapport que personne n'a le temps de traiter est de l'argent dépensé en anxiété. Décidez qui portera la remédiation avant de décider qui fera les tests.
Le tableau honnête
| Scanner automatique | Audit à prix fixe | Pentest sur devis | |
|---|---|---|---|
| Ordre de grandeur | Gratuit à ~200 $/mois | Quelques centaines d'€ à ~2 000 € | 3 000 € à 50 000 €+ |
| Délai | Minutes à heures | Quelques jours | 2 à 8 semaines, cadrage compris |
| Analyse humaine | Aucune | Cadrée, un testeur | Jours négociés, souvent plusieurs testeurs |
| CVE connues, en-têtes, TLS, fichiers exposés | Oui | Oui | Oui |
| Contrôle d'accès cassé et logique métier | Non | En partie, dans le temps imparti | Oui, systématiquement |
| Faux positifs écartés | Non | Oui | Oui |
| En continu, après chaque déploiement | Oui | Non | Non |
| Re-test après correctifs | Sans objet | Parfois | Généralement |
| Attestation acceptée par un auditeur ou un régulateur | Non | Non | Selon la qualification du prestataire |
| Réseau interne, code source, mobile, ingénierie sociale | Non | Non | Si cadré et payé |
| Pertinent pour | L'hygiène continue | Un premier vrai regard sur une application | Conformité, systèmes critiques, profondeur |
Ces trois niveaux ne sont pas concurrents. La séquence raisonnable pour une petite équipe : faire tourner les outils gratuits en continu — la liste et l'ordre sont ici —, obtenir un regard manuel sur l'application pour trouver ce que les outils ne trouvent pas, puis basculer sur une mission cadrée quand la réglementation, un contrat ou un risque réel l'imposent. Avant de signer quoi que ce soit, sachez à quoi ressemble le document que vous achetez.
Si c'est la ligne du milieu qui vous correspond — une application web et son API, un rapport écrit, un prix connu d'avance —, voici l'offre exacte.
C'est ce que vend iwantreport.dev : une application web et son API, testées sur l'OWASP Top 10, l'API Security Top 10, le CWE Top 25 et l'ASVS — un scanner en première passe, puis chaque résultat reproduit à la main avant d'entrer dans le rapport. Rapport écrit sous 48 h, un re-test inclus, 200 €, garantie satisfait ou remboursé 30 jours : il vous suffit d'en faire la demande par email dans les 30 jours suivant la livraison. Hors périmètre : le réseau interne, la revue de code source, le phishing et l'ingénierie sociale, les tests de charge ou de déni de service, et les applications mobiles.