Prix d'un pentest entreprise : ce qui fait vraiment varier l'effort

Un pentest sérieux ne se vend pas comme un forfait standard. Deux prestations portant le même nom peuvent avoir des profondeurs d'investigation, des hypothèses de départ et des livrables très différents.

1. Ce qui fait varier le plus l'effort

• Le nombre d'actifs, d'adresses, d'applications ou d'API à couvrir.
• Le type de test : externe, interne, web, API, Active Directory, retest.
• Le niveau de preuve et de restitution attendu après la mission.

2. Les comparaisons trompeuses

Un tarif très bas cache souvent un périmètre réduit, une profondeur d'exploitation limitée ou un rapport peu exploitable. L'objectif n'est pas d'acheter un document, mais de démontrer des chemins d'exploitation crédibles et de prioriser les corrections.

3. Le bon réflexe

Avant de demander un prix, posez d'abord les bonnes questions: quels actifs, quel scénario, quelle profondeur, quel retest, quelle audience de restitution ?

Et pour élargir la comparaison aux autres types de missions (audit de maturité, RSSI externalisé, SOC), consultez notre grille des prix d'un audit cybersécurité.