Prix d'un pentest entreprise : ce qui fait vraiment varier l'effort

Le prix d'un pentest dépend du travail nécessaire pour tester un périmètre défini et fournir des conclusions exploitables. Pour comparer des devis, alignez les cibles, les rôles utilisateurs, les scénarios, les livrables et les conditions de retest. Un montant seul ne permet pas de juger la couverture réelle.

Ce qui fait varier l'effort

• Le périmètre : applications, API, adresses exposées, réseau interne ou Active Directory.
• La complexité : rôles utilisateurs, séparation entre clients, fonctions sensibles et dépendances.
• Les conditions : accès fournis, documentation, contraintes de production et plages autorisées.
• Les livrables : preuves, recommandations, synthèse pour la direction et restitution technique.
• Le suivi : vérification des corrections et périmètre du retest s'il est prévu.

Une application comportant plusieurs profils d'accès peut demander un travail important même si elle présente peu d'écrans. À l'inverse, un inventaire volumineux ne signifie pas que tous les actifs seront examinés avec la même profondeur. Faites préciser les choix de couverture et les exclusions.

La bonne comparaison : un même cahier des charges

Transmettez aux prestataires le même objectif, la même liste de cibles et les mêmes contraintes. Demandez ce qui est testé manuellement, quelles preuves seront fournies et comment les limites seront documentées. Un scan automatisé et un test d'intrusion avec validation des scénarios ne produisent pas les mêmes conclusions.

Une offre moins chère peut correspondre à un besoin plus limité. Elle n'est pas nécessairement inadéquate : vérifiez que cette limite est compatible avec votre objectif. Une offre plus coûteuse doit, elle aussi, expliquer le travail et les livrables supplémentaires.

Les postes à clarifier avant signature

Vérifiez si le cadrage, la préparation des accès, la restitution et le retest figurent dans le prix. Demandez comment seront traités un accès indisponible, un ajout de cible ou un changement important de l'application. Prévoyez aussi le temps de vos équipes pour fournir les informations et corriger les constats.

Un forfait reste possible lorsque ses hypothèses sont explicites. Ce sont le périmètre et les conditions convenus qui rendent le montant interprétable, pas la forme commerciale retenue.

Questions fréquentes

Peut-on obtenir un prix sans donner les détails techniques ?

Un premier échange peut orienter la demande, mais un devis fiable nécessite de connaître les cibles, les scénarios et les contraintes. Commencez par le cahier des charges pentest pour PME pour réunir les informations utiles.

Le retest est-il toujours compris ?

Vérifiez la proposition. L'inclusion, le calendrier, les constats couverts et le livrable du retest doivent être précisés. Tester une nouvelle fonctionnalité ne relève pas automatiquement de la vérification des corrections initiales.

Faut-il choisir un audit à la place pour réduire le budget ?

Choisissez selon la question à résoudre. Un audit et un pentest peuvent répondre à des besoins différents ; consultez notre comparaison audit et pentest avant de réduire le périmètre uniquement pour atteindre un montant.

Consultez notre offre de pentest pour cadrer une demande, ou la page prix d'un audit cybersécurité pour situer les autres types d'accompagnement.