Ce que coûte réellement un test d'intrusion

Les tarifs

Ce sont des points de départ, pas une carte. Chaque mission est fixée au forfait contre un périmètre écrit avant tout démarrage, il n'y a pas de facturation horaire, et le chiffre est confirmé par écrit dans les 24 heures suivant un appel de cadrage gratuit.

• Test d'application web - dès 500 $. OWASP Top 10 en manuel, authentification et autorisation, logique métier et détournement de parcours, et tests d'API en REST et GraphQL. Généralement trois à cinq jours ouvrés. Cadré selon le nombre de rôles utilisateurs, la taille de la surface d'endpoints et la présence d'une API dans le périmètre.
• Test réseau et Active Directory - dès 1 500 $. Tests réseau internes et externes, ADCS, Kerberoasting et abus d'ACL, chemins d'attaque cartographiés avec BloodHound et validation du cloisonnement. Cadré selon la taille du domaine, le nombre d'hôtes et les relations d'approbation.
• Test cloud - dès 1 500 $. Azure et l'infrastructure cloud relèvent du même palier infrastructure et se cadrent de la même manière.
• Test piloté par la conformité - dès 500 $. Le travail sur référentiels suit la même logique tarifaire : dès 500 $ pour un périmètre purement applicatif, dès 1 500 $ dès que l'infrastructure entre en jeu. Le référentiel change les preuves dont vous avez besoin, pas le coût du test lui-même.

Chaque mission inclut ce qui est souvent vendu en option : l'accompagnement à la remédiation pendant que vous corrigez, un contre-test confirmant que les correctifs tiennent, et une lettre d'attestation remettable à un client ou à un évaluateur. Le détail complet figure sur la page tarifs.

Pourquoi deux devis pour le même travail varient du simple au décuple

C'est la question qui revient le plus, et la réponse honnête est que l'essentiel de l'écart n'a rien à voir avec la qualité du test.

1. Des jours-testeur, pas des fonctionnalités

Un test d'intrusion se vend en journées d'attention d'une personne compétente. Une petite application avec un rôle et quarante endpoints représente une charge de travail réellement différente d'une plateforme avec six rôles, un parcours de paiement et une API publique. Convertissez chaque devis en jours-testeur et l'écart s'effondre le plus souvent. Si un prestataire refuse de vous dire combien de jours vous achetez, c'est déjà la conclusion.

2. Des frais de structure que vous financez

Le devis d'un grand cabinet porte une équipe commerciale, une gestion de comptes, un chef de projet, des locaux et une marge avant même qu'un paquet ne soit envoyé. Rien de tout cela n'améliore le test. C'est un coût réel de l'achat auprès d'une grande structure, et c'est l'essentiel de l'écart entre une mission à 2 000 $ et une à 18 000 $ pour la même application.

3. Qui fait réellement le travail

Les grands cabinets affectent des juniors aux petites missions et font relire la sortie par un senior. On vous facture à un taux mixte et on vous teste à un niveau junior. Avec un testeur indépendant, celui qui cadre est celui qui exécute et rédige, et la question mérite d'être posée explicitement à n'importe quel prestataire.

4. Travail manuel contre outillage

Un scanner trouve des en-têtes manquants, des bibliothèques obsolètes et des CVE connues. Il ne trouve pas un contrôle d'accès défaillant entre deux locataires, un parcours dont on peut sauter une étape, ni un champ de prix auquel le serveur fait confiance. Ce sont les constats qui comptent et ils ne viennent que d'un humain. Les devis les moins chers du marché sont souvent une sortie de scanner avec une page de garde, et c'est pourquoi le prix seul renseigne très peu.

5. Protection contre la dérive du périmètre

Un devis qui paraît bas puis facture à l'heure tout imprévu n'est pas un devis bas. Le forfait contre périmètre écrit est la seule version où le chiffre affiché est le chiffre payé.

6. Contre-test et remédiation

Beaucoup de cabinets facturent le contre-test séparément, alors que c'est précisément la partie qui prouve que vous avez corrigé quelque chose. Si un devis l'exclut, ajoutez-le avant de comparer.

7. L'échéance

Un travail qui doit démarrer cette semaine coûte plus cher partout, chez moi aussi. Si un contrat client ou une date d'audit motive le test, le moins cher est d'engager la conversation tôt.

Ce que vous ne devriez jamais payer

Certaines choses reviennent régulièrement dans les devis et ne valent pas d'argent. Un export brut de scanner, quelle que soit sa longueur. Un rapport sans étapes de reproduction, car vos ingénieurs ne peuvent rien en faire. Une liste de constats sans justification de gravité, ce qui rend le tri impossible. Un « test d'intrusion » sans tests authentifiés sur une application qui a des connexions, ce qui saute toute la zone où vivent les vrais constats. Et toute mission où personne ne veut nommer la personne qui teste ni ses certifications.

Estimer votre propre chiffre

Si vous voulez arriver à l'appel en sachant déjà à peu près où vous atterrirez, répondez à ces cinq questions : de quel type de système s'agit-il, quelle est sa taille en gros, combien de rôles utilisateurs distincts existent, une API est-elle dans le périmètre, et un référentiel ou un client fixe-t-il l'échéance. Ces cinq réponses déterminent presque tout le prix. Une explication plus longue figure dans combien coûte un test d'intrusion, et le rapport type montre ce que produit l'argent.

Selon la situation

Le coût fonctionne différemment selon ce qui motive le test. Si c'est une levée de fonds ou un grand compte, voyez coût d'un test d'intrusion pour startups. Si c'est un auditeur, voyez coût d'un test d'intrusion SOC 2 ou coût d'un test d'intrusion PCI DSS. Et si vous examinez une offre tout en bas du marché, lisez d'abord ce qu'achète réellement un test d'intrusion pas cher.