Comparatif
Scan ou test d’intrusion : lequel choisir, critère par critère ?
En résumé
Un scan de vulnérabilités est automatisé et répond à la question « des défauts connus sont-ils présents ? ». Un test d’intrusion ajoute un travail humain et répond à « que peut obtenir un attaquant ? ». Choisissez le scan pour surveiller un parc dans la durée, à partir de 190 € par mois, et le test d’intrusion pour une application qui porte du chiffre d’affaires ou des données sensibles, à partir de 1 490 €. L’un ne remplace pas l’autre sur le contrôle d’accès et la logique métier.
Sommaire : 5 sections
Ce que chaque option fait, et ce qu’elle ne fait pas
Surveiller le connu, largement et régulièrement.
Scan de vulnérabilités récurrent
Un outil compare vos actifs exposés à une base de défauts catalogués : versions vulnérables, configurations par défaut, en-têtes manquants. Il répond à la question « ai-je régressé depuis le mois dernier ? », pas à « que pourrait faire un attaquant ? ».
- Prix
- À partir de 190 € par mois. Le prix monte avec le nombre d’actifs et la fréquence des passes.
- Durée
- Mise en place en quelques jours, puis passes mensuelles
Ce que cela apporte
- Couvre des centaines d’actifs à un coût unitaire très bas.
- Répétable chaque mois : il détecte une régression de configuration ou un nouvel actif oublié.
- Résultat rapide, sans mobiliser vos équipes pendant plusieurs jours.
- Bon outil de preuve de suivi pour un auditeur ou un assureur.
Ce que cela ne fait pas
- Ne comprend pas votre métier : il ne sait pas qu’un utilisateur ne doit pas lire la facture d’un autre.
- Ne chaîne pas les défauts : trois constats « faibles » restent trois lignes faibles.
- Produit des faux positifs qu’il faut trier, et ne prouve pas l’exploitabilité.
Savoir ce qu’un attaquant obtiendrait.
Test d’intrusion
Un analyste attaque votre application avec des comptes réels, outillé mais surtout en lecture humaine. Il démontre chaque vulnérabilité par sa requête, sa réponse et son impact, et traite ce que les outils ne voient pas.
- Prix
- À partir de 1 490 € pour une application web, à partir de 1 290 € pour une API. Le prix monte avec le nombre de rôles, de parcours et le niveau de preuve exigé.
- Durée
- 2 à 15 jours selon le périmètre
Ce que cela apporte
- Trouve les failles de contrôle d’accès et de logique métier, les plus coûteuses en cas d’incident.
- Chaîne plusieurs défauts mineurs pour mesurer l’impact réel.
- Chaque constat est reproduit, prouvé et accompagné d’un correctif applicable.
- Rapport recevable par un client grand compte ou un auditeur exigeant.
Ce que cela ne fait pas
- Photographie à une date donnée : un déploiement le lendemain peut introduire une régression.
- Coût d’entrée nettement supérieur à celui d’une passe de scan.
- Demande de préparer des comptes de test et de désigner un référent côté client.
Un verdict par ligne
La colonne de droite tranche. Quand les deux options se valent, elle le dit : c’est un résultat à part entière.
| Critère | Scan de vulnérabilités récurrent | Test d’intrusion | Avantage |
|---|---|---|---|
| Question à laquelle on répond | Des défauts connus sont-ils présents sur mes actifs ? | Que peut obtenir un attaquant sur cette application ? | égal |
| Largeur de couverture | Très large, des centaines d’actifs en une passe. | Ciblée sur un périmètre défini, traitée en profondeur. | Scan de vulnérabilités récurrent |
| Contrôle d’accès et logique métier | Hors de portée d’un outil, qui ne connaît pas les règles de votre métier. | Cœur du travail humain, avec plusieurs identités et plusieurs rôles. | Test d’intrusion |
| Régularité dans le temps | Mensuelle ou continue, adaptée aux parcs qui bougent. | Ponctuelle, à renouveler après une évolution majeure. | Scan de vulnérabilités récurrent |
| Preuve d’exploitation | Détection par motif, sans démonstration de l’impact. | Requête, réponse et impact démontrés pour chaque constat. | Test d’intrusion |
| Coût d’entrée | À partir de 190 € par mois. | À partir de 1 490 € pour une application web. | Scan de vulnérabilités récurrent |
| Bruit à trier | Faux positifs et constats théoriques à qualifier par vos équipes. | Seuls les constats reproduits sont remis. | Test d’intrusion |
| Recevabilité devant un client ou un auditeur | Accepté comme preuve de surveillance, pas comme test d’intrusion. | Format attendu quand un contrat ou un questionnaire exige un test. | Test d’intrusion |
Lequel dans votre situation
Prenez scan de vulnérabilités récurrent si…
- Vous avez un parc étendu (sites, sous-domaines, serveurs exposés) et vous voulez détecter ce qui change entre deux audits.
- Votre budget sécurité démarre et vous voulez traiter d’abord les défauts connus avant de payer du travail humain.
- Vous avez déjà fait un test d’intrusion et vous voulez surveiller les régressions entre deux missions.
- Votre assureur ou un partenaire demande une preuve de suivi régulier, pas un test approfondi.
Prenez test d’intrusion si…
- Une application porte votre chiffre d’affaires, des comptes clients ou des flux financiers.
- Un client grand compte ou un appel d’offres exige un rapport de test d’intrusion.
- Votre plateforme sert plusieurs clients et le cloisonnement entre eux doit être vérifié avec deux identités.
- Vous préparez une levée de fonds ou une revue de due diligence technique.
- Votre scan est propre depuis des mois et vous voulez savoir ce qu’il ne voit pas.
Et si la réponse était « les deux » ?
Commencez par le scan, poursuivez avec le test d’intrusion. Le scan élimine le connu en quelques heures, ce qui permet à l’analyste de consacrer son temps au contrôle d’accès et à la logique métier plutôt qu’à redécouvrir des versions obsolètes. Après la mission, un scan récurrent surveille les régressions jusqu’au prochain test, à renouveler après une évolution majeure ou une fois par an sur une application critique.
Ce qu’on nous demande ensuite
Un scan de vulnérabilités peut-il remplacer un test d’intrusion ?
Non, pas sur les vulnérabilités qui coûtent le plus cher. Un scanner ne sait pas qu’un utilisateur ne devrait pas accéder aux données d’un autre, ni qu’une remise ne devrait pas se cumuler deux fois. Ces défauts de contrôle d’accès et de logique métier ne se trouvent qu’avec des comptes réels et une lecture humaine. Le scan reste utile, mais comme surveillance entre deux tests.
Par quoi commencer quand le budget est limité ?
Si l’application est critique, réduisez le périmètre d’un vrai test d’intrusion plutôt que de choisir un survol complet. Un test sérieux sur l’authentification et les API de facturation vaut mieux qu’une couverture superficielle. Si vous gérez surtout un parc d’actifs exposés sans application sensible, un scan récurrent à partir de 190 € par mois est le bon premier pas.
À quelle fréquence faut-il refaire chaque prestation ?
Le scan se répète mensuellement, voire en continu, parce que votre surface bouge. Le test d’intrusion se renouvelle après une évolution majeure de l’application (nouveau module, refonte de l’authentification, nouveau rôle) et au moins une fois par an sur un système critique. Un re-test après correction vérifie que les constats sont fermés.
Prestations concernées
- PrestationPentest webSavoir ce qu’un attaquant obtiendrait sur votre application.
- PrestationPentest APILes API portent les données et moins de garde-fous que les interfaces.
- PrestationSupervision & SOCUne attaque que personne ne voit dure plus longtemps et coûte plus cher.
Autres arbitrages
- ComparatifBoîte noire ou boîte grise ?Un test sans aucune information ou avec comptes et documentation. La boîte grise donne plus de résultats par euro dépensé ; la boîte noire répond à une autre question. Quand choisir chacune.
- ComparatifPentest ou red team ?Le test d’intrusion cherche le plus de failles possible sur un périmètre, la red team mesure si votre défense détecte un adversaire déterminé. Pourquoi la red team est souvent achetée trop tôt.
- ComparatifAudit de sécurité ou pentestUn audit de sécurité examine configuration, architecture ou code pour trouver des défauts ; un test d’intrusion démontre ce qu’un attaquant obtient. Différences, prix d’entrée et situations types.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début