En bref
Le prix d’un test d’intrusion suit le nombre de jours d’analyste, que fixent le périmètre, le nombre de rôles à croiser, l’environnement testé et le niveau de preuve attendu. Chez Reconmind, les prix d’entrée sont publiés avec ce qu’ils couvrent : à partir de 1 490 € HT pour un parcours critique d’une application web, 1 290 € HT pour une API, 2 400 € HT pour un domaine Active Directory. Un périmètre plus large se chiffre au cadrage, jamais au hasard.
Qu’est-ce qui détermine le prix d’un test d’intrusion ?
Un test d’intrusion est une prestation intellectuelle : son coût est essentiellement du temps d’analyste. Le prix est donc le produit d’un nombre de jours par le tarif de la personne qui les passe, auquel s’ajoutent la rédaction du rapport, la restitution et la vérification des correctifs. Tout ce qui ressemble à un facteur de prix se ramène à une question : combien de jours faut-il pour tester cela sérieusement ?
Cinq éléments pèsent sur ce nombre de jours, par ordre d’importance décroissante.
- Le nombre de rôles et de types de comptes. Le contrôle d’accès se teste par paires de rôles, et le nombre de paires croît plus vite que le nombre de rôles. C’est le facteur le plus sous-estimé, et celui qui révèle les failles les plus coûteuses.
- L’étendue du périmètre : nombre de parcours, d’écrans, de points d’entrée d’API, de workflows de validation. Chaque élément ajoute des cas à traiter.
- Les contraintes d’exécution : environnement de recette ou de production, heures ouvrées ou non, présence de comptes de test. Travailler en production impose des précautions qui prennent du temps.
- Le niveau d’information fourni. En boîte grise, avec des comptes de test et la documentation, le même budget couvre davantage de surface qu’en boîte noire, où une partie des jours sert à franchir les portes.
- Le niveau de preuve attendu. Un rapport destiné à un client, un assureur ou un régulateur demande une traçabilité plus lourde qu’une note interne. La différence porte surtout sur la rédaction.
Quels sont les prix d’entrée de Reconmind, et que couvrent-ils ?
Un prix « à partir de » n’a de valeur que si l’on sait ce qu’il achète. Pour chaque prestation chiffrée, le prix d’entrée figure ci-dessous en euros hors taxes, avec le périmètre exact qu’il couvre. Au-delà de ce périmètre, le devis est fixé au cadrage.
- Diagnostic d’exposition externe, à partir de 490 € HT, en 48 h ouvrées à compter de la signature du devis et de l’autorisation écrite (relevé passif, sans exploitation) : ce qui est visible de votre entreprise depuis Internet : domaines oubliés, services exposés, versions vulnérables connues, configuration de la messagerie, livré en note priorisée.
- Test d’intrusion web, à partir de 1 490 € HT, sur 2 à 3 jours : un parcours critique d’une application (authentification, espace client ou tunnel de paiement) avec un profil utilisateur et un environnement de recette.
- Test d’intrusion d’API, à partir de 1 290 € HT, sur 2 jours : une API jusqu’à une vingtaine de points d’entrée, documentée, avec un jeu d’identifiants de test.
- Audit de sécurité cloud, à partir de 1 290 € HT, sur 2 jours : un compte ou un abonnement cloud, en lecture seule : identités, droits, exposition réseau, journalisation, chiffrement.
- Test d’intrusion interne, à partir de 2 400 € HT, sur 3 à 4 jours : un site et ses segments réseau principaux (postes, serveurs, une zone sensible), testés depuis un accès réseau standard sans privilège particulier : services exposés en interne, cloisonnement entre segments, postes de travail, partages et secrets accessibles.
- Audit Active Directory, à partir de 2 400 € HT, sur 3 à 4 jours : un domaine Active Directory et un compte utilisateur standard : revue de la configuration de l’annuaire, comptes à privilèges et comptes de service, délégations, chemins d’élévation vers l’administration du domaine.
- Audit de code, à partir de 1 900 € HT, sur 3 jours : le module le plus sensible d’une application (autorisation, paiement, gestion des secrets) plutôt qu’un survol du dépôt entier.
- Red team, à partir de 6 900 € HT, sur 3 semaines : un objectif unique et un périmètre défini, sans accès physique ni campagne d’ingénierie sociale étendue.
Pourquoi un périmètre plus large coûte-t-il plus cher ?
Prenons le test web : son prix d’entrée correspond à un périmètre volontairement délimité, avec un seul parcours critique, un seul profil utilisateur et un environnement de recette. Chaque fois que l’un de ces trois éléments s’élargit, des jours s’ajoutent, et la logique est la même pour une API ou un audit cloud.
Les rôles d’abord. Avec un seul profil, on teste ce que peut faire cet utilisateur. Avec un administrateur, un gestionnaire et un utilisateur, il faut vérifier ce que chacun peut faire de ce qui appartient aux deux autres : l’ajout de ces rôles représente de l’ordre d’un à deux jours de plus. Sur une plateforme multi-locataires, le cloisonnement entre clients devient le cœur de la mission, et le périmètre se discute alors au cadrage plutôt qu’au catalogue.
L’étendue ensuite. Passer d’un parcours critique à l’application complète multiplie le nombre d’écrans et de points d’entrée bien plus que par deux, mais le prix ne suit pas la même pente, de l’ordre du double du prix d’entrée : la reconnaissance et la prise en main de l’application ne se paient qu’une fois. À l’échelle d’un système d’information entier, il vaut mieux découper en plusieurs missions que d’en faire une seule très longue.
Les contraintes enfin. Un environnement de production avec précautions renforcées entraîne un léger surcoût ; des créneaux de nuit ou de week-end imposés s’annoncent au cadrage. Ce sont des ordres de grandeur et non un barème : un devis sérieux détaille les jours et dit à quoi chacun sert.
Faut-il se méfier d’un prix très bas ?
Pas systématiquement. Un prix bas peut refléter un périmètre étroit et bien décrit, un environnement propre, des comptes fournis dès le premier jour ou une structure légère. C’est le cas de nos prix d’entrée, justement parce que le périmètre couvert est écrit noir sur blanc. Ce qui doit alerter, c’est un prix bas sans périmètre précis : dans ce cas, l’un des postes suivants a pu être réduit.
- Le temps manuel : la mission devient un scan outillé avec une relecture rapide.
- La reproduction des constats : le rapport contient des « potentiellement vulnérable », impossibles à corriger en confiance.
- La rédaction : un export d’outil, sans impact contextualisé ni correctif applicable.
- La restitution orale, qui est souvent le moment où les équipes comprennent la cause.
- La vérification des correctifs, parfois facturée en supplément alors qu’elle conditionne le résultat final.
Que doit contenir un devis pour être comparable ?
Deux devis au même montant peuvent décrire des prestations sans rapport. Pour les comparer, ramenez-les à une même grille avant de regarder le prix.
- Le périmètre nommé : quelles applications, quels domaines, quels rôles, quelles API. Un devis qui écrit seulement « application web » laisse ouverte la question de ce qui était inclus.
- La méthode de référence : le prestataire s’appuie-t-il sur une méthode publique, comme le guide de test de l’OWASP ou le guide NIST SP 800-115, et sur quelles familles de vérifications ? Une méthode citée permet de contrôler après coup ce qui a été fait.
- Le niveau d’information : boîte noire, grise ou blanche, avec ce que vous devez fournir pour que ce niveau soit atteint.
- La décomposition du temps : jours de préparation, de test manuel, de rédaction et de restitution.
- Le contenu du livrable : requêtes et réponses reproductibles, impact démontré, correctif proposé, synthèse destinée à la direction.
- Les conditions de contre-vérification : un contrôle des correctifs est-il inclus, dans quel délai, et pour quels constats ?
- La confidentialité et la conservation des données collectées pendant la mission.
Le prix le plus bas est-il toujours le plus mauvais ?
Non, et ce raccourci mérite d’être évité. Le montant seul dit peu : ce qui compte est sa cohérence avec le nombre de jours annoncés et avec le périmètre décrit.
Une vérification simple : divisez le prix par le nombre de jours-personne indiqué. Si le résultat est très inférieur à ce que coûte un analyste expérimenté, une partie du travail n’est pas faite par un analyste, ou n’est pas faite du tout. À l’inverse, un prix élevé ne prouve rien : demandez la même décomposition.
Enfin, le prix ne se juge pas sur la mission seule. Le coût réel d’un test inclut le temps de vos équipes pour corriger, et le coût du défaut qu’il n’a pas trouvé. Un rapport qui énumère des dizaines de constats sans les hiérarchiser coûte cher à traiter ; un rapport resserré sur des constats démontrés et classés par chemin d’attaque fait gagner des semaines à ceux qui corrigent.
À retenir
- 1Le prix d’un test d’intrusion suit le nombre de jours d’analyste : périmètre, rôles, environnement et niveau de preuve le fixent.
- 2Nos prix d’entrée sont publiés avec le périmètre exact qu’ils couvrent ; au-delà, le devis se fixe au cadrage.
- 3Le nombre de rôles pèse davantage que la technologie employée, et la boîte grise coûte moins cher à couverture égale.
- 4Demandez le nombre de jours-personne et la part de test manuel : la réponse classe les prestataires.
Comment dépenser moins sans dégrader le résultat ?