En bref
Pour comparer des devis de test d’intrusion, ramenez chacun à neuf lignes : périmètre, jours-homme d’analyste, niveau d’information (boîte noire, grise ou blanche), rôles testés, contre-audit des correctifs, livrables, qualification si elle est exigée, cadre d’engagement et prix. Un écart de prix s’explique le plus souvent par l’une de ces lignes. Le total seul ne dit rien, et l’offre la plus basse cache fréquemment un périmètre plus étroit ou moins de jours de travail.
Pourquoi le prix total ne suffit-il pas à comparer deux devis ?
Deux devis intitulés « test d’intrusion » peuvent décrire des travaux sans commune mesure : l’un porte sur une page de connexion et un profil utilisateur, l’autre sur l’application entière avec trois rôles. Le prix suit le travail, pas le titre. Comparer les totaux revient à comparer deux paniers sans regarder ce qu’ils contiennent.
La grille ci-dessous sert à rendre les offres comparables avant de parler de prix. Elle s’applique à un test d’application web ou d’API, et se transpose à un audit cloud ou d’infrastructure en adaptant la ligne du périmètre.
Quelles lignes mettre dans la grille de comparaison ?
- Périmètre : nombre d’applications, d’API, de points d’entrée, d’environnements, et ce qui est exclu. Deux devis sur « l’application » ne portent pas sur la même chose tant que les écrans et les points d’entrée ne sont pas listés.
- Jours-homme : nombre de jours d’analyste facturés, et leur répartition entre reconnaissance, tests, rédaction et restitution. Un devis qui n’indique pas de nombre de jours ne se compare à rien.
- Niveau d’information : boîte noire (aucune information fournie), boîte grise (comptes de test, documentation), boîte blanche (code source). Le guide NIST SP 800-115 présente les techniques de boîte blanche et de boîte noire comme complémentaires, leur combinaison portant le nom de gray box. En boîte noire, une partie des jours sert à franchir l’accès ; en boîte grise, elle sert à chercher derrière.
- Rôles testés : nombre de profils d’utilisateurs et présence de deux organisations distinctes pour vérifier le cloisonnement. C’est le facteur qui fait le plus varier la durée d’une mission.
- Contre-audit : la vérification des correctifs est-elle incluse ou facturée, dans quel délai, en combien de passes, avec ou sans attestation ?
- Livrables : rapport technique, synthèse de direction, fiches reproductibles, annexes, restitution orale. Demandez un extrait de rapport anonymisé, ou un exemple fictif, pour juger la preuve fournie.
- Qualification : si un cadre réglementaire ou un donneur d’ordre vous impose un prestataire qualifié, par exemple PASSI, vérifiez-le avant tout le reste, sur la liste publiée par l’ANSSI. Reconmind ne revendique aucune qualification PASSI : si votre contexte l’exige, nous le disons dès le cadrage.
- Cadre d’engagement : autorisation écrite, règles d’engagement, assurance, confidentialité, traitement des données, interdits.
- Prix : forfait ou régie, prix du jour d’analyste, et ce qui est facturé en plus (déplacement, rédaction supplémentaire, nouvelle passe).
Comment lire le nombre de jours annoncé ?
Le nombre de jours est la ligne la plus parlante, à condition de la décomposer. Deux à trois jours couvrent un parcours précis ; dix applications en trois jours ne laissent aucune place à l’analyse. Demandez la répartition entre reconnaissance et prise en main, tests, rédaction et restitution. Une rédaction réduite à quelques heures, ou une restitution absente, peut annoncer un livrable qui s’arrête au fichier PDF.
Rapporté au nombre de jours, le prix du jour d’analyste permet de comparer deux offres de même périmètre. Il ne se compare pas d’un prestataire à l’autre sans savoir qui fait le travail : une journée d’analyste expérimenté et une journée de débutant supervisé ne contiennent pas la même chose. Demandez qui intervient, et avec quelle expérience des environnements comparables au vôtre.
Comment se situent nos prix d’entrée dans cette grille ?
Nos prix d’entrée sont publiés avec leur périmètre : 1 490 € HT pour un test web, qui couvre 2 à 3 jours sur un parcours critique avec un profil utilisateur et un environnement de recette, et 1 290 € HT pour un test d’API, qui couvre 2 jours sur une API documentée jusqu’à une vingtaine de points d’entrée. La passe de vérification, la synthèse de direction, la restitution orale et l’attestation de correction sont comprises.
Un devis qui annonce moins pour un périmètre équivalent doit expliquer l’écart : moins de jours, périmètre plus étroit, ou part d’automatisation. Un devis plus élevé doit montrer ce qu’il achète en plus : rôles, profondeur, niveau de preuve. Une offre bon marché n’est pas suspecte en soi ; c’est l’écart inexpliqué qui l’est.
Quels écarts entre deux devis doivent alerter ?
- Un prix du jour d’analyste très inférieur à celui des autres offres : il peut signaler que la part humaine est remplacée par de l’outil.
- Un même nombre de jours pour des périmètres très différents, ou trois jours pour dix applications.
- Un forfait sans périmètre ni durée écrits.
- Un contre-audit qui n’est pas mentionné : s’il n’est pas écrit, il est vraisemblablement facturé ou absent.
- Un rapport décrit comme complet sans exemple à lire.
- Des exclusions en bas de page qui retirent les rôles ou les environnements que vous aviez demandés.
Que faire quand deux devis restent proches ?
Départagez-les sur la qualité de l’échange de cadrage et sur l’analyste. Un prestataire qui pose des questions précises sur vos rôles, vos données et vos contraintes d’exploitation donne un aperçu de la mission à venir ; celui qui renvoie un devis sans vous avoir écouté en donne un autre.
À qualité égale, préférez celui qui dit ce qu’il ne fera pas. Une mission qui annonce ses limites vous évite la mauvaise surprise de la restitution, et vous laisse décider d’un second périmètre en connaissance de cause.
À retenir
- 1Un devis se compare sur neuf lignes : périmètre, jours-homme, niveau d’information, rôles, contre-audit, livrables, qualification, cadre et prix.
- 2Le périmètre et le nombre de jours d’analyste expliquent l’essentiel des écarts de prix entre deux offres.
- 3Contre-audit, restitution et attestation sont inclus chez certains prestataires et facturés chez d’autres : demandez-le par écrit.
- 4Notez « non précisé » plutôt que de supposer : une ligne vide est une question à poser avant de signer.
Comment procéder pour obtenir des devis comparables ?