Tarifs
Tarifs d’un test d’intrusion : à partir de 1 490 € HT
Ce que ce prix couvre est écrit ci-dessous. La plupart des sites de sécurité écrivent « sur devis » : nous publions un prix d’entrée réel, le périmètre qu’il couvre mot pour mot, et ce qui le fait monter. Le cadrage, gratuit, transforme cet ordre de grandeur en prix ferme.
Tous les montants sont hors taxes. TVA de 20 % applicable en France.
Réponse courte
Combien coûte un test d’intrusion ?
Chez Reconmind, un test d’intrusion démarre à 1 490 € hors taxes. Ce prix couvre un parcours critique d’une application (authentification, espace client ou tunnel de paiement) avec un profil utilisateur, sur deux à trois jours. Une application complète avec plusieurs rôles coûte davantage, et ce qui fait monter le devis est publié sur cette page : le nombre de rôles à croiser d’abord, l’étendue du périmètre ensuite. Nous ne publions pas de simulateur : un cadrage de trente minutes donne un prix ferme, et il arrive qu’il fasse baisser l’estimation.
Diagnostic d’exposition
Pour savoir où vous en êtes avant d’engager une mission complète.
à partir de
490 €HT
48 h ouvrées
- Cartographie de votre surface externe, actifs oubliés compris
- Versions et configurations rapprochées des vulnérabilités connues, sans exploitation
- Revue des en-têtes, du chiffrement et de la protection du domaine e-mail
- Note de synthèse priorisée et restitution d’une heure
- Recommandation de la suite, y compris « rien pour l’instant »
Mission d’audit
le format standardUn périmètre défini, une équipe, un rapport opposable.
à partir de
1 490 €HT
2 à 15 jours
- Test d’intrusion ou audit sur un périmètre défini au cadrage
- Couche automatisée pour la largeur, analyse humaine pour la profondeur
- Chaque constat reproduit, avec preuve rejouable
- Synthèse de direction et rapport technique
- Restitution avec les équipes de développement
- Passe de vérification des correctifs incluse, jusqu’à 3 mois
Accompagnement continu
Pour tenir le niveau dans le temps plutôt qu’auditer une fois par an.
à partir de
290 €HT / mois
engagement 12 mois
- Supervision des alertes qualifiées et revue mensuelle de couverture
- Mise à jour des règles de détection
- Astreinte et point de contact en cas d’incident
- Diagnostic d’exposition trimestriel
- Jours de durcissement mobilisables selon le forfait
Ce que couvre le prix d’appel
Un plancher qu’on ne peut pas honorer est un appât. Le périmètre que couvre chaque prix d’entrée est décrit ici, assez précisément pour que vous puissiez nous le reprocher si ce n’était pas le cas.
dès1 490 €
Un parcours critique d’une application (authentification, espace client ou tunnel de paiement) avec un profil utilisateur et un environnement de recette.
2 à 3 jours
dès1 290 €
Une API jusqu’à une vingtaine de points d’entrée, documentée, avec un jeu d’identifiants de test.
2 jours
dès1 290 €
Un compte ou un abonnement cloud, en lecture seule : identités, droits, exposition réseau, journalisation, chiffrement.
2 jours
dès2 400 €
Un site et ses segments réseau principaux (postes, serveurs, une zone sensible), testés depuis un accès réseau standard sans privilège particulier : services exposés en interne, cloisonnement entre segments, postes de travail, partages et secrets accessibles.
3 à 4 jours
dès2 400 €
Un domaine Active Directory et un compte utilisateur standard : revue de la configuration de l’annuaire, comptes à privilèges et comptes de service, délégations, chemins d’élévation vers l’administration du domaine.
3 à 4 jours
dès1 900 €
Le module le plus sensible d’une application (autorisation, paiement, gestion des secrets) plutôt qu’un survol du dépôt entier.
3 jours
dès6 900 €
Un objectif unique et un périmètre défini, sans accès physique ni campagne d’ingénierie sociale étendue.
3 semaines
Les 4 facteurs, par ordre d’importance
Sans coefficient, et c’est volontaire. Un barème multiplicatif affiché publiquement produit des totaux effrayants dès qu’on cumule deux facteurs, alors qu’un périmètre deux fois plus grand ne coûte pas deux fois plus cher : la reconnaissance ne se paie qu’une fois.
Compris, jamais en option
- Passe de vérification des correctifs : Comprise dans toute mission offensive, dans les trois mois suivant la remise du rapport.
- Synthèse de direction : Comprise : le rapport technique et la synthèse pour un comité sont livrés ensemble.
- Restitution orale aux équipes : Comprise : une session de questions-réponses avec les équipes techniques.
- Attestation de correction : Comprise après la passe de vérification. Document daté et périmétré, opposable à un tiers.
Le nombre de rôles à croiser
Le contrôle d’accès se teste par paires de rôles, et le nombre de paires croît plus vite que le nombre de rôles. C’est le facteur le plus sous-estimé, et celui qui révèle les vulnérabilités les plus coûteuses.
- Un seul profil utilisateur : couvert par le prix d’entrée
- Administrateur, gestionnaire, utilisateur : un à deux jours de plus
- Plateforme multi-locataires : le cloisonnement entre clients devient le cœur de la mission
L’étendue du périmètre
Chaque écran, chaque point d’entrée et chaque compte de service ajoute des cas à traiter. La progression n’est pas proportionnelle : la reconnaissance et la prise en main ne se paient qu’une fois.
- Un parcours critique : prix d’entrée
- Une application complète : environ le double
- Un système d’information entier : le cadrage découpe en plusieurs missions plutôt qu’une seule très longue
Le niveau de preuve attendu
Un rapport destiné à un client, un assureur ou un régulateur demande une traçabilité plus lourde qu’une note interne. La différence porte sur la rédaction plutôt que sur la recherche.
- Rapport technique et synthèse de direction : compris
- Attestation opposable à un tiers après correction : comprise
- Format imposé par un donneur d’ordre, annexes de conformité : quelques heures de plus
Les contraintes d’exécution
Travailler sur un environnement de production, hors des heures ouvrées, ou sans compte de test, ralentit tout et impose des précautions qui prennent du temps.
- Environnement de recette, heures ouvrées : prix d’entrée
- Production avec précautions renforcées : léger surcoût
- Créneaux de nuit ou de week-end imposés : surcoût annoncé au cadrage
3 façons de réduire un devis
Un acheteur qui sait comment réduire son devis nous consulte au lieu de renoncer. Ces options sont réelles, et nous les proposons au cadrage quand le budget est contraint.
- 01
Resserrer le périmètre plutôt que la profondeur
Un parcours critique testé à fond vaut mieux qu’un survol de toute l’application. Nous proposons ce découpage de nous-mêmes quand le budget est contraint.
- 02
Fournir des comptes de test et la documentation
Une boîte grise bien préparée donne plus de résultats par euro dépensé qu’une boîte noire. Deux jours d’analyste passés à franchir une porte sont deux jours perdus.
- 03
Grouper plusieurs périmètres sur une même mission
La reconnaissance et la prise en main ne se paient qu’une fois : tester deux applications voisines ensemble coûte moins que deux missions séparées.
Prix plancher par prestation
Un prix plancher correspond à un périmètre resserré et bien préparé. Les missions complexes se situent au-dessus : le cadrage le dit avant la signature, jamais après.
| Prestation | Durée indicative | À partir de | Détail |
|---|---|---|---|
| Cybersécurité offensive19 prestations | |||
| Pentest webTest d’intrusion d’application web (pentest web) | 2 à 15 jours selon le périmètre | 1 490 €à partir de, pour une application à périmètre défini | Voir la fiche Pentest web |
| Pentest APITest d’intrusion d’API (pentest API) | 2 à 10 jours | 1 290 € | Voir la fiche Pentest API |
| Audit cloudAudit de sécurité cloud | 2 à 12 jours | 1 290 € | Voir la fiche Audit cloud |
| Pentest interneTest d’intrusion interne (pentest réseau interne) | 3 à 12 jours | 2 400 € | Voir la fiche Pentest interne |
| Red teamMission red team | 3 à 8 semaines | 6 900 €selon les objectifs, la durée et le niveau de discrétion exigé | Voir la fiche Red team |
| Audit de codeAudit de code et de chaîne logicielle | 3 à 15 jours selon le volume de code | 1 900 € | Voir la fiche Audit de code |
| Pentest mobileTest d’intrusion d’application mobile iOS et Android (pentest mobile) | 4 à 10 jours selon les plateformes et la profondeur | sur devissur devis après cadrage : le prix dépend du nombre de plateformes, d’écrans et d’API couverts | Voir la fiche Pentest mobile |
| Audit Active DirectoryAudit Active Directory : chemins d’attaque et modèle d’administration | 3 à 10 jours selon la taille de la forêt | 2 400 €à partir de, pour un domaine et un compte standard ; plusieurs domaines, forêts ou un annuaire hybride sur devis après cadrage | Voir la fiche Audit Active Directory |
| Audit Microsoft 365Audit de sécurité Microsoft 365 et Entra ID | 3 à 8 jours selon la taille du tenant | sur devissur devis après cadrage : le prix dépend du nombre de services Microsoft 365 et d’appareils gérés | Voir la fiche Audit Microsoft 365 |
| Pentest IA et LLMTest d’intrusion d’application d’IA générative et de LLM | 3 à 10 jours selon le nombre d’outils et de sources de données | sur devissur devis après cadrage : le prix dépend du nombre d’outils, de sources de données et de rôles testés | Voir la fiche Pentest IA et LLM |
| Pentest IoT et embarquéTest d’intrusion d’objets connectés et de systèmes embarqués | 5 à 15 jours selon la complexité de l’objet | sur devissur devis après cadrage : le prix dépend du matériel, des protocoles radio et de la profondeur d’analyse | Voir la fiche Pentest IoT et embarqué |
| Audit Wi-FiAudit de sécurité Wi-Fi d’entreprise | 2 à 5 jours selon le nombre de sites | sur devissur devis après cadrage : le prix dépend du nombre de sites et de réseaux sans fil, déplacements compris | Voir la fiche Audit Wi-Fi |
| Ingénierie socialeIngénierie sociale : hameçonnage ciblé, vishing et intrusion physique | 3 à 10 jours, répartis sur plusieurs semaines | sur devissur devis après cadrage : le prix dépend des vecteurs retenus (messages, appels, présence sur site) et du nombre de sites | Voir la fiche Ingénierie sociale |
| Purple teamExercice purple team : améliorer la détection avec l’attaque rejouée | 2 à 5 jours d’atelier, plus une préparation | sur devissur devis après cadrage : le prix dépend du nombre de scénarios et de la durée de l’atelier | Voir la fiche Purple team |
| Audit KubernetesAudit de sécurité Kubernetes et conteneurs | 3 à 8 jours selon la taille du cluster | sur devissur devis après cadrage : le prix dépend du nombre de clusters, d’espaces de noms et de la chaîne de déploiement | Voir la fiche Audit Kubernetes |
| Surface exposéeSurveillance de la surface d’attaque exposée sur Internet (EASM) | mise en place en 1 à 2 jours, puis suivi continu | 190 €par mois, pour un périmètre défini de domaines et d’adresses ; un état des lieux ponctuel existe aussi avec le diagnostic d’exposition externe | Voir la fiche Surface exposée |
| Pentest post-compromissionTest d’intrusion post-compromission : partir d’un poste ou d’un compte piégé | 5 à 10 jours selon la taille du réseau interne et le nombre d’objectifs | sur devissur devis après cadrage : le prix dépend de la taille du réseau interne, du point de départ et du nombre d’objectifs | Voir la fiche Pentest post-compromission |
| Bug bounty et VDPBug bounty et politique de divulgation : préparer et piloter le programme | préparation de 2 à 4 semaines, puis appui au triage à la demande | sur devissur devis après cadrage : le prix dépend du périmètre exposé, du volume de signalements attendu et de la part de triage confiée | Voir la fiche Bug bounty et VDP |
| Pentest de conformitéTest d’intrusion de conformité : PCI DSS, HDS, SOC 2 et ISO 27001 | 3 à 15 jours selon le périmètre et le nombre d’environnements | sur devissur devis après cadrage : le prix dépend du périmètre exigé par la norme, du nombre d’environnements et des tests de segmentation | Voir la fiche Pentest de conformité |
| Cybersécurité défensive13 prestations | |||
| DurcissementDurcissement et architecture de sécurité | de quelques jours à un accompagnement au trimestre | 990 €par jour d’accompagnement, ou au forfait sur un périmètre défini | Voir la fiche Durcissement |
| Supervision & SOCDétection et supervision de sécurité (SOC pour PME) | mise en place de 2 à 6 semaines, puis supervision continue | 290 €par mois pour la supervision, après une mise en place facturée au forfait | Voir la fiche Supervision & SOC |
| Réponse à incidentRéponse à incident | intervention sous 24 h ouvrées ; sous 4 h pour les clients sous contrat | 1 190 €par jour d’intervention ; forfait de préparation disponible en amont | Voir la fiche Réponse à incident |
| Gestion des vulnérabilitésGestion des vulnérabilités et priorisation des correctifs | mise en place de 3 à 6 semaines, puis revue mensuelle en option | sur devissur devis après cadrage, selon la taille du parc et les outils déjà en place | Voir la fiche Gestion des vulnérabilités |
| Veille et CTIVeille sur les menaces et renseignement cyber (CTI) | cadrage de 1 à 2 semaines, puis veille continue sous abonnement | sur devissur devis après cadrage, selon le nombre de domaines, de marques et de sources suivis | Voir la fiche Veille et CTI |
| Exercice de crise cyberExercice de crise cyber : simulation pour direction et équipes | préparation de 2 à 3 semaines, exercice de 3 à 4 heures | sur devissur devis après cadrage, selon le format (sur table ou technique) et le nombre de participants | Voir la fiche Exercice de crise cyber |
| Sauvegardes et PCA/PRASauvegardes, PCA et PRA cyber : résilience face au rançongiciel | revue de 1 à 2 semaines, test de restauration inclus | sur devissur devis après cadrage, selon le nombre d’applications critiques et de sites | Voir la fiche Sauvegardes et PCA/PRA |
| DevSecOpsDevSecOps : sécuriser la chaîne CI/CD et le cycle de développement | mise en place de 3 à 6 semaines, selon le nombre de dépôts et de pipelines | sur devissur devis après cadrage, selon le nombre de dépôts et de chaînes de livraison | Voir la fiche DevSecOps |
| Sécurité OT industrielleSécurité OT et systèmes industriels : audit, segmentation, IEC 62443 | de 2 à 4 semaines selon le nombre de sites | sur devissur devis après cadrage, selon le nombre de sites et la taille des réseaux industriels | Voir la fiche Sécurité OT industrielle |
| Sécurité de la messagerieSécurité de la messagerie : SPF, DKIM, DMARC et anti-phishing | de 4 à 8 semaines pour atteindre la politique de rejet | sur devissur devis après cadrage, selon le nombre de domaines et d’outils qui envoient des e-mails | Voir la fiche Sécurité de la messagerie |
| Analyse forensiqueAnalyse forensique : investigation numérique après un incident | de quelques jours à 3 semaines selon le nombre de systèmes | sur devissur devis après cadrage, selon le nombre de systèmes à analyser et la profondeur demandée | Voir la fiche Analyse forensique |
| Identités et accèsSécurité des identités et des accès : MFA, IAM et comptes à privilèges | revue de 1 à 3 semaines, puis accompagnement du déploiement | sur devissur devis après cadrage, selon le nombre de comptes, d’annuaires et d’applications | Voir la fiche Identités et accès |
| Threat huntingChasse aux menaces (threat hunting) sur vos données EDR et SIEM | sessions de 3 à 8 jours, ponctuelles ou à rythme trimestriel | sur devissur devis après cadrage : le prix dépend du nombre d’hypothèses, du volume de données et du nombre de sources | Voir la fiche Threat hunting |
| Conformité cybersécurité12 prestations | |||
| Conformité NIS 2Mise en conformité NIS 2 | 3 à 9 mois selon le périmètre et le niveau de départ | 1 900 €pour une analyse d’écarts et un plan ; accompagnement ensuite au forfait | Voir la fiche Conformité NIS 2 |
| SensibilisationSensibilisation et campagnes de phishing | sessions de 1 à 3 h ; campagnes sur 3 à 12 mois | 490 €par session ; campagnes de hameçonnage au forfait annuel | Voir la fiche Sensibilisation |
| RSSI externaliséRSSI externalisé (à temps partagé) | Engagement de 6 à 12 mois, quelques jours par mois | sur devissur devis après cadrage ; le rythme en jours par mois fixe le prix | Voir la fiche RSSI externalisé |
| Accompagnement ISO 27001Accompagnement à la certification ISO 27001 | 6 à 12 mois du cadrage à l’audit de certification, selon le point de départ | 1 900 €pour une analyse d’écarts et un plan ; accompagnement ensuite au forfait | Voir la fiche Accompagnement ISO 27001 |
| Conformité DORAConformité DORA : entités financières et prestataires TIC | 2 à 6 mois selon le périmètre et le niveau de départ | sur devissur devis après cadrage | Voir la fiche Conformité DORA |
| Sécurité RGPDSécurité RGPD : mesures de l’article 32, AIPD et violations | 3 à 8 semaines selon le nombre de traitements concernés | sur devissur devis après cadrage | Voir la fiche Sécurité RGPD |
| Analyse de risques EBIOSAnalyse de risques EBIOS Risk Manager | 2 à 6 semaines selon l’objet analysé | sur devissur devis après cadrage | Voir la fiche Analyse de risques EBIOS |
| PSSI et procéduresPolitique de sécurité (PSSI), chartes et procédures | 3 à 8 semaines selon le nombre de politiques et de procédures | sur devissur devis après cadrage | Voir la fiche PSSI et procédures |
| Homologation de sécuritéHomologation de sécurité d’un système d’information (RGS) | 2 à 6 mois selon la taille du système et le niveau d’exigence | sur devissur devis après cadrage | Voir la fiche Homologation de sécurité |
| Questionnaires sécurité clientsQuestionnaires de sécurité clients et plans d’assurance sécurité | 1 à 3 semaines pour la base, puis au fil des demandes | sur devissur devis après cadrage ; traitement ponctuel d’un questionnaire possible | Voir la fiche Questionnaires sécurité clients |
| Formation développeursFormation au développement sécurisé pour équipes de développement | 1 à 3 jours de formation, avec suivi optionnel | sur devissur devis après cadrage | Voir la fiche Formation développeurs |
| Audit organisationnelAudit organisationnel de sécurité : maturité et gouvernance | 1 à 3 semaines selon la taille de l’organisation | sur devissur devis après cadrage | Voir la fiche Audit organisationnel |
Cette grille est la référence en cas d’écart avec une autre page du site. Prix susceptibles d’évoluer ; une proposition signée fait foi pour la durée qu’elle indique.
Compris dans chaque mission
- Cadrage préalable, gratuit et sans engagement
- Autorisation écrite et règles d’engagement formalisées
- Accord de confidentialité signé
- Synthèse de direction et rapport technique
- Restitution orale avec vos équipes
- Signalement immédiat de toute vulnérabilité critique
- Passe de vérification des correctifs, jusqu’à 3 mois
- Destruction documentée des données collectées
Ce qui sort du forfait
- Une seconde passe complète après un changement majeur de périmètre
- Les jours d’accompagnement de correction au-delà de la mission d’audit
- Les déplacements hors Île-de-France, au réel et validés à l’avance
- Les licences d’outils spécifiques exigées par votre environnement
- Les interventions d’urgence hors heures ouvrées sans contrat de supervision
Prix et devis
Combien coûte un test d’intrusion ?
Un test d’intrusion d’application web commence à 1 490 € HT pour un périmètre défini. Un audit cloud démarre à 1 290 € HT, un audit interne à 2 400 € HT, une mission red team à 6 900 € HT. Un diagnostic d’exposition, plus court, commence à 490 € HT. Ces montants sont des prix plancher : le prix final dépend du périmètre réel, que le cadrage établit avant tout engagement.
Pourquoi un devis plutôt qu’un tarif fixe ?
Parce que le travail dépend de la surface. Une application à trois rôles, deux parcours et une API interne ne demande pas le même effort qu’une plateforme multi-tenant avec soixante endpoints et trois intégrations partenaires. Un tarif unique conduirait soit à surfacturer les petits périmètres, soit à bâcler les grands. Le cadrage est gratuit et débouche sur un prix ferme.
Proposez-vous un accompagnement dans la durée ?
Oui, sous deux formes. Un abonnement de supervision et de détection à partir de 290 € HT par mois, qui inclut la veille sur les alertes, la revue mensuelle de couverture et l’astreinte en cas d’incident. Et un accompagnement de durcissement en jours, mobilisables au trimestre, pour avancer avec vos équipes sur un plan de correction.
Avant de décider
- LivrableCe que vous recevez à la finLa structure réelle du livrable, fiche de vulnérabilité comprise.
- ArticlePourquoi deux devis varient d’un facteur dixCe qu’il faut lire dans une proposition avant de comparer.
- ComparatifScan ou test d’intrusion ?L’arbitrage qui explique la plupart des écarts de prix.
Réponse à toute demande sous 24 h ouvrées
Un devis ferme sous 3 jours ouvrés
Le cadrage dure trente minutes. Il débouche sur un périmètre, une durée et un prix ferme, ou sur la recommandation d’une autre prestation.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début