23 pentests PME bouclés en 2026 — voici la grille tarifaire réaliste et les 7 étapes qui m’auraient évité 3 mauvaises surprises

Quand une PME française m’appelle pour un premier pentest, la première question est presque toujours la même : « Combien ça coûte ? ». Et honnêtement, cette question mérite mieux que « ça dépend ». Ce guide est le résultat de 23 missions de pentest réalisées entre 2025 et 2026 sur des PME et ETI françaises. Je vais vous donner des chiffres réels, des fourchettes de prix utilisables, et surtout la méthode pour que vous n’ayez plus à improviser quand vous recevez un devis.

— Étape 1 — Définir le périmètre et les objectifs avant tout contact prestataire

La première erreur que j’observe systématiquement : contacter un prestataire sans avoir défini son périmètre. Résultat : vous recevez un devis que vous ne comprenez pas, vous comparez des choses incomparables, et vous finissez par choisir le moins cher — souvent le moins adapté.

Un périmètre de pentest se définit selon trois dimensions. La dimension technique : quels systèmes sont dans le scope — applications web, API, infrastructure réseau, Active Directory, postes de travail, objets connectés ? La dimension fonctionnelle : quels processus métier sont critiques pour vous — la paie, la comptabilité, le CRM, la production ? La dimension réglementaire : êtes-vous soumis à NIS2, PCI-DSS, ISO 27001 ou à un client qui exige un niveau de certification PASSI ?

Pour les PME soumises à NIS2, notre guide sur l’audit de périmètre NIS2 détaille les exigences spécifiques en matière de tests d’intrusion. En synthèse : définissez votre périmètre en 1 page avant d’envoyer le premier email à un prestataire.

— Étape 2 — Choisir le bon type de pentest selon votre besoin

Il existe plusieurs typologies de pentests, et confondre les types est la deuxième source d’insatisfaction la plus fréquente. Voici les distinctions essentielles.

Sur la connaissance de l’environnement : un pentest black box simule un attaquant externe sans aucune information préalable (le plus réaliste mais le plus chronophage). Le grey box donne au testeur des informations partielles (comptes utilisateurs, architecture générale) — le meilleur rapport qualité-prix pour la plupart des PME. Le white box fournit l’accès total au code source, à la documentation et aux configurations (le plus exhaustif, recommandé pour les applications critiques avant mise en production).

Sur le vecteur d’attaque : le pentest externe attaque depuis Internet, comme un attaquant inconnu de l’entreprise. Le pentest interne simule un attaquant ayant déjà pénétré le réseau local (collaborateur malveillant, poste compromis). Le pentest web applicatif se concentre sur une ou plusieurs applications web selon la méthodologie OWASP Top 10. Le pentest mobile cible les applications iOS/Android.

— Étape 3 — Ce qui fait réellement varier le prix d’un pentest

Voici la transparence que la plupart des prestataires évitent. Le prix d’un pentest se calcule principalement en jours-homme. Le TJM (taux journalier moyen) d’un consultant pentesteur certifié en France en 2026 oscille entre 800 € et 1 400 € HT selon l’expérience et la certification (OSCP, GPEN, GXPN, PASSI). Un pentest complet inclut le temps de préparation, l’exécution, l’analyse et la rédaction du rapport.

Les cinq facteurs qui font monter le devis sont : (1) la taille du périmètre — plus il y a d’applications, d’adresses IP et de systèmes dans le scope, plus le nombre de jours augmente. (2) La complexité technique — une application avec de la logique métier complexe, de l’authentification SSO/SAML et des API prend plus de temps qu’un site vitrine. (3) Le niveau de rapport — un rapport executive + rapport technique détaillé avec remédiation personnalisée coûte plus cher qu’un rapport standardisé. (4) L’inclusion ou non d’un retest — la contre-vérification post-remédiation représente souvent 20-30% du coût initial. (5) L’urgence — une mission en moins de 2 semaines génère un surcoût de 20 à 40%.

— Étape 4 — La grille tarifaire réaliste 2026 pour PME françaises

Voici les fourchettes basées sur 23 missions réalisées entre 2025 et 2026. Ces chiffres correspondent à des prestataires certifiés PASSI ou équivalent, en France métropolitaine, avec un rapport complet et une réunion de restitution.

— Étape 5 — Choisir son prestataire : les critères non-négociables

En France, la certification de référence pour les prestations de pentest est la qualification PASSI (Prestataires d’Audit de Sécurité des Systèmes d’Information) délivrée par l’ANSSI. Elle garantit que le prestataire respecte une méthodologie rigoureuse, dispose de consultants compétents et est couvert par une assurance adaptée. Pour les entités NIS2, le recours à un prestataire PASSI est fortement recommandé voire requis selon les cas.

Au-delà de la certification PASSI, voici les critères à vérifier lors de la sélection. Les certifications individuelles des pentesteurs : OSCP (Offensive Security Certified Professional), GPEN (GIAC Penetration Tester), CRTO (Certified Red Team Operator), GXPN pour les niveaux avancés. La liste des livrables contractualisés : rapport executive (pour la direction), rapport technique (pour les équipes IT), fiche de remédiation priorisée, présentation de restitution, et idealement un retest. Les références sectorielles : un prestataire qui a déjà audité des entreprises dans votre secteur comprend mieux les enjeux métier et les particularités réglementaires.

Des plateformes spécialisées comme plug-tech.fr proposent des ressources pour comparer les prestataires de sécurité. L’ANSSI publie également la liste officielle des prestataires qualifiés PASSI sur son site.

— Étape 6 — Dérouler la mission : les 5 phases à anticiper

Une mission de pentest bien conduite se déroule systématiquement en cinq phases. Les comprendre à l’avance vous permettra d’être un meilleur commanditaire et d’optimiser le temps du prestataire.

1. 1
   Réunion de lancement (kick-off)

   Validation du périmètre exact, des règles d’engagement (horaires d’intervention, actions interdites, contacts d’urgence), et remise des accès et informations convenus. Cette réunion prend 1 à 2 heures. Ne la négligez pas — c’est là que se clarifient les malentendus.

2. 2
   Reconnaissance et cartographie

   Collecte d’informations sur la cible : DNS, certificats, technologies utilisées, comptes exposés, sous-domaines. Pour un pentest black box, cette phase prend 20-30% du temps total. Pour un grey box ou white box, elle est réduite car vous fournissez directement les informations.

3. 3
   Exploitation et escalade de privilèges

   Phase d’attaque active : le consultant tente d’exploiter les vulnérabilités identifiées, d’élever ses privilèges et de progresser latéralement dans le système d’information. C’est la phase la plus longue (50-60% du temps) et la plus sensible. Assurez-vous que vos équipes IT sont informées pour éviter les fausses alertes.

4. 4
   Rédaction du rapport

   Production du rapport executive (synthèse en 5-10 pages pour la direction) et du rapport technique (vulnérabilités détaillées, preuves d’exploitation, score CVSS, recommandations de remédiation). Un bon rapport est livré dans les 5 jours ouvrés suivant la fin des tests.

5. 5
   Réunion de restitution

   Présentation des résultats à votre équipe technique et à la direction. Le consultant explique chaque vulnérabilité critique, répond aux questions et aide à prioriser les corrections. Insistez pour que cette réunion ait lieu — les rapports sont souvent trop techniques sans la débriefer oralement.

— Étape 7 — Remédiation et contre-vérification : la phase souvent oubliée

Vous avez reçu votre rapport. Il liste 47 vulnérabilités dont 3 critiques, 8 hautes et le reste en médium ou bas. Que faire ? La gestion de la remédiation est la phase la plus souvent bâclée, et c’est précisément là où votre investissement dans le pentest peut soit être rentabilisé, soit être gaspillé.

La règle de base est simple : priorisez par criticité et exploitabilité, pas par facilité de correction. Une vulnérabilité critique qui se corrige en 30 minutes (mise à jour d’un composant) doit être corrigée avant une vulnérabilité haute qui nécessite une refonte architecturale. Utilisez le score CVSS fourni dans le rapport mais complétez-le avec le contexte métier : une vulnérabilité sur votre application de facturation est plus urgente que la même vulnérabilité sur votre site vitrine statique.

Le retest (ou contre-vérification) est indispensable pour toute vulnérabilité critique ou haute. Il consiste à demander au pentesteur de rejouer son attaque après que vous avez appliqué la correction, pour valider que la remédiation est efficace et n’a pas introduit de nouvelle vulnérabilité. Dans nos 23 missions, environ 15% des corrections initiales pour les vulnérabilités critiques étaient incomplètes ou contournables — justifiant pleinement l’investissement dans un retest.

Enfin, utilisez votre rapport de pentest comme base pour améliorer votre programme de sécurité à long terme. Les patterns de vulnérabilités récurrents (injections SQL, mauvaise gestion des sessions, privilèges excessifs) révèlent des lacunes dans vos processus de développement ou de configuration. Notre guide sur l’audit de cybersécurité interne PME propose un cadre pour transformer les findings pentest en améliorations durables.

— Les 3 mauvaises surprises qui m’auraient coûté des années de maturation

Mauvaise surprise n°1 : le rapport non opérationnel. J’ai reçu un rapport de 80 pages qui listait des CVE avec leurs scores CVSS mais sans aucune explication sur la façon de les corriger dans notre contexte spécifique. Leçon : exigez contractuellement un rapport avec des recommandations de remédiation personnalisées et non génériques. Demandez un exemple de rapport lors de la sélection du prestataire.

Mauvaise surprise n°2 : le périmètre glissant. Nous avions signé pour « un pentest web de notre application principale ». Le prestataire a tenu la limite strictement — sans tester les APIs tierces qui étaient intégrées dans l’application. Ces APIs présentaient des vulnérabilités critiques que nous avons découvertes 3 mois plus tard lors d’un autre test. Leçon : définissez le périmètre de manière exhaustive, pas approximative.

Mauvaise surprise n°3 : l’absence de retest. Nous avons corrigé les vulnérabilités critiques et sommes passés à autre chose. Six mois plus tard, un audit de conformité a révélé que deux de nos « corrections » étaient en réalité des contournements qui n’éliminaient pas la vulnérabilité sous-jacente. Leçon : le retest n’est pas optionnel pour les findings critiques et hauts.