Test d'intrusion (pentest) pour PME : guide complet 2026

1. Introduction : pourquoi le pentest est devenu incontournable pour les PME

Pendant longtemps, le test d'intrusion était réservé aux banques, aux opérateurs télécoms et aux grandes administrations. Trop cher, trop complexe, trop peu utile pour une PME de 30 salariés. Ce temps est révolu.

En 2026, 60 % des cyberattaques déclarées en France visent des structures de moins de 250 salariés (ANSSI, rapport annuel 2025). Les cybercriminels ont industrialisé leurs méthodes : des outils automatisés scannent en permanence l'intégralité de l'espace d'adressage IPv4 mondial à la recherche de services exposés, de versions logicielles vulnérables, de formulaires web mal protégés. Être une petite entreprise ne vous protège plus — au contraire, votre surface d'attaque est souvent plus accessible que celle d'un grand groupe qui a investi massivement dans sa sécurité.

La bonne nouvelle : un pentest ciblé pour une PME n'est plus hors de portée budgétaire. Les tarifs ont nettement baissé depuis 2020, la concurrence s'est intensifiée, et les méthodologies se sont standardisées. Pour 3 000 à 8 000 €, vous obtenez une évaluation réaliste de votre exposition réelle — pas une liste de vulnérabilités théoriques générée automatiquement, mais une démonstration concrète de ce qu'un attaquant motivé peut faire de votre infrastructure.

Ce guide est écrit pour les dirigeants et responsables informatiques de PME qui n'ont jamais commandé de pentest, ou qui souhaitent comprendre ce qu'ils ont reçu après en avoir commandé un. Nous allons passer en revue ce qu'est réellement un test d'intrusion, les situations qui le justifient, les étapes concrètes d'une mission, les tarifs du marché et les critères pour choisir un prestataire sérieux.

2. Qu'est-ce qu'un test d'intrusion ?

Un test d'intrusion, ou pentest (de l'anglais penetration testing), est une mission au cours de laquelle un expert en sécurité offensive — le pentester — tente, avec votre autorisation explicite et dans un cadre contractuel strict, de s'introduire dans vos systèmes informatiques comme le ferait un attaquant réel. L'objectif n'est pas de lister des failles sur le papier, mais de démontrer ce qu'il est possible d'accomplir une fois qu'une vulnérabilité est exploitée.

Il existe trois grandes approches selon la quantité d'informations transmises au testeur avant la mission :

Pour la majorité des PME, nous recommandons l'approche boîte grise : elle est plus représentative du risque réel (la majorité des incidents implique un compte compromis en point de départ) et offre un meilleur rapport couverture/coût qu'un test boîte noire pur.

Il est essentiel de distinguer le pentest d'un scan de vulnérabilités. Un scan automatisé identifie des failles potentielles sans les exploiter — utile comme première évaluation, insuffisant pour mesurer votre risque réel. Le pentest va jusqu'à l'exploitation et mesure l'impact : un attaquant peut-il accéder à votre base de données clients ? Peut-il déposer un ransomware et le propager sur 50 postes ? Peut-il exfiltrer vos données sans déclencher la moindre alerte ? Ce sont les questions auxquelles un pentest répond.

3. Quand réaliser un pentest ?

La question n'est plus « si » vous devez réaliser un pentest, mais « quand ». Voici les situations qui le rendent particulièrement urgent ou pertinent.

• Avant une mise en production majeure

  Nouveau site e-commerce, refonte applicative, déploiement d'un portail client, API ouverte vers des partenaires : chaque nouvelle exposition sur Internet mérite une validation par un expert externe avant la mise en ligne. Corriger une faille avant la mise en production coûte dix fois moins cher qu'après.

• Lors d'une migration cloud ou d'un changement d'infrastructure

  Passer de serveurs on-premise à AWS, Azure ou OVHcloud crée temporairement des configurations hybrides complexes et des surfaces d'attaque nouvelles. Un pentest post-migration identifie les erreurs de configuration cloud — buckets S3 publics, groupes de sécurité trop permissifs, secrets exposés dans des dépôts — avant qu'elles ne soient exploitées.

• Dans le cadre d'une exigence réglementaire ou contractuelle

  La directive NIS2, applicable aux entités essentielles et importantes depuis octobre 2024, recommande explicitement les tests d'intrusion réguliers. De nombreux donneurs d'ordre (grands groupes, clients publics) exigent désormais une preuve de pentest récent dans leurs appels d'offres. Le secteur des paiements (PCI DSS) l'impose annuellement.

• Après un incident de sécurité

  Si votre entreprise a subi une attaque — même partiellement maîtrisée — un pentest post-incident valide que la porte d'entrée a bien été fermée et qu'il n'existe pas d'autres voies d'accès similaires que vous n'auriez pas détectées. C'est aussi souvent une exigence de votre assurance cyber pour maintenir votre couverture.

• Dans le cadre d'un programme de sécurité annuel

  Même sans événement déclencheur particulier, l'ANSSI recommande un pentest tous les un à deux ans. Le paysage des menaces évolue en permanence : une infrastructure qui était sécurisée il y a dix-huit mois peut présenter de nouvelles vulnérabilités liées à des dépendances logicielles obsolètes ou à des changements de configuration non documentés.

4. Les étapes d'un pentest PME

Comprendre le déroulement d'une mission vous permettra de mieux vous y préparer, de gérer les impacts opérationnels et d'évaluer la qualité du travail livré. Voici les phases d'un pentest professionnel.

1. 01

   Cadrage et définition du périmètre

   Avant tout test, un contrat précis définit exactement ce qui sera testé (adresses IP, domaines, applications) et ce qui est exclu (serveurs de production critiques, systèmes tiers non concernés). Cette étape inclut aussi la définition des plages horaires de test pour minimiser l'impact sur votre activité, les contacts d'urgence et les règles d'engagement (que faire si une vulnérabilité critique est découverte en cours de test ?). Un prestataire sérieux ne démarre jamais sans ce document signé.

2. 02

   Reconnaissance et cartographie

   Le pentester collecte des informations sur votre infrastructure depuis l'extérieur (OSINT) et depuis les accès fournis : sous-domaines exposés, services ouverts, versions logicielles, adresses email de collaborateurs, informations publiées sur LinkedIn et GitHub. Cette phase révèle souvent des surprises — des services oubliés exposés sur Internet, des credentials dans des dépôts publics, des informations sur votre architecture interne qui ne devraient pas être visibles.

3. 03

   Identification des vulnérabilités

   Combinant outils automatisés et analyse manuelle, le pentester identifie les failles potentielles : CVE dans vos logiciels, erreurs de configuration, problèmes d'authentification, injections SQL, XSS, mauvaises pratiques d'autorisation. L'analyse manuelle est indispensable — les scanners automatiques génèrent beaucoup de faux positifs et ratent de nombreuses vulnérabilités logiques qui ne sont visibles qu'à travers une compréhension du contexte métier.

4. 04

   Exploitation et escalade de privilèges

   C'est le cœur du pentest. Le testeur exploite les failles identifiées pour obtenir un premier accès, puis tente de l'élargir : récupération de credentials, mouvement latéral vers d'autres systèmes, escalade vers des droits administrateur, accès aux données sensibles. Chaque étape est documentée avec des captures d'écran et des logs horodatés. L'objectif n'est pas de causer des dégâts, mais de démontrer jusqu'où un attaquant pourrait aller — sans y aller réellement.

5. 05

   Rapport et restitution

   Le rapport final est livré en deux parties : un résumé exécutif lisible par un dirigeant non-technique (niveaux de risque, impact potentiel, recommandations prioritaires) et une section technique détaillée pour votre équipe IT ou votre prestataire informatique (description précise de chaque vulnérabilité, étapes de reproduction, correctifs recommandés). Une restitution orale avec les parties prenantes est incluse chez tout prestataire sérieux. Méfiez-vous des rapports de 200 pages de sorties brutes d'outils — ce n'est pas un pentest, c'est un scan habillé.

6. 06

   Retest post-remédiation (optionnel mais conseillé)

   Une fois les corrections apportées, un retest valide que les failles critiques et élevées ont bien été fermées. Cette étape est souvent négociée comme un forfait additionnel modeste (quelques heures) mais apporte une assurance précieuse : il n'est pas rare que la correction d'une faille introduise accidentellement une nouvelle vulnérabilité, ou qu'une faille soit partiellement corrigée sans l'être complètement.

5. Coûts et ROI : ce que ça vaut vraiment

La tarification d'un pentest repose essentiellement sur le nombre de jours-hommes nécessaires. Un pentester senior facture entre 800 et 1 500 €/jour selon son niveau de certification et la complexité de la mission. Voici les fourchettes réalistes pour les configurations les plus courantes en PME.

Ces montants peuvent sembler élevés. Remettez-les en perspective : le coût moyen d'un incident de sécurité pour une PME française est estimé à 97 000 € par l'ANSSI, en incluant la perte d'exploitation, les frais de remédiation, les notifications RGPD et l'atteinte à la réputation. Un pentest à 6 000 € représente 6 % de ce coût — et il peut l'éviter entièrement.

Méfiez-vous des offres à moins de 1 500 € pour un « pentest complet » : à ce tarif, vous achetez au mieux un scan de vulnérabilités automatisé enveloppé dans un rapport PDF généré automatiquement. Un vrai test d'intrusion nécessite des heures de travail manuel que des outils ne peuvent pas remplacer.

Pour maximiser la valeur de votre investissement, préparez votre PME avant la mission : assurez-vous que votre inventaire des actifs est à jour, que vos équipes IT sont disponibles pour répondre aux questions du pentester, et que les correctifs évidents (logiciels en fin de vie, mots de passe par défaut sur les équipements réseau) sont déjà appliqués. Vous ne voulez pas payer un expert à 1 200 €/jour pour constater que votre routeur utilise toujours le mot de passe d'usine.

À noter : depuis 2024, les PME peuvent accéder à des dispositifs d'aide à la cybersécurité via BPI France et certaines régions, couvrant jusqu'à 50 % du coût d'un premier pentest. Renseignez-vous auprès de votre CCI ou de votre conseil régional.

FAQ

Conclusion

Le test d'intrusion n'est plus un luxe réservé aux grandes organisations. En 2026, c'est un outil de gestion du risque accessible aux PME et proportionnel à leur budget. Pour 3 000 à 8 000 €, vous obtenez une réponse concrète à la question que tout dirigeant devrait se poser : si un attaquant déterminé s'en prenait à mon entreprise aujourd'hui, jusqu'où pourrait-il aller ?

La clé est de choisir un prestataire sérieux — idéalement qualifié PASSI par l'ANSSI — qui produit un rapport lisible et un plan de remédiation actionnable, pas un PDF de 300 pages illisible. Exigez une restitution orale avec vos équipes, un résumé exécutif compréhensible par votre direction, et un retest une fois les corrections apportées.

Si vous n'avez jamais réalisé de pentest, commencez par un test externe ciblé sur vos applications web et votre périmètre internet. C'est le point d'entrée le plus probable pour un attaquant, et c'est là que votre investissement aura le meilleur retour. Pour aller plus loin, un pentest interne complémentaire testera votre résilience face à un attaquant ayant déjà pris pied sur votre réseau — scénario qui concerne la grande majorité des incidents réels.