En 2026, la question n'est plus de savoir si votre entreprise sera ciblée par une cyberattaque, mais quand. Selon le rapport ANSSI 2025, les incidents de sécurité déclarés par les organisations françaises ont progressé de 38 % en un an. Parallèlement, la directive NIS2 — transposée en droit français en octobre 2025 — impose désormais à des milliers d'entreprises des obligations concrètes en matière de tests de sécurité. Dans ce contexte, le test d'intrusion (ou pentest) est devenu un outil incontournable.
Mais qu'est-ce qu'un pentest, exactement ? Combien ça coûte ? Que contient le rapport final ? Comment choisir entre black box, grey box et white box ? Ce guide répond à toutes ces questions avec des données concrètes issues de nos missions en 2025-2026.
1. Pourquoi réaliser un pentest en 2026 ?
Le contexte réglementaire et économique rend les tests d'intrusion plus pertinents que jamais. Trois forces convergent.
NIS2 et les exigences réglementaires
La directive NIS2 (Network and Information Security 2) élargit considérablement le périmètre des entreprises concernées par les obligations de cybersécurité. Environ 15 000 entités françaises sont désormais soumises à ces exigences — contre quelques centaines sous NIS1. L'article 21 de la directive impose explicitement des "tests et évaluations réguliers de l'efficacité des mesures de gestion des risques de cybersécurité". Traduction concrète : un pentest annuel est une réponse directe à cette obligation.
DORA (Digital Operational Resilience Act), qui s'applique au secteur financier depuis janvier 2025, va plus loin : elle exige des tests de pénétration basés sur la menace (TLPT — Threat-Led Penetration Testing) pour les entités financières d'importance systémique. Ces tests, supervisés par les régulateurs (BCE, ACPR), s'appuient sur des frameworks comme TIBER-EU.
Des statistiques qui font réfléchir
Le coût moyen d'une violation de données en France atteint 4,2 millions d'euros en 2025 (source : IBM Cost of a Data Breach Report). Le délai médian entre l'intrusion initiale et sa détection reste supérieur à 190 jours pour les organisations sans SOC. Un test d'intrusion, qui coûte entre 3 000 et 20 000 euros, représente une fraction infime de ce coût potentiel — tout en permettant de corriger les failles avant qu'elles ne soient exploitées par de vrais attaquants.
Les vulnérabilités que les scanners ne trouvent pas
Les outils de scan automatisé (DAST, SAST, scanners de vulnérabilités) détectent les failles connues et cataloguées. Mais ils passent à côté de la logique métier défaillante, des chaînes d'exploitation multi-vecteurs, des escalades de privilèges subtiles ou des failles de configuration que seul un expert humain peut identifier et enchaîner. C'est précisément ce que fait un pentesteur expérimenté : penser comme un attaquant, combiner plusieurs vecteurs et démontrer l'impact réel d'une exploitation.
2. La méthodologie d'un pentest en 5 phases
Un test d'intrusion professionnel ne consiste pas à lancer des outils et à collecter des alertes. Il s'agit d'une démarche structurée, reproductible et documentée. Voici les 5 phases que suivent nos experts chez WebGuard Agency, conformément aux standards PTES (Penetration Testing Execution Standard) et OWASP.
Reconnaissance (OSINT & cartographie de la surface d'attaque)
Phase passive et active de collecte d'informations. Le pentesteur utilise des sources ouvertes (OSINT) — Shodan, Censys, LinkedIn, Google Dorks, GitHub, registres WHOIS, certificats SSL — pour cartographier la surface d'attaque visible depuis Internet. En interne, la reconnaissance inclut l'énumération Active Directory, la découverte des services exposés et la cartographie des relations de confiance. Cette phase est souvent la plus révélatrice : des sous-domaines oubliés, des services de développement exposés en production, des credentials dans des dépôts publics — autant de découvertes qui précèdent l'exploitation.
Scanning & énumération des vulnérabilités
Identification systématique des vulnérabilités techniques : scans de ports et de services (Nmap), analyse des versions logicielles, détection des CVE applicables, fuzzing des paramètres applicatifs (Burp Suite, ffuf), énumération des endpoints API. Le pentesteur enrichit les résultats automatisés par une analyse manuelle approfondie, notamment pour les vulnérabilités de type logique métier, les défauts d'autorisation (IDOR, BOLA) et les injections non détectées par les scanners standards. La priorisation des vecteurs d'attaque les plus prometteurs est établie à l'issue de cette phase.
Exploitation & preuve d'impact
C'est le cœur du pentest : l'exploitation réelle des vulnérabilités identifiées pour démontrer leur impact concret. Injection SQL menant à une exfiltration de données, XSS stockée permettant de prendre le contrôle de comptes administrateurs, misconfiguration cloud exposant des buckets S3, escalade de privilèges Active Directory jusqu'au contrôle de domaine (DCSync, Golden Ticket), exploitation d'une CVE sur un service non patché… Chaque exploitation est documentée avec captures d'écran, requêtes/réponses brutes et démonstration de l'impact (accès aux données, exécution de code, déplacement latéral).
Post-exploitation & pivoting
Une fois un accès initial obtenu, le pentesteur cherche à maintenir la persistance, étendre son périmètre d'action (pivoting réseau), élever ses privilèges et accéder aux actifs critiques définis dans le périmètre de la mission. Cette phase révèle la profondeur réelle d'une compromission potentielle : est-ce qu'un attaquant qui pénètre un serveur web exposé peut, en rebondissant, atteindre la base de données clients ? Les systèmes industriels (OT/SCADA) ? Le réseau de sauvegarde ? Les réponses à ces questions sont d'une valeur inestimable pour les équipes de sécurité.
Rapport & plan de remédiation
Phase finale et souvent la plus importante pour le client : la production d'un rapport exhaustif, structuré et actionnable. Un bon rapport de pentest comporte un executive summary accessible aux dirigeants non techniques, un inventaire complet des vulnérabilités classées par score CVSS v4.0, des preuves d'exploitation détaillées, et un plan de remédiation priorisé avec des délais recommandés (72h pour le critique, 30j pour le haut, 90j pour le moyen). Nous détaillons ce livrable en section 5 de cet article.
3. Grille tarifaire : combien coûte un pentest en 2026 ?
Les prix des tests d'intrusion varient considérablement selon le périmètre, la complexité, la modalité (black/grey/white box) et le niveau de certification des intervenants. Voici une grille tarifaire représentative du marché français en 2026, établie sur la base de nos missions et des tarifs publiés par les acteurs certifiés PASSI.
| Type de pentest | Périmètre | Durée estimée | Fourchette de prix (HT) |
|---|---|---|---|
| Application web | Site vitrine / e-commerce standard | 3–4 jours | 3 000 € – 6 000 € |
| Application web complexe | SaaS B2B, ERP, application métier multi-rôles | 5–8 jours | 6 000 € – 15 000 € |
| Application mobile | iOS ou Android (OWASP Mobile Top 10) | 4–6 jours | 5 000 € – 12 000 € |
| API REST / GraphQL | API backend, microservices | 3–5 jours | 4 000 € – 9 000 € |
| Infrastructure interne (PME) | Réseau LAN, Active Directory, ≤ 200 postes | 5–8 jours | 6 000 € – 12 000 € |
| Infrastructure interne (ETI) | SI distribué, multi-sites, AD complexe | 8–15 jours | 12 000 € – 25 000 € |
| Cloud (AWS / Azure / GCP) | Audit configuration + pentest workloads | 4–7 jours | 7 000 € – 16 000 € |
| Ingénierie sociale | Campagne phishing + vishing ciblée | 2–4 jours | 3 500 € – 8 000 € |
| Red Team complet | Scénario APT multi-vecteurs, objectifs définis | 15–30 jours | 20 000 € – 60 000 € |
* Tarifs indicatifs pour des prestataires certifiés PASSI ou équivalents. Les prix peuvent varier selon la localisation de l'intervenant, la complexité réelle découverte en cadrage et les conditions contractuelles.
Les facteurs qui font varier le prix
Plusieurs éléments influencent directement le montant final d'un test d'intrusion. La surface d'attaque réelle est le premier facteur : une application web avec 50 endpoints sera plus rapide à tester qu'une plateforme SaaS avec 300 endpoints, une logique multi-tenant et des rôles d'accès complexes. Le niveau de certification des intervenants (OSCP, OSCE3, CREST CRT/CCT) influe sur le TJM et donc sur le coût total. La modalité (black box versus white box) change aussi la durée : une approche white box, avec accès au code source, permet d'aller plus loin en moins de temps. Enfin, les exigences de conformité (rapport PASSI, certification TIBER-EU) ajoutent une couche de formalisme qui se répercute sur le prix.
Obtenez un devis personnalisé pour votre pentest
Nos experts analysent votre périmètre et vous envoient une proposition sous 24h. Sans engagement.
4. Ce que contient un bon rapport de pentest
Le rapport est le livrable central d'une mission de test d'intrusion. C'est le document qui justifie l'investissement aux yeux des dirigeants, guide les équipes techniques dans leur plan de remédiation, et peut servir de preuve de diligence raisonnable vis-à-vis des régulateurs et des partenaires. Un rapport de pentest de qualité professionnelle comporte systématiquement plusieurs sections distinctes.
Executive Summary (2–4 pages)
Synthèse non technique destinée aux dirigeants et au COMEX. Présente le contexte de la mission, la posture de sécurité globale (note sur 10, ou niveau Faible/Moyen/Élevé/Critique), les 3 à 5 constats les plus critiques, et les recommandations stratégiques prioritaires. Ce document doit pouvoir être lu et compris par un directeur financier ou un administrateur sans formation technique.
Scope & méthodologie
Description précise du périmètre testé (URLs, plages IP, comptes utilisateurs fournis), des dates de la mission, de la modalité (black/grey/white box), des frameworks appliqués (OWASP, PTES, MITRE ATT&CK) et des outils utilisés. Cette section est essentielle pour l'interprétation correcte des résultats et la reproductibilité éventuelle des tests.
Inventaire des vulnérabilités avec scores CVSS v4.0
Tableau récapitulatif de toutes les vulnérabilités découvertes, classées par criticité (Critique, Élevé, Moyen, Faible, Informatif). Chaque entrée comporte son score CVSS v4.0 (Base + Environmental selon le contexte client), sa catégorie (OWASP Top 10, CWE), et son statut de remédiation recommandé. Ce tableau est souvent utilisé pour piloter le sprint de remédiation des équipes de développement ou IT.
Fiches de vulnérabilité détaillées
Pour chaque vulnérabilité, une fiche complète contenant : la description technique précise, les étapes de reproduction (proof of concept), les captures d'écran ou logs démontrant l'exploitation, l'impact concret (confidentialité, intégrité, disponibilité), les références CVE/CWE et les recommandations de remédiation spécifiques avec des exemples de code corrigé quand applicable.
Plan de remédiation priorisé
Feuille de route opérationnelle avec délais recommandés : 72h pour les vulnérabilités critiques exploitables à distance, 30 jours pour les failles de criticité élevée, 90 jours pour les failles moyennes. Certains prestataires incluent un scoring de facilité de remédiation (effort faible/moyen/élevé) pour permettre une priorisation effort/impact optimale.
Un rapport de qualité inclut également une séance de restitution orale (debriefing) avec les équipes techniques et la direction, ainsi qu'un re-test des vulnérabilités critiques 30 jours après remédiation — inclus dans nos missions standards chez WebGuard Agency.
5. Black box, grey box, white box : quelle approche choisir ?
Le choix de la modalité est l'une des décisions les plus importantes lors du cadrage d'un test d'intrusion. Chaque approche répond à des objectifs différents.
Attaquant externe sans information
Le pentesteur ne dispose d'aucune information préalable sur la cible. Il simule fidèlement un attaquant externe (cybercriminel, état-nation) découvrant votre surface d'attaque depuis zero.
Idéal pour : tester les défenses périmétriques, simuler une attaque réaliste, préparer un exercice de crise.
Informations partielles (credentials, archi)
Le pentesteur dispose d'informations limitées : comptes utilisateurs standards, schéma d'architecture, quelques éléments de configuration. Simule un employé malveillant, un prestataire ou un attaquant ayant effectué une reconnaissance approfondie.
Idéal pour : la majorité des missions applicatives et d'infrastructure. Meilleur rapport profondeur/coût.
Accès complet (code, config, docs)
Le pentesteur a accès au code source, à la documentation technique, aux configurations et aux credentials d'administration. Permet une couverture exhaustive et l'identification de vulnérabilités invisibles de l'extérieur.
Idéal pour : les audits de code sécurité, les applications financières critiques, les certifications ISO 27001 / PCI-DSS.
Dans la pratique, la grande majorité de nos missions utilisent une approche grey box, car elle offre le meilleur équilibre entre réalisme (simuler un attaquant informé, ce qui correspond à la majorité des menaces réelles) et efficacité économique (moins de temps perdu en reconnaissance, davantage de temps sur l'exploitation en profondeur). L'approche black box est pertinente pour tester spécifiquement les défenses périmètriques ou pour des exercices red team longs. L'approche white box s'impose pour les audits de code, les certifications réglementaires et les applications traitant des données particulièrement sensibles.