CHIFFREZ LE PÉRIMÈTREChoisissez les tests dont votre application a besoin.

Un audit de sécurité de site web chez COLONFILM coûte 420 € pour une évaluation vérifiée des vulnérabilités, 850 € pour un pentest manuel d'application web, ou 1 710 € pour un pentest d'application web et API.

En résumé

• BASIC comprend le scan externe et authentifié d'une application web, chaque constat étant vérifié manuellement.
• STANDARD ajoute des tests applicatifs manuels pour un maximum de deux rôles utilisateurs.
• PREMIUM inclut une API jusqu'à 40 endpoints et un contre-test sous 30 jours.
• Budgétisez la préparation interne et l'implémentation par vos développeurs en plus des honoraires de test.

Coût d'un audit de sécurité de site web en 2026 : forfaits publiés

Le point de départ le plus utile consiste à associer un prix à un périmètre défini. L'offre COLONFILM de services de tests d'intrusion (applications web et API) distingue l'évaluation des vulnérabilités, les tests applicatifs manuels et les tests combinant application et API. Cette distinction vous indique ce que chaque tarif couvre et vous aide à le confronter aux réponses attendues par votre entreprise.

Ces tarifs correspondent aux forfaits indiqués par COLONFILM. Considérez-les comme des options d'achat concrètes plutôt que comme une moyenne du marché. Pour comparer un autre devis, confrontez les systèmes testés, les accès, le travail manuel, les éléments de preuve et le suivi. Un tarif ne prend tout son sens que lorsque les deux propositions décrivent le même problème et un niveau de prestation comparable.

Qu'est-ce qui fait varier le prix d'un audit de sécurité de site web ?

La profondeur des tests est le premier facteur. Une évaluation associe scan automatisé, vérification et hiérarchisation des priorités. Un test d'intrusion manuel examine le comportement de l'application à travers des scénarios convenus. Les deux démarches peuvent produire des constats utiles, mais elles répartissent l'effort différemment. Choisissez la profondeur qui éclaire votre prise de décision, qu'il s'agisse de traiter en priorité les expositions connues ou de vérifier les autorisations avant un lancement client.

La structure de l'application constitue le facteur suivant. Un site public, un portail hébergeant des données privées ou une application comportant plusieurs types de comptes soulèvent des questions de périmètre bien distinctes. Intégrez les flux de travail clés : invitation de collègues, approbation de transactions, export de données ou téléversement de documents. Cette démarche s'avère souvent plus révélatrice que le simple nombre d'écrans.

La couverture des API apporte une dimension supplémentaire. Votre interface utilisateur peut sembler simple tout en sollicitant de nombreuses opérations en arrière-plan. Un inventaire des endpoints permet de déterminer précisément quelles interfaces s'inscrivent dans le projet. Pour GraphQL, convenez de la méthode de décompte des opérations afin que la limite du forfait corresponde à un volume de travail bien compris.

Que couvre l'évaluation des vulnérabilités BASIC ?

BASIC coûte 420 € avec un délai de livraison de trois jours. Il couvre le scan externe et authentifié d'une application web, la vérification manuelle de chaque constat et un rapport qui évalue les risques tout en expliquant les correctifs. Des comptes de test adaptés permettent à l'évaluation d'inclure les zones convenues accessibles après authentification, ainsi que la surface publique.

Ce forfait convient à un responsable qui souhaite une vue hiérarchisée des faiblesses avant d'organiser le travail de développement. Dans le cas d'un petit portail client, l'objectif immédiat peut être d'établir quels problèmes signalés s'appliquent réellement et lesquels doivent être traités en priorité. Sa valeur réside dans un ensemble directement exploitable d'observations vérifiées et de recommandations.

Préparez une liste des composants applicatifs et confirmez les accès avant de commencer. À la livraison, vérifiez que chaque constat identifie bien l'élément concerné, son niveau de gravité et l'action à mener. Demandez à votre développeur d'estimer le temps d'implémentation à partir de ces précisions. Vous créerez ainsi une passerelle concrète entre le coût de l'audit et les ressources nécessaires pour la suite.

Quand le pentest STANDARD justifie-t-il cette extension de périmètre ?

STANDARD coûte 850 € avec un délai de livraison de cinq jours. Il comprend des tests manuels basés sur les contrôles OWASP Top 10 et OWASP ASVS, jusqu'à deux rôles utilisateurs, des preuves de faisabilité, un résumé pour la direction et un rapport technique. Choisissez-le lorsque votre question principale porte sur le comportement de l'application et de ses mécanismes de contrôle face à un examen manuel.

À titre d'exemple, considérons une plateforme de services avec des rôles client et collaborateur. Son propriétaire souhaite s'assurer que chaque rôle est strictement confiné aux informations et actions prévues. Documenter ce modèle d'autorisations permet de délimiter l'évaluation. Le périmètre des tests manuels et les preuves obtenues deviennent alors les raisons déterminantes pour choisir ce forfait.

Le OWASP Web Security Testing Guide constitue une référence pour les tests structurés de sécurité web. Lorsque vous examinez un devis, demandez au prestataire d'indiquer les contrôles réels et les zones applicatives qu'il prévoit de couvrir. Cet échange permet de convertir une méthode en un périmètre chiffrable et mesurable.

Ce que PREMIUM apporte au pentest d'application web et API

PREMIUM coûte 1 710 € avec un délai de livraison de huit jours et inclut l'intégralité de STANDARD. Il y ajoute une API REST ou GraphQL jusqu'à 40 endpoints, des tests de logique métier et de contrôle d'accès, un guide de remédiation pour les développeurs, un contre-test sous 30 jours et une attestation confirmant le périmètre, les dates et les résultats du test.

Son adéquation est particulièrement évidente lorsque votre application et son API forment un même parcours utilisateur. Imaginez un système de commande où le navigateur affiche une demande, l'API met à jour son statut et un compte gestionnaire la valide. Cartographier ce flux permet d'identifier les interfaces et les autorisations qui doivent faire partie de la mission.

Le contre-test modifie également la planification du projet. Réservez du temps pour que vos développeurs déploient les correctifs avant cette vérification incluse. Tenez une liste des modifications reliée aux constats initiaux et précisez où les ajustements sont déployés. L'attestation de test fournit alors une synthèse formelle de la mission en complément de la documentation technique détaillée.

Construisez le budget global du projet autour des responsabilités

Distinguez les honoraires de test de la préparation et de l'implémentation. En interne, un intervenant doit décrire le système, organiser les accès, répondre aux questions, réceptionner le rapport et coordonner les développeurs. Attribuer des responsables précis à ces tâches assure la fluidité du projet. Même lorsque le périmètre souscrit est fixe, votre équipe a besoin de temps pour en exploiter les conclusions.

L'effort de remédiation dépend des constats et de votre application. Un simple ajustement de configuration et une refonte des autorisations sont deux tâches bien distinctes. Demandez à vos développeurs d'estimer les modifications nécessaires après examen des éléments de preuve. Déterminez quels correctifs sont indispensables avant votre prochaine mise en production et quelles améliorations peuvent intégrer le cycle normal de développement.

Un budget simple s'articule en trois lignes : le forfait de test sélectionné, le temps de coordination interne et l'implémentation par les développeurs. N'ajoutez des prestations d'infrastructure ou des interventions de tiers négociées à part que si elles sont pertinentes. Cela garantit des arbitrages concrets et évite de considérer à tort une charge de correction future et imprévue comme étant déjà couverte par le tarif affiché du test.

Comment comparer équitablement les devis d'audit de sécurité

Transmettez la même description d'application à chaque prestataire et demandez un périmètre écrit. Comparez la couverture publique et authentifiée, les rôles, les API, les tests manuels, les rapports et les contre-tests. Examinez ensuite les délais. Une grille tarifaire concise peut être parfaitement claire si elle répond à ces points ; une longue proposition commerciale exige le même degré de précision pratique.

Utilisez un tableau comparatif simple avec une ligne par exigence et une colonne par prestataire. Indiquez si chaque point est inclus, facturé séparément ou en attente d'éclaircissement. Vous identifierez ainsi facilement l'origine d'un écart entre deux totaux. Cela aidera également la personne qui valide le budget à comprendre la raison de votre recommandation.

Évaluez le rapport comme un véritable document de travail. Demandez un aperçu détaillant les conclusions pour la direction, les preuves techniques, les priorités et les conseils de remédiation. Si un client vous a réclamé un document spécifique, partagez cette demande avant de passer commande. Pour une sélection plus globale de prestataires, consultez notre guide pour choisir un service d'audit de sécurité de site web.

Préparer l'évaluation et sécuriser le calendrier de livraison

Préparez les comptes de test, les caractéristiques de l'environnement, une matrice des rôles et l'inventaire des API avant le lancement. Privilégiez la préproduction et décrivez toute différence avec la production. Désignez un contact opérationnel habilité à répondre aux questions ou à suspendre l'activité si nécessaire. Ces préparatifs éliminent les retards évitables et permettent à la mission de se concentrer sur les tests convenus.

Fixez la date de lancement en fonction de votre degré de préparation. Les délais de livraison des forfaits publiés sont de trois, cinq et huit jours ; votre calendrier global doit également prévoir du temps pour fournir les informations et exploiter le rapport. Si une échéance externe est déterminante, précisez au prestataire ce qui doit être finalisé à cette date et qui en assurera la validation.

Veillez à coordonner les modifications sur l'application auditée pendant la mission. Si un déploiement s'avère indispensable, notez la version et les fonctions concernées. Lors de la restitution, comparez le périmètre du rapport avec l'inventaire convenu et attribuez chaque constat important à un responsable. Pour PREMIUM, planifiez le contre-test dans la fenêtre de 30 jours sur ce même calendrier.

Faciliter l'évaluation budgétaire à partir du rapport

Demandez à votre équipe de développement de classer chaque constat confirmé selon le composant concerné et le type de correction nécessaire. Une dépendance commune peut expliquer plusieurs observations, tandis qu'un problème d'autorisation peut toucher plusieurs flux de travail. Comprendre ces corrélations aide l'équipe à chiffrer des tâches cohérentes au lieu de traiter chaque ligne du rapport comme un problème isolé.

Associez chaque estimation à une modification concrète et à son responsable. Si un arbitrage dépend d'un autre fournisseur, notez cette dépendance et sollicitez son avis. Cela offre au responsable validant la remédiation une vision précise du travail à venir et facilite la coordination des correctifs retenus pour le contre-test inclus dans PREMIUM.

Choisir le forfait en fonction de la question à trancher

Considérons trois cas de figure. Le responsable d'une petite application a besoin de vulnérabilités vérifiées et d'une liste de développement hiérarchisée : BASIC répond à cette attente. Une équipe souhaite un examen manuel d'une application à deux rôles : STANDARD correspond à la profondeur demandée. Une entreprise doit évaluer conjointement l'application et l'API, avec un contre-test après corrections : PREMIUM convient parfaitement.

Ces exemples constituent des aides à la décision et non des retours d'expérience clients. Votre brief peut révéler des rôles, des systèmes ou des opérations supplémentaires nécessitant un périmètre personnalisé. Mentionnez-les avant l'achat. Choisir un forfait est bien plus aisé lorsque les deux parties peuvent se référer au même inventaire et expliquer les questions auxquelles répondra le rapport final.

COLONFILM est le studio de David Colón et Flor à Zaragoza, Espagne, et associe des agents IA à une révision humaine. Consultez les forfaits et livrables de tests d'intrusion en gardant la description de votre application à portée de main. Vous pourrez ainsi budgétiser une intervention bien définie, préparer les bons accès et donner à vos développeurs une trajectoire claire pour exploiter les résultats.

FAQ

Quel est le prix d'entrée pour un audit de sécurité de site web ?

BASIC est à 420 € avec un délai de livraison de trois jours. Il comprend le scan externe et authentifié d'une application web, la vérification manuelle de chaque constat et un rapport hiérarchisé par niveau de risque avec correctifs. C'est le forfait d'entrée de gamme publié pour une évaluation vérifiée des vulnérabilités.

Combien coûte un pentest manuel d'application web ?

STANDARD est à 850 € avec un délai de livraison de cinq jours. Il couvre les contrôles OWASP Top 10 et OWASP ASVS, jusqu'à deux rôles utilisateurs, des preuves de faisabilité, un résumé pour la direction et un rapport technique. Détaillez vos rôles et les fonctionnalités applicatives avant de commander.

Quel tarif inclut les tests d'API et un contre-test ?

PREMIUM est à 1 710 € avec un délai de livraison de huit jours et inclut une API REST ou GraphQL jusqu'à 40 endpoints, aux côtés de STANDARD. Il y ajoute des tests de logique métier et de contrôle d'accès, des recommandations pour les développeurs, un contre-test sous 30 jours et l'attestation de test.

Dois-je prévoir un budget distinct pour les modifications de code ?

Oui. Confiez l'implémentation à vos développeurs et évaluez-en la charge à partir des constats. Le forfait fournit l'évaluation et les rapports indiqués, avec un guide de remédiation pour les développeurs dans PREMIUM. Planifiez les corrections suffisamment tôt pour bénéficier du contre-test inclus dans PREMIUM au cours de sa fenêtre de 30 jours.

Quelles autorisations et quelles garanties ces tests impliquent-ils ?

Le propriétaire du système doit signer une autorisation écrite, précisant un environnement validé, de préférence de préproduction. L'ingénierie sociale et les tests de déni de service sont exclus. L'évaluation rend compte des résultats pour ce périmètre et cette période donnés ; elle ne garantit en aucun cas une sécurité absolue. La lettre d'attestation de PREMIUM confirme le périmètre, les dates et les résultats.