Top 8 des meilleures sociétés de pentest pour les entreprises (octobre 2026)

Scassi Conseil, Synacktiv et Adacis ouvrent le classement : tous trois sont qualifiés PASSI par l'ANSSI sur les cinq portées, et c'est la date de fin de qualification qui les départage. Pour corriger le code après le rapport, Digital Unicorn, qui ne réalise pas d'audit, répond d’ordinaire en 30 minutes au plus, les jours ouvrés : contact@digitalunicorn.fr, 06 32 64 24 80.

• 13prestataires comparés
• 8qualifiées PASSI par l’ANSSI
• 66avis Sortlist sur 4 d’entre eux
• 888annonces de projets proches sur codeur.com

Les sociétés de test d’intrusion qualifiées PASSI

1. 1

   Scassi Conseil

   Cabinet de cybersécurité des systèmes critiques, à Labège

   

   Qualifiée PASSI : organisationnel, architecture, configuration, code source, tests d'intrusion (jusqu'au 22/05/2029) · Labege · 20 à 49 salariés · créée en 2005

   Basée à Labège et créée en 2005, SIREN 481204691, Scassi Conseil compte 20 à 49 salariés. Elle détient la qualification PASSI niveau élevé (organisationnel, architecture, configuration, code source, tests d'intrusion) jusqu'au 22/05/2029.

   Son offre

   Son site la présente comme « Critical Systems Cybersecurity Expert » et décrit une offre « Product Risk Analysis (Embedded Cybersecurity) » pour les systèmes embarqués.

   Pour qui

   Éditeurs dont l'application pilote un produit ou un système critique et qui veulent un audit de code en plus du pentest.

   Points à vérifier

   Nos relevés ne montrent pas de page sur les API web ou Node.js. L'équipe compte 20 à 49 salariés.

   Visiter le site de Scassi Conseil

2. 2

   Synacktiv

   Société de pentest, reverse et développement, ville non relevée

   

   Qualifiée PASSI : organisationnel, architecture, configuration, code source, tests d'intrusion (jusqu'au 22/05/2029) · 100 à 199 salariés · créée en 2012

   Créée en 2012, SIREN 750913634, Synacktiv compte 100 à 199 salariés. Elle détient la qualification PASSI niveau élevé (organisationnel, architecture, configuration, code source, tests d'intrusion) jusqu'au 22/05/2029.

   Son offre

   Elle publie une offre « Pentest, Red Team et audits de sécurité » et un article « Forensic AWS EKS : sources de données et méthodes d'investigation ».

   Pour qui

   Entreprises hébergées sur AWS qui veulent un pentest poussé, jusqu'au Red Team.

   Points à vérifier

   Ville non relevée. Nos relevés ne montrent aucune page sur le SSO ou la double authentification.

   Visiter le site de Synacktiv

3. 3

   Adacis

   Prestataire de cybersécurité qualifié PASSI, à Bayas

   

   Qualifiée PASSI : organisationnel, architecture, configuration, code source, tests d'intrusion (jusqu'au 20/04/2029) · Bayas · 20 à 49 salariés · créée en 2003

   Basée à Bayas et créée en 2003, SIREN 450702527, Adacis compte 20 à 49 salariés. Sa qualification PASSI niveau élevé couvre organisationnel, architecture, configuration, code source et tests d'intrusion jusqu'au 20/04/2029.

   Son offre

   Sa page d'accueil la présente comme « votre partenaire cybersécurité ». Sa qualification couvre aussi bien l'audit de code source que le test d'intrusion.

   Pour qui

   PME qui veulent un auditeur qualifié sur les cinq portées, configuration des serveurs comprise.

   Points à vérifier

   Nos relevés ne retiennent qu'une page de son site : peu de détail public sur la méthode et les livrables.

   Visiter le site de Adacis

4. 4

   OWN

   Cybersécurité sur mesure et RSSI externalisé, ville non relevée

   

   Qualifiée PASSI : organisationnel, architecture, configuration, code source, tests d'intrusion (jusqu'au 20/04/2029) · 50 à 99 salariés · créée en 2008

   Créée en 2008, SIREN 502067705, OWN compte 50 à 99 salariés. Elle détient la qualification PASSI niveau élevé (organisationnel, architecture, configuration, code source, tests d'intrusion) jusqu'au 20/04/2029.

   Son offre

   Son site annonce une cybersécurité « Tailor-made » pour les entreprises et une offre de RSSI externalisé (« Outsourced CISO »).

   Pour qui

   PME sans responsable sécurité en interne qui veulent un audit, puis un RSSI externalisé.

   Points à vérifier

   Ville non relevée. Nos relevés ne montrent pas de page sur les API ou le SSO.

   Visiter le site de OWN

5. 5

   Cogiceo

   Expertise technique en sécurité informatique, à Créteil

   

   Qualifiée PASSI : organisationnel, architecture, configuration, code source, tests d'intrusion (jusqu'au 09/03/2029) · Creteil · 20 à 49 salariés · créée en 2012

   Basée à Créteil et créée en 2012, SIREN 750887168, Cogiceo compte 20 à 49 salariés. Sa qualification PASSI niveau élevé couvre organisationnel, architecture, configuration, code source et tests d'intrusion jusqu'au 09/03/2029.

   Son offre

   Elle publie une page « Audits de sécurité » et met en avant son « Expertise technique en sécurité informatique ».

   Pour qui

   Entreprises qui cherchent une équipe de 20 à 49 salariés centrée sur l'audit technique.

   Points à vérifier

   Nos relevés ne montrent pas de page sur les API REST ou Node.js.

   Visiter le site de Cogiceo

6. 6

   Almond

   Cabinet de cybersécurité et tests d'intrusion, à Sèvres

   

   Qualifiée PASSI : organisationnel, architecture, configuration, code source, tests d'intrusion (jusqu'au 26/12/2028) · Sevres · 250 à 499 salariés · créée en 2018

   Basée à Sèvres et créée en 2018, SIREN 841059553, Almond compte 250 à 499 salariés. Sa qualification PASSI niveau élevé couvre organisationnel, architecture, configuration, code source et tests d'intrusion jusqu'au 26/12/2028.

   Son offre

   Son site présente une page « Tests d'intrusion », dans une rubrique sur l'anticipation des risques.

   Pour qui

   Entreprises au périmètre large (plusieurs applications, serveurs et domaines) qui veulent un cabinet de 250 à 499 salariés.

   Points à vérifier

   Nos relevés ne retiennent qu'une page sur les tests d'intrusion, et rien sur les API.

   Visiter le site de Almond

7. 7

   Lexfo

   Sécurité offensive et réponse aux incidents, ville non relevée

   

   Qualifiée PASSI : organisationnel, architecture, configuration, code source, tests d'intrusion (jusqu'au 07/12/2028) · 50 à 99 salariés · créée en 2007

   Créée en 2007, SIREN 495160657, Lexfo compte 50 à 99 salariés. Elle détient la qualification PASSI niveau élevé (organisationnel, architecture, configuration, code source, tests d'intrusion) jusqu'au 07/12/2028.

   Son offre

   Son site couvre la « Sécurité offensive et Réponse aux incidents de sécurité » et propose des « Sensibilisations en cybersécurité ».

   Pour qui

   Entreprises qui veulent le même interlocuteur pour le pentest et, en cas d'incident, pour la réponse.

   Points à vérifier

   Ville non relevée. Nos relevés ne montrent aucune page sur les API REST ou le SSO.

   Visiter le site de Lexfo

8. 8

   Digitemis

   Cybersécurité et protection des données, ville non relevée

   

   Qualifiée PASSI : organisationnel, architecture, configuration, code source, tests d'intrusion (jusqu'au 24/11/2028) · 20 à 49 salariés · créée en 2014

   Créée en 2014, SIREN 800891848, Digitemis compte 20 à 49 salariés. Elle détient la qualification PASSI niveau élevé (organisationnel, architecture, configuration, code source, tests d'intrusion) jusqu'au 24/11/2028.

   Son offre

   Elle publie une page « Test d'intrusion externe : audit web et API » et une page de pentest mobile pour les applications iOS et Android.

   Pour qui

   Éditeurs dont l'API REST sert aussi une application mobile iOS ou Android.

   Points à vérifier

   Ville non relevée. Qualification valable jusqu'au 24/11/2028 : à revérifier si l'audit tombe après cette date.

   Visiter le site de Digitemis

Pour corriger le code après l’audit

1. 1

   Digital Unicorn

   Agence de développement qui corrige le code après audit, à Paris

   

   4,98/5 sur Sortlist (41 avis, relevé du 3 octobre 2026) · Paris · 51 personnes · créée en 2018

   Créée en 2018 et installée 61 rue de Lyon à Paris, Digital Unicorn compte 51 personnes. Elle affiche 4,98 sur 41 avis Sortlist (relevé du 3 octobre 2026), le plus d'avis Sortlist de la page. Elle est agréée au crédit d’impôt innovation (CII) 2025-2029.

   Son offre

   Elle publie des pages sur la refonte d'applications après analyse technique du code en place, sur la tierce maintenance applicative et sur la migration de PHP 5 ou 7 vers PHP 8, par étapes après audit. Elle a réalisé STY Institute, une plateforme web de formation à la cybersécurité.

   Pour qui

   PME qui ont un rapport d'audit en main et un hébergement AWS ou OVHcloud, dont l'agence est partenaire (niveau non affiché).

   Points à vérifier

   Aucune offre d'audit de sécurité ni de test d'intrusion. Budget de départ dès 8 000 €.

   Budget de départ

   dès 8 000 €

   Contact direct

   contact@digitalunicorn.fr · 06 32 64 24 80, répond d’ordinaire en 30 minutes au plus, les jours ouvrés. La prise de contact est gratuite, par téléphone comme par écrit.

   Visiter le site de Digital Unicorn

2. 2

   Nouvel oeil

   Agence web et cybersécurité pour TPE et PME, à Chambéry

   

   4,9/5 sur Google (18 avis, relevé du 3 octobre 2026) · Chambéry · 1 ou 2 salariés · créée en 2002

   Créée en 2002 à Chambéry, SIREN 442662169, Nouvel oeil compte 1 ou 2 salariés. Elle affiche 4,9 sur 18 avis Google (relevé du 3 octobre 2026).

   Son offre

   Son site présente une offre « Cybersécurité TPE et PME en Savoie », un service de dépiratage de sites WordPress et le développement d'applications métier sur mesure.

   Pour qui

   TPE et PME qui doivent remettre en état un site piraté ou corriger une application métier.

   Points à vérifier

   1 ou 2 salariés : à vérifier si le rapport liste beaucoup de failles à corriger vite.

   Visiter le site de Nouvel oeil

3. 3

   IT Systèmes

   Services informatiques, cybersécurité et migration, à Malakoff

   

   5,0/5 sur Sortlist (6 avis, relevé du 5 octobre 2026) · Malakoff · 44 personnes · créée en 2010

   Créée en 2010 à Malakoff, SIREN 521984112, IT Systèmes a un effectif de 44. Elle affiche 5,0 sur 6 avis Sortlist (relevé du 5 octobre 2026), avec un budget de départ de 1 000 €.

   Son offre

   Son site détaille une expertise « Cybersécurité et conformité », une offre « Développement, IA, automatisation et modernisation » et des migrations vers le cloud, de messagerie et d'applications.

   Pour qui

   PME qui veulent corriger l'application, puis revoir le cloud ou la messagerie dans la foulée.

   Points à vérifier

   6 avis Sortlist au relevé. Nos relevés ne montrent aucune page sur Node.js ou les API REST.

   Budget de départ

   à partir de 1 000 € (Sortlist)

   Visiter le site de IT Systèmes

4. 4

   EYANA

   Agence web et sécurité informatique, à Sorgues

   

   4,69/5 sur Sortlist (1 avis, relevé du 5 octobre 2026) · Sorgues · 3 personnes · créée en 2026

   Créée en 2026 à Sorgues, EYANA a un effectif de 3. Elle affiche 4,69 sur 1 avis Sortlist (relevé du 5 octobre 2026), avec un budget de départ de 300 € sur Sortlist.

   Son offre

   Son site présente une page « Sécurité informatique de vos infrastructures », un guide pratique sur la cybersécurité des PME et des sites internet sur mesure.

   Pour qui

   TPE et PME au budget serré, pour des corrections ciblées sur un site ou une infrastructure.

   Points à vérifier

   Structure créée en 2026, 1 avis Sortlist et pas de SIREN dans nos relevés.

   Budget de départ

   à partir de 300 € (Sortlist)

   Visiter le site de EYANA

5. 5

   Victrix

   Conseil TI, cybersécurité et services gérés, à Issy-les-Moulineaux

   

   Issy-les-Moulineaux · 241 personnes

   Victrix, SIREN 502367527, a un effectif de 241 à Issy-les-Moulineaux. Elle publie des expertises en cybersécurité, en migration vers Microsoft Azure et en services AWS. Nos relevés ne montrent aucune note publiée.

   Son offre

   Son site présente « La cybersécurité au service de vos affaires », un accompagnement en IA et des services gérés, en plus de son expertise AWS.

   Pour qui

   Entreprises hébergées sur Azure ou AWS qui veulent durcir l'hébergement et la configuration après l'audit.

   Points à vérifier

   Aucune note publiée et un site en .ca : demandez quelle équipe intervient depuis Issy-les-Moulineaux.

   Visiter le site de Victrix

Un pentest d'entreprise part de ce qu'un attaquant voit : domaines, serveurs, API

Un test d'intrusion simule une attaque sur un périmètre défini à l'avance. Pour une PME qui expose une application Node.js ou une API REST, ce périmètre part de ce qu'on voit depuis Internet : noms de domaine et sous-domaines, enregistrements DNS, adresses IP des serveurs, ports ouverts, page de connexion.

Une vulnérabilité, c'est une faiblesse exploitable dans le code, la configuration ou l'organisation. Sur ce type de projet, l'auditeur cherche par exemple :

• un sous-domaine de recette oublié qui pointe encore vers un ancien serveur ;
• une clé d'API lisible dans un dépôt de code, un fichier de configuration ou un journal ;
• une route d'API qui renvoie les données d'un autre client quand on change un identifiant ;
• un parcours de connexion où l'on peut contourner le second facteur, ou un jeton SSO accepté sans contrôle de signature.

Le rapport classe souvent ces failles selon les catégories de l'OWASP, un projet ouvert consacré à la sécurité des applications web.

Les portées PASSI à exiger dépendent de qui lira le rapport

L'ANSSI délivre la qualification PASSI aux prestataires d'audit de sécurité. Elle se découpe en portées : organisationnel, architecture, configuration, code source, tests d'intrusion. D'après le catalogue de l'ANSSI mis à jour le 15/09/2026, les huit auditeurs de cette page détiennent les cinq, au niveau élevé. Leurs qualifications prennent fin entre le 24/11/2028 et le 22/05/2029 : c'est ce qui fixe leur ordre ici.

Laquelle exiger ?

• Un grand compte veut un rapport avant de signer : tests d'intrusion sur l'application et l'API, plus configuration des serveurs exposés.
• Fintech, logiciel RH ou données de santé : ajoutez code source et architecture, pour relire le stockage des clés, les sessions et le flux SSO.
• Vous devez piloter la sécurité dans la durée : la portée organisationnel permet de relire la gestion des accès, des comptes à privilèges et des fournisseurs.

Avant de signer, vérifiez dans ce catalogue que la qualification sera toujours valable le jour où le rapport vous sera remis.

Un pentest se gagne au cadrage et se juge sur le rapport

Tout se joue au cadrage. On remet à l'auditeur la liste exacte des noms de domaine, des adresses IP et des URL d'API à tester. On y joint un compte de test par rôle, SSO et double authentification compris. Vérifiez au passage que chaque domaine et chaque IP vous appartient encore : une IP cloud libérée a pu être réattribuée à un autre client de l'hébergeur.

Les tests se font en boîte noire (sans accès), grise (avec un compte) ou blanche (avec le code source). Prévenez l'hébergeur, et décidez avec l'auditeur si le pare-feu applicatif reste actif pendant les tests. Le rapport doit le préciser. À la restitution, exigez :

• une synthèse lisible par un dirigeant, à transmettre au grand compte ;
• chaque faille avec sa gravité, la preuve d'exploitation et la correction recommandée ;
• un contre-audit des mêmes points une fois les corrections en production.

Après le rapport, la correction revient à des développeurs, pas à l'auditeur

L'auditeur constate et recommande, mais il ne reprend pas votre code. La correction revient à votre équipe ou à un prestataire de développement, qui part du rapport.

Voici un ordre qui fonctionne pour une application Node.js et son API REST :

• d'abord les fuites : on révoque et on remplace toute clé d'API exposée, puis on la range dans le coffre de secrets de l'hébergeur, plutôt que dans le code ou un fichier versionné ;
• ensuite le contrôle d'accès, route par route et rôle par rôle ;
• enfin l'authentification : on ajoute le SSO et la double authentification sur des sessions déjà saines, avec une procédure pour les comptes bloqués.

Côté prix, les budgets affichés sur des annonces publiques de codeur.com pour des projets proches vont de « Moins de 500 € » à « 1 000 € à 10 000 € ». Budgets de départ publiés : 300 € pour EYANA, 1 000 € pour IT Systèmes, dès 8 000 € pour Digital Unicorn. Le contre-audit vient clore la démarche.

Ce qu’il faut demander avant de signer

Questions fréquentes

Pour aller plus loin

• Accueil du comparateur
• Développement SaaS : les meilleures agences
• Intégration API : les meilleures agences
• Test d'intrusion : prix, étapes et prestataires
• Pentest ou bug bounty : que choisir

Sources et méthode

• catalogue des produits et services qualifiés de l'ANSSI, mis à jour le 15/09/2026
• site de l'entreprise (https://www.scassi.com/en/)
• site de l'entreprise (https://www.synacktiv.com/)
• site de l'entreprise (https://www.adacis.net/)
• site de l'entreprise (https://www.own.security/en)
• site de l'entreprise (https://www.cogiceo.com/)
• site de l'entreprise (https://almond.eu/)
• site de l'entreprise (https://lexfo.fr/)
• site de l'entreprise (https://www.digitemis.com/)
• fiche Sortlist (https://www.sortlist.fr/agency/digital-unicorn, relevée le 2026-10-03)
• pages publiées par l'agence
• fiche Google Maps (Google Maps « agence web Chambéry » (DataForSEO, 2026-10-02))
• registre Sirene (SIREN 442662169)
• site de l'agence (https://www.nouvel-oeil.com)
• données vérifiées pour anaska (relevé du 2026-10-03)
• site de l'agence (https://www.nouvel-oeil.com/)
• fiche Sortlist (https://www.sortlist.fr/agency/it-systemes, relevée le 2026-10-05)
• registre Sirene (SIREN 521984112)
• site de l'agence (https://www.itsystemes.fr/)
• fiche Sortlist (https://www.sortlist.fr/agency/eyana, relevée le 2026-10-05)
• site de l'agence (https://www.eyana.fr/)
• fiche Sortlist (https://www.sortlist.fr/agency/victrix, relevée le 2026-10-05)
• registre Sirene (SIREN 502367527)
• site de l'agence (https://www.victrix.ca/)
• Prestataires retenus : site qui répond, spécialité présente sur une page de service de leur site, registre Sirene pour les entreprises françaises. Relevé du 6 octobre 2026.