Mis à jour le 11 octobre 2026 · 13 min de lecture
Test d’intrusion : étapes, livrables et prestataires (octobre 2026)
Faites réaliser le test par un auditeur qualifié PASSI par l'ANSSI : Scassi Conseil, Synacktiv puis Adacis, tous au niveau élevé avec la portée tests d'intrusion, classés par date de qualification, la plus récente d'abord. Pour corriger le code ensuite, Digital Unicorn (contact@digitalunicorn.fr, 06 32 64 24 80) répond d’ordinaire en 30 minutes au plus, les jours ouvrés.
- 8prestataires comparés
- 4qualifiées PASSI par l’ANSSI
- 66avis Sortlist sur 4 d’entre eux
- 6annonces de projets proches sur codeur.com
Les sociétés de test d’intrusion qualifiées PASSI
- 1
Scassi Conseil
Cabinet de cybersécurité des systèmes critiques, à Labège
Qualifiée PASSI : organisationnel, architecture, configuration, code source, tests d'intrusion (jusqu'au 22/05/2029) · Labege · 20 à 49 salariés · créée en 2005
Scassi Conseil, créée en 2005 et qui compte 20 à 49 salariés, est qualifiée PASSI niveau élevé du 22/05/2026 au 22/05/2029, sur les portées tests d'intrusion, code source, configuration, architecture et organisationnel.
- Son offre
- Son site la présente comme experte en cybersécurité des systèmes critiques et publie une offre d'analyse de risques produit pour la cybersécurité embarquée.
- Pour qui
- PME dont l'application pilote des équipements ou des systèmes critiques.
- Points à vérifier
- Pas de tarif public relevé, ni de page relevée sur le test d'applications SaaS.
- 2
Synacktiv
Société de pentest, reverse et développement, ville non relevée
Qualifiée PASSI : organisationnel, architecture, configuration, code source, tests d'intrusion (jusqu'au 22/05/2029) · 100 à 199 salariés · créée en 2012
Synacktiv, créée en 2012 et qui compte 100 à 199 salariés, est qualifiée PASSI niveau élevé du 22/05/2026 au 22/05/2029, avec notamment les portées tests d'intrusion et code source.
- Son offre
- Elle publie une page dédiée au test d'intrusion, au red team et aux audits de sécurité, ainsi qu'une publication sur l'investigation forensique dans AWS EKS.
- Pour qui
- SaaS et fintech hébergés sur AWS, ou équipes qui veulent un audit du code source en plus du test.
- Points à vérifier
- Ville du siège absente de notre relevé, aucun budget de départ publié : tout passe par devis.
- 3
Adacis
Société de cybersécurité qualifiée PASSI, à Bayas
Qualifiée PASSI : organisationnel, architecture, configuration, code source, tests d'intrusion (jusqu'au 20/04/2029) · Bayas · 20 à 49 salariés · créée en 2003
Adacis, créée en 2003 et qui compte 20 à 49 salariés, est qualifiée PASSI niveau élevé du 20/04/2026 au 20/04/2029, avec les portées tests d'intrusion, code source, configuration et architecture.
- Son offre
- Son site la présente comme partenaire en cybersécurité ; sa qualification PASSI couvre aussi l'audit organisationnel.
- Pour qui
- PME qui veulent un auditeur qualifié sur le test, la configuration et l'architecture.
- Points à vérifier
- Une seule page de son site relevée, sans détail sur sa méthode de test ; pas de tarif public relevé.
- 4
OWN
Société de cybersécurité sur mesure, ville non relevée
Qualifiée PASSI : organisationnel, architecture, configuration, code source, tests d'intrusion (jusqu'au 20/04/2029) · 50 à 99 salariés · créée en 2008
OWN, créée en 2008 et qui compte 50 à 99 salariés, est qualifiée PASSI niveau élevé du 20/04/2026 au 20/04/2029, avec les portées tests d'intrusion, code source, configuration, architecture et organisationnel.
- Son offre
- Elle publie une offre de cybersécurité sur mesure et une offre de RSSI externalisé, pour suivre la sécurité au-delà du seul test.
- Pour qui
- PME sans responsable sécurité en interne, qui veulent un test et un suivi.
- Points à vérifier
- Ville absente de notre relevé ; pages relevées en anglais, sans page dédiée au test d'intrusion.
Pour corriger le code après l’audit
- 1
Digital Unicorn
Agence de développement PHP et Symfony, à Paris
4,98/5 sur Sortlist (41 avis, relevé du 3 octobre 2026) · Paris · 51 personnes · créée en 2018
Digital Unicorn, créée en 2018 et installée 61 rue de Lyon à Paris, compte 51 personnes et affiche 4,98 sur Sortlist pour 41 avis, le plus d'avis Sortlist de la page. Elle est agréée au crédit d’impôt innovation (CII) 2025-2029.
- Son offre
- Elle ne fait pas de test d'intrusion : elle corrige et fait évoluer le code, avec des pages publiées sur la refonte d'applications Symfony après analyse technique du code et sur la migration de PHP 5 ou 7 vers PHP 8 par étapes après audit. Elle a réalisé STY Institute, une plateforme web de formation à la cybersécurité.
- Pour qui
- Éditeurs SaaS, RH ou organismes de formation sous PHP ou Symfony, avec des failles à corriger.
- Points à vérifier
- Aucune offre d'audit de sécurité ni de test d'intrusion, bureau à Paris seulement, budget de départ dès 8 000 €.
- Budget de départ
- dès 8 000 €
- Contact direct
- contact@digitalunicorn.fr · 06 32 64 24 80, répond d’ordinaire en 30 minutes au plus, les jours ouvrés. La prise de contact est gratuite, par téléphone comme par écrit.
- 2
Nouvel oeil
Agence web et cybersécurité pour TPE et PME, à Chambéry
4,9/5 sur Google (18 avis, relevé du 3 octobre 2026) · Chambéry · 1 ou 2 salariés · créée en 2002
Nouvel oeil (SIREN 442662169), agence de Chambéry créée en 2002, compte 1 ou 2 salariés et affiche 4,9 sur Google pour 18 avis, note relevée le 03/10/2026.
- Son offre
- Son site publie une offre de cybersécurité pour TPE et PME en Savoie, une page de dépiratage de sites WordPress piratés et du développement d'applications métier sur mesure.
- Pour qui
- TPE avec un site WordPress ou une petite application à remettre en état.
- Points à vérifier
- Structure de 1 ou 2 salariés : capacité réduite face à une grosse application SaaS.
- 3
IT Systèmes
Prestataire informatique, cybersécurité et migration, à Malakoff
5,0/5 sur Sortlist (6 avis, relevé du 5 octobre 2026) · Malakoff · 44 personnes · créée en 2010
IT Systèmes, basée à Malakoff et créée en 2010, a un effectif de 44 et affiche 5,0 sur Sortlist pour 6 avis, avec un budget de départ de 1 000 € sur cette plateforme.
- Son offre
- Elle publie une page cybersécurité et conformité, une offre de développement, d'automatisation et de modernisation, et une offre de migration vers le cloud, des applications et de la messagerie.
- Pour qui
- PME qui doivent corriger l'application et l'infrastructure, migration cloud comprise.
- Points à vérifier
- Seulement 6 avis Sortlist et aucune correction après test d'intrusion publiée dans notre relevé.
- Budget de départ
- à partir de 1 000 € (Sortlist)
- 4
EYANA
Agence web et sécurité informatique, à Sorgues
4,69/5 sur Sortlist (1 avis, relevé du 5 octobre 2026) · Sorgues · 3 personnes · créée en 2026
EYANA, basée à Sorgues et créée en 2026, a un effectif de 3 et affiche sur Sortlist une note de 4,69 pour un seul avis, avec un budget de départ de 300 €.
- Son offre
- Son site publie une offre de sécurité informatique des infrastructures, un guide pratique de cybersécurité pour les PME et la création de sites sur mesure.
- Pour qui
- TPE au budget serré qui veulent sécuriser un site ou un petit serveur.
- Points à vérifier
- Créée en 2026, un seul avis Sortlist et pas de SIREN dans notre relevé.
- Budget de départ
- à partir de 300 € (Sortlist)
On commande un test d'intrusion quand l'application s'ouvre à de nouveaux accès
Le bon moment, c'est juste avant d'exposer quelque chose de nouveau : une mise en production, une refonte, une API ouverte à des partenaires, un changement d'hébergeur, un sous-domaine dédié à un client. C'est aussi la demande classique d'un client important qui réclame un rapport avant de signer.
Ce qu'on cherche dépend du métier :
- éditeur SaaS : l'isolation entre clients (un client peut-il lire les données d'un autre ?), les rôles, les jetons d'API ;
- éditeur de logiciel RH : les dossiers salariés, les imports de fichiers, les droits des managers ;
- fintech : les flux de paiement, l'authentification, les webhooks ;
- organisme de formation : la plateforme d'apprentissage, les comptes apprenants créés en masse, l'espace formateur.
La demande existe bien chez ces profils : sur codeur.com, on relève 44 annonces de pentest ; en croisant avec le secteur, 6 concernent un éditeur SaaS, 5 la formation, 4 le logiciel RH et 3 la fintech.
Les étapes : un périmètre écrit, des tests, un rapport, puis un contre-test
Le déroulé change peu d'un auditeur à l'autre. Ce qui fait la différence, c'est la précision du cadrage.
- Cadrage : la liste des noms de domaine, sous-domaines, IP, API et environnements visés, et ce qui est exclu. On fixe le mode : boîte noire (sans accès), grise (avec des comptes) ou blanche (avec le code source). C'est le cœur du cahier des charges.
- Autorisation écrite : signée par l'exploitant des serveurs. Si l'application tourne chez un hébergeur ou un cloud, on relit ses conditions sur les tests de sécurité.
- Préparation : des comptes de test pour chaque rôle, l'IP source de l'auditeur transmise à l'exploitation, une sauvegarde récente, un contact joignable pendant les fenêtres de test.
- Tests : reconnaissance (DNS, certificats, services exposés), puis tentatives manuelles d'exploitation.
- Rapport : chaque faille avec sa preuve, son impact et la correction proposée.
- Correction et contre-test : l'équipe ou un prestataire corrige, l'auditeur vérifie que la faille est fermée.
Le prix suit le périmètre, le mode de test et le contre-test
Aucun auditeur qualifié de cette page ne publie de tarif dans notre relevé : le prix sort d'un devis. Seuls repères publics, les budgets affichés sur des annonces publiques de codeur.com : moins de 500 €, 500 € à 1 000 €, 1 000 € à 10 000 €.
Ce qui fait monter le prix :
- le nombre de cibles : domaines, sous-domaines, IP exposées, API ;
- le nombre de rôles (apprenant, formateur, administrateur ; salarié, manager, RH) ;
- la boîte blanche, qui ajoute le code source, portée à part de la qualification PASSI ;
- un audit de configuration ou d'architecture ;
- le contre-test, à chiffrer dès le départ.
Le délai dépend surtout de vous : comptes prêts, préproduction stable, autorisation signée. Un organisme de formation avec une plateforme a un périmètre court ; un éditeur SaaS ou RH, ou une fintech, multiplie rôles et API. La correction se chiffre à part (budgets de départ publiés) : dès 8 000 € pour Digital Unicorn, 1 000 € pour IT Systèmes, 300 € pour EYANA.
Les vrais risques : un sous-domaine oublié, une production mal préparée, un rapport sans suite
- Périmètre incomplet : une préproduction exposée, une ancienne API ou un enregistrement DNS qui pointe vers un service supprimé restent hors du test. Ce sont pourtant des portes d'entrée classiques, jusqu'à la prise de contrôle d'un sous-domaine.
- Test faussé par vos protections : si le pare-feu applicatif ou un bannissement automatique bloque l'IP de l'auditeur sans que ce soit décidé, le rapport sera propre et trompeur.
- Production polluée : faux comptes, faux paiements, e-mails partis vers de vrais clients. Pour une fintech ou un logiciel RH, on isole les comptes de test ou on teste une préproduction fidèle.
- Hébergeur non prévenu : un trafic d'attaque peut déclencher un blocage ou un signalement d'abus en plein test.
- Rapport mal protégé : il explique comment entrer chez vous. Il circule chiffré, vers peu de destinataires.
- Failles connues, jamais corrigées : faute de développeur disponible, le rapport dort. On réserve le correcteur avant le test.
Un auditeur qualifié PASSI pour tester, un autre prestataire pour corriger
Pour le test, la qualification PASSI de l'ANSSI se vérifie dans son catalogue, mis à jour le 15/09/2026. Scassi Conseil, Synacktiv, Adacis et OWN y figurent au niveau élevé, avec les portées tests d'intrusion et code source. Regardez la date de fin : 22/05/2029 pour Scassi Conseil et Synacktiv, 20/04/2029 pour Adacis et OWN.
Selon votre profil :
- éditeur SaaS ou RH (PME) : boîte grise avec des comptes de plusieurs clients et de plusieurs rôles, plus la portée code source si le code est ancien ;
- fintech (PME) : ajoutez l'audit de configuration des serveurs et exigez le contre-test au devis ;
- organisme de formation (TPE) : un périmètre court (plateforme, domaine, back-office), mais un auditeur qualifié quand même.
Pour corriger, prenez un autre prestataire que l'auditeur, qui connaît votre code et votre hébergement : le contre-test garde son sens. Digital Unicorn, partenaire AWS et OVHcloud (niveau non affiché), publie une offre de migration de PHP 5 ou 7 vers PHP 8 après audit ; Nouvel oeil, le dépiratage WordPress ; IT Systèmes, la migration cloud.
Ce qu’il faut demander avant de signer
| Critère | Ce qu’il faut demander | Signal favorable |
|---|---|---|
| Qualification PASSI et portées | Le niveau, les portées couvertes (tests d'intrusion, code source, configuration) et la date de fin de qualification. | Le prestataire figure au catalogue de l'ANSSI avec la portée tests d'intrusion et une date de fin encore à venir. |
| Périmètre et mode de test | La liste des domaines, sous-domaines, IP, API et rôles inclus, les exclusions, le mode boîte noire, grise ou blanche. | Un devis détaillé cible par cible, précédé de questions sur votre DNS et votre hébergement. |
| Rapport et contre-test | Un extrait de rapport anonymisé et le prix du contre-test après correction. | Chaque faille avec preuve, impact et correction proposée, et un contre-test chiffré dès le départ. |
| Correction du code | Qui corrige, sur quelle technologie, avec quel accès au dépôt et aux serveurs. | Des réalisations publiées sur votre technologie, par exemple une migration vers PHP 8 après audit. |
Questions fréquentes
Quel budget prévoir pour un test d'intrusion quand on est une PME ou une TPE ?
Les auditeurs qualifiés comparés ici ne publient pas de tarif dans notre relevé : il faut un devis. Comme repères, les budgets affichés sur des annonces publiques de codeur.com vont de la tranche moins de 500 € à la tranche 1 000 € à 10 000 €. Un organisme de formation (TPE) avec une plateforme a un périmètre court. Un éditeur SaaS ou RH, ou une fintech (PME), a plus de rôles et d'API : prévoyez plus, et chiffrez correction et contre-test à part.
Que mettre dans le cahier des charges d'un test d'intrusion ?
La liste exacte des cibles : noms de domaine, sous-domaines, IP, API et environnements, avec les exclusions. Puis le mode de test (boîte noire, grise ou blanche), les rôles à tester et les comptes fournis, les fenêtres horaires, le contact technique joignable et l'IP source de l'auditeur. Enfin, le format du rapport et le contre-test après correction. Sans cette liste, les devis reçus ne se comparent pas.
Un outil d'audit de sécurité de site web peut-il remplacer un test d'intrusion ?
Un scanner automatique repère des versions obsolètes, des en-têtes HTTP manquants, un certificat mal configuré ou un port ouvert par erreur. C'est utile en continu. Il passe à côté des failles de logique : un apprenant qui ouvre le dossier d'un autre, un client SaaS qui lit les données d'un voisin, une opération de paiement rejouée. Celles-là demandent un test manuel, avec des comptes pour chaque rôle.
Faut-il faire le test sur la production ou sur une préproduction ?
Une préproduction fidèle limite le risque, à condition d'avoir les mêmes versions, la même configuration serveur et TLS, le même pare-feu. Sinon, le rapport décrit un autre système. La production reste possible sur un périmètre cadré, avec une sauvegarde, des fenêtres horaires et des comptes de test isolés. Pour une fintech ou un logiciel RH, on évite de manipuler de vraies données de salariés ou de paiement.
Comment contacter Digital Unicorn pour corriger les failles relevées ?
Digital Unicorn ne fait pas de test d'intrusion : elle intervient après, sur le code. On la joint à contact@digitalunicorn.fr ou au 06 32 64 24 80, et elle répond d’ordinaire en 30 minutes au plus, les jours ouvrés. La prise de contact est gratuite, par téléphone comme par écrit. Préparez le rapport, l'accès au dépôt et la liste des serveurs concernés. Son budget de départ : dès 8 000 €.
Pour aller plus loin
- Accueil du comparateur
- Développement SaaS : les meilleures agences
- Pentest entreprise : les meilleures sociétés
- Intégration API : les meilleures agences
- Pentest ou bug bounty : que choisir
Sources et méthode
- catalogue des produits et services qualifiés de l'ANSSI, mis à jour le 15/09/2026
- site de l'entreprise (https://www.scassi.com/en/)
- site de l'entreprise (https://www.synacktiv.com/)
- site de l'entreprise (https://www.adacis.net/)
- site de l'entreprise (https://www.own.security/en)
- fiche Sortlist (https://www.sortlist.fr/agency/digital-unicorn, relevée le 2026-10-03)
- pages publiées par l'agence
- fiche Google Maps (Google Maps « agence web Chambéry » (DataForSEO, 2026-10-02))
- registre Sirene (SIREN 442662169)
- site de l'agence (https://www.nouvel-oeil.com)
- données vérifiées pour anaska (relevé du 2026-10-03)
- site de l'agence (https://www.nouvel-oeil.com/)
- fiche Sortlist (https://www.sortlist.fr/agency/it-systemes, relevée le 2026-10-05)
- registre Sirene (SIREN 521984112)
- site de l'agence (https://www.itsystemes.fr/)
- fiche Sortlist (https://www.sortlist.fr/agency/eyana, relevée le 2026-10-05)
- site de l'agence (https://www.eyana.fr/)
- Prestataires retenus : site qui répond, spécialité présente sur une page de service de leur site, registre Sirene pour les entreprises françaises. Relevé du 6 octobre 2026.
Recevoir des propositions pour votre projet
Trois questions, une minute. Un expert relit votre demande et vous recontacte au sujet de votre projet.
Le bon prestataire se choisit sur des faits.