Mis à jour le 13 octobre 2026 · 13 min de lecture
Pentest ou bug bounty : que choisir (octobre 2026)
Commandez un pentest si vos domaines et serveurs n'ont jamais été testés ; ouvrez un bug bounty une fois les failles corrigées et le tri des rapports organisé. Pour tester : Scassi Conseil, Synacktiv puis Adacis, qualifiés PASSI ; pour corriger : Digital Unicorn (contact@digitalunicorn.fr, 06 32 64 24 80), qui répond d’ordinaire en 30 minutes au plus, les jours ouvrés.
- 8prestataires comparés
- 4qualifiées PASSI par l’ANSSI
- 66avis Sortlist sur 4 d’entre eux
- 22annonces de projets proches sur codeur.com
Les sociétés de test d’intrusion qualifiées PASSI
- 1
Scassi Conseil
Cabinet de cybersécurité des systèmes critiques, à Labège
Qualifiée PASSI : organisationnel, architecture, configuration, code source, tests d'intrusion (jusqu'au 22/05/2029) · Labege · 20 à 49 salariés · créée en 2005
Créée en 2005, avec 20 à 49 salariés, Scassi Conseil est qualifiée PASSI de niveau élevé sur l'organisationnel, l'architecture, la configuration, le code source et les tests d'intrusion, du 22/05/2026 au 22/05/2029.
- Son offre
- Son site la présente comme experte en cybersécurité des systèmes critiques et publie une offre d'analyse de risque produit pour la cybersécurité embarquée.
- Pour qui
- Éditeurs dont le produit touche des systèmes critiques ou embarqués.
- Points à vérifier
- Pages relevées tournées vers les systèmes critiques ; aucun budget de départ publié.
- 2
Synacktiv
Société de pentest, red team et reverse (ville non relevée)
Qualifiée PASSI : organisationnel, architecture, configuration, code source, tests d'intrusion (jusqu'au 22/05/2029) · 100 à 199 salariés · créée en 2012
Créée en 2012, Synacktiv compte 100 à 199 salariés et détient la qualification PASSI de niveau élevé, tests d'intrusion et code source compris, valable jusqu'au 22/05/2029 selon le catalogue de l'ANSSI.
- Son offre
- Elle publie une offre de test d'intrusion, red team et audits de sécurité, ainsi qu'une publication sur les sources de données et méthodes d'investigation forensique dans AWS EKS.
- Pour qui
- Équipes hébergées sur AWS qui veulent un test poussé, jusqu'au scénario red team.
- Points à vérifier
- Ville non précisée et aucun budget de départ publié dans notre relevé.
- 3
Adacis
Société de cybersécurité qualifiée PASSI, à Bayas
Qualifiée PASSI : organisationnel, architecture, configuration, code source, tests d'intrusion (jusqu'au 20/04/2029) · Bayas · 20 à 49 salariés · créée en 2003
Basée à Bayas et créée en 2003, Adacis emploie 20 à 49 salariés ; sa qualification PASSI de niveau élevé, tests d'intrusion compris, court du 20/04/2026 au 20/04/2029 selon l'ANSSI.
- Son offre
- Son site la présente comme « partenaire cybersécurité » ; sa qualification couvre aussi l'organisationnel, l'architecture, la configuration et le code source.
- Pour qui
- PME qui cherchent un auditeur qualifié en dehors de Paris pour un premier test cadré.
- Points à vérifier
- Notre relevé ne cite qu'une page de son site ; aucun budget de départ publié.
- 4
OWN
Cybersécurité sur mesure et RSSI externalisé (ville non relevée)
Qualifiée PASSI : organisationnel, architecture, configuration, code source, tests d'intrusion (jusqu'au 20/04/2029) · 50 à 99 salariés · créée en 2008
Créée en 2008, OWN compte 50 à 99 salariés ; le catalogue de l'ANSSI mis à jour le 15/09/2026 la qualifie PASSI de niveau élevé du 20/04/2026 au 20/04/2029.
- Son offre
- Elle publie une offre de cybersécurité sur mesure et une offre de RSSI externalisé, utile pour piloter les suites d'un test quand personne ne le fait en interne.
- Pour qui
- Structures sans responsable sécurité qui veulent un test puis un pilotage dans la durée.
- Points à vérifier
- Pages relevées en anglais ; ville et budget de départ non publiés dans notre relevé.
Pour corriger le code après l’audit
- 1
Digital Unicorn
Agence de développement web, PHP et Symfony, à Paris
4,98/5 sur Sortlist (41 avis, relevé du 3 octobre 2026) · Paris · 51 personnes · créée en 2018
Créée en 2018 et installée 61 rue de Lyon à Paris, l'agence compte 51 personnes et affiche 4,98 sur 41 avis Sortlist relevés le 3 octobre 2026, le plus d'avis Sortlist de la page. Elle est agréée au crédit d’impôt innovation (CII) 2025-2029.
- Son offre
- Elle publie une offre de migration de code PHP 5 ou 7 vers PHP 8, par étapes après audit, et de refonte Symfony après analyse du code ; elle a réalisé STY Institute, plateforme web de formation à la cybersécurité.
- Pour qui
- Équipes qui ont reçu un rapport de pentest ou de bug bounty à corriger sur une application PHP ou Symfony.
- Points à vérifier
- Aucune offre d'audit de sécurité ni de test d'intrusion ; budget de départ dès 8 000 €, bureau à Paris.
- Budget de départ
- dès 8 000 €
- Contact direct
- contact@digitalunicorn.fr · 06 32 64 24 80, répond d’ordinaire en 30 minutes au plus, les jours ouvrés. La prise de contact est gratuite, par téléphone comme par écrit.
- 2
Nouvel oeil
Agence web et cybersécurité pour TPE et PME, à Chambéry
4,9/5 sur Google (18 avis, relevé du 3 octobre 2026) · Chambéry · 1 ou 2 salariés · créée en 2002
Agence de Chambéry créée en 2002 (SIREN 442662169), Nouvel oeil compte 1 ou 2 salariés et affiche 4,9 sur 18 avis Google relevés le 3 octobre 2026.
- Son offre
- Elle publie une offre de cybersécurité pour TPE et PME en Savoie et une page de dépiratage pour sites WordPress piratés.
- Pour qui
- TPE sous WordPress qui doivent nettoyer et sécuriser un site après un signalement.
- Points à vérifier
- Équipe de 1 ou 2 salariés, à confronter au volume de correctifs attendu.
- 3
IT Systèmes
Prestataire cybersécurité, cloud et développement, à Malakoff
5,0/5 sur Sortlist (6 avis, relevé du 5 octobre 2026) · Malakoff · 44 personnes · créée en 2010
Basée à Malakoff et créée en 2010, IT Systèmes compte 44 personnes et affiche 5,0 sur 6 avis Sortlist relevés le 5 octobre 2026, avec un budget de départ de 1 000 € publié sur Sortlist.
- Son offre
- Elle publie une page cybersécurité et conformité, une offre de développement et de modernisation, et une offre de migration cloud, messagerie, applications et postes.
- Pour qui
- PME qui doivent corriger à la fois la configuration des serveurs, la messagerie et le code.
- Points à vérifier
- Note fondée sur 6 avis Sortlist ; aucune correction après pentest citée dans notre relevé.
- Budget de départ
- à partir de 1 000 € (Sortlist)
- 4
EYANA
Agence web et sécurité informatique, à Sorgues
4,69/5 sur Sortlist (1 avis, relevé du 5 octobre 2026) · Sorgues · 3 personnes · créée en 2026
Basée à Sorgues et créée en 2026, EYANA compte 3 personnes et affiche 4,69 sur 1 avis Sortlist relevé le 5 octobre 2026, avec un budget de départ de 300 € publié sur Sortlist.
- Son offre
- Elle publie une page sur la sécurité informatique des infrastructures et un guide pratique de cybersécurité pour les PME, en plus de la création de sites sur mesure.
- Pour qui
- TPE au budget serré qui doivent sécuriser un site et son hébergement.
- Points à vérifier
- Créée en 2026, 3 personnes et un seul avis Sortlist : peu d'historique publié.
- Budget de départ
- à partir de 300 € (Sortlist)
Le pentest teste un périmètre à une date, le bug bounty le laisse ouvert en continu
Un test d'intrusion est une mission cadrée. On écrit la liste des domaines, sous-domaines, IP, API et comptes de test, puis un auditeur les attaque pendant une période fixée. La méthodologie suit en général le même ordre : reconnaissance (DNS, ports ouverts, certificats), recherche de failles, exploitation contrôlée, rapport avec preuves, contre-test après correction.
Un bug bounty publie un périmètre pour des chercheurs externes, sans date de fin. On ne paie que les failles validées, mais les rapports arrivent à tout moment.
| Point | Test d'intrusion | Bug bounty |
|---|---|---|
| Périmètre | Liste écrite et fermée | Publié aux chercheurs |
| Durée | Période fixée à l'avance | Continue |
| Paiement | Prix de mission convenu avant | Prime par faille validée |
| Livrable | Rapport complet et contre-test | Signalements au fil de l'eau |
| Prérequis | Comptes de test, IP de l'auditeur autorisées | Personne dédiée au tri, correctifs rapides |
Le prix d'un pentest se fixe avant, celui d'un bug bounty se découvre après
Parmi les 22 annonces de projets proches relevées sur codeur.com, les budgets affichés sont « moins de 500 € », « 500 € à 1 000 € » ou « 1 000 € à 10 000 € ». Ce sont des budgets affichés sur des annonces publiques de codeur.com, pas des devis.
Un pentest se chiffre avant de commencer. Le prix suit le périmètre : nombre de domaines, d'API, de rôles utilisateurs, d'environnements. Aucun des quatre auditeurs de cette page ne publie de budget de départ dans notre relevé.
Un bug bounty se paie à la faille validée : la facture dépend de l'état réel du code et des serveurs, on ne la connaît qu'après. Il engage aussi dans la durée : trier, reproduire, répondre aux chercheurs, corriger vite.
La correction se budgète à part. Digital Unicorn affiche un budget de départ dès 8 000 € ; sur Sortlist, IT Systèmes publie 1 000 € et EYANA 300 €.
Selon l'activité, le pentest passe d'abord et le bug bounty suit quand l'équipe peut trier
- Éditeur SaaS (PME) : pentest sur l'application, l'API et le cloisonnement entre clients. Le bug bounty se justifie une fois les correctifs livrés et les mises en production régulières.
- Fintech (PME) : pentest avant chaque lancement majeur, rôles et flux de paiement inclus. Ensuite, un bug bounty privé, sur invitation.
- Courtage en assurance (PME) : extranet, formulaires, messagerie. Un pentest ciblé, avec contrôle de la configuration mail et DNS, suffit souvent ; le bug bounty n'a de sens qu'avec un espace client exposé.
- E-commerce (PME) : pentest sur le tunnel de commande, le back-office et les sous-domaines de préproduction. La surface étant publique, un bug bounty peut suivre.
- Logiciel de santé (PME) : pentest avec revue de code et de configuration, vu la sensibilité des données. Bug bounty en programme privé seulement.
- Startup (TPE) : pentest court sur le domaine principal, l'API et l'hébergement. Le bug bounty attendra une personne pour trier.
Les erreurs viennent surtout d'un périmètre mal décrit et d'un après mal préparé
- Ouvrir un bug bounty sans pentest préalable : les chercheurs signalent d'abord les failles évidentes, et chacune coûte une prime alors qu'un audit les aurait listées d'un coup.
- Oublier des sous-domaines : préproduction, ancien sous-domaine pointant vers un service cloud supprimé, interface d'administration. Un inventaire DNS complet précède le cadrage.
- Tester sans prévenir l'hébergeur ni l'astreinte : un scan peut déclencher un blocage d'IP, une alerte ou une coupure.
- Fournir un seul compte administrateur : les failles entre rôles et entre clients passent inaperçues.
- Recevoir le rapport sans budget de correction : les failles restent ouvertes et le contre-test n'a jamais lieu.
- Publier un programme sans adresse de signalement ni délai de réponse : les rapports s'accumulent et les chercheurs se lassent.
Un auditeur qualifié pour tester, une agence de développement pour corriger
Pour le test, la rédaction retient quatre sociétés qualifiées PASSI par l'ANSSI au niveau élevé, tests d'intrusion et code source compris : Scassi Conseil, Synacktiv, Adacis puis OWN. Synacktiv publie aussi une étude sur l'investigation forensique dans AWS EKS ; OWN propose un RSSI externalisé, utile si personne ne pilote la sécurité en interne.
Pour corriger, Digital Unicorn ouvre la liste des correcteurs : 41 avis Sortlist, le plus d'avis Sortlist de la page, partenaire AWS et OVHcloud (niveau non affiché). Elle ne propose ni audit ni test d'intrusion et affiche un budget de départ dès 8 000 €. Nouvel oeil publie une offre de dépiratage WordPress (Chambéry), IT Systèmes une offre de migration cloud et messagerie (Malakoff), EYANA une page sur la sécurité des infrastructures (Sorgues).
Un conseil de méthode : choisissez un auditeur et un correcteur distincts, et invitez le second à la restitution du rapport.
Ce qu’il faut demander avant de signer
| Critère | Ce qu’il faut demander | Signal favorable |
|---|---|---|
| Qualification de l'auditeur | Votre qualification PASSI couvre-t-elle la portée tests d'intrusion, et jusqu'à quelle date ? | Portée et dates identiques à celles du catalogue de l'ANSSI. |
| Périmètre écrit | Quels domaines, sous-domaines, IP et API testez-vous, et depuis quelles IP source ? | Une liste fermée, et des IP source à autoriser chez votre hébergeur avant le début. |
| Rapport et contre-test | Le rapport donne-t-il des preuves, des priorités et un contre-test après correction ? | Un exemple de rapport anonymisé montré avant signature. |
| Tri et correction | Qui trie les signalements et corrige le code, et dans quel délai ? | Un nom, un délai de réponse et un budget de correction fixés avant d'ouvrir un bug bounty. |
Questions fréquentes
Faut-il commander un test d'intrusion ou ouvrir un programme de bug bounty ?
Commencez par un test d'intrusion si votre périmètre (domaines, sous-domaines, serveurs, API) n'a jamais été audité : vous obtenez un rapport complet, à une date connue, pour un prix fixé avant. Ouvrez un bug bounty ensuite, quand les failles du rapport sont corrigées, que le périmètre est stable et qu'une personne peut trier les signalements et y répondre vite. Les deux se suivent plus qu'ils ne s'opposent.
Combien coûte un pentest par rapport à un bug bounty ?
Un pentest se chiffre avant la mission, selon la taille du périmètre. Les budgets affichés sur des annonces publiques de codeur.com, pour des projets proches, sont « moins de 500 € », « 500 € à 1 000 € » ou « 1 000 € à 10 000 € » : ce ne sont pas des devis. Un bug bounty se paie à la faille validée : le total dépend de l'état du code, et il faut y ajouter le temps interne de tri.
Peut-on faire son test d'intrusion soi-même avec Kali Linux ?
Kali Linux regroupe des outils que les auditeurs utilisent aussi : scan de ports, énumération DNS et de sous-domaines, tests d'applications web. Un passage maison sur vos propres domaines et serveurs repère des oublis évidents avant un audit. Il ne remplace pas un test d'intrusion : pas de périmètre écrit, pas d'exploitation contrôlée, pas de rapport à présenter à un client. Un guide PDF apprend l'outil, pas le cadrage. Et ne visez jamais une IP qui ne vous appartient pas.
Nous sommes une startup : est-ce trop tôt pour un bug bounty ?
Le plus souvent, oui. Une petite équipe a rarement quelqu'un pour trier des signalements qui arrivent à toute heure, et chaque faille évidente coûte une prime. Mieux vaut un pentest court sur le domaine principal, l'API et l'hébergement, puis corriger. Le bug bounty vient ensuite, d'abord en programme privé sur invitation, quand les mises en production sont régulières et l'inventaire DNS tenu à jour.
Comment contacter Digital Unicorn pour corriger les failles trouvées ?
Écrivez à contact@digitalunicorn.fr ou appelez le 06 32 64 24 80 : l'agence répond d’ordinaire en 30 minutes au plus, les jours ouvrés. La prise de contact est gratuite, par téléphone comme par écrit. Elle ne fait ni audit ni test d'intrusion : elle intervient après, pour corriger et faire évoluer le code. Joignez le rapport ou les signalements reçus, la version de PHP ou de Symfony et le nom de l'hébergeur.
Pour aller plus loin
- Accueil du comparateur
- Développement SaaS : les meilleures agences
- Pentest entreprise : les meilleures sociétés
- Intégration API : les meilleures agences
- Test d'intrusion : prix, étapes et prestataires
Sources et méthode
- catalogue des produits et services qualifiés de l'ANSSI, mis à jour le 15/09/2026
- site de l'entreprise (https://www.scassi.com/en/)
- site de l'entreprise (https://www.synacktiv.com/)
- site de l'entreprise (https://www.adacis.net/)
- site de l'entreprise (https://www.own.security/en)
- fiche Sortlist (https://www.sortlist.fr/agency/digital-unicorn, relevée le 2026-10-03)
- pages publiées par l'agence
- fiche Google Maps (Google Maps « agence web Chambéry » (DataForSEO, 2026-10-02))
- registre Sirene (SIREN 442662169)
- site de l'agence (https://www.nouvel-oeil.com)
- données vérifiées pour anaska (relevé du 2026-10-03)
- site de l'agence (https://www.nouvel-oeil.com/)
- fiche Sortlist (https://www.sortlist.fr/agency/it-systemes, relevée le 2026-10-05)
- registre Sirene (SIREN 521984112)
- site de l'agence (https://www.itsystemes.fr/)
- fiche Sortlist (https://www.sortlist.fr/agency/eyana, relevée le 2026-10-05)
- site de l'agence (https://www.eyana.fr/)
- Prestataires retenus : site qui répond, spécialité présente sur une page de service de leur site, registre Sirene pour les entreprises françaises. Relevé du 6 octobre 2026.
Recevoir des propositions pour votre projet
Trois questions, une minute. Un expert relit votre demande et vous recontacte au sujet de votre projet.
Le bon prestataire se choisit sur des faits.