Mis à jour le 14 octobre 2026 · 8 min de lecture
Prix pentest : tarifs observés en 2026 (octobre 2026)
Sur des annonces publiques de codeur.com proches du sujet, les budgets affichés vont de moins de 500 € à une tranche de 1 000 € à 10 000 €. Le prix varie avec le nombre de domaines, d'IP et de routes d'API testés, la correction incluse ou non, le contre-test et le délai.
- 888annonces de projets proches sur codeur.com
Sur codeur.com, les budgets affichés vont de moins de 500 € à 10 000 €
Le relevé du 6 octobre 2026 porte sur 888 annonces de projets proches sur codeur.com. Les budgets affichés sur des annonces publiques de codeur.com se rangent dans les tranches suivantes :
- Moins de 500 €
- 200 à 500 €
- 500 € à 1 000 €
- 1 000 € à 10 000 €
La répartition par sujet montre où se trouve la demande. On compte 40 annonces SSO et Node.js, 35 en ajoutant le critère éditeur SaaS, 15 avec fintech et 18 avec logiciel RH. Côté API REST, 18 annonces viennent du courtage, dont 5 portent sur la correction de failles.
Une précaution de lecture : les sujets relevés portent sur l'intégration du SSO et la correction de failles, pas sur un test d'intrusion seul. Ces montants disent ce que des PME affichent au moment de publier leur besoin, pas ce qu'un pentest coûte une fois le périmètre écrit.
Sur Sortlist, ce relevé ne contient aucun budget de départ pour le pentest
Le relevé de cette page ne contient aucun budget de départ publié sur Sortlist par une agence de sécurité applicative. On ne cite donc aucun montant ici, et on ne remplace pas ce vide par une estimation.
Quand vous en trouverez un sur une fiche d'agence, lisez-le pour ce qu'il est : le montant à partir duquel l'agence accepte d'ouvrir un projet. Il ne dit rien du nombre de noms de domaine, de sous-domaines, d'adresses IP ou de routes d'API couverts. Il ne dit pas non plus si le rapport final est rédigé pour être transmis à un client grand compte.
L'usage utile est un filtre. Comparez ce minimum à la tranche que vous auriez affichée sur codeur.com. S'il la dépasse, la discussion portera sur la réduction du périmètre : une seule application, l'environnement de préproduction, les seuls flux d'authentification. Mieux vaut le savoir avant le premier appel.
Chaque tranche de budget achète un périmètre différent
Les tranches reprennent celles des annonces. On décrit ce qu'on peut raisonnablement demander à chaque niveau, pas un tarif constaté.
Moins de 500 €, ou 200 à 500 €
Une tâche bornée sur un seul nom de domaine : relecture des enregistrements DNS, du certificat, des en-têtes HTTP et des ports ouverts. Ou la correction d'une faille déjà décrite dans un rapport. Pas un test d'intrusion à remettre à un grand compte.
500 € à 1 000 €
Un lot de corrections sur une API REST : sortir les clés d'API du code et des dépôts vers un coffre de secrets, vérifier les droits route par route, limiter les tentatives de connexion. En Node.js, Laravel ou Python, la logique reste la même.
1 000 € à 10 000 €
La tranche qui laisse de la place à l'intégration du SSO et de la double authentification, ou à un test avec comptes fournis et rapport. L'écart à l'intérieur de la tranche dépend du nombre de noms de domaine, d'environnements et de rôles à couvrir.
Forfait, régie, contre-test : ce que chaque mode de facturation engage
Plusieurs façons de facturer coexistent, et elles ne protègent pas l'acheteur de la même manière.
- Le forfait par périmètre. Le prix est fixé sur une liste fermée de cibles : noms de domaine, sous-domaines, adresses IP, routes d'API, rôles utilisateurs. Si la reconnaissance DNS révèle une préproduction oubliée, le devis doit dire si elle entre dans le test ou passe par un avenant.
- La régie au temps passé. On paie des journées. C'est souple quand l'application est sans documentation, mais le total n'est connu qu'à la fin. Demandez un plafond écrit.
- Le contre-test. C'est le nouveau passage après correction, celui qui permet d'écrire « corrigé » dans le rapport remis au client. Il est inclus ou facturé à part : à vérifier avant de signer.
- La correction elle-même. Vérifiez si elle figure dans le même devis ou à part. Si le même prestataire teste et corrige, demandez qui relit ses corrections.
Un devis de pentest se lit d'abord par sa liste de cibles
Avant de comparer les montants, comparez ce que chaque devis teste. Un prix bas sur un périmètre flou peut coûter plus cher au moment du contre-test.
- Les cibles. Chaque nom de domaine, sous-domaine, adresse IP et environnement est nommé. « Test du site » ne suffit pas.
- Les accès. Boîte noire, ou comptes fournis pour chaque rôle. Pour un SSO, le devis précise que l'on teste votre intégration et le contournement de la double authentification, pas le fournisseur d'identité.
- Les données. Si l'application traite des données de santé, le devis précise si le test porte sur la production ou sur une préproduction alimentée de données fictives.
- Le rapport. Chaque vulnérabilité (une faiblesse qu'un attaquant peut exploiter) arrive avec sa preuve, son impact, sa correction et un rattachement aux catégories OWASP.
- Le calendrier. Fenêtre de test, adresses IP d'origine du testeur à signaler à l'hébergeur, date de remise du rapport si un client l'attend.
Ce qu’il faut demander avant de signer
| Critère | Ce qu’il faut demander | Signal favorable |
|---|---|---|
| Périmètre nommé | La liste des noms de domaine, sous-domaines, adresses IP et routes d'API inclus dans le prix. | Chaque cible figure au devis, avec ce qui se passe si la reconnaissance DNS en trouve d'autres. |
| Accès et rôles testés | Quels comptes vous devez fournir, et si le flux SSO et la double authentification sont testés. | Le devis sépare votre intégration du fournisseur d'identité. |
| Rapport utilisable face à un client | Un exemple de rapport anonymisé. | Chaque vulnérabilité a une preuve, un impact, une correction et un rattachement OWASP. |
| Contre-test | S'il est inclus, et dans quel délai après vos corrections. | Il est écrit noir sur blanc, avec un prix s'il est en option. |
| Conditions d'intervention | La fenêtre de test, les adresses IP d'origine et un contact joignable pendant le test. | Le prestataire propose de prévenir l'hébergeur et d'éviter la production si elle contient des données de santé. |
Questions fréquentes
Combien coûte un pentest pour une PME en 2026 ?
Aucun prix de pentest publié ne figure dans notre relevé. Les budgets affichés sur des annonces publiques de codeur.com, sur 888 projets proches, vont de moins de 500 € à la tranche de 1 000 € à 10 000 €. Les sujets relevés portent sur l'intégration du SSO et la correction de failles d'API. Pour obtenir un chiffre utile, envoyez la liste de vos domaines, adresses IP et routes d'API : c'est elle qui fait varier le prix.
Un grand compte exige un rapport d'audit avant de signer : quel budget prévoir ?
Prévoyez le test et le contre-test, pas seulement le test. Un rapport remis à un client pèse davantage s'il montre les failles corrigées, et pas seulement listées. Côté montant, la tranche la plus haute des budgets affichés sur des annonces publiques de codeur.com va de 1 000 € à 10 000 € : c'est un ordre de grandeur, pas un devis. Demandez aussi un exemple de rapport anonymisé avant de comparer.
Combien coûte la correction des failles relevées sur notre API REST ?
Tout dépend du nombre de failles et de leur nature : déplacer des clés d'API vers un coffre de secrets ne pèse pas comme revoir les droits de chaque route. Sur codeur.com, 5 annonces du courtage portent sur la correction d'une API REST. Sur l'ensemble des projets proches, les budgets affichés sur des annonces publiques de codeur.com vont de moins de 500 € à 10 000 €. Transmettez le rapport d'audit et demandez un chiffrage faille par faille.
SSO et double authentification sur Node.js : faut-il payer le pentest avant ou après ?
Après l'intégration, et avant la mise en production si possible. Tester une application dont l'authentification va changer revient à payer un rapport vite périmé. Budgétez donc l'intégration, puis le test du nouveau flux : connexion par le fournisseur d'identité, contournement de la double authentification, sessions, rôles. Sur codeur.com, on relève 40 annonces qui associent SSO et Node.js, 15 avec le critère fintech et 18 avec logiciel RH.
Le contre-test après correction est-il compris dans le prix ?
Pas forcément, et c'est l'une des lignes qui font varier les devis. Le contre-test vérifie que chaque faille est bien corrigée et permet de remettre un rapport à jour au client qui l'a demandé. Faites préciser s'il est inclus, dans quel délai après vos corrections, et s'il couvre toutes les failles ou seulement les plus graves.
Notre budget est limité : comment réduire le prix sans vider le test de son intérêt ?
Réduisez le périmètre, pas la méthode. Ciblez d'abord l'application qui porte les données et son API plutôt que tous les sous-domaines. Fournissez les comptes de test pour éviter des journées de découverte, et donnez la documentation de l'API : une application sans documentation se teste plus lentement. Gardez la préproduction comme cible si elle reflète la production. Enfin, faites chiffrer la correction à part pour comparer chaque ligne.
Pour aller plus loin
Sources et méthode
- Prestataires retenus : site qui répond, spécialité présente sur une page de service de leur site, registre Sirene pour les entreprises françaises. Relevé du 6 octobre 2026.
Recevoir des propositions pour votre projet
Trois questions, une minute. Un expert relit votre demande et vous recontacte au sujet de votre projet.
Le bon prestataire se choisit sur des faits.