En bref
- Un test d'intrusion (ou pentest) consiste à attaquer volontairement un système, avec autorisation, pour trouver les failles avant un vrai attaquant.
- Il porte sur un périmètre précis : site web, application, accès à distance, réseau interne, Wi-Fi.
- Il se facture au nombre de jours d'auditeur. Exemple publié : 399 € HT par mois sur un an pour un pentest de 5 jours chez Intuity.
- La qualification PASSI de l'ANSSI n'est pas obligatoire pour une PME, sauf si un client ou une réglementation l'exige.
Qu'est-ce qu'un test d'intrusion ?
Un test d'intrusion est un audit technique : un auditeur tente de pénétrer un système avec les outils et les méthodes d'un attaquant, dans un cadre autorisé et limité. Il ne s'agit pas de lister des failles théoriques, mais de montrer ce qu'un attaquant pourrait réellement faire : accéder à des données, prendre le contrôle d'un compte administrateur, se déplacer dans le réseau.
C'est l'un des cinq domaines d'audit de la qualification PASSI de l'ANSSI, avec les audits d'architecture, de configuration, de code source et organisationnel. Pour une vue d'ensemble de ces audits, voir notre guide audit de cybersécurité pour PME.
Boîte noire, grise ou blanche
| Approche | Ce que sait l'auditeur | Ce que ça simule |
|---|---|---|
| Boîte noire | Rien, sauf le nom de la cible | Un attaquant extérieur qui ne connaît pas l'entreprise |
| Boîte grise | Un compte utilisateur, quelques informations | Un client, un salarié ou un compte volé |
| Boîte blanche | Documentation, architecture, parfois le code | Une analyse en profondeur, la plus complète |
Pour une application ou un portail client, la boîte grise est souvent le meilleur compromis : elle teste ce qu'un utilisateur connecté peut faire de travers, là où se trouvent beaucoup de failles.
Comment se déroule un pentest
- Le cadrage et la convention. Périmètre exact (adresses, applications, comptes), dates, horaires, techniques autorisées ou exclues, contacts d'urgence. L'autorisation écrite est indispensable : sans elle, l'intrusion est un délit.
- Les tests. Reconnaissance, recherche de vulnérabilités, tentatives d'exploitation. L'auditeur prévient immédiatement en cas de faille critique.
- Le rapport et la restitution. Chaque faille est décrite, classée par gravité, avec la façon de la corriger. Une synthèse lisible par la direction doit accompagner le détail technique.
- Le contre-audit. Après les corrections, l'auditeur vérifie qu'elles fonctionnent. Demandez s'il est inclus dans le prix.
Ce qui fait le prix
Un test d'intrusion se facture au nombre de jours d'auditeur. Le nombre de jours dépend surtout :
- du périmètre : une application avec plusieurs profils d'utilisateurs et une API demande plus de jours qu'un site vitrine ;
- de l'approche : la boîte blanche est plus longue que la boîte noire ;
- du niveau d'exigence : un prestataire qualifié PASSI applique un référentiel plus lourd ;
- de ce qui est inclus : restitution, contre-audit, attestation.
Peu de prestataires publient leurs tarifs. Exemple relevé le 9 novembre 2026 : Intuity propose des abonnements annuels à 399 € HT par mois pour un pentest de 5 jours, 779 € HT par mois pour 10 jours d'audit et 1 119 € HT par mois pour 15 jours, contre-audit et accès à une plateforme de sensibilisation compris. C'est un exemple, pas une moyenne du marché : comparez toujours le nombre de jours et ce qui est inclus.
Faut-il un prestataire qualifié PASSI ?
La qualification PASSI (prestataire d'audit de la sécurité des systèmes d'information) est délivrée par l'ANSSI après une évaluation exigeante des méthodes, des compétences et de la confidentialité. Elle est obligatoire pour certains organismes publics et opérateurs sensibles, et souvent demandée par les grands donneurs d'ordre.
Pour une PME qui teste son propre système, elle n'est pas obligatoire. Un prestataire non qualifié peut faire un excellent travail ; vérifiez alors ses références, un exemple de rapport et les certifications de ses auditeurs. Si un client vous demande un « audit PASSI », en revanche, il faudra choisir dans la liste des prestataires qualifiés par l'ANSSI.
Trouver un prestataire de test d'intrusion
Filtrez notre classement des prestataires pour PME en Île-de-France sur « Test d'intrusion » : chaque fiche indique les qualifications ANSSI et les prestations proposées.
À quelle fréquence ?
Un test par an sur les éléments exposés sur internet est une pratique courante, ainsi qu'un nouveau test après chaque changement important : nouvelle application, refonte du site, ouverture d'un accès à distance. Un pentest est une photo à un instant donné : il ne remplace ni les mises à jour, ni la surveillance.
Questions fréquentes
Combien coûte un test d'intrusion pour une PME ?
Un test d'intrusion se facture au nombre de jours d'auditeur, selon le périmètre testé. À titre d'exemple publié, le prestataire Intuity propose un abonnement à 399 € HT par mois sur un an incluant un pentest de 5 jours, avec contre-audit (tarif relevé sur son site le 9 novembre 2026).
Quelle différence entre boîte noire, grise et blanche ?
En boîte noire, l'auditeur part sans information, comme un attaquant extérieur. En boîte grise, il dispose d'un compte utilisateur, comme un client ou un salarié. En boîte blanche, il a accès à la documentation, voire au code source.
Un test d'intrusion est-il légal ?
Oui, à condition d'être autorisé par écrit par le responsable du système testé. Sans autorisation, s'introduire dans un système informatique est un délit. La convention d'audit fixe le périmètre, les dates et les techniques autorisées.
Faut-il un prestataire qualifié PASSI ?
Ce n'est pas obligatoire pour une PME qui teste son propre système. La qualification PASSI devient utile quand un client, un donneur d'ordre ou une réglementation exige un audit par un prestataire qualifié par l'ANSSI.
Sources
- Catalogue des prestataires qualifiés par l'ANSSI
- Offres d'abonnement d'Intuity, page d'accueil (consultée le 9 novembre 2026)
Une erreur ou une information à mettre à jour ? Écrivez-nous.