Test d’intrusion pour une PME : pentest, prix, cadre légal et choix du prestataire

Un grand client vous envoie son questionnaire de sécurité : « Date de votre dernier test d’intrusion ? Joindre la synthèse du rapport. » Vous cherchez un prestataire et tombez sur des offres impossibles à comparer, de l’analyse automatique livrée en un jour à la mission de plusieurs semaines. Ce guide vous aide à acheter le bon test, à le cadrer sans risque juridique et à en tirer quelque chose d’utile.

Un test d’intrusionTest d’intrusion (pentest)Attaque simulée, menée par des spécialistes mandatés, pour découvrir les failles d’un système avant qu’un vrai attaquant ne les exploite., ou pentest, consiste à confier à des spécialistes le rôle de l’attaquant, avec votre accord écrit, pour découvrir ce qu’un vrai pirate pourrait atteindre chez vous. L’enjeu est concret : l’exploitation d’une faille reste la porte d’entrée la plus fréquente des intrusions.

32 %

Source : Mandiant, M-Trends 2026

Scan, pentest, red team, bug bounty : ne pas acheter la mauvaise chose

Ces quatre approches sont souvent confondues, parfois volontairement dans les offres commerciales. Elles ne répondent pas à la même question.

	Scan de vulnérabilités	Test d’intrusion	Red team	Bug bounty
Question	Quelles failles connues sont visibles ?	Jusqu’où irait un attaquant sur ce périmètre ?	Verrions-nous une attaque réaliste, et saurions-nous réagir ?	Que trouvent des chercheurs variés, dans la durée ?
Qui le mène	Un outil	Des experts outillés	Une équipe offensive discrète	Une communauté payée à la faille validée
Ce que vous recevez	Une liste, avec des faux positifs	Des scénarios d’attaque prouvés et priorisés	Une mesure de votre détection et de votre réaction	Des rapports au fil de l’eau
Pour une PME	Indispensable, en continu	Une fois par an et après chaque changement important	Rarement adapté avant d’avoir une équipe de surveillance	Utile si vous éditez un logiciel ou un service en ligne

Une red teamRed team (équipe rouge)Exercice où une équipe d’attaquants mandatés imite, pendant plusieurs semaines, un adversaire réaliste pour éprouver la capacité de l’organisation à détecter une attaque et à y réagir. poursuit un objectif précis (atteindre les virements, par exemple) sans prévenir vos équipes, pour éprouver la détection autant que la prévention. Le bug bountyBug bounty (prime aux failles)Programme par lequel une organisation invite des chercheurs en sécurité à chercher des failles dans un périmètre défini, et les récompense pour chaque vulnérabilité valide signalée. ouvre un périmètre à des chercheurs indépendants, rémunérés seulement pour les failles valides. Pour la plupart des PME, le bon duo reste un scan régulier et un test d’intrusion annuel.

Boîte noire, grise ou blanche : quel point de départ ?

Avant la mission, on décide de ce que les testeurs savent au départ, c’est la boîte noire, grise ou blancheBoîte noire, grise ou blancheNiveau d’information confié aux testeurs avant un audit : rien (boîte noire), un accès utilisateur ou une documentation partielle (boîte grise), ou tout, code source compris (boîte blanche)..

• Boîte noire : aucune information, comme un attaquant extérieur. Réaliste, mais une partie du budget part en découverte.
• Boîte grise : un compte utilisateur standard et quelques éléments d’architecture. Pour une PME, c’est souvent le meilleur rapport efficacité/prix : on teste aussi ce que ferait un client malveillant ou un salarié dont le compte a été volé.
• Boîte blanche : documentation, configuration, parfois code source. Moins réaliste, mais la couverture est maximale.

Le cadre légal en France : l’autorisation écrite d’abord

Ce qui sépare un pentesteur d’un pirate, c’est l’autorisation. Elle doit être écrite, signée par une personne qui a réellement autorité sur les systèmes (dirigeant ou délégataire désigné), et accompagnée de deux documents :

• la convention (le contrat) : responsabilités, confidentialité, assurance, sort des données collectées pendant la mission ;
• les règles d’engagementRègles d’engagement (périmètre et mandat)Document signé qui fixe ce qu’un testeur a le droit de faire : systèmes visés, dates, techniques permises ou interdites, contacts d’urgence et conduite à tenir en cas d’imprévu. : périmètre exact (domaines, adresses, applications), dates et horaires, adresses d’origine des tests, actions interdites (déni de service, suppression de données, ingénierie sociale si elle n’est pas prévue), contacts d’urgence des deux côtés.

Attention aux tiers. Si votre site est chez un hébergeur ou votre logiciel chez un éditeur en ligne, vous ne pouvez autoriser que ce qui vous appartient ou ce que votre contrat permet de faire tester. Les grands fournisseurs cloud publient leurs règles : AWS, par exemple, accepte sans demande préalable les tests sur une liste de services, mais interdit tout déni de service. Lisez ces règles et joignez-les à la convention. Le cadre juridique complet est détaillé dans notre chapitre Hacking éthique et droit.

Le déroulé type d’une mission

1. Cadrage. Objectifs, périmètre, niveau d’information, calendrier, contacts. Désignez un référent interne et vérifiez vos sauvegardes.
2. Reconnaissance. Les testeurs cartographient ce qui est visible : sous-domaines, services exposés, technologies, informations publiques sur l’entreprise.
3. Tests. Ils vérifient quelles faiblesses sont réelles et les exploitent juste assez pour prouver l’impact, sans casser ni emporter de vraies données. Une faille critique doit vous être signalée immédiatement, sans attendre le rapport.
4. Rapport. Une synthèse pour la direction, puis le détail de chaque vulnérabilité, avec preuves et recommandations.
5. Restitution. Une réunion avec la direction et les équipes techniques pour expliquer, prioriser et répondre aux questions.
6. Contre-test. Après vos corrections, les testeurs vérifient que les failles sont réellement fermées. Sans cette étape, vous ne savez pas si le correctif fonctionne.

Côté durée, les tests eux-mêmes prennent de quelques jours pour un site ou une application ciblée à quelques semaines pour un périmètre interne et applicatif complet. Prévoyez le cadrage avant et le contre-test après.

Combien coûte un test d’intrusion ?

Il n’existe pas de grille de prix officielle : l’ANSSI qualifie des prestataires mais ne publie pas de tarifs, et les fourchettes qui circulent en ligne sont publiées par les prestataires eux-mêmes, avec de forts écarts. Retenez la formule : prix = nombre de jours-homme × taux journalier. Ce sont les jours qui varient le plus.

Facteur	Ce qui fait monter le nombre de jours
Périmètre	Nombre d’adresses exposées, d’applications, d’API, de sites
Rôles applicatifs	Chaque profil (client, gestionnaire, administrateur) se teste séparément
Niveau d’information	La boîte noire demande plus de découverte que la grise
Type de test	Externe, interne, application web, cloud, ingénierie sociale
Contraintes	Tests de nuit, environnement de production fragile, urgence
Qualification	Un prestataire PASSI engage des exigences de méthode et de suivi
Livrables	Rapport bilingue, restitution sur site, contre-test inclus ou non

La qualification PASSI : ce que c’est, quand l’exiger

PASSI signifie « prestataire d’audit de la sécurité des systèmes d’information ». L’ANSSI, l’agence nationale de la sécurité des systèmes d’information, délivre cette qualification après évaluation. Le référentiel actuel (version 2.2, publiée le 29 novembre 2024) couvre cinq activités : audit d’architecture, de configuration, de code source, tests d’intrusion, audit organisationnel et physique. Il prévoit deux niveaux, substantiel et élevé.

Quand est-ce obligatoire ? Pour les contrôles des systèmes d’information des opérateurs d’importance vitale (OIV) imposés par le Premier ministre : selon l’article L1332-6-3 du Code de la défense, ils sont réalisés par l’ANSSI, par des services de l’État ou par des prestataires qualifiés. La qualification est aussi souvent exigée dans des appels d’offres publics ou par contrat. Dans la finance, le règlement européen DORA impose en outre aux entités désignées par leur autorité des tests de pénétration fondés sur la menace au moins tous les trois ans, selon des règles propres.

Pour une PME sans contrainte particulière, la qualification n’est pas obligatoire, mais elle garantit une méthode, une convention et une gestion des données que vous devriez exiger de tout prestataire. La liste des prestataires qualifiés est publiée par l’ANSSI sur cyber.gouv.fr. Pour être clair : KrakenShield n’est pas qualifié PASSI.

Lire le rapport : CVSS et priorisation

Commencez par la synthèse : en une page, elle doit dire ce qu’un attaquant pourrait atteindre et quels sont les trois ou quatre chantiers prioritaires. Chaque vulnérabilité est ensuite notée, le plus souvent avec le CVSSCVSS (score de gravité)Système de notation de 0 à 10 qui mesure la gravité technique d’une vulnérabilité, selon des critères comme la facilité d’exploitation et l’impact sur les données et le service. (version 4.0 publiée le 1er novembre 2023) : faible de 0,1 à 3,9, moyenne de 4,0 à 6,9, élevée de 7,0 à 8,9, critique de 9,0 à 10.

Le CVSS mesure la gravité technique, pas votre risque. Pour décider de l’ordre des corrections, posez trois questions :

• Est-ce exposé ? Une faille accessible depuis Internet passe avant une faille interne.
• Est-ce exploité ? Le score EPSSEPSS (probabilité d’exploitation)Score publié par le FIRST qui estime, entre 0 et 1, la probabilité qu’une vulnérabilité publiée (CVE) soit exploitée dans les 30 prochains jours. estime la probabilité d’exploitation dans les 30 jours, et le catalogue KEVKEV (vulnérabilités exploitées)Catalogue public de la CISA, l’agence américaine de cybersécurité, qui recense les vulnérabilités dont l’exploitation par des attaquants est avérée. de l’agence américaine CISA recense les failles déjà exploitées.
• Qu’y a-t-il derrière ? Une faille sur la paie ou la production pèse plus lourd que sur un serveur de démonstration.

Les questions à poser à un prestataire

• Qui réalisera les tests ? Noms, expérience sur un périmètre comme le vôtre, certifications pratiques.
• Êtes-vous qualifié PASSI, et pour quelles activités ? (Vérifiez dans la liste de l’ANSSI.)
• Quelle méthode suivez-vous, et pouvez-vous montrer un exemple de rapport anonymisé ?
• Le devis détaille-t-il les jours par activité, la restitution et le contre-test ?
• Que se passe-t-il si vous trouvez une faille critique pendant la mission ?
• Quelles actions sont exclues pour protéger la production ?
• Où sont stockées les données collectées, qui y accède, et quand sont-elles détruites ?
• Avez-vous une assurance responsabilité civile professionnelle couvrant les tests ?
• Êtes-vous indépendant de l’entreprise qui a installé ou maintient notre système ?
• Depuis quelles adresses testerez-vous, pour que nous puissions vous reconnaître dans nos journaux ?

Entre deux pentests

Un test d’intrusion est une photo à une date donnée. Entre deux missions, de nouvelles failles sont publiées chaque semaine et votre système évolue. Le test d’intrusion non destructif de KrakenShield, lancé depuis la console sur un domaine dont vous avez prouvé la propriété et sous votre autorisation, permet de rejouer la reconnaissance et la recherche de vulnérabilités après chaque correction (voir les capacités). Il complète un pentest manuel, il ne le remplace pas sur un périmètre critique.

Préparez aussi le jour où un attaquant passerait malgré tout : notre article Attaque par rançongiciel : que faire détaille les premières heures. Pour approfondir la méthode, les référentiels et la fréquence des tests, lisez le chapitre Le test d’intrusion de A à Z.