---
title: "Test d’intrusion pour une PME : pentest, prix, cadre légal et choix du prestataire"
description: "Scan, pentest, red team ou bug bounty ? Ce que coûte un test d’intrusion, ce que dit la loi, comment lire le rapport et les questions à poser au prestataire."
url: https://krakenshield.eu/fr/knowledge/blog/test-intrusion-pentest-pme/
lang: fr
updated: 2026-11-10
publisher: KrakenShield (KRAKEN HOLDING SAS)
overview: https://krakenshield.eu/llms.txt
---
# Test d’intrusion pour une PME : pentest, prix, cadre légal et choix du prestataire
> Scan, pentest, red team ou bug bounty ? Ce que coûte un test d’intrusion, ce que dit la loi, comment lire le rapport et les questions à poser au prestataire.

Guide Publié le 10 novembre 2026

Un client réclame votre dernier rapport de test d’intrusion, ou vous voulez savoir si votre site tiendrait face à un vrai attaquant. Voici comment choisir le bon type de test, l’encadrer légalement, comprendre son prix et exploiter le rapport.

Par **Nestor** 9 min de lecture

Un grand client vous envoie son questionnaire de sécurité : « Date de votre dernier test d’intrusion ? Joindre la synthèse du rapport. » Vous cherchez un prestataire et tombez sur des offres impossibles à comparer, de l’analyse automatique livrée en un jour à la mission de plusieurs semaines. Ce guide vous aide à acheter le bon test, à le cadrer sans risque juridique et à en tirer quelque chose d’utile.

Un [test d’intrusion](https://krakenshield.eu/fr/knowledge/glossary/penetration-testing/), ou pentest, consiste à confier à des spécialistes le rôle de l’attaquant, avec votre accord écrit, pour découvrir ce qu’un vrai pirate pourrait atteindre chez vous. L’enjeu est concret : l’exploitation d’une faille reste la porte d’entrée la plus fréquente des intrusions.

32 %

*des intrusions analysées par Mandiant ont commencé par l’exploitation d’une vulnérabilité, premier vecteur d’entrée pour la sixième année consécutive*

Source : Mandiant, M-Trends 2026

## Scan, pentest, red team, bug bounty : ne pas acheter la mauvaise chose

Ces quatre approches sont souvent confondues, parfois volontairement dans les offres commerciales. Elles ne répondent pas à la même question.

|  | Scan de vulnérabilités | Test d’intrusion | Red team | Bug bounty |
| --- | --- | --- | --- | --- |
| **Question** | Quelles failles connues sont visibles ? | Jusqu’où irait un attaquant sur ce périmètre ? | Verrions-nous une attaque réaliste, et saurions-nous réagir ? | Que trouvent des chercheurs variés, dans la durée ? |
| **Qui le mène** | Un outil | Des experts outillés | Une équipe offensive discrète | Une communauté payée à la faille validée |
| **Ce que vous recevez** | Une liste, avec des faux positifs | Des scénarios d’attaque prouvés et priorisés | Une mesure de votre détection et de votre réaction | Des rapports au fil de l’eau |
| **Pour une PME** | Indispensable, en continu | Une fois par an et après chaque changement important | Rarement adapté avant d’avoir une équipe de surveillance | Utile si vous éditez un logiciel ou un service en ligne |

Une [red team](https://krakenshield.eu/fr/knowledge/glossary/red-team/) poursuit un objectif précis (atteindre les virements, par exemple) sans prévenir vos équipes, pour éprouver la détection autant que la prévention. Le [bug bounty](https://krakenshield.eu/fr/knowledge/glossary/bug-bounty/) ouvre un périmètre à des chercheurs indépendants, rémunérés seulement pour les failles valides. Pour la plupart des PME, le bon duo reste un scan régulier et un test d’intrusion annuel.

> **Nestor Ancien hacker, passé en défense:** Un scanner frappe à toutes les portes et note celles qui grincent. Moi, je passe par la fenêtre des toilettes que tout le monde a oubliée, puis je regarde jusqu’où mène le couloir.

## Boîte noire, grise ou blanche : quel point de départ ?

Avant la mission, on décide de ce que les testeurs savent au départ, c’est la [boîte noire, grise ou blanche](https://krakenshield.eu/fr/knowledge/glossary/black-grey-white-box/).

- **Boîte noire** : aucune information, comme un attaquant extérieur. Réaliste, mais une partie du budget part en découverte.
- **Boîte grise** : un compte utilisateur standard et quelques éléments d’architecture. Pour une PME, c’est souvent le meilleur rapport efficacité/prix : on teste aussi ce que ferait un client malveillant ou un salarié dont le compte a été volé.
- **Boîte blanche** : documentation, configuration, parfois code source. Moins réaliste, mais la couverture est maximale.

## Le cadre légal en France : l’autorisation écrite d’abord

> **Article 323-1 du Code pénal**
> Article 323-1 du Code pénal
> 
> Accéder ou se maintenir frauduleusement dans un système informatique est puni de 3 ans d’emprisonnement et 100 000 € d’amende ; 5 ans et 150 000 € en cas de suppression ou de modification de données ou d’altération du fonctionnement ; 7 ans et 300 000 € pour un système de données personnelles mis en œuvre par l’État. L’article 323-3-1 punit aussi la détention d’outils d’attaque sans motif légitime, la recherche et la sécurité informatique étant citées comme motifs légitimes.

Ce qui sépare un pentesteur d’un pirate, c’est l’autorisation. Elle doit être écrite, signée par une personne qui a réellement autorité sur les systèmes (dirigeant ou délégataire désigné), et accompagnée de deux documents :

- **la convention** (le contrat) : responsabilités, confidentialité, assurance, sort des données collectées pendant la mission ;
- **les [règles d’engagement](https://krakenshield.eu/fr/knowledge/glossary/rules-of-engagement/)** : périmètre exact (domaines, adresses, applications), dates et horaires, adresses d’origine des tests, actions interdites (déni de service, suppression de données, ingénierie sociale si elle n’est pas prévue), contacts d’urgence des deux côtés.

Attention aux tiers. Si votre site est chez un hébergeur ou votre logiciel chez un éditeur en ligne, vous ne pouvez autoriser que ce qui vous appartient ou ce que votre contrat permet de faire tester. Les grands fournisseurs cloud publient leurs règles : AWS, par exemple, accepte sans demande préalable les tests sur une liste de services, mais interdit tout déni de service. Lisez ces règles et joignez-les à la convention. Le cadre juridique complet est détaillé dans notre chapitre [Hacking éthique et droit](https://krakenshield.eu/fr/knowledge/a-to-z/17-ethical-hacking-and-the-law/).

> **Nestor Ancien hacker, passé en défense:** J’ai appris le Code pénal de l’intérieur, et je vous le résume : la même requête vaut une facture avec une autorisation signée, et un casier judiciaire sans. Je ne touche pas un clavier avant d’avoir le papier.

## Le déroulé type d’une mission

1. **Cadrage.** Objectifs, périmètre, niveau d’information, calendrier, contacts. Désignez un référent interne et vérifiez vos sauvegardes.
2. **Reconnaissance.** Les testeurs cartographient ce qui est visible : sous-domaines, services exposés, technologies, informations publiques sur l’entreprise.
3. **Tests.** Ils vérifient quelles faiblesses sont réelles et les exploitent juste assez pour prouver l’impact, sans casser ni emporter de vraies données. Une faille critique doit vous être signalée immédiatement, sans attendre le rapport.
4. **Rapport.** Une synthèse pour la direction, puis le détail de chaque vulnérabilité, avec preuves et recommandations.
5. **Restitution.** Une réunion avec la direction et les équipes techniques pour expliquer, prioriser et répondre aux questions.
6. **Contre-test.** Après vos corrections, les testeurs vérifient que les failles sont réellement fermées. Sans cette étape, vous ne savez pas si le correctif fonctionne.

Côté durée, les tests eux-mêmes prennent de quelques jours pour un site ou une application ciblée à quelques semaines pour un périmètre interne et applicatif complet. Prévoyez le cadrage avant et le contre-test après.

## Combien coûte un test d’intrusion ?

Il n’existe pas de grille de prix officielle : l’ANSSI qualifie des prestataires mais ne publie pas de tarifs, et les fourchettes qui circulent en ligne sont publiées par les prestataires eux-mêmes, avec de forts écarts. Retenez la formule : **prix = nombre de jours-homme × taux journalier** . Ce sont les jours qui varient le plus.

| Facteur | Ce qui fait monter le nombre de jours |
| --- | --- |
| Périmètre | Nombre d’adresses exposées, d’applications, d’API, de sites |
| Rôles applicatifs | Chaque profil (client, gestionnaire, administrateur) se teste séparément |
| Niveau d’information | La boîte noire demande plus de découverte que la grise |
| Type de test | Externe, interne, application web, cloud, ingénierie sociale |
| Contraintes | Tests de nuit, environnement de production fragile, urgence |
| Qualification | Un prestataire PASSI engage des exigences de méthode et de suivi |
| Livrables | Rapport bilingue, restitution sur site, contre-test inclus ou non |

> **Un « pentest » livré en 24 heures ?**
> Un « pentest » livré en 24 heures ?
> 
> Il s’agit presque toujours d’un scan automatique rebaptisé. Exigez un devis détaillé en jours par activité, le nom des méthodes suivies, un exemple de rapport anonymisé et le contre-test.

## La qualification PASSI : ce que c’est, quand l’exiger

PASSI signifie « prestataire d’audit de la sécurité des systèmes d’information ». L’ANSSI, l’agence nationale de la sécurité des systèmes d’information, délivre cette qualification après évaluation. Le référentiel actuel (version 2.2, publiée le 29 novembre 2024) couvre cinq activités : audit d’architecture, de configuration, de code source, tests d’intrusion, audit organisationnel et physique. Il prévoit deux niveaux, substantiel et élevé.

**Quand est-ce obligatoire ?** Pour les contrôles des systèmes d’information des opérateurs d’importance vitale (OIV) imposés par le Premier ministre : selon l’article L1332-6-3 du Code de la défense, ils sont réalisés par l’ANSSI, par des services de l’État ou par des prestataires qualifiés. La qualification est aussi souvent exigée dans des appels d’offres publics ou par contrat. Dans la finance, le règlement européen DORA impose en outre aux entités désignées par leur autorité des tests de pénétration fondés sur la menace au moins tous les trois ans, selon des règles propres.

Pour une PME sans contrainte particulière, la qualification n’est pas obligatoire, mais elle garantit une méthode, une convention et une gestion des données que vous devriez exiger de tout prestataire. La liste des prestataires qualifiés est publiée par l’ANSSI sur cyber.gouv.fr. Pour être clair : KrakenShield n’est pas qualifié PASSI.

## Lire le rapport : CVSS et priorisation

Commencez par la synthèse : en une page, elle doit dire ce qu’un attaquant pourrait atteindre et quels sont les trois ou quatre chantiers prioritaires. Chaque vulnérabilité est ensuite notée, le plus souvent avec le [CVSS](https://krakenshield.eu/fr/knowledge/glossary/cvss/) (version 4.0 publiée le 1er novembre 2023) : faible de 0,1 à 3,9, moyenne de 4,0 à 6,9, élevée de 7,0 à 8,9, critique de 9,0 à 10.

Le CVSS mesure la gravité technique, pas votre risque. Pour décider de l’ordre des corrections, posez trois questions :

- **Est-ce exposé ?** Une faille accessible depuis Internet passe avant une faille interne.
- **Est-ce exploité ?** Le score [EPSS](https://krakenshield.eu/fr/knowledge/glossary/epss/) estime la probabilité d’exploitation dans les 30 jours, et le catalogue [KEV](https://krakenshield.eu/fr/knowledge/glossary/kev/) de l’agence américaine CISA recense les failles déjà exploitées.
- **Qu’y a-t-il derrière ?** Une faille sur la paie ou la production pèse plus lourd que sur un serveur de démonstration.

> **Belinda Docteure en cryptographie:** Un rapport n’est pas un bulletin de notes à ranger dans un tiroir. Je demande toujours un tableau de suivi : chaque faille, un responsable, une date, et la colonne « vérifié au contre-test ».

## Les questions à poser à un prestataire

- Qui réalisera les tests ? Noms, expérience sur un périmètre comme le vôtre, certifications pratiques.
- Êtes-vous qualifié PASSI, et pour quelles activités ? (Vérifiez dans la liste de l’ANSSI.)
- Quelle méthode suivez-vous, et pouvez-vous montrer un exemple de rapport anonymisé ?
- Le devis détaille-t-il les jours par activité, la restitution et le contre-test ?
- Que se passe-t-il si vous trouvez une faille critique pendant la mission ?
- Quelles actions sont exclues pour protéger la production ?
- Où sont stockées les données collectées, qui y accède, et quand sont-elles détruites ?
- Avez-vous une assurance responsabilité civile professionnelle couvrant les tests ?
- Êtes-vous indépendant de l’entreprise qui a installé ou maintient notre système ?
- Depuis quelles adresses testerez-vous, pour que nous puissions vous reconnaître dans nos journaux ?

## Entre deux pentests

Un test d’intrusion est une photo à une date donnée. Entre deux missions, de nouvelles failles sont publiées chaque semaine et votre système évolue. Le test d’intrusion non destructif de KrakenShield, lancé depuis la console sur un domaine dont vous avez prouvé la propriété et sous votre autorisation, permet de rejouer la reconnaissance et la recherche de vulnérabilités après chaque correction ([voir les capacités](https://krakenshield.eu/fr/#capacites)). Il complète un pentest manuel, il ne le remplace pas sur un périmètre critique.

Préparez aussi le jour où un attaquant passerait malgré tout : notre article [Attaque par rançongiciel : que faire](https://krakenshield.eu/fr/knowledge/blog/attaque-rancongiciel-que-faire/) détaille les premières heures. Pour approfondir la méthode, les référentiels et la fréquence des tests, lisez le chapitre [Le test d’intrusion de A à Z](https://krakenshield.eu/fr/knowledge/a-to-z/13-penetration-testing/).

## À retenir

1. Un scan liste des failles connues ; un test d’intrusion prouve, à la main, jusqu’où un attaquant irait. Ne payez pas le second pour recevoir le premier.
2. Sans autorisation écrite de la personne qui a autorité sur les systèmes, un test est un accès frauduleux puni par l’article 323-1 du Code pénal.
3. Le prix dépend du nombre de jours-homme, donc du périmètre et du niveau d’information fourni : comparez des devis détaillés, pas des forfaits.
4. La qualification PASSI de l’ANSSI est obligatoire dans quelques cadres (contrôles des opérateurs d’importance vitale), et un gage de sérieux ailleurs.
5. Le score CVSS donne la gravité technique ; la priorité dépend de l’exposition, de l’exploitation réelle et de la valeur métier. Prévoyez toujours un contre-test.

## Questions fréquentes

**Combien coûte un test d’intrusion pour une PME ?**

Il n’existe pas de grille officielle : un test d’intrusion se facture en jours-homme d’experts. Le prix dépend du périmètre (nombre d’adresses, d’applications, de rôles utilisateurs), du niveau d’information fourni, de la profondeur attendue et de la qualification du prestataire. Demandez plusieurs devis détaillés en jours par activité, avec le contre-test inclus.

**Quelle différence entre un scan de vulnérabilités et un test d’intrusion ?**

Le scan est automatique : il repère des failles connues et produit une liste, avec des faux positifs. Le test d’intrusion est mené par des experts qui vérifient chaque faille, les enchaînent et montrent ce qu’un attaquant pourrait réellement atteindre. Les deux exigent l’autorisation du propriétaire des systèmes.

**Un test d’intrusion est-il obligatoire ?**

Pas pour toutes les entreprises. Il l’est dans certains cadres : contrôles imposés aux opérateurs d’importance vitale, tests fondés sur la menace exigés par DORA pour les entités financières désignées. Ailleurs, ce sont souvent les clients, les assureurs ou les appels d’offres qui le demandent.

**Combien de temps dure un pentest ?**

Les tests eux-mêmes durent de quelques jours pour un site ou une application ciblée à quelques semaines pour un périmètre interne et applicatif complet. Ajoutez le cadrage avant, puis la rédaction du rapport, la restitution et, après vos corrections, le contre-test.

**Faut-il choisir un prestataire qualifié PASSI ?**

C’est obligatoire pour les contrôles des systèmes d’information d’importance vitale et souvent exigé par des clients publics ou des grands comptes. Pour une PME sans contrainte particulière, c’est un gage de méthode et de confidentialité, pas une obligation. La liste des prestataires qualifiés est publiée par l’ANSSI.

## Sources

- [Légifrance, Code pénal, articles 323-1 et suivants (atteintes aux systèmes de traitement automatisé de données)](https://www.legifrance.gouv.fr/codes/section_lc/LEGITEXT000006070719/LEGISCTA000006149839/)
- [Légifrance, Code de la défense, article L1332-6-3 (contrôles des systèmes d’information des opérateurs d’importance vitale)](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000028342870)
- [ANSSI, référentiels d’exigences pour la qualification (PASSI v2.2)](https://cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/comprendre-levaluation-de-securite/qualification-de-produit-et-services/referentiels-qualification/)
- [ANSSI, mise à jour des référentiels PASSI (version 2.2) et PRIS (version 3.0), 29 novembre 2024](https://cyber.gouv.fr/actualites/lanssi-met-jour-les-referentiels-passi-version-22-et-pris-version-30)
- [Règlement (UE) 2022/2554 (DORA), article 26 sur les tests de pénétration fondés sur la menace](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32022R2554)
- [FIRST, CVSS v4.0 Specification Document](https://www.first.org/cvss/v4.0/specification-document)
- [FIRST, Exploit Prediction Scoring System (EPSS)](https://www.first.org/epss/)
- [CISA, Known Exploited Vulnerabilities Catalog](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
- [Mandiant (Google Cloud), M-Trends 2026](https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026)
- [AWS, Penetration Testing policy (services autorisés et activités interdites)](https://aws.amazon.com/security/penetration-testing/)

[Pour aller plus loin**Le test d’intrusion de A à Z** Cyber de A à Z, chapitre 13](https://krakenshield.eu/fr/knowledge/a-to-z/13-penetration-testing/) [Tous les articles](https://krakenshield.eu/fr/knowledge/blog/)

## Autres articles du blog

[Guide **Qualys SSL Labs ou KrakenShield : obtenir A+ et le garder**](https://krakenshield.eu/fr/knowledge/blog/ssl-labs-ou-krakenshield-test-ssl/) [Actualité **Les plus gros hackings de banques depuis 30 ans : de Citibank à Binance et au Crédit Mutuel Arkéa**](https://krakenshield.eu/fr/knowledge/blog/plus-gros-hackings-banques-30-ans/) [Guide **Scan post-quantique gratuit : votre site résistera-t-il aux ordinateurs quantiques ?**](https://krakenshield.eu/fr/knowledge/blog/scan-post-quantique-gratuit-site-web/)