« Vous facturez combien, un test d'intrusion ? » C'est la première question posée dans presque tous les premiers échanges, et c'est la seule à laquelle aucun prestataire sérieux ne peut répondre sur-le-champ. Non par coquetterie commerciale : parce que la question, posée ainsi, n'a pas de réponse. Autant demander le prix d'une rénovation sans dire s'il s'agit d'une salle de bains ou d'un immeuble.
Cela n'autorise personne à rester vague. Voici ce qui fait réellement varier un devis, ce qu'un document sérieux doit contenir, et les trois façons les plus courantes de payer pour autre chose que ce qu'on croyait acheter.
Ce qui fait varier le prix, dans l'ordre d'importance
Le périmètre. C'est le facteur principal, et de loin. Tester un site vitrine et cinq adresses IP publiques n'a rien à voir avec tester un espace client à trois profils d'utilisateurs, une application métier et un annuaire interne. Le périmètre ne se mesure pas en nombre de serveurs mais en nombre de choses distinctes à comprendre : chaque application a sa logique propre, et c'est cette logique qu'un test examine.
Le niveau d'information. En boîte noire, nous partons de votre nom et consacrons une part du temps à la reconnaissance. En boîte grise, vous fournissez des comptes utilisateurs standards et le périmètre technique : le même budget achète alors beaucoup plus d'exploitation réelle. À budget égal, la boîte grise couvre davantage. C'est pourquoi c'est le choix le plus fréquent, et pourquoi un devis doit préciser lequel des trois il chiffre.
Le type de test. Externe, interne, applicatif, ingénierie sociale : ce sont quatre travaux différents qui répondent à quatre questions différentes. Un devis qui annonce « un test d'intrusion » sans dire lequel ne vous dit pas ce que vous achetez.
Les contraintes. Tests en dehors des heures ouvrées, environnement de production fragile qui impose un passage préalable en recette, systèmes hébergés chez un tiers dont il faut obtenir l'autorisation : rien de tout cela n'est anecdotique sur le planning, donc sur le prix.
Comparez des journées, pas des euros
Un devis de test d'intrusion se lit d'abord en jours de travail. Chez nous, un test représente de trois à dix jours d'intervention selon le périmètre, auxquels s'ajoute environ une semaine de rédaction et de vérification des constats. Un test externe sur un périmètre restreint tient en quelques jours ; un test interne avec annuaire, ou un test applicatif sur plusieurs profils d'utilisateurs, demande davantage.
Si deux devis affichent le même montant mais que l'un prévoit trois jours et l'autre huit, ils ne proposent pas la même chose. Et si un devis ne mentionne aucune durée, c'est la première question à poser.
Pour un premier état des lieux à prix connu d'avance, il existe une autre voie : l'audit d'exposition externe, facturé 890 € HT pour un nom de domaine et jusqu'à cinq adresses IP publiques, avec un rapport sous 48 heures. Il ne remplace pas un test d'intrusion : il dit ce qui est visible, là où le test dit jusqu'où quelqu'un peut aller. Mais il permet de cadrer le test ensuite sur ce qui compte vraiment, donc de ne pas payer pour explorer à l'aveugle.
Trois façons de payer pour autre chose
Le scan vendu comme un test. C'est le cas le plus fréquent, et le plus difficile à détecter de l'extérieur. Un scanner automatique produit en quelques heures une liste de vulnérabilités connues, notées et mises en page. Cela ressemble à un rapport de test d'intrusion. Il y manque l'essentiel : personne n'a cherché à enchaîner ces faiblesses, ni vérifié qu'elles sont exploitables chez vous, ni écarté les faux positifs. Le signe qui ne trompe pas : un délai de livraison très court et un rapport qui liste des vulnérabilités sans jamais raconter un chemin d'attaque complet.
Le forfait trop beau. Un prix fixe très bas sur un périmètre non défini signifie presque toujours que le prestataire a prévu peu de jours et compte s'arrêter quand ils sont consommés. Le test s'arrête alors non pas quand le périmètre est couvert, mais quand le budget l'est.
La facturation à la vulnérabilité. Payer au nombre de failles trouvées paraît équitable. C'est en réalité le pire alignement d'intérêts possible : le prestataire est rémunéré pour produire du volume, donc pour remonter chaque détail en l'habillant de gravité, et n'a aucun intérêt à vous dire que trois des quarante lignes de son rapport suffisent à tout fermer. Nous ne facturons jamais ainsi.
Ce qu'un devis sérieux contient
Quel que soit le prestataire, un devis de test d'intrusion devrait vous permettre de répondre à ces questions sans rappeler personne :
- Quel périmètre exactement : domaines, adresses, applications, comptes, et ce qui est explicitement hors sujet.
- Quel type de test, et en boîte noire, grise ou blanche.
- Combien de jours d'intervention, et combien de jours de rédaction.
- Quelles techniques sont exclues — le déni de service doit l'être par défaut.
- Quels horaires, et quelle procédure d'arrêt immédiat en cas d'incident.
- Quels livrables : rapport technique, synthèse pour la direction, restitution orale, attestation de réalisation.
- La contre-vérification après vos correctifs est-elle comprise, ou facturée en plus ?
Ce dernier point est celui qu'on oublie le plus souvent, et c'est le plus coûteux à découvrir après coup. Corriger sans vérifier revient à supposer. Chez nous, la contre-vérification est comprise : nous rejouons les chemins démontrés et nous attestons par écrit de leur fermeture, ou nous signalons ce qui reste ouvert.
Le vrai coût n'est pas celui du test
Un test d'intrusion ne coûte jamais aussi cher que l'incident qu'il évite, et cette phrase est devenue un argument commercial si usé qu'elle ne convainc plus personne. Alors formulons-la autrement.
Dans la très grande majorité des tests, les corrections les plus importantes ne coûtent rien : refermer un service exposé par erreur, retirer un accès prestataire laissé ouvert, activer un second facteur sur les comptes d'administration, compléter un enregistrement DNS pour qu'on ne puisse plus écrire au nom de votre direction. Ce qui manquait n'était pas le budget, c'était le fait que personne ne les avait vues.
Le coût d'un test, c'est donc le prix de cette vue. Ce qui coûte réellement cher, c'est de l'obtenir puis de ne rien en faire : un rapport classé, aucune correction, et le même constat l'année suivante. C'est pourquoi la question à poser à un prestataire n'est pas seulement « combien », mais « qu'est-ce que je saurai faire le lendemain de la restitution ».
Un bon rapport se reconnaît à cela : il est classé par effet et par effort, les premières corrections peuvent partir le jour même, et un dirigeant qui n'est pas technicien comprend ce qui est en jeu. Si vous vous demandez par où commencer, nous chiffrons après un premier échange, sur un périmètre écrit — et nous le disons franchement quand un simple audit d'exposition suffirait à répondre à votre question.