Pentest en entreprise : pourquoi, quand et quel
type commander

Un gros client vous envoie son questionnaire de sécurité avant de signer. Ligne 14 : "Avez-vous fait réaliser un test d'intrusion sur votre application au cours des douze derniers mois ? Joindre le rapport." Vous n'en avez pas. Le contrat, lui, se compte en dizaines de milliers d'euros. C'est souvent là, dans un tableur envoyé par un acheteur, que le sujet du pentest en entreprise cesse d'être une abstraction technique pour devenir une décision business.

Cette page s'adresse au dirigeant, au DSI ou au RSSI qui se demande pourquoi commander un test d'intrusion, quand le faire, quel type choisir, et comment retenir un prestataire sans se faire vendre un scan automatisé déguisé. Elle sert de point d'entrée : chaque sujet pointe vers un guide dédié quand il mérite un article entier. On parle valeur métier, conformité et arbitrage, pas format de paquet DNS.

Pourquoi une entreprise fait faire un pentest

On pourrait résumer par "pour être plus en sécurité", mais c'est trop vague pour tenir dans un budget. En pratique, une décision de pentest en entreprise se justifie par trois moteurs bien concrets, qui arrivent rarement seuls.

Le risque, chiffré

Une faille exploitée, c'est une fuite de base clients, une rançon, un site à l'arrêt en pleine saison commerciale, et derrière, la CNIL, les clients qui partent et la presse locale. Un test d'intrusion ne supprime pas ce risque, mais il le rend visible et priorisé avant que quelqu'un d'autre ne le découvre à votre place. La question que se pose un dirigeant n'est pas "est-ce que j'ai des vulnérabilités ?", tout le monde en a, mais "lesquelles sont exploitables, et qu'est-ce qu'un attaquant en tirerait ?". C'est ce à quoi un pentest répond, et ce qu'un scanner ne saura jamais dire : toute la différence entre une vulnérabilité et un risque tient dans cet écart.

La conformité et l'assurance

C'est devenu le premier déclencheur, loin devant. Plusieurs textes rendent le test d'intrusion difficilement contournable :

• NIS2 : la directive impose aux entités "essentielles" et "importantes" une gestion des risques et des tests réguliers de leurs mesures. Le pentest est le moyen le plus direct de prouver que ces mesures tiennent en conditions réelles. Voir notre décryptage de NIS2 pour les PME.
• DORA : pour le secteur financier, le règlement va plus loin en exigeant des tests de résilience, jusqu'au test d'intrusion fondé sur la menace (TLPT) pour les acteurs les plus critiques.
• L'assurance cyber : les assureurs conditionnent de plus en plus la couverture, et surtout le montant des primes, à des preuves de posture (MFA, sauvegardes, rapport de pentest récent). Sans test, la prime grimpe, ou le sinistre est exclu. On a passé en revue le questionnaire de souscription d'une assurance cyber et ses exclusions.

Les exigences de vos clients

Revenons au questionnaire de sécurité du début. Si vous vendez du SaaS, du B2B ou que vous manipulez des données pour le compte d'autres entreprises, vos clients grands comptes vous imposent un pentest, parfois annuel, parfois à chaque appel d'offres. Ici, le test d'intrusion n'est plus une dépense de sécurité, c'est un argument commercial : un rapport propre et un plan de remédiation priorisé et suivi débloquent des ventes que vous perdriez sans. Beaucoup de PME commandent leur premier pentest pour cette raison, et découvrent la conformité et le risque en cours de route. Ce cas de figure est fréquent dans un audit informatique de PME, où le questionnaire client déclenche la première vraie prise de conscience.

Ce qu'un pentest n'est pas

Le malentendu le plus coûteux : un test d'intrusion n'est pas un scan de vulnérabilités. Passer un scanner automatisé (Nessus, Qualys, un outil de la CI/CD) sur votre application, c'est utile et ça a sa place, mais ça produit une liste de vulnérabilités potentielles, gonflée de faux positifs, sans savoir lesquelles sont réellement atteignables ni enchaînables entre elles.

Un pentest, c'est un humain, un attaquant mandaté, qui prouve l'exploitation. Là où le scanner dit "version potentiellement vulnérable, CVSS 7.5", le pentester enchaîne trois défauts anodins pris isolément pour sortir la base de données, et vous le démontre capture à l'appui. Si votre prestataire vous livre une sortie de scanner reformatée, vous avez payé un pentest sans en avoir eu un. On détaille ce clivage dans pentest, scan de vulnérabilité ou EASM, et la définition posée dans le glossaire du pentest pose les bases si le vocabulaire est neuf pour vous. Et si ce que vous cherchez est un état des lieux global plutôt qu'une preuve d'exploitation, c'est un audit de sécurité informatique qu'il vous faut, dont le pentest n'est qu'une brique.

Un pentest n'est pas non plus un bug bounty. Le premier vous engage sur un périmètre et une méthode, avec un rapport qui dit ce qui a été testé, même là où rien n'a été trouvé. Le second rémunère des chercheurs indépendants au résultat, en continu, sans aucune garantie de couverture. Les deux se complètent, mais dans un ordre : on n'ouvre un programme de bug bounty qu'après avoir durci le périmètre par un pentest, sous peine de payer faille par faille ce qu'une mission cadrée aurait listé d'un coup.

Quand commander un test d'intrusion

"Une fois par an" est une réponse par défaut correcte, mais incomplète. Le bon réflexe consiste à raccrocher le test aux moments où votre surface d'attaque change, car c'est là qu'apparaissent les failles. Trois déclencheurs reviennent systématiquement.

Le piège classique consiste à tester une seule fois, ranger le rapport, et considérer le sujet clos. Une application vit : chaque déploiement peut rouvrir une porte, et une CVE dans un composant que vous croyiez à jour peut vous rattraper du jour au lendemain, comme l'a montré la RCE wp2shell sur le cœur de WordPress. C'est pour ça qu'un bon prestataire inclut un retest après vos corrections, et pourquoi la surveillance continue vient compléter les campagnes ponctuelles.

Le cas des PME : un pentest n'est pas réservé aux grands groupes

Une idée tenace veut que le pentest soit un luxe de multinationale. C'est faux, et c'est même l'inverse : une PME concentre souvent tout son chiffre d'affaires dans une poignée d'applications, sans équipe sécurité interne pour les surveiller. Un seul site e-commerce compromis, une seule API de facturation qui fuit, et c'est l'activité entière qui vacille.

Un pentest PME se cadre pour un budget maîtrisé. On ne teste pas "tout" : on cible l'application qui porte le risque et le chiffre d'affaires, sur quelques jours. Le levier, c'est le périmètre : le resserrer intelligemment fait toute la différence sur la facture. Là où un pentest cible l'exploitable, un audit informatique de PME élargit la vue à l'organisation, aux sauvegardes et à la conformité : le test d'intrusion en est souvent la brique la plus concrète, celle qui prouve ce qu'un attaquant ferait vraiment.

Ce que montre la commande publique : 128 consultations, presque une sur deux en accord-cadre

Les entreprises privées ne publient ni leurs pentests ni leurs prix. Les acheteurs publics, eux, publient les données essentielles de leurs marchés, et c'est l'une des rares fenêtres chiffrées sur la façon dont une organisation achète réellement un test d'intrusion. J'ai relu à la main chaque marché d'audit de sécurité ou de test d'intrusion qu'elles contiennent. On en trouve 128 consultations de 2019 au 7 octobre 2026 : 41 sur 2019-2021, 60 sur 2023-2025. Cette hausse est à prendre avec prudence, car le nombre total de marchés publiés a lui aussi augmenté sur la période : rapportée à l'ensemble des marchés, la part des audits et tests d'intrusion ne montre pas de tendance nette.

Trois constats, à lire comme ceux d'acheteurs publics. D'abord, la forme d'achat : 58 consultations sur 128 (45,3 %) passent par un accord-cadre ou un système d'acquisition dynamique. L'acheteur retient un ou plusieurs prestataires pour quatre ans (c'est la durée médiane de ces contrats) et commande les tests au fil des besoins : une version contractuelle du pentest récurrent décrit plus haut. Ensuite, le test d'intrusion se nomme : 41 des 128 consultations le citent dans leur objet, les autres sont intitulées "audit de sécurité". Enfin, PASSI est rare dans l'intitulé, ce qui recadre l'idée reçue selon laquelle tout marché public l'exigerait.

La mesure, et ses limites

Source : le jeu consolidé des données essentielles de la commande publique (data.gouv.fr), téléchargé le 7 octobre 2026, soit 1 823 416 marchés distincts de 2019 à 2026. Les marchés ont été repérés par mots-clés sur leur objet, puis relus un par un ; un doute ne compte pas. Une contre-expertise menée le même jour a ajouté 23 marchés manqués et retiré des doublons. Les nombres sont des bornes basses, pour deux raisons : la publication n'est obligatoire qu'à partir de 40 000 € HT, et les commandes passées sur les accords-cadres des centrales d'achat (UGAP, RESAH, CAIH) ne sont en général pas publiées une à une. Le détail des montants est dans l'article sur le prix réellement payé pour un test d'intrusion.

Quel type de pentest pour quel objectif

"Un pentest" n'est pas un produit unique. Selon ce que vous remettez au testeur et ce que vous cherchez à valider, la mission n'a ni la même profondeur, ni le même coût, ni la même durée. Trois axes suffisent à s'y retrouver : la quantité d'information fournie, la nature de la cible, et l'ampleur du scénario.

La quantité d'information : black, grey ou white box

Le premier arbitrage porte sur ce que le pentester sait de vous avant de commencer. En boîte noire, il part d'une simple URL, comme un attaquant externe qui découvre la cible ; c'est le mode le plus fidèle à votre exposition réelle. En boîte blanche, il dispose du code source et de comptes pour chaque rôle, couvre bien plus de surface et va chercher la logique métier en profondeur. La boîte grise, avec un ou deux comptes mais sans le code, offre en général le meilleur rendement pour une première mission. On détaille chaque cas, et ce que NIS2, DORA ou PCI DSS en attendent, dans pentest black box, grey box ou white box.

La nature de la cible : web, API, composant réel

Une application web classique et une API ne se testent pas de la même façon. Les API concentrent aujourd'hui l'essentiel du risque applicatif, parce qu'elles exposent directement la logique métier et les données, avec des failles d'autorisation (BOLA, BOPLA) qu'aucun scanner ne prouve à votre place. Si votre produit repose sur des endpoints REST ou GraphQL, la mission doit les cibler explicitement ; on explique comment dans API security : comment on teste une API à la main. Certaines failles, enfin, ne renvoient rien dans la réponse HTTP (blind SSRF, RCE aveugle) : les prouver exige une infrastructure dédiée, un serveur out-of-band, le genre de détail qui distingue un test manuel d'un scan reformaté. Un site sous CMS est un cas à part : un pentest WordPress se joue surtout sur les extensions, le thème et la configuration. Les correctifs sont connus d'avance, on les a rassemblés dans sécuriser un WordPress.

L'ampleur du scénario : pentest ou red team

Un pentest évalue un système sur un périmètre défini. Si votre besoin dépasse l'application (scénario d'attaque global, test des équipes et des processus, adversaire simulé de bout en bout), c'est un autre exercice, la red team, qui évalue une organisation. On explique quand l'un prend le relais de l'autre dans red team vs pentest, avec un conseil clé : sans pentest préalable et sans capacité de détection à éprouver, la red team confirme au prix fort ce qu'une mission de cinq jours aurait montré.

Comment choisir son prestataire de pentest

Tous les "pentests" ne se valent pas, et l'écart de qualité entre deux prestataires au même prix peut être abyssal. Quatre critères séparent un vrai test d'intrusion d'un livrable creux. Pensez-les comme un empilement : chaque couche repose sur la précédente.

Un mot sur le retest, l'étape qu'on oublie de vérifier au moment de signer. Un rapport sans re-test dit "voici ce qui n'allait pas ce jour-là". Un rapport avec re-test dit "voici ce qui n'allait pas, et voici la confirmation que c'est corrigé", la seule version qui vaille quelque chose devant un auditeur, un client ou un assureur. Chez own2pwn, le retest est inclus par défaut.

Combien ça coûte, et comment ça se déroule

Deux questions reviennent dès que la décision est prise, et chacune a son guide dédié. Côté budget : le marché fonctionne au taux journalier moyen (TJM), une mission web se compte en jours, et le coût final dépend surtout du périmètre, du mode (blackbox ou whitebox) et de l'inclusion du retest. Les fourchettes réelles, la lecture d'un devis et les moyens de ne pas surpayer sont décortiqués dans le prix d'un test d'intrusion web.

Côté déroulement : l'inquiétude fréquente ("est-ce qu'on va casser mon site en pleine journée ?") tombe dès qu'on comprend qu'un test se cadre, avec une fenêtre de tir convenue, un environnement précisé, un périmètre écrit noir sur blanc et une autorisation formelle. On décrit chaque phase, du cadrage au rapport, dans comment se déroule un test d'intrusion. Un dernier repère de vocabulaire, utile face aux commerciaux : le PTaaS (pentest as a service) désigne un modèle par abonnement mêlant plateforme et tests récurrents, à distinguer d'une campagne ponctuelle bien cadrée.

À retenir

• Une entreprise commande un pentest pour trois raisons qui se cumulent : réduire un risque chiffré, satisfaire la conformité (NIS2, DORA, assurance cyber) et débloquer des ventes exigées par ses clients.
• Un test d'intrusion n'est pas un scan : un humain prouve l'exploitation et enchaîne les failles, là où l'outil liste des vulnérabilités potentielles.
• On le commande avant une mise en production, après un changement majeur, et à cadence régulière, jamais "une fois puis on oublie".
• Le type se choisit sur l'objectif : black, grey ou white box selon l'info fournie, cible web ou API, pentest ou red team selon l'ampleur du scénario.
• Pour choisir un prestataire : certifications pratiques (OSWE, OSCP), méthode reconnue (PTES, OWASP), rapport actionnable, retest inclus et NDA.

Vous avez un questionnaire client à remplir, une échéance NIS2 qui approche, ou simplement l'envie de savoir ce qu'un attaquant ferait de votre application ? C'est notre métier : on cadre le périmètre, on chiffre, et on livre un rapport que votre direction comme votre assureur pourront lire. Commencez par un pentest web blackbox ou parlez de votre contexte avec un humain via la page contact. On répond sous 24 heures.

Questions fréquentes sur le pentest en entreprise