Prix d'un test d'intrusion en 2026 : ce que montrent 62 missions achetées par
l'acheteur public

Demandez le prix d'un test d'intrusion à dix prestataires et vous obtiendrez la même fourchette, recopiée de page en page : 3 000 à 20 000 € hors taxes. Elle est sans doute juste. Mais aucune de ces pages ne montre une seule facture, et pour cause : dans le privé, un devis signé ne se publie pas.

Il existe pourtant un endroit où des prix de pentest réellement payés sont publics. Au-delà de 40 000 € HT, un acheteur public doit publier les données essentielles de ses marchés : objet, titulaire, montant, durée, et certains le font aussi pour leurs petits marchés. J'ai donc repris le jeu consolidé de ces données, soit 3,3 millions de lignes, isolé les audits de sécurité et les tests d'intrusion, puis relu chaque marché retenu à la main. Résultat : quand l'objet du marché cite le test d'intrusion, la mission ponctuelle médiane coûte 14 637,5 € HT, sur 20 missions, et 12 de ces 20 tombent entre 3 000 et 20 000 €. La fourchette du marché tient donc, avec des réserves que je détaille plus bas, parce qu'elles changent la lecture.

Le résultat : 14 637,5 € de médiane quand l'objet cite le test d'intrusion

Deux chiffres, et il faut les lire ensemble. Le premier, 14 637,5 €, porte sur les 20 missions ponctuelles dont l'intitulé mentionne explicitement le test d'intrusion. Le quart le moins cher est sous 9 730 €, le quart le plus cher au-dessus de 31 347 €, et l'ensemble va de 2 550 à 50 000 €. Le second, 26 760 €, couvre toutes les missions d'audit de sécurité ou de test d'intrusion, soit 62 marchés. Il est plus élevé, ce qui n'étonne pas : un "audit de sécurité du système d'information" englobe souvent plus qu'un pentest (revue de configuration, d'architecture, parfois d'organisation), même si les données ne permettent pas de le vérifier marché par marché.

Ce second chiffre bouge selon la façon de compter, et je préfère le dire que de vous donner une précision à l'euro qui n'existe pas. En gardant les six montants qui ressemblent à des plafonds, la médiane passe à 27 990,5 € ; en écartant les trois organismes qui publient le plus, elle monte à 29 927,5 € ; sur le seul périmètre du premier filtre, avant les marchés retrouvés par la contre-expertise, elle descend à 21 392,5 €. Retenez une médiane entre 21 000 et 30 000 € pour un audit public ponctuel, et d'une quinzaine de milliers d'euros quand c'est un test d'intrusion qui est acheté.

Sur les 62 missions, 24 se situent entre 3 000 et 20 000 €, 22 entre 20 000 et 40 000 €, et 15 dépassent 40 000 €. Une seule passe sous 3 000 €. Voilà pourquoi je n'écris plus que "la grande majorité" des pentests coûte entre 3 000 et 20 000 € : côté public, c'est vrai pour un peu plus de la moitié des tests d'intrusion (12 sur 20) et pour moins de la moitié des audits (24 sur 62). Les 20 missions citant le test d'intrusion, une par une :

La mesure : 3,3 millions de lignes, 62 missions relues

La source est le jeu consolidé des données essentielles de la commande publique publié sur data.gouv.fr, téléchargé le 7 octobre 2026 : 3 286 468 lignes, 1 823 416 marchés distincts à leur attribution initiale, de 2019 à 2026. Je l'ai préféré aux fichiers du ministère parce qu'il agrège davantage de plateformes de publication. Les avenants sont exclus, les republications d'un même marché sur deux plateformes sont fusionnées, et un marché n'est compté que s'il a été relu et jugé pertinent : en cas de doute, il ne compte pas. Les filtres par mots-clés ont été figés avant lecture, puis corrigés après relecture (un "SOC" désigne souvent du logement social, un "audit de sécurité" vise parfois une aire de jeux ou la sécurité routière).

Une contre-expertise, menée le même jour par une relecture adverse, a retrouvé 23 marchés pertinents que le filtre avait manqués, corrigé un bogue qui en écartait 4 en silence, et sorti des comptes les admissions à un système d'acquisition dynamique, qui ne sont pas des achats. Les chiffres de cet article sont ceux de cette version corrigée. Une mission ponctuelle désigne un marché qui n'est ni un accord-cadre ni un système d'acquisition dynamique (ou bien un marché subséquent), d'une durée de douze mois au plus : c'est ce qui ressemble le plus à une prestation effectivement commandée. Les montants sont ceux que publie l'acheteur, hors taxes.

Ce que ces chiffres ne disent pas

Quatre limites, et la première est la plus importante. La publication des données essentielles n'est obligatoire qu'à partir de 40 000 € HT (article R2196-1 du code de la commande publique, seuil en vigueur depuis 2020, 25 000 € avant). Or 47 des 62 missions sont sous ce seuil : elles ont été publiées volontairement, ou par des plateformes qui publient tout. L'échantillon décrit donc ces organismes-là, pas l'ensemble des acheteurs, et sa représentativité est inconnue. Trois organismes fournissent à eux seuls 25 des 62 missions.

• Les centrales d'achat sont invisibles. Un acheteur qui commande un pentest sur un accord-cadre de l'UGAP, du RESAH ou de la CAIH ne publie pas, en général, chaque commande : une grande partie de la dépense réelle n'apparaît nulle part, ou seulement sous la forme d'un plafond.
• La durée n'est pas un nombre de jours. Les 3,5 mois médians sont la durée du marché, fenêtre de restitution comprise. On ne peut pas en déduire un taux journalier, et je ne l'ai pas fait.
• Les comptes sont des bornes basses. La détection porte sur l'objet du marché, le cahier des charges n'étant pas publié. Un pentest acheté dans un lot plus large, ou décrit autrement, échappe au filtre.

Ce que disent les grilles des prestataires

Côté privé, quasiment tous les prestataires facturent au taux journalier moyen (TJM) multiplié par le nombre de jours de mission. Pas de "forfait magique" à 299 € : un test d'intrusion sérieux, c'est du temps humain de spécialiste. À 1 200 € la journée sur huit jours, la mission ressort à 9 600 €, et le retest éventuel s'ajoute à ce total.

Les TJM affichés varient selon la taille du prestataire. D'après CodiTrust, on compte environ 700 à 1 200 € HT par jour pour un consultant indépendant, 1 200 à 2 000 € pour un cabinet de taille moyenne et 1 500 à 3 500 € pour un grand cabinet ou une ESN. Invictis donne une plage plus resserrée, de 800 à 1 800 € par jour. Les budgets par type de mission, tels que ces pages les publient :

La fourchette globale vient d' Intuity, et elle recoupe correctement ce que paient les acheteurs publics pour un test d'intrusion identifié comme tel. Une mission web type dure de quelques jours à deux semaines selon le périmètre. En dessous de trois jours, méfiance : on est généralement plus proche du scan automatisé que du test manuel. Pour savoir ce que recouvrent concrètement ces journées, on a détaillé comment se déroule un test d'intrusion web, phase par phase. La ligne "red team", elle, joue dans une autre catégorie : c'est un exercice offensif aux objectifs différents, et un seul marché public de ce type a été publié en sept ans. Nous expliquons ce qui le distingue d'un pentest dans red team ou test d'intrusion.

Les facteurs qui font varier le prix

Si deux devis pour "la même appli" affichent 4 000 € et 14 000 €, ce n'est pas forcément que l'un vous arnaque. Les 20 marchés publics du tableau vont de 2 550 à 50 000 €, alors que leur objet cite tous le test d'intrusion. Le prix bouge selon plusieurs leviers, et le premier d'entre eux écrase tous les autres.

1. Le périmètre, le facteur n°1

Tout part du nombre d'URLs, de rôles utilisateurs, d'API et d'environnements à couvrir. Tester une landing page statique et tester une plateforme SaaS multi-tenant avec 6 niveaux de privilèges, ce n'est pas le même métier ni la même durée. Plus la surface est large, plus il faut de jours.

2. Blackbox ou whitebox

Le blackbox (zéro accès, on attaque comme un vrai pirate) est plus rapide à cadrer. Le whitebox (accès au code source et aux comptes) demande plus d'expertise et coûte davantage au TJM, mais sa couverture est nettement supérieure : on trouve des failles qu'un attaquant externe mettrait des mois à découvrir. Reste le grey box, qui donne un compte sans donner le code.

3. Les autres leviers

• Tests authentifiés multi-rôles : chaque niveau de privilège à tester démultiplie la surface (et les jours).
• Le retest : la revérification après correction est parfois incluse, parfois facturée en sus. À vérifier avant de signer.
• Les certifications du prestataire : OSWE, OSCP, PASSI (qualification ANSSI). Ces gages se reflètent dans le TJM. Côté public, l'objet du marché ne cite PASSI que dans 4 consultations sur 128, ce qui est une borne basse puisque le cahier des charges n'est pas publié ; on fait le point sur quand la qualification PASSI est réellement exigée.
• Les livrables additionnels : rapport bilingue, attestation, restitution orale, support à la remédiation.

Comment lire un devis sans se faire surprendre

Un bon devis de test d'intrusion est lisible et engageant. Avant de signer, passez-le au crible de ces quatre questions :

1. Le périmètre est-il écrit noir sur blanc ? Il doit nommer les URLs, les rôles, les API et l'environnement visé (production ou préproduction). Un périmètre flou, c'est un budget flou.
2. Le retest est-il inclus ? Un pentest sans retest laisse planer le doute : vos correctifs fonctionnent-ils vraiment ?
3. Quels livrables ? Rapport exécutif et technique, avec preuves d'exploitation (PoC) et priorisation par criticité.
4. Qui réalise la mission ? Un pentester nommé et certifié, pas un outil automatique repeint en "consultant".

Si vous êtes vous-même acheteur public, un repère de plus : sur les 42 missions où l'information est publiée, l'acheteur a reçu 5 offres en médiane, et la moitié centrale des marchés en a reçu entre 3 et 6. Avec autant de réponses, l'écart entre la moins chère et la plus chère dit souvent plus sur la compréhension du périmètre que sur la qualité des prestataires.

Réduire le coût intelligemment

Pour réduire la facture sans brader la qualité, il faut faire travailler le pentester là où il a le plus de valeur, sur la profondeur plutôt que sur le bruit. Deux leviers concrets :

• Cadrer finement le périmètre. Inutile de payer pour re-tester dix modules identiques : ciblez ce qui compte (paiement, authentification, données sensibles). Un EASM (cartographie de votre surface d'attaque externe) vous aide à savoir quoi tester, et à ne pas découvrir un sous-domaine oublié le jour du devis. Si l'approche vous est nouvelle, on part des bases dans qu'est-ce que l'EASM.
• Nettoyer les évidences en amont. Faire corriger les failles triviales par un SAST piloté par l'IA avant la mission, c'est éviter de payer une journée de consultant senior pour vous signaler un header de sécurité manquant. Pour choisir la bonne famille d'outils, on décortique SAST, DAST et IAST dans un article dédié.

Pour arbitrer entre pentest humain et automatisation, voir notre banc de pentest automatisé, où il brille, et où l'humain reste irremplaçable.

Notre grille tarifaire

À retenir

• Dans la commande publique, une mission ponctuelle dont l'objet cite le test d'intrusion coûte 14 637,5 € HT en médiane (20 missions, 12 entre 3 000 et 20 000 €). Un audit de sécurité plus large, 26 760 € (62 missions, 21 000 à 30 000 € selon le calcul).
• Ces chiffres recoupent la fourchette des prestataires, sans la prouver : publication volontaire sous 40 000 €, centrales d'achat invisibles, aucun TJM déductible.
• Un pentest web se facture au TJM × jours, et le périmètre est le facteur de prix n°1, loin devant le reste.
• Un tarif anormalement bas cache souvent un scan automatisé déguisé. Vérifiez toujours : périmètre écrit, retest inclus, livrables clairs, pentester certifié.
• On réduit le coût en cadrant le périmètre (EASM) et en nettoyant les évidences (SAST IA) avant la mission.

Si vous vous demandez surtout pourquoi et quand commander un test d'intrusion avant de parler budget, on l'a posé dans le pentest en entreprise. Et si vous voulez un devis transparent, vous savez où nous trouver.

Questions fréquentes sur le prix d'un pentest