Prix d'un pentest web : les fourchettes du marché en 2026, de 1 500 à 25 000 € selon le périmètre
Cet article est la page de référence Laucked sur le tarif d'un pentest web (site, portail, SaaS, e-commerce), hors API standalone (voir guide pentest API) et hors pentest réseau. Fourchettes 2026 par taille d'application, jours-homme typiques, drivers de coût et exemples de devis. Les fourchettes ci-dessous donnent l'ordre de grandeur observé sur le marché français et ne constituent pas une grille Laucked. Chez Laucked, chaque mission est chiffrée sur devis après atelier de cadrage technique.
Pentest web & API, audit IA, Toulouse, méthodologie OWASP/PTES
Vous voulez voir comment Laucked cadre une mission web ? Offre Pentest PME : périmètre, méthodologie, livrables →
Estimer la fourchette de mon pentest
Trois questions pour situer l'ordre de grandeur. C'est une estimation marché, pas un devis : chaque mission Laucked est chiffrée après un diagnostic gratuit.
Ordre de grandeur estimé
4 500 – 9 000 € HT
soit environ 6–10 jours-homme de test manuel, rapport et re-test inclus.
Fourchettes indicatives basées sur les TJM et jours-homme observés sur le marché français en 2026 (≈ 800–900 € HT/jour). Elles ne constituent pas une grille tarifaire Laucked. Le prix réel dépend du périmètre exact, défini lors du cadrage technique qui suit le diagnostic.
Fourchettes de marché 2026 par type d'application web
| Type d'application | Budget HT |
|---|---|
| Vitrine statique, formulaire contact | 1 200 – 2 500 € |
| CMS WordPress / Prestashop standard | 1 500 – 3 500 € |
| Portail client avec login (SaaS simple) | 2 500 – 6 500 € |
| SPA React/Vue + API REST | 4 000 – 10 000 € |
| Plateforme multi-tenant, 4+ rôles | 7 000 – 18 000 € |
| Marketplace, paiement, webhooks, OAuth | 9 000 – 25 000 € |
Fourchettes indicatives pour la préparation du budget, sans étude statistique du marché ni tarif contractuel Laucked. Les missions régulées, cloud ou IA se cadrent séparément. Ces repères ne permettent pas de déduire un nombre de jours : comparez les jours-homme, le TJM, les tests, le rapport, la restitution et les conditions de re-test indiqués dans chaque devis.
Ce qui fait varier le prix d'un pentest web (au-delà de la taille)
- Nombre de rôles utilisateurs : les permissions croisées entre administrateur, gestionnaire, contributeur et lecteur multiplient les scénarios de contrôle d'accès à préparer.
- Complexité des workflows métier : signature, approbation, remboursement et partage de documents demandent des essais des parcours autorisés et des conditions de rejet.
- Intégrations tierces : OAuth, webhooks, SSO et imports peuvent ajouter des frontières de confiance et des scénarios propres au produit. Les services tiers sont exclus des tests sauf autorisation explicite.
- Exigences de rapport : format du client, traduction, preuves de correction et restitution doivent être précisés. Un rapport ne vaut pas qualification PASSI du prestataire.
- Contraintes horaires : disponibilité des équipes, environnement, créneaux autorisés et délai de remise influencent l'organisation. Leur coût éventuel se précise au devis.
Ce qui doit être inclus dans un devis sérieux
Avant de signer, vérifiez que le devis de pentest web inclut :
- Scope précis : URL(s), sous-domaines, IP (si réseau), exclusions explicites (pas de DoS, pas de production payments réels, etc.).
- Méthodologie : référentiels utilisés (OWASP WSTG, PTES, OSSTMM), types de tests effectués, outillage mentionné (Burp Pro, Nuclei, custom scripts).
- Rapport type : structure, niveaux de sévérité (CVSS v3.1 ou v4.0), preuves de reproduction pour chaque finding, recommandations de correction.
- Re-test inclus : oui/non, dans quelle fenêtre (typiquement 30-60j), sur quels findings (tous ou seulement High/Critical).
- CV des pentesters : certifications (OSCP, OSWE, CEH), années d'expérience, références clients anonymisées.
- Restitution : visio ou présentiel, durée (1-2h standard), audience technique et/ou dirigeante.
- Clause RGPD : responsabilité des données, localisation du stockage, durée de conservation du rapport, NDA mutuel.
Un devis qui fait moins d'une page et ne détaille pas ces éléments est un signal rouge, même si le prix paraît attractif.
FAQ : Prix pentest web
Quel est le prix moyen d'un pentest web pour une PME ?
Pour préparer le budget d'une application standard avec authentification et quelques rôles, une fourchette indicative de 2 500 à 6 500 € HT peut servir de repère. Ce n'est pas une moyenne statistique ni un tarif Laucked. Le devis précise les scénarios, les jours-homme, le rapport, la restitution et les conditions du contre-test.
Combien coûte un pentest web avec un SPA React/Vue/Angular ?
Le framework frontend ne détermine pas à lui seul le budget. Pour une SPA, le périmètre doit distinguer le navigateur, les endpoints API, les rôles et les parcours métier. Les contrôles de sécurité doivent aussi être vérifiés côté serveur. Le nombre de scénarios et les accès fournis déterminent la charge à chiffrer.
Pentest web en boîte noire ou boîte grise : quel tarif ?
La boîte grise donne des comptes et une partie du contexte, ce qui permet de concentrer les tests sur les droits et la logique métier. La boîte noire examine l'exposition avec moins d'informations initiales. La boîte blanche ajoute notamment le code ou la configuration. Aucun pourcentage de coût ou de vulnérabilités détectées ne s'applique à tous les projets : comparez la couverture prévue dans les devis.
Le prix d'un pentest web inclut-il le re-test après correction ?
Cela doit être écrit dans le devis. Vérifiez les constats concernés, la fenêtre de correction, le nombre de passages et les livrables de vérification. Chez Laucked, les conditions du contre-test sont cadrées dans la proposition. Une nouvelle fonctionnalité ou un périmètre supplémentaire peut demander un chiffrage distinct.
Combien coûte un pentest WordPress / Prestashop / Magento ?
Pour un CMS standard (WordPress, Prestashop, Magento) en configuration classique : 1 500 à 3 500 € HT. Si le site a beaucoup de plugins custom, thèmes modifiés, passerelles de paiement intégrées ou une logique métier développée, compter 4 500 à 8 000 €. Les CMS ont une surface d'attaque spécifique : plugins obsolètes, wp-admin bruteforce, injections via modules tiers.
Pourquoi certains prestataires proposent des pentests web à 800 € ?
Un faible budget peut correspondre à un périmètre très limité, à une intervention courte ou à une offre essentiellement automatisée. Demandez quels tests manuels sont prévus, quels accès seront utilisés et quel rapport sera livré. Le prix seul ne permet pas de conclure sur la qualité ni sur l'acceptation du livrable par votre client ou votre assureur.
Besoin d'un devis pentest web ?
Décrivez votre application en 5 minutes et recevez un devis chiffré avec méthodologie détaillée. Rapport sous 48 à 72 h après la fin des tests. Les constats, la fenêtre et les conditions du re-test sont précisés au devis. Le détail de ce que couvre un devis pentest (périmètre, calendrier, livrables) est décrit sur la page dédiée.
Demander un devis pentest webPour approfondir : OWASP Cheat Sheet Series : contrôles applicatifs à couvrir sur un périmètre web.