Guide de référence
Réponse courte
Un pentest (pen test, test d'intrusion) est une attaque simulée et autorisée, menée manuellement par un expert sur un périmètre défini pour trouver, exploiter et prouver les vulnérabilités qu'un attaquant réel utiliserait. On distingue neuf types de pentests selon le périmètre : externe, interne, web ou applicatif, API, cloud, Active Directory, mobile, IA et Red Team. Le bon choix dépend de ce qui porte votre risque : pour une première mission, le pentest externe ; pour un éditeur SaaS, le pentest applicatif en boîte grise.
Cette page est le hub Laucked des types de test d'intrusion. Chaque type renvoie vers sa page détaillée (périmètre, méthode, repères de prix) et vers les comparatifs qui aident à trancher : pentest ou scan, pentest ou audit, pentest ou Red Team.
Pentest web & API, audit IA, Toulouse, méthodologie OWASP/PTES
Vue d'ensemble
Les durées sont des ordres de grandeur observés sur le marché français en 2026 pour un périmètre PME ou ETI. Elles se traduisent en budget dans notre guide des prix d'un pentest.
| Type | Ce qui est testé | Boîte habituelle | Durée indicative | Page Laucked |
|---|---|---|---|---|
| Pentest externe | Services exposés sur Internet : sites, API, VPN, messagerie, DNS, préproductions oubliées | Noire | 2 à 6 jours | Pentest externe |
| Pentest interne | Réseau interne, postes, serveurs, Active Directory, sauvegardes, segmentation | Grise | 3 à 8 jours | Pentest interne |
| Pentest web et applicatif | Application web, portail client, SaaS : authentification, contrôle d'accès, logique métier, injections | Grise | 4 à 10 jours | Audit de sécurité SaaS |
| Pentest API | API REST ou GraphQL : autorisation objet par objet, authentification, quotas, exposition de données | Grise | 3 à 8 jours | Audit API |
| Pentest cloud | Comptes AWS, Azure ou GCP : IAM, metadata, stockage, secrets, réseau virtuel, chemins d'exfiltration | Grise | 3 à 8 jours | Pentest cloud AWS et Azure |
| Pentest Active Directory | Domaine AD : comptes à privilèges, Kerberos, GPO, délégations, chemins vers Domain Admin | Grise | 3 à 6 jours | Audit Active Directory |
| Pentest mobile | Applications iOS et Android : stockage local, communication avec l'API, authentification, protections du binaire | Grise | 4 à 8 jours | Offre pentest |
| Pentest IA et LLM | Assistants, agents et RAG : injection de prompt, fuite de données, abus d'outils, contournement des garde-fous | Grise | 3 à 8 jours | Audit IA |
| Red Team | Un objectif métier convenu : chemin d'attaque réaliste et mesure de la détection | Noire | 3 à 8 semaines | Exercice Red Team |
Type 1 sur 9
Le pentest externe reproduit un attaquant qui ne connaît de vous que votre nom et vos domaines. Il part de la reconnaissance (sous-domaines, certificats, plages IP, services publiés), cherche le premier point d'entrée dans ce qui est exposé, puis documente jusqu'où il mène : un portail d'administration oublié, un VPN sans MFA, une préproduction accessible avec des données réelles.
C'est le test que demandent en premier les assureurs cyber, les clients grands comptes et les donneurs d'ordre NIS2. Si votre organisation n'a jamais été testée, c'est presque toujours par là qu'il faut commencer.
Type 2 sur 9
Le pentest interne répond à la question suivante : que peut faire un attaquant, ou un ransomware, une fois la porte franchie ? Le pentester démarre avec un accès de collaborateur standard ou une prise réseau, puis mesure le mouvement latéral, l'élévation de privilèges, la compromission du domaine et l'accès aux sauvegardes.
Pertinent dès qu'un domaine Active Directory existe, après un premier pentest externe, ou quand un scénario ransomware figure dans votre analyse de risques. Il se planifie souvent dans les douze mois qui suivent l'externe.
Type 3 sur 9
Le pentest applicatif, ou pentest web, teste une application en fonctionnement avec des comptes de test sur chaque rôle utilisateur. Il couvre l'authentification et la gestion de session, le contrôle d'accès entre utilisateurs et entre organisations (IDOR, élévation horizontale), les injections, la logique métier (paiement, workflow de validation, quotas) et l'exposition de données.
C'est le type le plus demandé par les éditeurs SaaS B2B et les plateformes qui traitent des données clients : un acheteur, un investisseur ou un hébergeur de données de santé réclame la preuve que l'application résiste à un utilisateur malveillant.
Type 4 sur 9
Le pentest API cible la couche que les applications mobiles, les intégrations partenaires et les frontaux consomment. Les failles typiques relèvent de l'OWASP API Top 10 : autorisation cassée au niveau de l'objet ou de la fonction, authentification faible, consommation de ressources sans limite, exposition excessive de propriétés.
À mener dès qu'une API est exposée à des tiers ou à une application mobile, ou quand l'API est le véritable cœur du produit et que l'interface web n'en est qu'un client parmi d'autres.
Type 5 sur 9
Le pentest cloud ne teste pas le fournisseur, qui est responsable de son infrastructure, mais votre configuration : rôles et politiques IAM trop larges, clés d'accès dans le code, services de metadata atteignables depuis une application vulnérable, buckets ou comptes de stockage exposés, absence de journalisation. Il part souvent d'un accès applicatif obtenu lors d'un pentest web et mesure l'escalade vers le compte cloud.
Indispensable pour un SaaS hébergé en cloud public, et dès qu'une équipe gère elle-même ses identités et son infrastructure as code.
Type 6 sur 9
L'Active Directory est la cible finale de la plupart des ransomwares : qui contrôle le domaine contrôle les postes, les serveurs et les sauvegardes. Le pentest AD, souvent intégré au pentest interne, cartographie les chemins d'attaque vers les comptes à privilèges : mots de passe faibles ou réutilisés, Kerberoasting, délégations dangereuses, GPO modifiables, relais NTLM.
À mener dès que le domaine compte plus de quelques dizaines de postes, après une fusion ou une migration, ou quand l'assureur cyber conditionne sa couverture à la protection des comptes à privilèges.
Type 7 sur 9
Le pentest mobile teste l'application installée sur le téléphone et ses échanges avec le serveur : données sensibles stockées en clair, jetons réutilisables, validation de certificat absente, logique métier contournable côté client. La plus grande part des failles se trouve en réalité dans l'API que l'application consomme, ce qui conduit souvent à coupler pentest mobile et pentest API.
Pertinent pour toute application grand public ou métier distribuée sur les stores, en particulier quand elle manipule des paiements, des données de santé ou des accès à un compte client.
Type 8 sur 9
Le pentest d'un système à base de modèle de langage teste les risques propres à l'IA générative : injection de prompt directe ou indirecte, extraction de données du corpus RAG ou d'autres utilisateurs, détournement des outils auxquels l'agent a accès, génération de contenus hors cadre. Il s'appuie sur l'OWASP Top 10 for LLM Applications et complète le pentest applicatif classique de l'application qui héberge l'assistant.
Dès qu'un assistant ou un agent est exposé à des utilisateurs externes ou connecté à des données internes, et avant toute mise en production d'un agent capable d'agir (envoyer, modifier, payer).
Type 9 sur 9
L'exercice Red Team n'est pas un pentest au sens strict : il ne cherche pas à couvrir une surface mais à atteindre un objectif, par exemple exfiltrer un jeu de données client ou compromettre un compte à privilèges, en restant discret. Il enchaîne phishing ciblé, accès initial, élévation et mouvement latéral, et mesure au passage si votre défense détecte et réagit.
Réservé aux organisations dont la défense est déjà en place (SOC, EDR, équipe sécurité). Sans détection à mesurer, un pentest reste plus utile et moins coûteux.
Niveau d'information
Le type de pentest décrit ce qui est testé. La boîte décrit ce que le pentester sait au départ. Les deux axes se croisent : un pentest web se mène le plus souvent en boîte grise, un pentest externe en boîte noire. Le détail et les cas d'usage sont dans pentest boîte noire, grise, blanche : lequel choisir ?
Le pentester ne dispose d'aucune information ni d'aucun accès. Il reproduit un attaquant opportuniste. C'est la boîte habituelle du pentest externe et du Red Team. Elle mesure la résistance à une attaque depuis l'extérieur, mais couvre moins en profondeur les fonctions accessibles après authentification.
Le pentester reçoit des comptes de test et une description du périmètre. C'est la boîte la plus courante pour un pentest web, API, cloud ou interne : elle permet de tester le contrôle d'accès entre utilisateurs et d'aller droit aux fonctions sensibles sans perdre des jours en reconnaissance.
Le pentester a accès au code source, à l'architecture et à la configuration. Il combine lecture du code et exploitation sur l'application en fonctionnement. Réservée aux périmètres critiques ou régulés, elle donne la couverture la plus complète pour un coût plus élevé.
Ne pas confondre
Le scanner compare des versions et des signatures connues, en quelques heures et pour quelques centaines d'euros. Il ne trouve ni les failles de logique métier, ni les défauts de contrôle d'accès, et ne prouve rien. Le pentest enchaîne et prouve les constats.
L'audit évalue l'organisation, les processus et la configuration par entretiens et revue documentaire. Il dit si les règles existent ; le pentest dit si elles tiennent face à une attaque. Les deux se complètent dans une démarche ISO 27001 ou NIS2.
Le pentest vise la couverture d'un périmètre et liste les vulnérabilités. Le Red Team vise un objectif et la discrétion, et mesure votre détection. Le premier est un préalable au second.
Le bug bounty rémunère des chercheurs au résultat, en continu, sans garantie de couverture. Les plateformes PTaaS industrialisent des tests récurrents. Ils complètent un pentest cadré, mais ne remplacent pas le rapport daté et périmétré que demandent un client ou un assureur.
Guide de choix
Répondez dans l'ordre : la première question à laquelle vous répondez oui donne le type à lancer en premier. Les autres se planifient sur douze à vingt-quatre mois.
Commencez par un pentest externe. Il mesure ce que n'importe quel attaquant voit déjà, coûte le moins cher et produit la preuve que vous demandent assureurs et clients.
Pentest web ou applicatif en boîte grise, avec l'API si elle est consommée par des tiers ou une application mobile. Si l'application embarque un assistant IA, ajoutez le pentest IA.
Pentest interne avec volet Active Directory. C'est le scénario ransomware : il vous dit en combien d'étapes un accès de collaborateur mène au contrôle du domaine et des sauvegardes.
Pentest cloud, idéalement couplé au pentest web : la plupart des compromissions cloud partent d'une application vulnérable qui atteint les metadata ou des clés trop larges.
Exercice Red Team par objectif. Si vous n'avez pas encore de détection à éprouver, restez sur un pentest : il apportera davantage pour un budget inférieur.
En cas de doute, le diagnostic de surface gratuit cartographie votre exposition et fixe le périmètre avant tout devis. Le déroulé d'une mission est décrit étape par étape dans déroulement d'un pentest.
Budget
Sur le marché français en 2026, une mission PME se situe entre 3 000 et 15 000 € HT selon le type et le périmètre, au tarif journalier d'un pentester senior. Le tableau par périmètre, les modèles de tarification et quatre devis types chiffrés sont dans notre guide prix d'un pentest en 2026 ; pour votre propre périmètre, préparez votre demande de devis.
Questions fréquentes
Un pentest, ou test d'intrusion, est une attaque simulée et autorisée menée par un expert sur un périmètre défini (application, réseau, cloud, API) pour trouver, exploiter et prouver les vulnérabilités qu'un attaquant réel pourrait utiliser. Il se conclut par un rapport qui classe les constats par criticité, apporte les preuves et propose un plan de correction.
Non. « Pentest », « pen test » et « penetration testing » désignent la même chose. En français, l'expression officielle est « test d'intrusion ». Le pluriel « pentests » désigne simplement plusieurs missions ou plusieurs types de tests.
Aucune : test d'intrusion est la traduction française de penetration test. Les deux termes sont employés indifféremment dans les appels d'offres, les questionnaires sécurité et les polices d'assurance cyber.
On distingue couramment neuf types selon le périmètre testé : externe, interne, web ou applicatif, API, cloud, Active Directory, mobile, IA et Red Team. À ces types se croise le niveau d'information donné au pentester : boîte noire, grise ou blanche.
Un pentest externe pour une organisation classique, un pentest web en boîte grise pour un éditeur de logiciel ou de SaaS. Dans les deux cas, le diagnostic de surface préalable permet de fixer un périmètre réaliste avant le devis.
Le pentest applicatif teste une application en fonctionnement, le plus souvent une application web ou un SaaS, avec des comptes de test sur chaque rôle : authentification, contrôle d'accès entre utilisateurs, injections, logique métier et exposition de données. C'est le type de pentest le plus demandé par les éditeurs.
De 2 à 6 jours pour un pentest externe ciblé, de 4 à 10 jours pour une application web et son API, de 3 à 8 jours pour un réseau interne avec Active Directory. Le rapport arrive sous 48 à 72 heures après la fin des tests. Un exercice Red Team se compte en semaines.
Aucune loi française n'impose un pentest à toutes les entreprises. Il est exigé ou fortement attendu dans plusieurs cadres : PCI DSS pour les acteurs du paiement, DORA pour les entités financières (avec le régime TLPT pour certaines d'entre elles), NIS2 au titre de la gestion des risques et des tests de sécurité, HDS pour l'hébergement de données de santé, et dans la pratique par la plupart des assureurs cyber et des clients grands comptes.