Pentest en entreprise : ce que j’ai compris en signant des contrats SaaS

🕓Mis à jour le 18 juin 2026

La cybersécurité n’est plus un sujet de service technique relégué au RSSI. Elle s’invite en comité de direction, en due diligence, dans les clauses contractuelles entre fournisseurs et clients. Au cœur de cette mutation, un mot revient : pentest. Test d’intrusion. Acte volontaire de tenter de pénétrer son propre système pour mesurer sa solidité réelle.

Beaucoup de dirigeants en parlent sans vraiment savoir ce que le terme recouvre. Pourtant, sur certains marchés, ne pas avoir mené de test d’intrusion récent peut ralentir un closing commercial, faire reculer un investisseur ou bloquer un partenariat industriel. Petit retour de terrain pour clarifier ce qui se cache derrière le mot et quand l’engager sérieusement dans une PME tech.

Pentest : ce que le mot recouvre vraiment

Première confusion à lever : un pentest n’est pas un scan de vulnérabilités. Le scan, c’est un outil automatisé qui passe sur un périmètre et liste ce qui ressemble à une faille connue. Utile, pas suffisant. Un test d’intrusion, c’est un humain (ou une équipe) qui tente de pénétrer le système comme le ferait un attaquant réel. Méthodologie, chaînage d’exploits, logique d’attaquant. Pas du même métier.

Deuxième confusion : croire qu’un test d’intrusion « valide la sécurité ». Il ne valide rien. Il révèle ce qui n’a pas tenu à un assaut ciblé sur quelques jours. C’est une photo, pas un certificat permanent. Ce qui passe aujourd’hui peut tomber demain après une simple mise à jour applicative ou l’arrivée d’une nouvelle CVE sur une dépendance.

Quand le sujet remonte au comité de direction

J’ai commencé à prendre la question au sérieux quand j’ai vu un investisseur la poser en due diligence sur une de mes anciennes boîtes. Pas une discussion technique. Une discussion de gouvernance, qui touche aussi à la communication d’entreprise interne et externe sur les sujets de sécurité. Qui a audité l’authentification ? Quand le dernier rapport a-t-il été produit ? Quels correctifs ont été engagés derrière ce rapport ?

Sur certains marchés régulés (santé, finance, défense), ne pas pouvoir produire un rapport récent suffit à sortir un candidat fournisseur du short-list. Le test d’intrusion est devenu un signal de maturité, au même titre qu’une certification ISO 27001, un visa SecNumCloud ou une politique sérieuse autour de la gestion moderne du contrôle d’accès en entreprise. Pas pour cocher une case. Pour montrer qu’on sait à quoi ressemble une posture défensive sérieuse.

Choisir son prestataire : les vrais critères

Le piège, c’est de prendre le moins cher. Un audit mal mené est pire que pas d’audit du tout : il génère un faux sentiment de sécurité, voire un rapport qui sera ensuite opposé à un assureur ou à un client en cas d’incident. Avant de signer un devis, voici ce que je regarde aujourd’hui :

• La capacité à mêler sécurité offensive et défensive dans une même équipe. C’est rare. Beaucoup de cabinets ne couvrent qu’un des deux côtés du métier.
• Les publications de recherche. Un acteur qui contribue à la recherche publique (CVE, conférences, outils open source) tient un niveau d’exigence interne qu’on ne triche pas.
• La capacité à intervenir sur des cibles complexes : firmware embarqué, applications mobiles, infrastructures cloud hybrides, environnements industriels. Pas uniquement du web classique.

C’est typiquement le profil d’un expert pentest qui combine équipes d’ingénieurs spécialisés et travaux de recherche partagés publiquement. Quarkslab, par exemple, travaille à la fois pour des entreprises privées et des organisations gouvernementales, sur des problématiques offensives comme défensives, avec une volonté affichée de rendre la cybersécurité accessible via ses publications. Ce n’est pas le seul cabinet sérieux du marché français, mais le profil illustre ce qu’on doit attendre d’une équipe capable de tenir un audit critique de bout en bout.

Un test d’intrusion mené par cette catégorie d’équipe ne coûte pas la moitié du tarif d’un junior facturé en régie. Et c’est tant mieux. Le bon ordre de grandeur pour un audit applicatif sérieux sur une PME tech : 8 000 à 25 000 euros selon la complexité du périmètre. Au-dessous, méfiance sur la profondeur réelle des tests.

Comment l’intégrer dans une feuille de route réaliste

Pour une PME qui manipule de la donnée client réelle, un premier audit doit être engagé dès la mise en production de la fonctionnalité critique. Renouvellement annuel ensuite, ou après chaque refonte majeure. Pour une structure plus mature, le pentest s’intègre dans une logique continue : audit applicatif récurrent, tests d’intrusion externe, revue de configuration cloud, exercices de type red team sur les enjeux les plus sensibles.

Le point souvent négligé : provisionner le budget de remédiation derrière. Trouver les failles sans avoir l’équipe pour les corriger, c’est de l’argent jeté. Un bon prestataire le dira lui-même au moment du cadrage et adaptera son scope au temps de remédiation disponible.

Bref, le test d’intrusion n’a plus rien d’un sujet réservé aux RSSI. C’est devenu un point d’attention de direction, un argument commercial dans les appels d’offres exigeants et, dans certains dossiers de levée de fonds, un élément de valorisation. Autant le traiter à ce niveau-là tout de suite, en choisissant un partenaire dont le sérieux ne se discute pas.

Questions fréquentes sur le pentest en entreprise

Quelle différence entre un scan de vulnérabilités et un pentest ?

Le scan est automatisé et liste des failles connues sur un périmètre. Le pentest est conduit par un humain qui chaîne des exploits et raisonne comme un attaquant réel. Les deux sont complémentaires mais ne se substituent pas : le scan détecte des signaux faibles, le test d’intrusion confirme ce qui peut réellement être exploité.

Combien coûte un pentest sérieux pour une PME ?

L’ordre de grandeur pour un audit applicatif sur une PME tech se situe entre 8 000 et 25 000 euros selon la complexité du périmètre (nombre d’applications, types de tests, niveau d’expertise demandé). En dessous, la profondeur des tests est souvent insuffisante pour produire un rapport actionnable. Les audits sur firmware embarqué ou environnements industriels peuvent monter bien au-delà.

À quelle fréquence faut-il renouveler un pentest ?

Au minimum une fois par an pour une application en production qui manipule de la donnée client. Et systématiquement après une refonte majeure, une migration cloud ou l’ajout d’une fonctionnalité critique (paiement, authentification, accès admin). Sur les périmètres les plus sensibles, on peut compléter par des tests externes trimestriels ou un programme de bug bounty continu.

Comment choisir un prestataire de tests d’intrusion ?

Vérifier sa capacité à mener du travail offensif ET défensif, la qualité de ses publications de recherche (CVE attribuées, conférences, outils open source publiés) et sa maîtrise des cibles complexes (mobile, embarqué, cloud hybride). Demander des exemples de rapports anonymisés, vérifier la composition de l’équipe qui interviendra réellement et exiger un cadrage écrit du périmètre avant signature.