Le test d'intrusion se vend comme une performance technique. Il s'achète comme un contrat. Cette confusion explique la plupart des déceptions : un dirigeant compare des méthodologies là où il devrait comparer des périmètres, des livrables et des clauses de responsabilité.
Le point de départ n'est pas informatique, il est pénal. Les gestes que réalise un auditeur — accéder à un système, s'y maintenir, en éprouver les limites — constituent, sans autorisation, des infractions caractérisées. Ce qui les rend licites tient dans un document signé. Cette enquête regarde ce que le droit français exige, ce que la qualification de l'État garantit réellement, ce que le marché facture, et ce qu'un rapport d'audit ne pourra jamais dire.
Précision de méthode : cet article s'adresse à celui qui commande la prestation, pas à celui qui l'exécute. Aucun procédé offensif n'y est décrit. Ce sont les phases contractuelles, les prix et les limites qui sont documentés.
L'enquête en 30 secondes
Pourquoi commande-t-on un test d'intrusion, et qui l'exige ?
Deux motifs, l'un factuel, l'autre réglementaire.
Le motif factuel est que l'exploitation d'une vulnérabilité reste le premier vecteur d'entrée des attaquants. Dans le rapport M-Trends 2026 publié le 23 mars 2026 par Mandiant, à partir de plus de 500 000 heures d'investigation menées en 2025, l'exploitation de vulnérabilité représente 32 % des vecteurs d'infection initiaux — au premier rang pour la sixième année consécutive. Une entreprise qui ignore ce qu'elle expose sur internet ignore la porte par laquelle on entrera.
Le motif réglementaire est moins connu et plus contraignant. L'article 32 du RGPD n'énumère pas seulement des mesures de sécurité : il impose au responsable de traitement de mettre en place « une procédure visant à tester, à analyser et à évaluer régulièrement l'efficacité des mesures techniques et organisationnelles ». Le texte ne dit pas « test d'intrusion » et n'impose aucune modalité particulière, mais il rend l'absence totale d'évaluation périodique difficile à défendre devant l'autorité de contrôle.
La directive NIS2 va dans le même sens à son article 21, qui exige des politiques et procédures d'évaluation de l'efficacité des mesures de gestion des risques, ainsi que le traitement et la divulgation des vulnérabilités. Sa loi française de transposition n'était pas adoptée à l'été 2026, mais le RGPD, lui, s'applique depuis 2018 à toute organisation traitant des données personnelles.
Qu'est-ce qui sépare juridiquement un audit d'une infraction ?
Une signature. Rien d'autre.
L'article 323-1 du code pénal punit de deux ans d'emprisonnement et de 60 000 euros d'amende le fait d'accéder ou de se maintenir frauduleusement dans tout ou partie d'un système de traitement automatisé de données. La peine passe à trois ans et 100 000 euros lorsqu'il en résulte la suppression ou la modification de données, ou une altération du fonctionnement du système. Elle atteint cinq ans et 150 000 euros lorsque le système contient des données à caractère personnel et est mis en œuvre par l'État. L'article 323-3-1 sanctionne par ailleurs la mise à disposition d'outils conçus pour commettre ces infractions.
Ce que vaut le même geste technique sans mandat écrit
0 €
Amende encourue pour accès ou maintien frauduleux dans un système, assortie de deux ans d'emprisonnement
0 €
Si l'accès entraîne suppression ou modification de données, ou altération du fonctionnement : trois ans d'emprisonnement
0 €
Si le système traite des données personnelles et relève de l'État : cinq ans d'emprisonnement
0
Prestataires qualifiés PASSI recensés, répartis sur cinq portées d'audit et deux niveaux d'assurance
Le document qui neutralise ce risque porte plusieurs noms — convention d'audit, lettre de mission, mandat d'audit — et une seule fonction : établir que le propriétaire du système a autorisé, par écrit et par avance, des actes précisément délimités. Il doit énumérer le périmètre exact (plages d'adresses, noms de domaine, applications, environnements), les techniques admises et celles qui sont exclues, la fenêtre temporelle autorisée, les contacts d'urgence des deux côtés, et le sort des données découvertes.
Trois angles morts fréquents méritent d'être signalés au commanditaire.
L'hébergeur n'est pas toujours vous. Une application hébergée chez un tiers, un service en nuage, un prestataire de paiement : le propriétaire du système testé n'est pas nécessairement celui qui signe le bon de commande. L'autorisation doit remonter jusqu'à celui qui exploite l'infrastructure, faute de quoi la couverture juridique est incomplète.
Le hors-périmètre est une zone pénale, pas une zone grise. Un auditeur qui déborde du périmètre autorisé sort du mandat, et donc de la licéité. C'est aussi vrai pour un dirigeant qui, en cours de mission, demande oralement « d'aller voir aussi » un système non listé.
Les données personnelles découvertes restent des données personnelles. Un audit qui accède à des fichiers réels engage le commanditaire au titre du RGPD. La convention doit prévoir le traitement, la conservation et la destruction des éléments collectés.
À côté de ce cadre contractuel existe une voie distincte, souvent confondue avec lui. L'article L2321-4 du code de la défense, introduit par la loi pour une République numérique de 2016, protège la personne qui, de bonne foi, transmet à la seule autorité nationale de sécurité des systèmes d'information une information sur l'existence d'une vulnérabilité — l'ANSSI préservant la confidentialité de son identité. Depuis la loi de programmation militaire du 1er août 2023 et son décret d'application n° 2024-421 du 10 mai 2024, l'article L2321-4-1 impose en outre aux éditeurs de logiciels de signaler à l'ANSSI les vulnérabilités significatives affectant leurs produits. Ces dispositions organisent le signalement ; elles n'autorisent personne à tester un système sans mandat.
Que garantit réellement la qualification PASSI de l'ANSSI ?
La qualification PASSI — prestataire d'audit de la sécurité des systèmes d'information — est le repère public le plus solide dont dispose un acheteur français. Elle mérite d'être comprise pour ce qu'elle est, et pas pour ce qu'on lui prête.
Elle couvre cinq portées distinctes : audit d'architecture, audit de configuration, audit de code source, audit organisationnel et physique, et test d'intrusion. Un prestataire peut être qualifié sur une portée sans l'être sur les autres. Depuis la version 2.2 du référentiel, publiée par l'ANSSI le 29 novembre 2024 en même temps que la version 3.0 du référentiel PRIS, chaque portée est déclinée selon deux niveaux d'assurance — substantiel et élevé — dans un alignement sur le cadre européen de certification de cybersécurité.
Ce que la qualification atteste : que l'organisation, ses processus, ses locaux et les compétences de ses auditeurs ont été examinés par un centre d'évaluation agréé, selon un référentiel public, et que le visa est délivré pour une durée limitée avec contrôle périodique.
Ce qu'elle n'atteste pas : que le prestataire trouvera quoi que ce soit, que le rapport sera lisible, que le périmètre proposé sera le bon. La qualification porte sur la conformité d'un processus, jamais sur le résultat d'une mission. Un acheteur qui la traite comme un label de performance se trompe de lecture — et un prestataire qui la présente ainsi survend.
Deux vérifications concrètes s'imposent donc avant de signer : la portée exacte sur laquelle le prestataire est qualifié, puisqu'un cabinet qualifié en audit organisationnel n'est pas qualifié en test d'intrusion ; et la date de validité du visa, la qualification étant délivrée pour une durée déterminée. Le catalogue officiel de l'ANSSI, mis à jour mensuellement, est le seul document faisant foi.
Combien coûte un test d'intrusion, et sur quels prix peut-on s'appuyer ?
Comme pour la plupart des prestations de cybersécurité, les prix publics émanent de ceux qui vendent. Il existe toutefois, cette fois, un point de référence indiscutable publié par l'État.
Prix constatés en France pour un audit de sécurité (en euros HT)
L'écart entre les deux fourchettes de test d'intrusion — 2 500 à 6 500 € d'un côté, 6 000 à 15 000 € de l'autre — n'est pas une contradiction : c'est une différence de contenu que les intitulés commerciaux masquent. La première décrit une application isolée testée manuellement pendant une à deux semaines. La seconde décrit une exposition externe complète, avec exigences de traçabilité et de reproductibilité. Un acheteur qui compare deux devis doit donc comparer des jours-hommes et des périmètres, jamais des intitulés.
Le repère public de 8 800 € HT pour huit jours-homme est utile précisément parce qu'il ne dépend d'aucun vendeur : il place la journée d'expertise à 1 100 € HT, au milieu des fourchettes annoncées par le marché. Un devis qui s'en éloigne fortement, vers le bas comme vers le haut, appelle une explication écrite.
Dernier élément budgétaire, rarement anticipé : le test n'est pas la dépense principale. Corriger ce qu'il révèle l'est. Le même dispositif France 2030 finance une phase de mise en œuvre de 30 000 à 80 000 €, à hauteur de 70 % des dépenses, sur douze à dix-huit mois — un ordre de grandeur qui dit tout du rapport entre le diagnostic et le traitement.
Comment se déroule une prestation, vue du commanditaire ?
Du côté de l'acheteur, une mission se lit en cinq temps, dont un seul est technique.
Les cinq temps d'une prestation, côté commanditaire
Cadrage et définition du périmètre
L'étape qui détermine la valeur de tout le reste. Ce qui est exclu du périmètre ne sera pas regardé et n'apparaîtra pas dans le rapport : l'absence de constat ne vaudra jamais absence de faille. C'est aussi le moment de vérifier que l'on est bien propriétaire ou mandaté sur chaque élément listé.
Une remarque sur le calendrier : les délais ci-dessus décrivent une mission ordinaire. Le dispositif public France 2030 prévoit pour son diagnostic une durée de trois à cinq mois entre le lancement et la remise du plan de sécurisation, ce qui donne l'ordre de grandeur réaliste dès que la démarche dépasse un simple test applicatif.
Que doit contenir le livrable, et comment le juger sans être technicien ?
Le rapport est le produit acheté. Il se juge sur cinq critères accessibles à un non-spécialiste.
La hiérarchisation. Chaque constat porte un niveau de criticité, et ce niveau est justifié par un impact décrit en termes métier — arrêt de service, accès à des données clients, détournement de paiement — et non par un score technique isolé.
La reproductibilité. Un constat doit être accompagné des éléments qui permettent à l'équipe interne ou au prestataire informatique de le reproduire et de vérifier ensuite qu'il a disparu. Un rapport qui affirme sans permettre la vérification est invérifiable dans les deux sens.
La recommandation actionnable. « Mettre à jour le composant » n'est pas une recommandation : c'est un constat reformulé. La recommandation nomme l'action, le responsable pressenti et l'ordre de grandeur de l'effort.
La synthèse dirigeante. Deux pages qui permettent d'arbitrer un budget. Si le rapport n'en contient pas, la direction ne le lira pas, et rien ne sera corrigé.
Le périmètre rappelé noir sur blanc. Le rapport doit répéter ce qui a été testé et surtout ce qui ne l'a pas été. C'est la clause qui protège les deux parties, et celle qu'on oublie de lire.
Un point de vigilance sur le vocabulaire : un scan automatisé de vulnérabilités et un test d'intrusion manuel sont deux prestations différentes, avec des coûts différents d'un ordre de grandeur. Le référentiel de l'ANSSI distingue explicitement le test d'intrusion des autres portées d'audit. Demander combien de jours-hommes d'analyse manuelle figurent dans le devis règle la question en une phrase.
Quelles sont les limites réelles de l'exercice ?
Elles sont structurelles, et aucun prestataire sérieux ne les conteste.
Un test est une photographie. Il décrit un système à une date, dans une configuration donnée. Une mise en production le lendemain, un composant mis à jour la semaine suivante, et le rapport décrit un système qui n'existe plus tout à fait.
Un test ne couvre que son périmètre. C'est la limite la plus mal comprise. Un rapport sans constat sur un élément non testé ne dit rien de cet élément. L'absence de faille signalée n'est jamais une preuve d'absence de faille.
Un test ne corrige rien. Il produit une liste. La valeur créée dépend entièrement de ce qui est fait ensuite, dans les semaines qui suivent, avec des moyens qui n'étaient pas dans le devis d'audit.
Un test ne délivre aucune garantie de sécurité. Aucune prestation d'audit ne peut promettre qu'une organisation ne sera pas attaquée, ni qu'elle résistera. Les référentiels publics portent sur des exigences de méthode, pas sur des obligations de résultat. Un prestataire qui promet un résultat promet ce qu'il n'a pas le pouvoir de tenir.
Un test mesure la technique, pas l'organisation. Les vecteurs qui reposent sur la manipulation humaine ou sur une chaîne de décision défaillante relèvent d'autres portées d'audit — organisationnelle notamment — ou d'exercices distincts, qu'il faut commander séparément.
Reste la question de la fréquence. Aucun texte français n'impose de rythme. Le RGPD dit « régulièrement » sans le chiffrer. Dans les faits, la référence pratique est l'événement plutôt que le calendrier : une mise en production majeure, un changement d'hébergeur, une ouverture de service sur internet, une fusion. Un audit annuel sur un système qui n'a pas bougé apporte moins qu'un audit déclenché par un changement structurel.
Ce que cette enquête n'a pas pu établir
Trois limites, dites franchement.
Le nombre exact de prestataires qualifiés PASSI n'a pas pu être établi à partir du catalogue officiel de l'ANSSI, dont la version en ligne renvoie à un document dont le contenu n'est pas extractible de façon fiable. Le chiffre de 69 prestataires provient d'un annuaire tiers relevé le 12 mai 2026, et une autre source de juillet 2026 évoque « une cinquantaine de cabinets ». Ces deux valeurs sont publiées ici côte à côte : l'écart peut venir du décompte des portées, certaines structures apparaissant plusieurs fois. Le catalogue de cyber.gouv.fr, mis à jour mensuellement, reste le seul document faisant foi.
Aucune statistique publique ne dit combien d'entreprises françaises font réaliser un test d'intrusion, ni à quelle fréquence. Le baromètre du CESIN indique que, parmi les grandes entreprises interrogées, les tests d'intrusion sont externalisés dans 56 % des cas — mais il ne dit pas quelle proportion en réalise, et il n'interroge pas les PME. Du côté des entreprises de moins de 250 salariés, le baromètre national de la maturité cyber ne mesure pas cette pratique.
Enfin, aucun prix ferme n'est opposable. Les fourchettes reproduites ici viennent de prestataires, à l'exception du tarif France 2030, qui porte sur un diagnostic de conseil et non sur un test d'intrusion. Elles servent à détecter un devis aberrant, pas à négocier une prestation.
FAQ
Un test d'intrusion est-il légal en France ?
Oui, à condition d'être couvert par une autorisation écrite préalable du propriétaire du système. Sans elle, les actes réalisés tombent sous l'article 323-1 du code pénal, qui punit l'accès ou le maintien frauduleux dans un système de deux ans d'emprisonnement et 60 000 euros d'amende, avec des peines aggravées en cas d'altération de données ou de système étatique. La convention d'audit doit préciser le périmètre, les techniques admises, la fenêtre temporelle et les contacts d'urgence.
Combien coûte un test d'intrusion pour une PME ?
Les grilles publiées en 2026 par des prestataires situent la journée d'auditeur entre 800 et 1 500 euros HT, et un test sur une application web standard entre 2 500 et 6 500 euros HT, quand d'autres annoncent 6 000 à 15 000 euros pour un test d'intrusion externe. Le seul repère public est le diagnostic cybersécurité France 2030 : 8 800 euros HT pour huit jours-homme, subventionné à 50 %.
La qualification PASSI est-elle obligatoire pour réaliser un audit ?
Non. Elle est exigée dans certains contextes réglementaires ou contractuels, notamment pour des opérateurs soumis à des obligations spécifiques, mais un audit peut être réalisé par un prestataire non qualifié. La qualification atteste qu'un centre d'évaluation agréé a examiné l'organisation, les processus et les compétences du prestataire, sur une ou plusieurs des cinq portées, et selon deux niveaux d'assurance depuis la version 2.2 du référentiel publiée le 29 novembre 2024.
Un test d'intrusion garantit-il que l'entreprise ne sera pas attaquée ?
Non, et aucun prestataire ne peut le promettre. Un test décrit un périmètre défini à une date donnée ; il ne couvre pas ce qui n'a pas été testé, ne reste valide que jusqu'à la prochaine évolution du système, et ne corrige rien par lui-même. Sa valeur dépend entièrement des corrections apportées ensuite et de leur contre-vérification.
L'enquête en slides
