Combien coûte un audit de sécurité en France : les grilles publiques comparées

Relevez les grilles françaises publiées en ligne et vous trouverez, côte à côte, un audit à 99 € HT et une red team à 80 000 € HT. Un facteur supérieur à 800, entre des prestataires français qui emploient tous le mot « audit ». Aucun de ces chiffres n'est faux ; ils ne décrivent simplement pas le même produit. Ce guide relève les grilles réellement publiées en France, nomme leurs éditeurs, explique d'où vient l'écart, et vous donne la méthode pour comparer deux devis qui ne se comparent pas.

Ce que les grilles françaises publient réellement

Nous avons relevé les montants affichés publiquement par des prestataires et des dispositifs français, en août 2026. Chaque chiffre ci-dessous est attribué à celui qui l'annonce. Aucun n'est un « prix du marché » : ce sont des positions commerciales, et elles se contredisent. Elles ne sont pas même construites pareil : Securigeek ne publie que des planchers — « à partir de 3 500 € HT » pour un audit 360°, « à partir de 5 000 € HT » pour un pentest — là où Laucked et Intuity publient des fourchettes. Un plancher et une fourchette ne se comparent pas davantage que deux devis.

Sources : Audit-Secu (GSI Network) · Flawfence (Trackflaw SAS), 23 juillet 2026 · Invictis, 12 décembre 2025 · MesServicesCyber (cyber.gouv.fr) · Sicollab · CodiTrust · Laucked.

Pourquoi l'écart atteint un facteur 800

L'explication tient en une phrase : « audit de sécurité » n'est pas un produit, c'est une famille de produits. Le référentiel d'exigences PASSI de l'ANSSI, dans sa version 2.2, distingue explicitement cinq activités d'audit : audit d'architecture, audit de configuration, audit de code source, tests d'intrusion, audit organisationnel et physique. Cinq métiers, cinq charges de travail, cinq prix. Un prestataire qui vend l'une et un prestataire qui vend l'autre emploient le même mot pour désigner des engagements sans commune mesure.

À l'intérieur même du mot « scan », l'écart se répète. Audit-Secu annonce 99 € HT pour l'exécution de cinq moteurs open source et la génération d'un rapport, en 10 à 30 minutes, et exclut explicitement l'exploitation active, la revue de code et l'ingénierie sociale. Flawfence annonce 1 900 à 4 000 € HT pour ce qu'il appelle également un « scan de vulnérabilités automatisé ». Les deux disent vrai. La différence de prix ne porte pas sur le scan — les moteurs sont largement les mêmes et coûtent zéro — mais sur ce qui vient après : le tri des faux positifs, la hiérarchisation, et un rapport qu'un humain assume.

Le point où toutes les grilles se rejoignent

C'est l'observation la plus utile de ce relevé, et personne ne la met en avant : les tarifs journaliers convergent, ce sont les volumes de jours qui divergent. Les éditeurs qui publient un montant total se contredisent d'un facteur 10 ; ceux qui publient un tarif journalier pour un profil indépendant se rejoignent dans une bande étroite ; seuls les tarifs de cabinet, jusqu'à 3 500 € selon CodiTrust, en sortent.

Un point de repère indépendant du marché vient confirmer cette bande. Le Diagnostic Cybersécurité du dispositif France 2030, dont le portail de l'État MesServicesCyber indique un « coût total du diagnostic de 8 800 € HT » pour une « mission de conseil sur 8 jours », subventionnée à 50 % et laissant « un reste à charge pour l'entreprise de 4 400 € », implique arithmétiquement 1 100 € HT par jour. C'est le tarif qu'un dispositif public a jugé soutenable pour du conseil en cybersécurité, et il tombe au milieu des fourchettes annoncées par les prestataires privés.

La conséquence est directe pour vous : un devis ne se compare pas au montant, il se compare au nombre de jours-homme. Deux propositions à 6 000 € dont l'une annonce quatre jours et l'autre huit ne vendent pas la même chose ; celle à huit jours vend soit un profil moins cher, soit deux fois plus de travail. Tant que vous ne connaissez pas la charge, le montant ne vous apprend rien.

Les variables qui déplacent réellement le prix

Akyl énumère cinq facteurs : « du type de test d'intrusion (en boite blanche, grise, noire ou en red team) », « du nombre de systèmes à tester », « de la complexité des systèmes à tester », « du niveau d'expertise du prestataire », « de la qualité de la restitution ». Notre relevé permet d'y ajouter des variables chiffrées par ceux qui les facturent.

• Le nombre d'actifs réellement exposés. C'est la variable dominante, et c'est celle que les entreprises estiment le plus mal : sous-domaines oubliés, environnements de recette accessibles, API laissées ouvertes. Une surface mal recensée fait exploser le devis en cours de mission ou, pire, laisse hors périmètre l'actif par lequel une intrusion arriverait.
• La profondeur : boîte noire, grise ou blanche. En boîte noire, une part du budget part en reconnaissance. En boîte blanche, avec le code et les accès, la même somme achète davantage de couverture réelle. La boîte noire est plus spectaculaire ; elle est rarement le meilleur rendement au jour facturé.
• L'authentification et le nombre de rôles. Laucked chiffre 2 à 3 jours pour une vitrine statique et 12 à 20 jours pour une application multi-tenant à quatre rôles ou plus. Chaque rôle supplémentaire multiplie les combinaisons de contrôle d'accès à vérifier — et c'est précisément là que se logent les défauts qu'aucun scanner ne voit.
• La présence d'API. Une API sans spécification publiée doit être découverte avant d'être testée. Avec une collection ou un schéma fourni, la même journée couvre plusieurs fois plus de points d'entrée.
• Le retest. Son traitement diffère d'un éditeur à l'autre : 390 € chez RedSentinel ; Laucked inclut le retest par défaut et chiffre à 400 à 900 € ce que d'autres facturent en sus ; CodiTrust inclut le retest sur les vulnérabilités critiques et compte 0,5 à 1 jour au-delà. Un devis qui l'inclut et un devis qui l'exclut ne sont pas comparables.
• L'exigence de rapport. Un rapport lu en interne et un rapport destiné à un client, un assureur ou un auditeur ne demandent pas le même travail de rédaction et de preuve. CodiTrust facture l'atelier de restitution 0,5 jour.
• Le délai et les contraintes horaires. Laucked chiffre une majoration de 20 à 40 % pour les tests soumis à contraintes horaires, et de 15 à 30 % pour une fenêtre compressée. L'urgence est un poste budgétaire, pas un détail d'organisation.

Comment comparer deux devis qui ne se comparent pas

Posez ces questions aux prestataires que vous consultez. Elles ramènent des propositions hétérogènes à une base commune. Une réponse évasive sur l'une d'elles est une information en soi.

1. Combien de jours-homme, et à quel tarif journalier ?La seule unité comparable. Si le prestataire refuse de décomposer, vous ne pouvez pas arbitrer entre deux offres.
2. Quel est le périmètre, en actifs nommés ?Exigez une liste : URL, adresses IP, points d'entrée d'API, environnements. Pas « votre site web ». Ce qui n'est pas nommé ne sera pas testé.
3. Boîte noire, grise ou blanche, et pourquoi celle-là ?La réponse doit être justifiée par votre objectif, pas par une habitude commerciale.
4. Combien de rôles applicatifs seront testés, et qui fournit les comptes ?Des comptes de test livrés en retard consomment des jours déjà facturés.
5. Les API sont-elles dans le périmètre, et une spécification est-elle attendue ?Si vous ne fournissez ni schéma ni collection, une partie du budget financera leur découverte.
6. Le retest est-il inclus, et sous quel délai après livraison ?Un audit sans retest ne prouve jamais que les correctifs fonctionnent. RedSentinel annonce une fenêtre de validation de 30 ou 60 jours.
7. À qui le rapport doit-il pouvoir être présenté ?Client, assureur, auditeur, autorité. Dites-le avant le chiffrage, jamais après.
8. Qui exécute la mission, et quelle est son expérience sur votre technologie ?Le nom du cabinet ne dit rien du profil qui travaillera. Demandez-le.

Pourquoi Hydra ne publie pas de grille

Toutes nos pages indiquent « sur devis », et c'est délibéré. Publier une fourchette reviendrait à faire ce que nous venons de reprocher au reste du marché : annoncer un prix avant de connaître le périmètre, puis le corriger une fois la surface réelle découverte. Le nombre d'actifs exposés, le nombre de rôles à tester, la présence d'API non documentées : au moment où vous demandez un prix, ces variables ne sont connues ni de vous, ni de nous.

C'est exactement le rôle du scan préliminaire gratuit. Il ne remplace pas un audit — il produit ce qui manque pour en chiffrer un : une vue de la surface réellement exposée, un score de A à F, un comptage par sévérité, et une faille révélée pour que vous jugiez sur pièce plutôt que sur promesse. Ensuite seulement, un périmètre se décrit, une charge s'estime, un devis se compare. Vous pouvez consulter le détail de nos prestations et de la plateforme, et les revendeurs en marque blanche trouveront les conditions dégressives au volume sur la page partenaires.

Sur la question, récurrente, de savoir à qui l'on confie ce travail : l'ANSSI qualifie des prestataires PASSI, ce que nous ne revendiquons pas. Ce que nous exposons, ce sont des travaux vérifiables — une vulnérabilité de lecture hors limites dans libsoup, publiée sous la référence CVE-2026-12478, pour laquelle Red Hat écrit « Red Hat would like to thank Adel Bouachraoui and Gerard Capdevila for reporting this issue », et une contribution à un correctif WebKit référencée CVE-2026-28962 dans l'advisory Apple 127121, où le crédit est partagé avec cinq autres chercheurs. Notre page à propos détaille ce qui est vérifiable et ce qui ne l'est pas.

Ce qu'il faut retenir

Les grilles françaises publiées ne sont pas incohérentes par malhonnêteté : il juxtapose des produits différents sous un mot unique. Retenez trois choses. Le tarif journalier est stable pour les profils indépendants, autour de 700 à 1 800 € HT selon les grilles relevées, jusqu'à 3 500 € pour les grands cabinets selon CodiTrust. Le montant total ne varie donc que par le nombre de jours, c'est-à-dire par le périmètre. Et tout devis qui ne mentionne ni jours-homme, ni actifs nommés, ni sort du retest est incomparable — pas cher, pas onéreux : incomparable.