Vous hésitez peut-être à payer un inconnu pour qu'il pirate le système informatique de votre entreprise. Même s'il s'agit d'un piratage éthique, pour tester vos installations de cybersécurité, si personne, dans vos équipes, n'est en mesure de lire le rapport technique d'un expert en sécurité, vous voulez vous assurer de son honnêteté.
Le Panorama de la cybermenace 2025 de l'ANSSI indique que les TPE/PME/ETI ont été en 2025 la première catégorie de victimes de rançongiciels traitées par l'agence, avec 37 % des cas. Dans les intrusions analysées par l'agence, les pirates exploitent surtout les failles des pare-feu et des VPN exposés à Internet, ou des identifiants volés à des salariés.
Le test d'intrusion, ou pentest, est une attaque simulée contre votre système informatique. Le hacker éthique chargé de cette mission est un spécialiste de la sécurité informatique. Mandaté par écrit, il cherche ces failles avant les criminels, puis consigne ses découvertes dans un rapport. Voici comment choisir le meilleur en fonction de votre structure et de vos besoins.
Protégez votre entreprise gratuitement pendant 30 jours
Découvrez Bitdefender Ultimate Small Business Security et protégez votre activité contre les cybermenaces. Aucune coordonnée bancaire requise.
Définissez le périmètre et le cadre légal du test
Avant la première tentative d'intrusion, dressez avec le prestataire la liste des éléments qu'il a le droit d'attaquer. Vous pouvez inscrire sur cette liste votre site web ou le réseau interne de vos bureaux, mais le prestataire facture chaque élément supplémentaire en jours de travail. Il vous faut ensuite choisir la quantité d'informations transmises au pentesteur. En boîte noire, il ne dispose que du nom de votre entreprise et part de zéro. En boîte grise, vous lui confiez le compte d'un salarié ordinaire, afin de mesurer jusqu'où un pirate muni d'identifiants volés peut progresser dans votre réseau.
Le cabinet attend ensuite la signature d'une autorisation écrite de votre part pour lancer sa première attaque. Sans ce document, son expert commet un accès frauduleux à un système informatique, et ce délit est puni de trois ans d'emprisonnement et de 100 000 euros d'amende par l'article 323-1 du Code pénal. Dans l'autorisation, vous inscrivez les dates des tests et le numéro à appeler en cas de panne d'un serveur pendant les essais. Si votre site est hébergé chez un prestataire extérieur, cet hébergeur peut aussi exiger, dans son contrat, d'être prévenu avant le test.
Dans la version 2.2 de son référentiel PASSI, publiée en novembre 2024, l'ANSSI fixe les exigences à remplir par les prestataires d'audit de la sécurité des systèmes d'information qu'elle qualifie, pour six activités dont le test d'intrusion. PASSI est le sigle de ces prestataires, et l'agence recense les cabinets qualifiés depuis avril 2025 sur sa plateforme MesServicesCyber. Avant de signer un devis, vous pouvez donc vérifier sur cette plateforme la qualification du cabinet retenu.
Évaluer le coût d'un test d'intrusion
Le prix d'un test d'intrusion n'est encadré par aucun barème public, et le cabinet le facture au nombre de jours de travail de son expert, rédaction du rapport comprise. Pour les prestataires qu'elle labellise ExpertCyber, la plateforme Cybermalveillance.gouv.fr impose seulement la transparence sur les tarifs appliqués, sous forme de prix précis ou de fourchette, sans fixer de plafond.
Bpifrance fournit un repère public avec son Diag Cybersécurité, destiné aux PME indépendantes de plus de dix salariés. Pendant huit jours d'intervention répartis sur trois à six mois, un expert mène des entretiens sur l'organisation de votre entreprise, puis des tests techniques de vos failles. Le coût total de ce diagnostic est de 8 800 euros HT, dont la banque publique prend en charge la moitié, si bien que votre reste à charge est de 4 400 euros HT. Rapporté aux huit jours d'intervention, ce montant est de 1 100 euros HT par journée d'expert.
Pour un test d'intrusion seul, le cabinet calcule son devis en fonction de la surface à attaquer. Un expert teste un site vitrine en quelques jours, alors qu'il lui faut davantage de temps pour le réseau interne de plusieurs bureaux. Vous avez intérêt à faire préciser dans le devis le nombre de jours consacrés aux tests manuels. Un scan automatisé de vulnérabilités, lancé par un logiciel en quelques heures, peut en effet être facturé sous l'étiquette de pentest, sans qu'aucun expert ne tente d'exploiter les failles détectées. Un contre-test peut aussi être prévu dans ce devis. Lors de cette seconde visite, facturée dès le départ, l'expert vérifie que vos équipes ont corrigé les failles relevées.
Avant de payer un expert, vous pouvez obtenir gratuitement un premier état des lieux avec le diagnostic Cyberdépart de l'ANSSI, ouvert aux TPE et PME d'au moins deux salariés. En une heure et demie, dans vos locaux ou en visioconférence, un aidant cyber vous remet six mesures prioritaires à appliquer, avec un suivi possible au bout de six mois. Cet aidant est un tiers de confiance, issu d'un organisme public ou adhérent d'une association à but non lucratif. Avec ce diagnostic en amont, vous pouvez corriger les lacunes les plus simples avant l'arrivée du pentesteur, et vous le payez ensuite pour des failles plus difficiles à repérer.
Sachez décrypter les résultats du rapport
À la fin de la mission, le cabinet vous remet un rapport en deux parties. Dans la synthèse, rédigée pour la direction, l'expert résume en quelques pages le niveau de risque de votre entreprise et les failles les plus graves. Votre prestataire informatique trouvera dans la partie technique chaque faille classée par niveau de gravité, avec la preuve de son exploitation et la correction recommandée.
Pour vos équipements exposés à Internet, le pentesteur peut repérer un pare-feu ou un VPN sans correctifs de sécurité. En avril 2025, nous vous rapportions l'alerte de l'ANSSI sur une faille critique des pare-feu FortiGate, à cause de laquelle de nombreux équipements français avaient été compromis au moment de sa publication. En boîte grise, il mesure jusqu'où il progresse à partir du compte ordinaire que vous lui avez confié. Avec un mot de passe administrateur trop faible ou le compte d'un ancien salarié jamais désactivé, il peut accéder aux fichiers de votre comptabilité. Les piratages de compte sont en outre la première menace signalée par les entreprises et les associations à Cybermalveillance.gouv.fr en 2025, avec 21 % des demandes d'assistance et une hausse de 52 % en un an.
Toutefois, ce rapport n'est valable que pour le jour du test et pour le périmètre inscrit dans l'autorisation. Le pentesteur ne peut pas signaler une faille de votre pare-feu publiée la semaine suivante, et il ne teste la vigilance de vos salariés que si vous lui commandez une campagne de faux courriels d'hameçonnage.
Comment corriger les failles sans équipe technique ?
Exigez d'abord une restitution orale du rapport, en présence de votre prestataire informatique habituel. Pendant cette réunion, faites traduire chaque faille critique en scénario pour votre activité, par exemple une semaine de facturation bloquée. Demandez ensuite un plan de correction classé par priorité, avec pour chaque action un coût estimé et une date butoir. Traitez en premier les failles des équipements exposés à Internet, car ces équipements sont l'un des deux principaux points d'entrée relevés par l'ANSSI, selon son panorama.
Confiez les corrections à votre prestataire informatique habituel, et laissez au cabinet de test son rôle de contrôleur extérieur lors du contre-test. Si vous n'avez pas de prestataire attitré, Cybermalveillance.gouv.fr met en relation les professionnels avec des prestataires labellisés ExpertCyber, au nombre de 200 en 2025.
Renouvelez enfin le test chaque année, et après chaque changement important de votre système informatique, comme l'ouverture d'un site marchand ou le transfert de vos serveurs vers le cloud. Gardez chaque rapport et chaque contre-test, car un assureur ou un client grand compte peut vous demander la preuve de vos efforts de sécurité. Dans son panorama 2025, l'ANSSI a d'ailleurs relevé une baisse de l'usage des rançongiciels au profit de la seule exfiltration de données, et les cas traités par l'agence sont passés de 130 à 196 en un an.
