Test d’intrusion (pentest) en France : guide 2026, méthode et prix
L’essentiel en 30 secondes
- Un test d’intrusion (pentest) est une cyberattaque simulée et autorisée qui révèle les vulnérabilités réellement exploitables d’un système d’information.
- En 2024, la CNIL a reçu 5 629 notifications de violations de données, environ 20 % de plus qu’en 2023.
- Les principaux types de pentest : réseau, applicatif (web, mobile, API), ingénierie sociale, cloud et industriel (OT).
- La directive NIS2 n’est pas encore transposée en France (octobre 2026), mais elle concernera des milliers d’entités ; le RGPD impose déjà des mesures de sécurité appropriées.
- Chez Feel IT, un pentest applicatif ciblé démarre à 3 000 € ; un test complet pour une PME se situe généralement entre 8 000 et 25 000 €.
Le test d’intrusion est devenu un outil incontournable pour les entreprises françaises qui veulent connaître leur niveau de sécurité réel, et non théorique. Ce guide s’adresse aux dirigeants, DSI et RSSI de PME et d’ETI : définition, types de tests, méthode, prix et obligations réglementaires.
Sommaire
- Qu’est-ce qu’un test d’intrusion ?
- Pourquoi réaliser un pentest en 2026
- Les types de tests d’intrusion
- La méthode Feel IT en 6 phases
- Prix d’un test d’intrusion
- Pourquoi choisir Feel IT
- Questions fréquentes
Qu’est-ce qu’un test d’intrusion informatique ?
Un test d’intrusion informatique, aussi appelé pentest, test de pénétration ou audit offensif, est une simulation contrôlée d’une cyberattaque réelle, menée par des experts en sécurité mandatés par l’entreprise. Son objectif est d’identifier les vulnérabilités exploitables d’un système d’information avant qu’un attaquant ne les découvre.
Contrairement à un audit de conformité, qui vérifie le respect de normes, le test d’intrusion adopte les techniques réelles d’un attaquant. Il répond à une question simple : si quelqu’un essayait vraiment de s’introduire dans nos systèmes, y parviendrait-il ?
| Critère | Audit de sécurité | Test d’intrusion |
|---|---|---|
| Objectif | Vérifier la conformité à un référentiel | Démontrer ce qu’un attaquant peut réellement faire |
| Méthode | Revue documentaire, entretiens, contrôles | Attaque simulée et contrôlée |
| Résultat | Écarts par rapport aux normes | Vulnérabilités exploitées, preuves et plan de remédiation |
| Référentiels | ISO 27001, ANSSI, RGPD | PTES, OWASP, recommandations de l’ANSSI |
Pourquoi réaliser un test d’intrusion en 2026
Une menace en forte hausse
Selon son rapport annuel 2024, la CNIL a reçu 5 629 notifications de violations de données personnelles en 2024, environ 20 % de plus qu’en 2023, et le nombre de violations touchant plus d’un million de personnes a doublé en un an. Les fournisseurs d’accès, les services de paiement, l’e-commerce et les services publics figurent parmi les organisations touchées.
Un écart entre sécurité perçue et sécurité réelle
Beaucoup de dirigeants de PME estiment être bien protégés sans l’avoir jamais vérifié. Le test d’intrusion corrige ce biais : il ne s’agit pas de savoir si des mesures existent, mais si elles résistent à une attaque réelle.
Des obligations réglementaires renforcées
Le RGPD impose des mesures de sécurité appropriées et la notification des violations à la CNIL dans les 72 heures. La directive NIS2 (UE) 2022/2555 élargit fortement le nombre d’entités soumises à des obligations de cybersécurité, avec des sanctions pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles.
En France, la transposition passe par le projet de loi Résilience, toujours en attente d’adoption en octobre 2026 ; la Commission européenne a saisi la Cour de justice de l’UE pour ce retard (Banque des Territoires). Selon l’ANSSI, des milliers d’entités seront concernées : mieux vaut se préparer dès maintenant.
Les types de tests d’intrusion
| Type de pentest | Ce qui est testé | Pour qui |
|---|---|---|
| Réseau et infrastructure | Pare-feux, VPN, serveurs, accès distants, exposition Internet | Toute organisation |
| Applicatif (web, mobile, API) | Injections, XSS, authentification, exposition de données | Entreprises avec applications ou e-commerce |
| Ingénierie sociale | Phishing, smishing, vishing, accès physique | Toute organisation |
| Cloud et hybride | Configurations Azure, AWS, Google Cloud, Microsoft 365, droits IAM | Entreprises en cloud ou télétravail |
| Industriel (OT/ICS) | Automates, réseaux industriels, passerelles IT/OT | Industrie, énergie, agroalimentaire, pharma |
Test d’intrusion réseau et infrastructure
Il évalue la sécurité des pare-feux, VPN, serveurs, équipements réseau, accès distants et de l’architecture cloud. Les équipements de bordure (pare-feux, passerelles VPN) font l’objet d’alertes régulières de l’ANSSI car ils sont souvent exploités peu après la publication de failles. Les étapes : reconnaissance, scan de vulnérabilités, exploitation contrôlée, élévation de privilèges, rapport et recommandations.
Test d’intrusion applicatif (web et mobile)
Il cible les applications web, les API et les applications mobiles, en s’appuyant sur le référentiel OWASP Top 10. Feel IT réalise ces tests en boîte noire (sans accès préalable), en boîte grise (avec des droits utilisateur) ou en boîte blanche (avec accès au code source).
Ingénierie sociale et tests de phishing
Le phishing reste l’un des principaux vecteurs d’intrusion. Les campagnes simulées de phishing ciblé, de smishing (SMS) ou de vishing (appels) mesurent la capacité des collaborateurs à détecter et signaler les tentatives d’attaque. Suivies d’une sensibilisation ciblée, elles comptent parmi les mesures les plus efficaces au regard de leur coût.
Test d’intrusion cloud et environnements hybrides
Les attaques exploitent de plus en plus les comptes compromis, le contournement de l’authentification multifacteur et les mauvaises configurations de Microsoft 365 ou d’applications SaaS. Nos tests couvrent Azure, AWS et Google Cloud, les droits IAM, la sécurité des API et les environnements de développement exposés.
Test d’intrusion industriel (OT/ICS)
L’interconnexion entre informatique (IT) et systèmes industriels (OT) est un point faible de nombreuses usines : un rançongiciel entré par le réseau administratif peut arrêter une ligne de production. Pour l’automobile, l’agroalimentaire, la pharmacie ou l’énergie, c’est un enjeu de continuité d’activité.
La méthode Feel IT en 6 phases
Notre méthodologie suit le standard PTES (Penetration Testing Execution Standard) et les recommandations de l’ANSSI.
Phase 1 : Cadrage et périmètre
Définition du périmètre, des objectifs, des contraintes (horaires, systèmes exclus) et des règles d’engagement, formalisés dans une convention de pentest qui protège juridiquement les deux parties.
Phase 2 : Reconnaissance
Collecte d’informations sur les actifs exposés (domaines, adresses IP, technologies, sources ouvertes) pour cartographier la surface d’attaque.
Phase 3 : Analyse des vulnérabilités
Identification des failles et mauvaises configurations, en combinant outils automatisés et vérification manuelle pour éliminer les faux positifs.
Phase 4 : Exploitation contrôlée
Exploitation des vulnérabilités dans le périmètre défini, pour démontrer leur impact réel plutôt que de lister des failles théoriques.
Phase 5 : Rapport priorisé
- Synthèse pour la direction : risques et niveau de criticité global.
- Rapport technique pour les équipes IT : preuves d’exploitation et recommandations précises.
- Plan de remédiation priorisé : critique, élevé, moyen, faible.
Phase 6 : Retest de validation
Après correction, nous vérifions que les remédiations ont bien été appliquées. Ce retest est inclus dans nos prestations.
Combien coûte un test d’intrusion en France ?
| Prestation Feel IT | Prix indicatif |
|---|---|
| Pentest applicatif ciblé (une application web) | À partir de 3 000 € |
| Test complet pour une PME de taille moyenne (infrastructure, applications, facteur humain) | Généralement 8 000 à 25 000 € |
| Retest de validation | Inclus |
Le prix dépend du périmètre, du type de test et de la profondeur souhaitée. Pour certains contextes réglementés (opérateurs d’importance vitale, administrations), un prestataire qualifié PASSI par l’ANSSI peut être exigé : vérifiez vos obligations lors du cadrage.
Pourquoi choisir Feel IT pour vos tests d’intrusion
- Équipes certifiées : pentesters titulaires de certifications reconnues (OSCP, CEH) et expertise ISO 27001.
- Rapports exploitables : des recommandations concrètes adaptées à votre contexte, pas des listes de CVE.
- Documentation de conformité : livrables utilisables pour vos obligations RGPD et NIS2.
- Tarifs compétitifs : 30 à 50 % moins chers que les cabinets parisiens spécialisés, grâce à notre modèle nearshore européen.
- Retest inclus et livrables en français.
Découvrez notre offre de tests d’intrusion et cybersécurité, ainsi que nos services d’infogérance et de support technique 24/7.
Questions fréquentes sur les tests d’intrusion
Qu’est-ce qu’un test d’intrusion informatique et à quoi sert-il ?
Un test d’intrusion (pentest) est une attaque simulée et autorisée sur votre système d’information, réalisée par des experts en sécurité pour identifier les vulnérabilités réellement exploitables. Il permet de connaître votre niveau de sécurité réel, de prioriser les corrections et de documenter vos mesures de sécurité au titre du RGPD et, demain, de NIS2.
Quelle différence entre un test d’intrusion et un audit de sécurité ?
Un audit de sécurité vérifie la conformité à des normes et bonnes pratiques (ISO 27001, recommandations de l’ANSSI, RGPD). Un test d’intrusion simule une attaque réelle pour démontrer si les vulnérabilités sont exploitables et mesurer leur impact. Les deux sont complémentaires : l’audit dit ce qui devrait être fait, le pentest montre ce qu’un attaquant peut faire.
Les PME françaises sont-elles concernées par les tests d’intrusion ?
Oui. Les PME sont des cibles fréquentes car elles sont souvent moins bien protégées, et la directive NIS2 étendra les obligations de cybersécurité à de nombreuses ETI et PME de secteurs critiques. Un pentest ciblé sur les actifs prioritaires reste accessible et donne une vision concrète des risques.
À quelle fréquence faut-il réaliser un test d’intrusion ?
Les bonnes pratiques recommandent au minimum un pentest par an, ainsi qu’après chaque changement majeur du système d’information : migration vers le cloud, nouvelle application, refonte du réseau ou fusion-acquisition. Des campagnes de phishing simulé peuvent être menées chaque trimestre pour entretenir la vigilance des équipes.
Combien coûte un test d’intrusion en France avec Feel IT ?
Le prix dépend du périmètre, du type de test et de la profondeur souhaitée. Chez Feel IT, un pentest applicatif ciblé sur une application web démarre à partir de 3 000 euros. Un test complet couvrant infrastructure, applications et facteur humain pour une PME de taille moyenne se situe généralement entre 8 000 et 25 000 euros. Le devis précis est établi après un échange de cadrage gratuit.
NIS2 est-elle déjà applicable en France ?
La directive NIS2 devait être transposée avant le 17 octobre 2024. En France, la transposition passe par le projet de loi Résilience, qui n’était pas encore adopté en octobre 2026. Les entreprises concernées ont intérêt à se préparer dès maintenant, car les obligations de gestion des risques et de notification des incidents s’appliqueront dès l’entrée en vigueur de la loi.
Conclusion
Le test d’intrusion n’est plus réservé aux grandes organisations. Face à des violations de données en forte hausse et à des obligations renforcées par le RGPD et bientôt NIS2, c’est un investissement de sécurité fondamental pour toute entreprise qui traite des données sensibles ou exploite des systèmes critiques. Feel IT vous accompagne avec une méthode rigoureuse, des rapports exploitables et un retest inclus.
Vous voulez connaître votre niveau de sécurité réel ? Demandez un échange de cadrage gratuit.