Oui, dès que l'application traite des données clients, des paiements ou des documents confidentiels. Sur le marché français, un test d'intrusion applicatif de 2 à 5 jours coûte entre 4 000 et 12 000 € HT selon la surface à couvrir. Le bon moment est la préproduction : le périmètre est figé, mais corriger ne coûte encore que quelques jours de développement.
Trois formats existent, et le choix pèse plus sur le résultat que le prix :
- Boîte noire : l'auditeur part de zéro, comme un attaquant externe. Réaliste, mais la moitié du budget passe à cartographier l'application.
- Boîte grise : un compte par rôle métier lui est fourni. C'est le meilleur rapport couverture-prix pour une application de gestion, et le format que nous recommandons.
- Boîte blanche : accès au code et à l'architecture, pertinent avant une ouverture au public ou un hébergement de données sensibles.
Deux exigences françaises méritent d'être connues. Si votre client final est une administration, un opérateur d'importance vitale ou un établissement de santé, il demandera un prestataire qualifié PASSI par l'ANSSI : la liste est publique et le tarif y est plus élevé. Par ailleurs, les assureurs cyber réclament de plus en plus un rapport de moins de douze mois avant de couvrir une application exposée.
Exigez enfin par contrat un contre-test gratuit après correction, sous 30 à 60 jours : sans lui, vous payez un diagnostic sans preuve de guérison. Chez Pulsar Forge, ce jalon est intégré au planning de chaque application métier livrée en production. Parlons de votre projet.