Un fondateur SaaS a récemment partagé un devis VAPT reçu : 2 500 € pour un "test de pénétration complet" de sa plateforme. Un autre devis pour la même plateforme s'élevait à 28 000 €. Les deux prestataires utilisaient la même terminologie. L'engagement à 2 500 € était un scan automatisé de vulnérabilités avec un rapport PDF généré par un outil. L'engagement à 28 000 € était une évaluation manuelle conduite par des testeurs humains avec des tentatives d'exploitation spécifiques à l'application. Seul l'un d'eux satisferait le questionnaire de sécurité d'un client entreprise ou les exigences de due diligence d'un investisseur.
Combien Coûte un VAPT pour un Produit SaaS ?
Un VAPT pour un produit SaaS coûte entre 3 000 et 60 000 € selon la portée et la méthodologie. Les engagements de scanning automatisé uniquement coûtent 3 000-8 000 €. Les tests de pénétration manuels d'applications web commencent à 8 000 € et atteignent 25 000 € pour un produit SaaS standard. Les évaluations à portée complète coûtent typiquement 20 000-50 000 €.
Ce que "VAPT" Couvre Réellement
VAPT - Vulnerability Assessment and Penetration Testing - est un terme composé couvrant deux activités distinctes souvent regroupées mais significativement différentes :
Évaluation de Vulnérabilités (VA) : Scan systématique et énumération des faiblesses connues à l'aide d'outils automatisés. Rapide, bon marché et produit une liste de CVE et problèmes de configuration.
Tests de Pénétration (PT) : Tentatives d'exploitation manuelles par des testeurs humains simulant le comportement d'attaquants réels. Nécessite une expertise du domaine, du temps et de la créativité. Trouve des vulnérabilités que les scanners manquent - failles de logique métier, exploits chaînés, problèmes d'autorisation.
Niveaux de Prix pour VAPT SaaS
Niveau 1 : Scanning Automatisé (3 000-8 000 €)
Des outils automatisés scannent votre application et infrastructure à la recherche de vulnérabilités connues, mauvaises configurations et faiblesses communes.
Ce qui est inclus : Scan réseau de l'infrastructure exposée, scan d'application web (vérifications automatisées OWASP Top 10), revue de configuration SSL/TLS, rapport automatisé avec scores CVSS et conseils de remédiation.
Ce qui n'est pas inclus : Aucun test manuel, analyse de logique métier, test de flux d'authentification ou test API spécifique.
Délai : 3-7 jours.
Niveau 2 : Test de Pénétration Manuel d'Application Web (8 000-25 000 €)
Un testeur humain attaque systématiquement votre application web en suivant une méthodologie structurée (OWASP Testing Guide, PTES).
Ce qui est inclus : Tests d'authentification et gestion de session, tests de validation d'entrée et d'injection (SQL, NoSQL, injection de commandes), tests d'autorisation (IDOR, escalade de privilèges, contrôle d'accès), analyse des failles de logique métier spécifiques à votre application, exploitation manuelle des vulnérabilités découvertes pour démontrer l'impact, rapport détaillé avec exploits proof-of-concept et conseils de remédiation.
Délai typique : 1-3 semaines de tests, plus rédaction du rapport.
En qui fait confiance : Questionnaires de sécurité entreprise, due diligence Série B+, exigences d'évidence SOC 2 Type II.
Niveau 3 : Évaluation Infrastructure + Application (20 000-45 000 €)
Étend le test d'application web pour inclure l'infrastructure cloud, la sécurité du pipeline CI/CD, la sécurité des conteneurs et Kubernetes, et l'architecture IAM/contrôle d'accès.
Niveau 4 : Évaluation à Portée Complète de Conformité (35 000-60 000 €+)
Conçue pour produire les preuves de sécurité requises pour des certifications de conformité spécifiques (SOC 2 Type II, HIPAA, ISO 27001, PCI DSS).
Ce qu'il Faut Demander à un Prestataire VAPT Avant de Signer
1. Quel pourcentage des tests est manuel vs. automatisé ? Toute réponse inférieure à 50% de tests manuels pour un test d'application web devrait susciter des questions de suivi.
2. Quelle méthodologie suivez-vous ? Réponses acceptables : OWASP Testing Guide, PTES, OWASP WSTG.
3. Fournirez-vous des exploits proof-of-concept dans le rapport ? Un bon rapport de test de pénétration inclut des exploits fonctionnels démontrant l'exploitabilité réelle.
4. L'engagement inclut-il un retest ? Pour les besoins de conformité, vous avez généralement besoin de preuves que les vulnérabilités ont été trouvées, remédiées et vérifiées.
5. Qui spécifiquement effectuera les tests ? Des testeurs nommés avec des accréditations vérifiables (OSCP, CEH, CREST) sont ce que vous voulez.
Pour contexte sur les vulnérabilités spécifiques que le VAPT trouve couramment dans les produits SaaS, voir notre guide sur les vulnérabilités critiques que les startups SaaS manquent avant le lancement. Pour les préoccupations de sécurité spécifiques à l'IA, voir les risques de sécurité des agents IA.
Chez Seven Labs, nos engagements de sécurité incluent des tests de pénétration manuels par des ingénieurs certifiés sur des applications web, APIs, infrastructure cloud et systèmes IA. Si vous vous préparez pour un contrat entreprise, une levée de fonds ou une certification de conformité, parlez à notre équipe sécurité.