Audit de code ou test d’intrusion ? Différences, prix et comment choisir

La réponse courte

Un audit de code examine votre logiciel de l’intérieur : il lit le code source et trouve la cause d’une faille, avec le fichier et la ligne. Un test d’intrusion l’examine de l’extérieur : il attaque l’application en fonctionnement et montre ce qu’un attaquant obtient réellement.

Les deux méthodes trouvent des failles. Chacune voit simplement une autre partie du problème.

Ce que vérifie un audit de code

Lors d’un audit de code, l’auditeur dispose d’un accès en lecture au dépôt. Il voit tout ce qu’un attaquant ne peut que deviner de l’extérieur :

• Les secrets dans le code et l’historique Git, par exemple clés d’API et mots de passe
• Les dépendances présentant des vulnérabilités connues (CVE) et les paquets obsolètes
• Les erreurs de logique dans les droits d’accès, visibles uniquement dans le code
• Les motifs à risque, comme les requêtes SQL concaténées ou l’absence de validation
• La qualité du code : complexité, code mort, tests manquants, dette technique

L’avantage : un audit de code trouve aussi des failles dans des chemins qu’un testeur externe n’atteint jamais. Et chaque constat pointe directement l’endroit où votre équipe doit intervenir.

Ce que vérifie un test d’intrusion

Lors d’un test d’intrusion, un testeur attaque l’application en fonctionnement, avec votre autorisation écrite et dans un périmètre convenu. Il voit ce que le code seul ne révèle pas :

• La configuration du serveur, du TLS, des en-têtes et des services cloud
• Le réseau et l’infrastructure autour de l’application
• Les attaques en chaîne, où plusieurs petites faiblesses en créent une grande
• Le comportement à l’exécution, comme les messages d’erreur, le timing et les sessions

L’avantage : un test d’intrusion prouve qu’une faille est réellement exploitable et en montre l’impact. Ce qui n’est pas atteint pendant la durée du test reste toutefois invisible.

La comparaison en un coup d’œil

Combien coûte un test d’intrusion ?

Le prix d’un test d’intrusion dépend surtout du périmètre et du nombre de jours de testeur. Sur le marché français, un test d’une application web simple commence généralement à quelques milliers d’euros ; les périmètres plus larges ou les prestataires qualifiés PASSI atteignent rapidement plusieurs dizaines de milliers d’euros. Un audit de code automatisé coûte nettement moins, mais ne remplace pas un test d’intrusion lorsque celui-ci est exigé.

Quand choisir quoi ?

D’abord un audit de code si vous développez ou faites développer un logiciel et voulez savoir où vous en êtes. Cas typiques : vous avez repris le code d’une agence, une grande partie a été écrite avec l’IA, le Cyber Resilience Act exige à partir de décembre 2027 une nomenclature de vos composants (SBOM), ou votre budget est limité et vous voulez corriger les plus gros risques en premier.

Un test d’intrusion si un client ou un auditeur le demande, par exemple dans le cadre de l’ISO 27001, où les tests d’intrusion sont une preuve courante, si l’infrastructure et la configuration sont au centre des préoccupations, ou si un système particulièrement critique est mis en ligne. En France, les grands comptes et le secteur public attendent souvent un prestataire qualifié PASSI par l’ANSSI.

Les deux si l’application est critique. L’ordre logique : d’abord l’audit de code, qui trouve les causes à moindre coût. Ensuite le test d’intrusion, qui vérifie si quelque chose passe encore de l’extérieur. Ainsi, vous ne payez pas le test le plus cher pour découvrir des erreurs évidentes dans le code.

Trois idées reçues

• « Nous avons un scanner, c’est un test d’intrusion. » Un scan automatique de vulnérabilités est un bon début. Un test d’intrusion va plus loin : il enchaîne les faiblesses et raisonne comme un attaquant.
• « Le test d’intrusion était propre, donc le code est sûr. » Le test ne montre que ce qu’il a atteint pendant sa durée. Les failles derrière une connexion dont le testeur ne disposait pas restent invisibles.
• « Un audit de code remplace le test d’intrusion. » Non. Il trouve d’autres choses, souvent plus tôt et pour moins cher. Si un client exige explicitement un test d’intrusion, l’audit de code ne le remplace pas.

Ce que nous proposons

Nous ne réalisons ni tests d’intrusion manuels ni tests de charge. Nous analysons de façon automatisée et assistée par IA, et chaque constat est étayé par son emplacement :

• Test de sécurité : gratuit, passif depuis l’extérieur, résultat en 2 heures ouvrées
• Audit d’application : tests automatisés avec deux comptes de test, 490 € HT
• Audit de code : le code source vu de l’intérieur, 890 € HT
• Audit complet : application et code, chaque constat validé en plus par un expert, 1 690 € HT

Notre façon de procéder est détaillée dans notre méthodologie.

Cet article a été rédigé avec l’aide de recherches automatisées et de l’IA. David Kreutzer l’a relu et validé le 1 novembre 2026.