Le mot audit recouvre trois prestations qui n'ont ni le même contenu, ni le même prix, ni la même valeur de preuve. Un questionnaire déclaratif, où l'on vous demande ce que vous faites et où l'on rédige un rapport à partir de vos réponses. Un balayage automatisé, où un outil interroge vos machines et sort une liste de vulnérabilités connues. Une simulation d'attaque, où quelqu'un essaie réellement d'entrer. Dix des 24 agences comparées déclarent savoir faire la troisième. Voici ce que montrent les compétences déclarées et les 189 réalisations publiées, au relevé de septembre 2026.
Trois niveaux d'audit, et comment savoir lequel on vous vend
Les compétences déclarées permettent de situer chaque agence. Les vingt-quatre déclarent la cybersécurité et l'audit, dix-neuf la détection de failles, seize la sécurité des applications, quinze la sécurité des environnements en nuage, quinze la sécurité réseau, onze la gestion des accès et des identités, et dix la simulation d'attaque informatique. Cette dernière ligne est la plus discriminante, parce qu'elle suppose des compétences offensives que l'on ne s'improvise pas. Posez donc la question dans ces termes : allez-vous tenter d'entrer, ou allez-vous constater ce que je vous déclare ? Les deux réponses sont légitimes selon votre maturité, mais elles ne se paient pas pareil et elles ne prouvent pas la même chose. Un rapport fondé sur vos déclarations vaut ce que valent vos déclarations.
Ce qu'un rapport doit contenir pour être utilisable
Le périmètre exact testé, machine par machine et application par application, avec ce qui a été explicitement exclu et pourquoi.
La méthode employée, en distinguant ce qui a été vérifié automatiquement de ce qui a été examiné par une personne.
Les failles classées par risque réel pour votre activité, et non par gravité théorique : une vulnérabilité critique sur un serveur de test ne vaut pas une faille moyenne sur votre outil de facturation.
Un plan de correction ordonné, avec pour chaque point l'effort estimé et qui doit le traiter, vous ou votre prestataire informatique. Un rapport sans plan de correction est une facture sans livrable.
Des montants qui décrivent des constats, pas des attaques simulées
Faute de missions chiffrées en nombre suffisant, aucun montant de référence n'est encore calculé pour ce métier sur notre plateforme. Ce que les agences affichent par ailleurs donne un ordre de grandeur, à manier avec précaution : cent vingt-neuf de leurs réalisations portent un prix, avec un point médian à 5 000 €, un quart en dessous de 3 000 € et un quart au-dessus de 10 000 €. Le chiffre qui revient le plus souvent est 3 000 €, vingt-cinq fois, suivi de 5 000 € vingt-trois fois et de 10 000 € dix-huit fois. Cinq missions franchissent 50 000 € et la plus chère monte à 750 000 €. Ces niveaux correspondent à des constats et à des mises en conformité, pas à des campagnes d'intrusion approfondies, lesquelles se situent structurellement plus haut. Si l'on vous propose une simulation d'attaque à trois mille euros, demandez combien de jours sont prévus et sur quel périmètre : la réponse vous dira s'il s'agit d'un test réel ou d'un balayage habillé.
Le maillon humain, et ce qui déclenche vraiment la démarche
Regardez ce que vendent les prestataires les mieux placés sur cette recherche : parcours de formation, sensibilisation des utilisateurs, gestes de base à faire acquérir aux équipes. Trois des quatre concurrents examinés en font une offre à part entière, et ce n'est pas un hasard commercial. Un audit technique décrit l'état de vos machines ; il ne dit rien de la personne qui ouvrira une pièce jointe ou communiquera un mot de passe au téléphone. Demandez donc à l'agence si elle propose un test de hameçonnage sur vos équipes et une session de sensibilisation, et à quel prix, car ce volet coûte peu au regard de ce qu'il évite.
Le second point que les devis traitent mal est le déclencheur. On commande rarement un audit par curiosité : c'est un client qui l'exige dans un appel d'offres, une assurance qui le demande avant de couvrir, une obligation liée aux données personnelles que vous traitez, ou un incident déjà survenu. Dites lequel vous concerne dès le premier échange, car il détermine le référentiel à appliquer et le format du livrable attendu. Un rapport destiné à rassurer un grand compte ne ressemble pas à un rapport destiné à corriger un système, et faire produire le second quand on attend le premier revient à payer deux fois.
Un panel plus lourd que la moyenne de notre annuaire
Huit fiches correspondent à des structures de vingt et un à cent salariés, six à des équipes de six à vingt, cinq à des maisons plus grandes encore, et cinq seulement à des équipes de cinq personnes au plus. C'est l'un des rares panels où les structures moyennes et grandes dominent, ce qui correspond au métier : la sécurité suppose des certifications, des procédures et une capacité d'intervention en urgence. Dix-huit agences ont revendiqué leur fiche, deux ne l'ont jamais fait, quatre occupent un emplacement sponsorisé. Aucune ne publie de budget minimum. Cette composition a une conséquence pour vous : les très petites structures du panel sont plus probablement des prestataires informatiques généralistes qui ajoutent l'audit à leur offre que des spécialistes de la sécurité. Rien de disqualifiant, mais demandez alors qui réalise concrètement les tests et avec quelles habilitations.
Soixante-douze avis, douze agences, et cinquante et un budgets manquants
Les 72 avis vérifiés se répartissent sur douze fiches, la première en rassemblant dix-sept, la deuxième dix, la troisième neuf, puis sept pour trois autres. Douze agences restent sans note. Soixante et onze de ces avis ont d'abord été collectés ailleurs avant d'être revérifiés chez nous, et trois seulement ne portent pas la note maximale. La faiblesse est sévère sur ce métier : cinquante et un auteurs sur soixante-douze ne déclarent pas leur budget et quarante-deux ne précisent pas leur fonction. Restent quatorze témoignages annonçant moins de dix mille euros et sept se situant de dix à cinquante mille. Sur un sujet où la compétence se juge techniquement, une colonne d'avis anonymes ne vous apprend rien. Demandez plutôt deux références que vous pourrez appeler, en précisant que vous voulez parler à la personne qui a reçu le rapport.
Les réalisations publiées ne documentent pas la sécurité
Voilà le point de vigilance principal de cette page. Sur les 189 réalisations affichées, cent vingt et une portent l'étiquette site internet, cent onze le design d'interface, cent deux le développement web, quatre-vingt-six une refonte, cinquante-neuf WordPress, cinquante-quatre le référencement, quarante-six le développement logiciel. Aucune étiquette de sécurité n'apparaît dans ce palmarès. C'est normal et ce n'est pas suspect : un audit de sécurité ne se publie pas, puisqu'il décrit les faiblesses d'un client. Mais la conséquence pour vous est réelle : les cartes du bas de page ne vous serviront à rien pour juger cette compétence précise. Remplacez-les par trois demandes en rendez-vous, un rapport anonymisé récent, la liste des certifications des personnes qui interviendront, et le nom de deux clients d'un secteur proche du vôtre.
Six questions pour une agence d'audit
Votre audit comprend-il une tentative d'intrusion réelle, et si oui sur combien de jours ?
Pouvez-vous nous montrer un rapport anonymisé livré à un client de notre taille ces six derniers mois ?
Quelles certifications détiennent les personnes qui interviendront, et depuis quand ?
Que se passe-t-il si vous découvrez une faille critique en cours de mission, qui prévenez-vous et sous quel délai ?
Le plan de correction est-il compris, et proposez-vous vous-même les corrections, ce qui créerait un conflit d'intérêts ?
Après correction, refaites-vous un contrôle, et à quel prix ?
Ce qu'il faut préparer avant de demander un devis
Dressez la liste de ce qui doit être testé : site public, espace client, applications internes, postes de travail, messagerie, hébergement. Dites qui héberge quoi et qui administre, car un audit bute toujours sur des accès que personne ne veut donner. Indiquez si vous êtes soumis à une obligation particulière, secteur réglementé, sous-traitance pour un grand compte, certification en cours, car cela détermine le référentiel à appliquer. Précisez ce qui déclenche votre démarche : une exigence client, un incident, une assurance, une mise en conformité. Enfin, dites qui, chez vous, sera en mesure de corriger, car un audit sans capacité de correction produit une liste de problèmes et aucune amélioration.
Deux spécialistes et votre prestataire actuel
Consultez deux structures dont la sécurité est le métier principal, en vérifiant qu'au moins une pratique la simulation d'attaque, et demandez à votre prestataire informatique habituel de chiffrer la même chose. Ce troisième devis ne sert pas à être retenu, il sert à révéler ce que votre prestataire savait déjà et ne vous avait pas dit. Départagez sur la méthode, sur le format du rapport et sur la présence d'un contrôle après correction. Évitez en revanche de confier l'audit et les corrections à la même entreprise sans le dire, car celui qui note son propre travail note rarement mal. Si votre besoin porte sur la surveillance continue plutôt que sur un état des lieux, la page des agences de détection de failles compare un panel voisin.
-thumb.jpg){kind=logo}
-thumb.jpg)
