Outils de test d'intrusion : 6 logiciels de pentest comparés

Les outils de test d'intrusion sont les logiciels qu'un pentester utilise pour simuler une attaque et trouver les failles d'une application ou d'un réseau avant un attaquant réel. Ils ne remplacent pas le travail humain ni le test d'intrusion lui-même, mais ils l'outillent : interception du trafic, injection, exploitation, scan de vulnérabilités. Cette page réunit six outils vivants, du logiciel libre gratuit à l'offre commerciale, et s'ajoute aux logiciels tech. Les prix affichés sont relevés sur le site de chaque éditeur en novembre 2026.

Des outils libres et commerciaux pour le test d'intrusion

La panoplie d'un pentester mêle des projets open source gratuits et des produits commerciaux. Trois usages reviennent souvent : analyser une application web en interceptant ses échanges, exploiter une faille pour mesurer son impact réel, et scanner un périmètre pour repérer les vulnérabilités connues. Un même professionnel combine plusieurs de ces outils selon la cible. Le choix dépend du type de mission, du budget et de l'intégration à une chaîne d'automatisation.

Proxys d'interception et scanners d'applications web

Ces outils s'intercalent entre le navigateur et le site pour lire, modifier et rejouer les requêtes HTTP. Ce sont les plus directement interchangeables.

Burp Suite

Burp Suite, éditée par PortSwigger, intercepte et modifie le trafic web, rejoue des requêtes, scanne les vulnérabilités et sert de base à des extensions. PortSwigger la décrit comme sa panoplie phare pour le pentest web. Community Edition est gratuite et réunit les outils manuels de base ; Burp Suite Professional, payant, ajoute le scanner et des fonctions avancées ; Burp Suite DAST vise le scan dynamique en entreprise. Le prix des éditions payantes n'apparaît pas sur la page officielle.

OWASP ZAP

ZAP, pour Zed Attack Proxy, est un scanner d'applications web libre et open source. Il s'intercale entre le navigateur et le site, propose un mode guidé pour débuter et des options d'automatisation, et s'étend par un marché d'extensions communautaires. Ses auteurs le présentent comme le scanner d'applications web le plus répandu, porté par une large communauté sur GitHub. Porté aujourd'hui par Checkmarx, il reste gratuit, sans édition payante propre.

Caido

Caido est une boîte à outils de hacking web pensée pour l'analyse manuelle, l'automatisation assistée par IA et le travail d'équipe. Son proxy, orienté API, intercepte et manipule le trafic HTTP, avec un filtrage par requêtes et des greffons communautaires ; il se connecte au fournisseur d'IA de votre choix. L'offre Basic est gratuite, avec deux projets et sept flux ; les offres Individual, Team et Enterprise ajoutent projets, greffons et IA sans limite, à des montants non affichés dans la page lue.

Exploitation et injection

Une fois une faille repérée, ces outils mesurent son impact réel en l'exploitant.

Metasploit

Metasploit est un framework d'exploitation né d'une collaboration entre la communauté open source et l'éditeur Rapid7. Il rassemble exploits, charges utiles et modules dans un cadre commun pour vérifier des vulnérabilités, mener des évaluations et renforcer la sensibilisation. Metasploit Framework est open source et gratuit, son code sur GitHub ; Metasploit Pro est l'offre commerciale de Rapid7, avec 30 jours d'essai gratuit et un prix communiqué par l'éditeur.

sqlmap

sqlmap automatise la détection et l'exploitation des injections SQL, jusqu'à la prise de contrôle des bases de données visées. Il met en œuvre cinq techniques d'injection et prend en charge plus de 40 bases, relationnelles comme MySQL, Oracle ou PostgreSQL, ou cloud comme Amazon Redshift et Snowflake. Créé par Bernardo Damele et Miroslav Stampar, il est à double licence : libre et gratuit sous GPLv2, et sous une licence commerciale distincte pour l'intégration dans un produit propriétaire.

Scanner les vulnérabilités à grande échelle

Cette approche couvre un large périmètre en s'appuyant sur des modèles réutilisables.

Nuclei

Nuclei, édité par ProjectDiscovery, est un scanner de vulnérabilités open source qui s'appuie sur une vaste bibliothèque de modèles pour analyser applications, infrastructures cloud et réseaux. La communauté alimente les modèles, et l'éditeur met en avant une détection rapide des failles critiques récentes. Le moteur est open source et gratuit ; une offre cloud existe, avec une formule Free à 0 dollar, une formule Pay as you go à 200 $ par place et par mois, et une formule Enterprise sur devis.

Prix et licences des outils de test d'intrusion

Plusieurs de ces outils sont libres et gratuits, ce qui compte pour un indépendant ou un petit cabinet. Les éditions commerciales apportent surtout le scan automatisé, le support et l'usage en entreprise.

Comment choisir un outil de test d'intrusion

Aucun palmarès ne les sépare : le bon outil dépend de la cible et de la mission. Pour auditer une application web à la main, Burp Suite, OWASP ZAP et Caido jouent le même rôle de proxy d'interception, le premier payant et les deux autres gratuits. Pour exploiter une faille et en mesurer la portée, Metasploit sert de cadre commun, et sqlmap se concentre sur l'injection SQL. Pour couvrir un large périmètre automatiquement, Nuclei s'appuie sur ses modèles. Un pentester combine souvent plusieurs de ces outils, encadré par une autorisation écrite et un périmètre défini, car leur usage sans accord est illégal.