Sur ComeUp, un audit de sécurité coûte de 22 à 876 €, frais de service compris, selon ce qu'on teste. Comptez de 22 à 110 € pour un scan avec rapport, de 276 à 496 € pour l'audit approfondi d'un site vitrine ou d'une boutique, et de 154 à 876 € pour le test d'intrusion d'une application ou d'une API. Pour une petite entreprise (comptes, sauvegardes, mises à jour, pare-feu), un consultant en cybersécurité freelance réalise un mini-audit à distance pour 330,60 €.

Au troisième trimestre 2026, une commande en site et développement a coûté 243 € en moyenne sur ComeUp, selon notre observatoire des prix des freelances. Voici le détail par niveau d'audit, la part des outils automatiques et ce qu'il faut préparer.

Que contient un audit de sécurité ?

L'outil MonServiceSécurisé de l'ANSSI distingue cinq volets : l'architecture, la configuration, le code source, le test d'intrusion et l'organisation de la sécurité. Il précise que les tests de vulnérabilité automatisés « ne représentent pas à eux seuls une activité d'audit » (MonServiceSécurisé).

Pour un site ou une petite entreprise, une offre combine en général tout ou partie de ces briques :

• Le scan de vulnérabilités. Un outil compare les versions de WordPress, des extensions et du serveur aux failles connues, puis vérifie le certificat HTTPS et les en-têtes de sécurité.
• Le test d'intrusion (pentest). Un spécialiste tente d'exploiter les failles, avec votre accord, pour prouver ce qu'un attaquant pourrait faire : lire des données, contourner une connexion, modifier une commande.
• L'audit de configuration. Hébergement, ports ouverts, comptes administrateurs, droits des fichiers, accès à distance.
• Les sauvegardes. Existent-elles hors ligne, et a-t-on déjà testé une restauration ?
• Les personnes. Mots de passe, double authentification, réflexes face à l'hameçonnage.

Le livrable attendu : un rapport qui classe chaque faille par gravité, avec une preuve et la correction à appliquer.

Combien coûte un audit de sécurité selon le périmètre ?

Voici les prix affichés par des freelances sur ComeUp, relevés en octobre 2026, options et frais de service compris.

Ce que contient chaque niveau

Le scan. Chez un développeur WordPress de la plateforme, l'audit à 22,04 € cherche les mots de passe faibles, les codes malveillants et les extensions obsolètes, et contrôle les versions de PHP et de MySQL, en 5 jours.

L'audit approfondi. Chez un freelance de la catégorie Optimisations et sécurité, la formule site vitrine à 275,50 € teste l'injection SQL, les ports sensibles, les accès FTP et SSH, les failles XSS et WordPress, confirme chaque faille par une preuve, puis livre un rapport PDF avec une matrice des risques et un plan de correction. Pour une boutique (495,90 €), il ajoute un test contrôlé de résistance aux attaques par force brute, les cookies de session et un pré-contrôle PCI-DSS indicatif, qui ne remplace pas une certification.

Le test d'intrusion d'une application. Un autre freelance propose 154,28 € pour un premier diagnostic, 220,40 € avec les tests d'authentification, d'autorisation et d'API, 551,00 € pour un pentest approfondi, logique métier comprise. À 876,10 €, un troisième analyse à la main un domaine ou une application selon la méthode OWASP, après avoir signé un accord de confidentialité.

Le mini-audit d'entreprise. Pour 330,60 €, un consultant examine jusqu'à 10 points : exposition sur Internet, comptes à privilèges, mots de passe, double authentification, accès à distance, sauvegardes, mises à jour, antivirus, box et pare-feu. Sans test intrusif, il livre un rapport de 8 à 12 pages avec un plan d'action. L'hameçonnage et les nouveaux tests après correction ne sont pas compris.

Site, boutique ou petite entreprise : quel audit choisir ?

Un site vitrine WordPress. Un scan suffit souvent, à condition d'appliquer ensuite les mises à jour : l'ANSSI demande d'installer les correctifs de sécurité dès leur publication. Chez le développeur WordPress cité plus haut, le passage en HTTPS coûte 27,56 € de plus et une sauvegarde complète 66,12 € de plus.

Une boutique en ligne. Comptes clients, adresses, paiement : prenez un audit approfondi, comme la formule boutique à 495,90 €.

Une application, un SaaS ou une API. Le test d'intrusion devient utile dès que des utilisateurs se connectent et voient des données différentes. Pour une application générée avec Lovable, Bolt ou Cursor, un freelance propose une correction et une sécurisation ciblée à 132,24 €, qui « ne remplace pas un audit de sécurité complet », précise sa fiche.

Une petite entreprise. Le guide de l'ANSSI La cybersécurité pour les TPE/PME en 13 questions sert de liste de contrôle gratuite : trois copies de sauvegarde sur deux supports, dont une hors ligne, des restaurations testées, des mots de passe d'au moins 15 caractères pour les services critiques, la double authentification dès qu'elle est proposée, une sensibilisation régulière des équipes. Le mini-audit à 330,60 € vérifie la plupart de ces points.

Un site déjà piraté. Redirections vers des publicités, administrateur inconnu, alerte de Google : la priorité est le nettoyage. Le rapport « Problèmes de sécurité » de Google Search Console signale le contenu piraté, les logiciels malveillants et l'ingénierie sociale détectés sur votre site. Un administrateur système de la plateforme sauvegarde le site, supprime les fichiers malveillants, met tout à jour et change tous les mots de passe pour 154,28 €, en 2 jours.

Scanner automatique ou consultant : ce que l'outil trouve, ce qu'il rate

Ce que les outils font seuls

ZAP, outil de test d'intrusion gratuit et open source, lance des attaques automatiques contre les failles courantes (sur vos propres applications seulement : un scan actif est une attaque). L'Observatoire HTTP de Mozilla analyse vos en-têtes de sécurité, dont CSP et HSTS. Search Console signale dans son rapport « Problèmes de sécurité » un piratage détecté par Google. Un assistant IA peut ensuite vous expliquer un rapport de scan en français simple, mais il ne voit pas votre serveur et ne peut pas confirmer qu'une faille est exploitable.

Ce qu'ils ratent

Selon la documentation de ZAP, les vulnérabilités logiques, comme un contrôle d'accès défaillant, ne sont trouvées par aucun scan automatisé, et un test d'intrusion manuel doit toujours compléter le scan. Or le contrôle d'accès défaillant arrive en tête du Top 10 2025 de l'OWASP. Exemple : un client connecté qui, en changeant un chiffre dans l'adresse, voit la facture d'un autre client. L'OWASP reconnaît d'ailleurs que ses données se limitent largement à ce que l'on sait tester automatiquement.

Ce que le consultant apporte

Il trie les alertes, confirme chaque faille par une preuve, teste la logique (droits, comptes, paiement) et classe les corrections. Il peut revenir après vos corrections : 214,90 € de plus chez le consultant à 876,10 €.

Ce qui fait varier le prix d'un audit de sécurité

Le périmètre. Chez le freelance de la formule à 275,50 €, la cartographie complète (sous-domaines, interfaces d'administration cachées, préproduction) coûte 165,30 € de plus. Le test des API ajoute 214,90 € chez le consultant à 876,10 €.

La part de travail manuel. Chez un autre freelance de la catégorie, le scan automatisé coûte 110,20 €, et 440,80 € avec un test d'intrusion.

Le suivi. Chez le freelance de la formule à 275,50 €, l'accompagnement en visio pour corriger coûte 165,30 € de plus, et trois nouveaux scans mensuels avec alertes 132,24 € de plus.

Les corrections. Un audit livre un rapport, pas toujours les corrections : l'intervention directe sur le serveur et le code ajoute 275,50 € chez le freelance du scan à 110,20 €.

Pour comparer deux devis ligne à ligne, notre guide du tarif freelance détaille la méthode.

Ce qu'il faut fournir avant de commander

1. Une autorisation écrite. S'introduire sans droit dans un système informatique est puni de trois ans d'emprisonnement et de 100 000 € d'amende (article 323-1 du Code pénal). Les freelances sérieux demandent un contrat ou une autorisation signée du propriétaire avant tout test.
2. Le périmètre exact. Adresse du site, sous-domaines, API, fonctionnalités à tester, exclusions.
3. Des accès limités. Un compte de test créé pour l'audit, avec le minimum de droits, supprimé à la fin. Ne transmettez ni vos mots de passe personnels ni vos clés d'API dans la messagerie.
4. Une sauvegarde récente, avant tout test sur un site en ligne.
5. Un environnement de test, si vous en avez un, pour un test d'intrusion poussé.
6. Un accord de confidentialité, si besoin : le consultant à 876,10 € en signe un avant de commencer.

Comment choisir un consultant en cybersécurité fiable ?

• Demandez un exemple de rapport anonymisé : constats, gravité, preuves, corrections.
• Faites préciser la méthode et les exclusions : scan seul ou tests manuels, hameçonnage, nouveaux tests, corrections.
• Vérifiez les titres affichés. Si une certification compte pour vous, demandez l'attestation et contrôlez-la auprès de l'organisme qui la délivre.
• Pour une exigence de conformité, l'ANSSI qualifie des prestataires d'audit (PASSI), listés depuis MonServiceSécurisé. Aucun des services cités ici ne se présente comme qualifié PASSI. Le guide de l'ANSSI pour les TPE et PME recommande aussi un prestataire labellisé ExpertCyber, via Cybermalveillance.gouv.fr.

Des consultants en sécurité sur ComeUp

Sur ComeUp, les prix et les options sont affichés avant la commande, et le freelance n'est payé qu'après votre validation, comme l'explique notre guide pour commander un service.

• Audit d'un site vitrine ou d'une boutique, de 275,50 à 495,90 €, chez un freelance actif sur ComeUp depuis 2017 (plus de 1 200 avis positifs et 7 négatifs sur l'ensemble de ses services). Ce service d'audit est récent.
• Audit d'un site WordPress à 22,04 €, chez un développeur web qui annonce plus de 15 ans d'expérience (40 avis positifs, aucun négatif sur ce service).
• Mini-audit d'une TPE ou d'une PME à 330,60 €, chez un ingénieur systèmes et réseaux. Service récent, sans avis à ce jour.

Audit de sécurité d'un site vitrine à 275,50 € chez un freelance de la catégorie, frais de service compris Voir les freelances en optimisations et sécurité

Voyez aussi les catégories Analyse et reporting et Mise à jour, et notre article sur l'audit UX d'un site e-commerce.

FAQ

Combien coûte un audit de sécurité de site web ?

Sur ComeUp, de 22 à 110 € pour un scan avec rapport, de 276 à 496 € pour l'audit approfondi d'un site vitrine ou d'une boutique, frais de service compris. Comptez de 2 à 8 jours.

Combien coûte un test d'intrusion (pentest) ?

De 154 à 876 € : 154,28 € pour un premier diagnostic, 220,40 € pour une application web, 876,10 € pour une analyse manuelle selon la méthode OWASP, sous accord de confidentialité. Un nouveau test après vos corrections coûte 214,90 € de plus chez ce dernier consultant.

Combien coûte un audit de cybersécurité pour une PME ?

330,60 € pour un mini-audit à distance, jusqu'à 10 points de contrôle (comptes, double authentification, sauvegardes, mises à jour, pare-feu), livré en 2 jours. Les tests d'intrusion et l'hameçonnage n'y sont pas compris.

Un scanner gratuit suffit-il ?

Pour repérer une extension obsolète ou un en-tête manquant, oui. Pour une faille de logique, comme un client qui accède aux données d'un autre, non : selon la documentation de ZAP, aucun scan automatisé ne la trouve.

Comment choisir un consultant en sécurité fiable pour évaluer mon système ?

Demandez un exemple de rapport, la méthode et les exclusions, puis signez une autorisation de test. Pour une exigence réglementaire ou contractuelle, passez par un prestataire qualifié PASSI par l'ANSSI.

À quelle fréquence faire un audit de sécurité ?

Après chaque changement important : nouveau site, paiement en ligne, migration, nouvelle application. Entre deux audits, appliquez les mises à jour dès leur publication et mettez à jour l'inventaire de votre parc au moins une fois par an, comme le recommande l'ANSSI.