[{"data":1,"prerenderedAt":479},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"post-\u002Fblogue\u002Ftest-intrusion-prix-quebec":45,"post-alt-\u002Fblogue\u002Ftest-intrusion-prix-quebec":459,"post-rel-\u002Fblogue\u002Ftest-intrusion-prix-quebec":461},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"category":416,"date":417,"description":418,"extension":419,"faq":420,"keyword":430,"meta":431,"minutes":27,"navigation":282,"path":432,"rawbody":433,"seo":434,"sources":435,"stem":451,"tags":452,"translationKey":456,"updated":457,"__hash__":458},"blog_fr\u002Fblogue\u002Ftest-intrusion-prix-quebec.md","Test d'intrusion : c'est quoi et combien ça coûte au Québec ?",{"type":49,"value":50,"toc":407},"minimark",[51,55,58,61,82,87,90,93,114,121,125,128,195,209,213,216,249,252,256,260,268,271,335,338,342,345,351,357,363,366,370,373,398,405],[52,53,54],"p",{},"Un distributeur alimentaire de Saint-Hyacinthe demande deux soumissions pour un « test d'intrusion ». La première est cinq fois moins chère que la seconde. Même mot, même entreprise, deux produits complètement différents.",[52,56,57],{},"C'est le problème du marché : le terme « test d'intrusion » (ou « pentest ») recouvre tout, du scan automatisé lancé en une heure jusqu'à plusieurs semaines de travail manuel par des spécialistes. Difficile, pour une dirigeante de PME, de savoir ce qu'elle achète.",[52,59,60],{},"Cet article vous explique ce qu'est vraiment un test d'intrusion, ce que coûtent les principaux types de tests au Canada et comment comparer les soumissions sans vous faire avoir.",[62,63,66],"callout",{"title":64,"type":65},"En bref","tip",[67,68,69,73,76,79],"ul",{},[70,71,72],"li",{},"Un test d'intrusion simule une vraie attaque, avec votre autorisation écrite, pour prouver ce qu'un pirate pourrait réellement faire.",[70,74,75],{},"Au Canada, les fournisseurs publient des fourchettes très larges, de quelques milliers à plusieurs dizaines de milliers de dollars selon la portée; un petit test externe se situe dans le bas de l'échelle.",[70,77,78],{},"La portée, la part de travail manuel et l'inclusion du retest expliquent l'essentiel des écarts de prix.",[70,80,81],{},"Exigez une portée écrite, une méthodologie nommée et un exemple de rapport avant de signer.",[83,84,86],"h2",{"id":85},"un-test-dintrusion-concrètement","Un test d'intrusion, concrètement",[52,88,89],{},"Un test d'intrusion est une attaque simulée, menée par des spécialistes, contre vos systèmes. L'objectif n'est pas seulement de dresser une liste de failles, mais de démontrer leur impact : « avec ce mot de passe faible, nous avons lu les courriels de la comptabilité », par exemple.",[52,91,92],{},"Trois approches existent :",[67,94,95,102,108],{},[70,96,97,101],{},[98,99,100],"strong",{},"Boîte noire"," : le testeur part de zéro, comme un attaquant externe.",[70,103,104,107],{},[98,105,106],{},"Boîte grise"," : il reçoit un compte utilisateur ordinaire, comme un employé ou un client. C'est souvent le meilleur rapport qualité-prix.",[70,109,110,113],{},[98,111,112],{},"Boîte blanche"," : il a accès à la documentation, voire au code source.",[52,115,116,117,120],{},"Un point non négociable : un test d'intrusion exige une ",[98,118,119],{},"autorisation écrite"," du propriétaire des systèmes. Sans elle, l'activité peut constituer une utilisation non autorisée d'ordinateur au sens de l'article 342.1 du Code criminel. Si votre site est hébergé chez un tiers, vérifiez aussi ses conditions : certains fournisseurs encadrent les tests sur leur infrastructure.",[83,122,124],{"id":123},"les-principaux-types-de-tests-et-leurs-prix","Les principaux types de tests et leurs prix",[52,126,127],{},"Les fournisseurs canadiens publient des fourchettes très larges, de quelques milliers à plusieurs dizaines de milliers de dollars selon la portée (par exemple, Packetlabs, août 2026 : environ 5 000 $ à 45 000 $, des chiffres qu'il qualifie lui-même d'« illustratifs »). Ce ne sont ni des moyennes du marché ni des tarifs fixes : le tableau situe chaque type de test sur cette échelle, pour vous aider à lire une soumission.",[129,130,131,147],"table",{},[132,133,134],"thead",{},[135,136,137,141,144],"tr",{},[138,139,140],"th",{},"Type de test",[138,142,143],{},"Ce qu'on teste",[138,145,146],{},"Ordre de grandeur",[148,149,150,162,173,184],"tbody",{},[135,151,152,156,159],{},[153,154,155],"td",{},"Petit test externe",[153,157,158],{},"Ce qui est exposé à Internet : pare-feu, VPN, courriel, site",[153,160,161],{},"Bas de l'échelle",[135,163,164,167,170],{},[153,165,166],{},"Application web",[153,168,169],{},"Portail client, boutique en ligne, extranet",[153,171,172],{},"Variable : nombre de rôles et de fonctionnalités",[135,174,175,178,181],{},[153,176,177],{},"Réseau (externe et interne)",[153,179,180],{},"Postes, serveurs, Active Directory, segmentation",[153,182,183],{},"Variable : nombre de postes, de serveurs et de sites",[135,185,186,189,192],{},[153,187,188],{},"Mandat étendu",[153,190,191],{},"Plusieurs applications, sites, infonuagique, ingénierie sociale",[153,193,194],{},"Haut de l'échelle, parfois au-delà",[52,196,197,198,203,204,208],{},"Le test externe et le test interne répondent à deux questions différentes : « peut-on entrer ? » et « que peut faire quelqu'un qui est déjà entré ? ». Nous les comparons en détail dans notre article sur le ",[199,200,202],"a",{"href":201},"\u002Fblogue\u002Ftest-intrusion-externe-vs-interne","test d'intrusion externe vs interne",". Pour les applications, voyez notre guide du ",[199,205,207],{"href":206},"\u002Fblogue\u002Ftest-intrusion-application-web-owasp-top-10","test d'intrusion web et de l'OWASP Top 10",".",[83,210,212],{"id":211},"ce-qui-fait-varier-le-prix","Ce qui fait varier le prix",[52,214,215],{},"Cinq facteurs expliquent l'essentiel des écarts :",[217,218,219,225,231,237,243],"ol",{},[70,220,221,224],{},[98,222,223],{},"La taille du périmètre."," Le nombre d'adresses IP, d'applications, de rôles utilisateur (client, employé, administrateur) et de sites physiques.",[70,226,227,230],{},[98,228,229],{},"La part de travail manuel."," Les outils automatisés trouvent les failles connues; un humain trouve les failles de logique, comme un client qui accède aux factures d'un autre client en changeant un chiffre dans l'URL.",[70,232,233,236],{},[98,234,235],{},"Les contraintes opérationnelles."," Tester la nuit ou la fin de semaine pour ne pas nuire à la production coûte plus cher.",[70,238,239,242],{},[98,240,241],{},"Le retest."," Vérifier que vos corrections fonctionnent est souvent facturé à part. Demandez-le explicitement.",[70,244,245,248],{},[98,246,247],{},"Le rapport."," Un rapport utile comprend un sommaire pour la direction, des preuves reproductibles et des recommandations concrètes.",[52,250,251],{},"Gardez en tête qu'un test d'intrusion est une photo à un moment précis. Il montre ce qu'un attaquant compétent pourrait faire pendant une période donnée, dans la portée que vous avez approuvée. Il ne détectera pas la faille publiée le mois prochain ni l'erreur de configuration introduite par votre prochaine mise à jour. C'est pourquoi le test s'inscrit dans une routine plus large : correctifs, surveillance et scans réguliers. Une soumission basse n'est pas forcément mauvais signe, mais elle doit s'accompagner d'une portée plus petite et clairement définie, pas de la même promesse pour moins de travail.",[253,254],"cta",{"variant":255},"devis",[83,257,259],{"id":258},"comparer-les-soumissions-sans-vous-faire-avoir","Comparer les soumissions sans vous faire avoir",[52,261,262,263,267],{},"L'écart de prix du distributeur de Saint-Hyacinthe s'explique souvent ainsi : la soumission la moins chère est un scan de vulnérabilités automatisé présenté comme un test d'intrusion. Le scan a sa place (nous expliquons pourquoi dans notre article sur les ",[199,264,266],{"href":265},"\u002Fblogue\u002Faudit-pentest-scan-vulnerabilites-differences","différences entre audit, pentest et scan","), mais ce n'est pas le même produit.",[52,269,270],{},"Avant de signer, vérifiez que la soumission répond à ces points :",[67,272,275,286,293,300,307,314,321,328],{"className":273},[274],"contains-task-list",[70,276,279,285],{"className":277},[278],"task-list-item",[280,281],"input",{"disabled":282,"type":283,"aria-label":284},true,"checkbox","La portée est écrite précisément : adresses IP, URL, rôles testés, exclusions"," La portée est écrite précisément : adresses IP, URL, rôles testés, exclusions",[70,287,289,292],{"className":288},[278],[280,290],{"disabled":282,"type":283,"aria-label":291},"La méthodologie est nommée (par exemple OWASP, PTES ou NIST SP 800-115)"," La méthodologie est nommée (par exemple OWASP, PTES ou NIST SP 800-115)",[70,294,296,299],{"className":295},[278],[280,297],{"disabled":282,"type":283,"aria-label":298},"La part de tests manuels est explicite, avec un nombre de jours-personnes"," La part de tests manuels est explicite, avec un nombre de jours-personnes",[70,301,303,306],{"className":302},[278],[280,304],{"disabled":282,"type":283,"aria-label":305},"Le retest est inclus, ou son prix est indiqué"," Le retest est inclus, ou son prix est indiqué",[70,308,310,313],{"className":309},[278],[280,311],{"disabled":282,"type":283,"aria-label":312},"Un exemple de rapport caviardé vous est fourni"," Un exemple de rapport caviardé vous est fourni",[70,315,317,320],{"className":316},[278],[280,318],{"disabled":282,"type":283,"aria-label":319},"L'autorisation écrite et les règles d'engagement (horaires, contact d'urgence) sont prévues"," L'autorisation écrite et les règles d'engagement (horaires, contact d'urgence) sont prévues",[70,322,324,327],{"className":323},[278],[280,325],{"disabled":282,"type":283,"aria-label":326},"Les personnes qui feront le test sont identifiées"," Les personnes qui feront le test sont identifiées",[70,329,331,334],{"className":330},[278],[280,332],{"disabled":282,"type":283,"aria-label":333},"Le fournisseur détient une assurance responsabilité professionnelle"," Le fournisseur détient une assurance responsabilité professionnelle",[52,336,337],{},"Un fournisseur qui refuse de préciser la portée ou de montrer un exemple de rapport mérite une question supplémentaire.",[83,339,341],{"id":340},"quel-budget-prévoir-pour-une-pme","Quel budget prévoir pour une PME ?",[52,343,344],{},"Le bon test dépend de votre exposition, pas de votre chiffre d'affaires. Deux exemples fictifs, mais typiques :",[52,346,347,350],{},[98,348,349],{},"Un cabinet d'architectes de Québec, 15 employés."," Tout est dans Microsoft 365, aucun serveur interne, un site vitrine. Un petit test externe, combiné à une revue de la configuration Microsoft 365, couvre l'essentiel. On reste dans le bas des fourchettes.",[52,352,353,356],{},[98,354,355],{},"Un manufacturier de la Beauce, 80 employés."," Un portail Web où les clients commandent et suivent leurs livraisons, un réseau d'usine avec des automates. Ici, un test d'application web (en boîte grise, avec un compte client) et un test interne sont justifiés. Le budget se situe plutôt au milieu des fourchettes, voire plus haut selon le nombre de fonctionnalités du portail.",[52,358,359,362],{},[98,360,361],{},"Le bon moment compte aussi."," Planifiez le test avant la mise en ligne d'une nouvelle application, pas trois mois après. Évitez vos périodes de pointe (la fin d'année financière pour un cabinet comptable, le temps des Fêtes pour un détaillant) : vos équipes devront répondre aux questions des testeurs et corriger rapidement les failles critiques. Et si le renouvellement de votre assurance cyber approche, un rapport récent vous aidera à remplir le questionnaire de l'assureur avec des faits plutôt que des suppositions.",[52,364,365],{},"Pour situer ce budget, des données de l'industrie citées par Insurance Business Canada (octobre 2025) évaluent le coût moyen d'une attaque par rançongiciel à 330 000 $ et celui d'une fuite de données à 220 000 $. Un test d'intrusion qui évite un seul de ces incidents est largement rentabilisé.",[83,367,369],{"id":368},"après-le-test-rapport-corrections-et-retest","Après le test : rapport, corrections et retest",[52,371,372],{},"Le test ne vaut que par ce que vous en faites. Prévoyez :",[67,374,375,386,392],{},[70,376,377,380,381,385],{},[98,378,379],{},"Une présentation du rapport"," par les testeurs, pour poser vos questions. Notre guide pour ",[199,382,384],{"href":383},"\u002Fblogue\u002Flire-rapport-test-intrusion","lire un rapport de test d'intrusion"," vous aide à vous y retrouver.",[70,387,388,391],{},[98,389,390],{},"Un plan de correction"," priorisé, avec un responsable et une date par faille critique ou élevée.",[70,393,394,397],{},[98,395,396],{},"Un retest"," quelques semaines plus tard pour confirmer que les corrections tiennent.",[52,399,400,401,404],{},"Notre équipe réalise des ",[199,402,403],{"href":9},"tests d'intrusion"," pour les PME québécoises, avec une portée écrite, une autorisation en bonne et due forme et un retest prévu dès la soumission.",[253,406],{"variant":255},{"title":408,"searchDepth":11,"depth":15,"links":409},"",[410,411,412,413,414,415],{"id":85,"depth":11,"text":86},{"id":123,"depth":11,"text":124},{"id":211,"depth":11,"text":212},{"id":258,"depth":11,"text":259},{"id":340,"depth":11,"text":341},{"id":368,"depth":11,"text":369},"audit","2026-10-24","Test d'intrusion : définition simple, types de tests, fourchettes de prix au Canada et pièges à éviter pour comparer les soumissions reçues par votre PME.","md",[421,424,427],{"q":422,"a":423},"Combien de temps dure un test d'intrusion ?","Cela dépend de la portée : quelques jours de tests pour un petit périmètre externe, jusqu'à plusieurs semaines pour un environnement complexe avec plusieurs applications. Il faut ajouter le temps de rédaction du rapport. Pour une PME, prévoir quelques semaines entre la signature et la remise du rapport est réaliste.",{"q":425,"a":426},"Un test d'intrusion peut-il faire planter nos systèmes ?","Le risque est faible, mais pas nul. Un testeur sérieux évite les techniques destructrices, convient avec vous des plages horaires et des systèmes fragiles à ménager, et garde un contact d'urgence ouvert pendant toute la durée du test. Assurez-vous d'avoir des sauvegardes récentes avant de commencer.",{"q":428,"a":429},"À quelle fréquence faut-il faire un test d'intrusion ?","Au moins une fois par année pour les systèmes exposés à Internet, et après tout changement important : nouvelle application, refonte du site transactionnel, migration infonuagique ou fusion. Entre deux tests, des scans de vulnérabilités réguliers permettent de repérer les nouvelles failles connues.","test d'intrusion prix",{},"\u002Fblogue\u002Ftest-intrusion-prix-quebec","---\ntitle: \"Test d'intrusion : c'est quoi et combien ça coûte au Québec ?\"\ndescription: \"Test d'intrusion : définition simple, types de tests, fourchettes de prix au Canada et pièges à éviter pour comparer les soumissions reçues par votre PME.\"\ndate: 2026-10-24\ncategory: audit\ntags: [\"pentest\", \"prix\", \"pme\"]\ntranslationKey: pentest-cout\nkeyword: \"test d'intrusion prix\"\nfaq:\n  - q: \"Combien de temps dure un test d'intrusion ?\"\n    a: \"Cela dépend de la portée : quelques jours de tests pour un petit périmètre externe, jusqu'à plusieurs semaines pour un environnement complexe avec plusieurs applications. Il faut ajouter le temps de rédaction du rapport. Pour une PME, prévoir quelques semaines entre la signature et la remise du rapport est réaliste.\"\n  - q: \"Un test d'intrusion peut-il faire planter nos systèmes ?\"\n    a: \"Le risque est faible, mais pas nul. Un testeur sérieux évite les techniques destructrices, convient avec vous des plages horaires et des systèmes fragiles à ménager, et garde un contact d'urgence ouvert pendant toute la durée du test. Assurez-vous d'avoir des sauvegardes récentes avant de commencer.\"\n  - q: \"À quelle fréquence faut-il faire un test d'intrusion ?\"\n    a: \"Au moins une fois par année pour les systèmes exposés à Internet, et après tout changement important : nouvelle application, refonte du site transactionnel, migration infonuagique ou fusion. Entre deux tests, des scans de vulnérabilités réguliers permettent de repérer les nouvelles failles connues.\"\nsources:\n  - title: \"Packetlabs : coût moyen d'un test d'intrusion au Canada (août 2026)\"\n    url: \"https:\u002F\u002Fwww.packetlabs.net\u002Fposts\u002Fguide-to-the-average-cost-of-a-pentest-in-canada\u002F\"\n  - title: \"Stingrai : coût moyen d'un pentest au Canada en 2026\"\n    url: \"https:\u002F\u002Fwww.stingrai.io\u002Fblog\u002Faverage-cost-of-pentest-canada-2026\"\n  - title: \"Code criminel, art. 342.1 : utilisation non autorisée d'ordinateur\"\n    url: \"https:\u002F\u002Flaws-lois.justice.gc.ca\u002Ffra\u002Flois\u002Fc-46\u002Fsection-342.1.html\"\n  - title: \"NIST SP 800-115 : Technical Guide to Information Security Testing and Assessment\"\n    url: \"https:\u002F\u002Fcsrc.nist.gov\u002Fpubs\u002Fsp\u002F800\u002F115\u002Ffinal\"\n  - title: \"Insurance Business Canada : AI-powered attacks push cyber risks higher for Canada's SMEs (oct. 2025)\"\n    url: \"https:\u002F\u002Fwww.insurancebusinessmag.com\u002Fca\u002Fnews\u002Fcyber\u002Faipowered-attacks-push-cyber-risks-higher-for-canadas-smes-zensurance-551828.aspx\"\n---\n\nUn distributeur alimentaire de Saint-Hyacinthe demande deux soumissions pour un « test d'intrusion ». La première est cinq fois moins chère que la seconde. Même mot, même entreprise, deux produits complètement différents.\n\nC'est le problème du marché : le terme « test d'intrusion » (ou « pentest ») recouvre tout, du scan automatisé lancé en une heure jusqu'à plusieurs semaines de travail manuel par des spécialistes. Difficile, pour une dirigeante de PME, de savoir ce qu'elle achète.\n\nCet article vous explique ce qu'est vraiment un test d'intrusion, ce que coûtent les principaux types de tests au Canada et comment comparer les soumissions sans vous faire avoir.\n\n::callout{type=\"tip\" title=\"En bref\"}\n- Un test d'intrusion simule une vraie attaque, avec votre autorisation écrite, pour prouver ce qu'un pirate pourrait réellement faire.\n- Au Canada, les fournisseurs publient des fourchettes très larges, de quelques milliers à plusieurs dizaines de milliers de dollars selon la portée; un petit test externe se situe dans le bas de l'échelle.\n- La portée, la part de travail manuel et l'inclusion du retest expliquent l'essentiel des écarts de prix.\n- Exigez une portée écrite, une méthodologie nommée et un exemple de rapport avant de signer.\n::\n\n## Un test d'intrusion, concrètement\n\nUn test d'intrusion est une attaque simulée, menée par des spécialistes, contre vos systèmes. L'objectif n'est pas seulement de dresser une liste de failles, mais de démontrer leur impact : « avec ce mot de passe faible, nous avons lu les courriels de la comptabilité », par exemple.\n\nTrois approches existent :\n\n- **Boîte noire** : le testeur part de zéro, comme un attaquant externe.\n- **Boîte grise** : il reçoit un compte utilisateur ordinaire, comme un employé ou un client. C'est souvent le meilleur rapport qualité-prix.\n- **Boîte blanche** : il a accès à la documentation, voire au code source.\n\nUn point non négociable : un test d'intrusion exige une **autorisation écrite** du propriétaire des systèmes. Sans elle, l'activité peut constituer une utilisation non autorisée d'ordinateur au sens de l'article 342.1 du Code criminel. Si votre site est hébergé chez un tiers, vérifiez aussi ses conditions : certains fournisseurs encadrent les tests sur leur infrastructure.\n\n## Les principaux types de tests et leurs prix\n\nLes fournisseurs canadiens publient des fourchettes très larges, de quelques milliers à plusieurs dizaines de milliers de dollars selon la portée (par exemple, Packetlabs, août 2026 : environ 5 000 $ à 45 000 $, des chiffres qu'il qualifie lui-même d'« illustratifs »). Ce ne sont ni des moyennes du marché ni des tarifs fixes : le tableau situe chaque type de test sur cette échelle, pour vous aider à lire une soumission.\n\n| Type de test | Ce qu'on teste | Ordre de grandeur |\n|---|---|---|\n| Petit test externe | Ce qui est exposé à Internet : pare-feu, VPN, courriel, site | Bas de l'échelle |\n| Application web | Portail client, boutique en ligne, extranet | Variable : nombre de rôles et de fonctionnalités |\n| Réseau (externe et interne) | Postes, serveurs, Active Directory, segmentation | Variable : nombre de postes, de serveurs et de sites |\n| Mandat étendu | Plusieurs applications, sites, infonuagique, ingénierie sociale | Haut de l'échelle, parfois au-delà |\n\nLe test externe et le test interne répondent à deux questions différentes : « peut-on entrer ? » et « que peut faire quelqu'un qui est déjà entré ? ». Nous les comparons en détail dans notre article sur le [test d'intrusion externe vs interne](\u002Fblogue\u002Ftest-intrusion-externe-vs-interne). Pour les applications, voyez notre guide du [test d'intrusion web et de l'OWASP Top 10](\u002Fblogue\u002Ftest-intrusion-application-web-owasp-top-10).\n\n## Ce qui fait varier le prix\n\nCinq facteurs expliquent l'essentiel des écarts :\n\n1. **La taille du périmètre.** Le nombre d'adresses IP, d'applications, de rôles utilisateur (client, employé, administrateur) et de sites physiques.\n2. **La part de travail manuel.** Les outils automatisés trouvent les failles connues; un humain trouve les failles de logique, comme un client qui accède aux factures d'un autre client en changeant un chiffre dans l'URL.\n3. **Les contraintes opérationnelles.** Tester la nuit ou la fin de semaine pour ne pas nuire à la production coûte plus cher.\n4. **Le retest.** Vérifier que vos corrections fonctionnent est souvent facturé à part. Demandez-le explicitement.\n5. **Le rapport.** Un rapport utile comprend un sommaire pour la direction, des preuves reproductibles et des recommandations concrètes.\n\nGardez en tête qu'un test d'intrusion est une photo à un moment précis. Il montre ce qu'un attaquant compétent pourrait faire pendant une période donnée, dans la portée que vous avez approuvée. Il ne détectera pas la faille publiée le mois prochain ni l'erreur de configuration introduite par votre prochaine mise à jour. C'est pourquoi le test s'inscrit dans une routine plus large : correctifs, surveillance et scans réguliers. Une soumission basse n'est pas forcément mauvais signe, mais elle doit s'accompagner d'une portée plus petite et clairement définie, pas de la même promesse pour moins de travail.\n\n::cta{variant=\"devis\"}\n::\n\n## Comparer les soumissions sans vous faire avoir\n\nL'écart de prix du distributeur de Saint-Hyacinthe s'explique souvent ainsi : la soumission la moins chère est un scan de vulnérabilités automatisé présenté comme un test d'intrusion. Le scan a sa place (nous expliquons pourquoi dans notre article sur les [différences entre audit, pentest et scan](\u002Fblogue\u002Faudit-pentest-scan-vulnerabilites-differences)), mais ce n'est pas le même produit.\n\nAvant de signer, vérifiez que la soumission répond à ces points :\n\n- [ ] La portée est écrite précisément : adresses IP, URL, rôles testés, exclusions\n- [ ] La méthodologie est nommée (par exemple OWASP, PTES ou NIST SP 800-115)\n- [ ] La part de tests manuels est explicite, avec un nombre de jours-personnes\n- [ ] Le retest est inclus, ou son prix est indiqué\n- [ ] Un exemple de rapport caviardé vous est fourni\n- [ ] L'autorisation écrite et les règles d'engagement (horaires, contact d'urgence) sont prévues\n- [ ] Les personnes qui feront le test sont identifiées\n- [ ] Le fournisseur détient une assurance responsabilité professionnelle\n\nUn fournisseur qui refuse de préciser la portée ou de montrer un exemple de rapport mérite une question supplémentaire.\n\n## Quel budget prévoir pour une PME ?\n\nLe bon test dépend de votre exposition, pas de votre chiffre d'affaires. Deux exemples fictifs, mais typiques :\n\n**Un cabinet d'architectes de Québec, 15 employés.** Tout est dans Microsoft 365, aucun serveur interne, un site vitrine. Un petit test externe, combiné à une revue de la configuration Microsoft 365, couvre l'essentiel. On reste dans le bas des fourchettes.\n\n**Un manufacturier de la Beauce, 80 employés.** Un portail Web où les clients commandent et suivent leurs livraisons, un réseau d'usine avec des automates. Ici, un test d'application web (en boîte grise, avec un compte client) et un test interne sont justifiés. Le budget se situe plutôt au milieu des fourchettes, voire plus haut selon le nombre de fonctionnalités du portail.\n\n**Le bon moment compte aussi.** Planifiez le test avant la mise en ligne d'une nouvelle application, pas trois mois après. Évitez vos périodes de pointe (la fin d'année financière pour un cabinet comptable, le temps des Fêtes pour un détaillant) : vos équipes devront répondre aux questions des testeurs et corriger rapidement les failles critiques. Et si le renouvellement de votre assurance cyber approche, un rapport récent vous aidera à remplir le questionnaire de l'assureur avec des faits plutôt que des suppositions.\n\nPour situer ce budget, des données de l'industrie citées par Insurance Business Canada (octobre 2025) évaluent le coût moyen d'une attaque par rançongiciel à 330 000 $ et celui d'une fuite de données à 220 000 $. Un test d'intrusion qui évite un seul de ces incidents est largement rentabilisé.\n\n## Après le test : rapport, corrections et retest\n\nLe test ne vaut que par ce que vous en faites. Prévoyez :\n\n- **Une présentation du rapport** par les testeurs, pour poser vos questions. Notre guide pour [lire un rapport de test d'intrusion](\u002Fblogue\u002Flire-rapport-test-intrusion) vous aide à vous y retrouver.\n- **Un plan de correction** priorisé, avec un responsable et une date par faille critique ou élevée.\n- **Un retest** quelques semaines plus tard pour confirmer que les corrections tiennent.\n\nNotre équipe réalise des [tests d'intrusion](\u002Fservices\u002Ftest-intrusion) pour les PME québécoises, avec une portée écrite, une autorisation en bonne et due forme et un retest prévu dès la soumission.\n\n::cta{variant=\"devis\"}\n::\n",{"title":47,"description":418},[436,439,442,445,448],{"title":437,"url":438},"Packetlabs : coût moyen d'un test d'intrusion au Canada (août 2026)","https:\u002F\u002Fwww.packetlabs.net\u002Fposts\u002Fguide-to-the-average-cost-of-a-pentest-in-canada\u002F",{"title":440,"url":441},"Stingrai : coût moyen d'un pentest au Canada en 2026","https:\u002F\u002Fwww.stingrai.io\u002Fblog\u002Faverage-cost-of-pentest-canada-2026",{"title":443,"url":444},"Code criminel, art. 342.1 : utilisation non autorisée d'ordinateur","https:\u002F\u002Flaws-lois.justice.gc.ca\u002Ffra\u002Flois\u002Fc-46\u002Fsection-342.1.html",{"title":446,"url":447},"NIST SP 800-115 : Technical Guide to Information Security Testing and Assessment","https:\u002F\u002Fcsrc.nist.gov\u002Fpubs\u002Fsp\u002F800\u002F115\u002Ffinal",{"title":449,"url":450},"Insurance Business Canada : AI-powered attacks push cyber risks higher for Canada's SMEs (oct. 2025)","https:\u002F\u002Fwww.insurancebusinessmag.com\u002Fca\u002Fnews\u002Fcyber\u002Faipowered-attacks-push-cyber-risks-higher-for-canadas-smes-zensurance-551828.aspx","blogue\u002Ftest-intrusion-prix-quebec",[453,454,455],"pentest","prix","pme","pentest-cout",null,"qMO94y6gypWGvMiizkaNSpg1rWhzHhDuiDkyow2zyKU",{"path":460},"\u002Fen\u002Fblog\u002Fpenetration-testing-cost-quebec",[462,467,473],{"path":265,"title":463,"description":464,"category":416,"minutes":27,"tags":465},"Audit vs pentest vs scan de vulnérabilités : lequel choisir ?","Audit, test d'intrusion ou scan de vulnérabilités ? Les vraies différences, ce que chacun livre et l'ordre logique pour une PME québécoise qui veut investir.",[416,453,466,455],"vulnérabilités",{"path":206,"title":468,"description":469,"category":416,"minutes":27,"tags":470},"Test d'intrusion d'application web et OWASP Top 10 (2025)","Test d'intrusion d'application web : l'OWASP Top 10 2025 expliqué simplement, le déroulement du test et comment préparer votre portail ou boutique en ligne.",[453,471,472,455],"owasp","application web",{"path":201,"title":474,"description":475,"category":416,"minutes":27,"tags":476},"Test d'intrusion externe vs interne : lequel choisir ?","Test d'intrusion externe vs interne : ce que chacun révèle, son coût et par lequel commencer selon votre PME. Exemples concrets et checklist de préparation.",[453,477,478,455],"reseau","active-directory",1792970122365]