[{"data":1,"prerenderedAt":417},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"cmp-\u002Fcomparatifs\u002Fpentest-vs-scan-vs-bug-bounty":45,"cmp-alt-\u002Fcomparatifs\u002Fpentest-vs-scan-vs-bug-bounty":402,"cmp-others-\u002Fcomparatifs\u002Fpentest-vs-scan-vs-bug-bounty":404},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"criteria":219,"date":285,"description":286,"extension":287,"faq":288,"keyword":301,"meta":302,"navigation":303,"options":304,"path":360,"rawbody":361,"seo":362,"sources":363,"stem":387,"translationKey":388,"updated":389,"verdict":390,"verified":400,"__hash__":401},"comparisons_fr\u002Fcomparatifs\u002Fpentest-vs-scan-vs-bug-bounty.md","Test d'intrusion, scan, bug bounty ou red team : que choisir ?",{"type":49,"value":50,"toc":212},"minimark",[51,55,64,85,90,98,104,110,117,121,124,130,141,147,153,157,164,172,176,202,208],[52,53,54],"p",{},"Votre assureur demande si vous faites des « scans ». Un client exige un « test de sécurité ». Un consultant vous parle de bug bounty, un autre de red team. Les quatre termes se ressemblent, mais ils ne répondent pas à la même question et n'ont pas du tout le même prix.",[52,56,57,58,63],{},"Pour la différence avec l'audit de cybersécurité, voyez notre article ",[59,60,62],"a",{"href":61},"\u002Fblogue\u002Faudit-pentest-scan-vulnerabilites-differences","audit, pentest ou scan de vulnérabilités",". Ici, nous comparons les quatre façons de chercher activement des failles dans vos systèmes.",[65,66,69],"callout",{"title":67,"type":68},"Notre méthode","info",[70,71,72,76,79,82],"ul",{},[73,74,75],"li",{},"Nous comparons des approches, pas des fournisseurs. Les définitions et recommandations proviennent du NIST, du NCSC britannique, de l'OWASP et du texte de PCI DSS 4.0.1, consultés en octobre 2026.",[73,77,78],{},"Critères retenus : question à laquelle chaque approche répond, profondeur, fréquence, portée, faux positifs, détection, exigences PCI DSS, cadre légal, coût et maturité requise.",[73,80,81],{},"Les prix sont des fourchettes de marché indicatives publiées par des fournisseurs, pas nos tarifs.",[73,83,84],{},"Ce comparatif n'est pas commandité.",[86,87,89],"h2",{"id":88},"quatre-approches-quatre-questions","Quatre approches, quatre questions",[52,91,92,93,97],{},"Le ",[94,95,96],"strong",{},"scan de vulnérabilités"," est un outil automatisé. Il interroge vos systèmes, compare ce qu'il trouve à une base de failles connues et produit une liste. Il ne tente pas d'entrer.",[52,99,92,100,103],{},[94,101,102],{},"test d'intrusion"," va plus loin. Le NCSC britannique le définit comme une façon d'obtenir l'assurance qu'un système est sécuritaire en tentant d'en percer les défenses, avec les outils et les techniques qu'un adversaire pourrait employer. Le NCSC ajoute une nuance importante : le test ne devrait pas être votre principale façon de trouver des failles, mais plutôt une vérification de votre gestion des vulnérabilités, un peu comme l'audit externe vérifie le travail de l'équipe comptable.",[52,105,92,106,109],{},[94,107,108],{},"bug bounty"," invite des chercheurs externes à signaler des failles contre une récompense, généralement en argent, souvent par l'intermédiaire d'une plateforme spécialisée.",[52,111,112,113,116],{},"L'",[94,114,115],{},"exercice red team"," simule une attaque réaliste contre les activités de l'organisation pour évaluer l'ensemble de ses capacités de sécurité, selon la définition du NIST. On ne cherche pas toutes les failles : on vérifie si une attaque ciblée passerait inaperçue.",[86,118,120],{"id":119},"lordre-logique-pour-une-pme","L'ordre logique pour une PME",[52,122,123],{},"Ces approches s'empilent plutôt qu'elles ne se remplacent.",[52,125,126,129],{},[94,127,128],{},"D'abord, le scan."," C'est l'hygiène de base. PCI DSS 4.0.1, par exemple, exige des scans internes et externes au moins tous les trois mois, les scans externes étant faits par un fournisseur approuvé (ASV). Un scan mensuel suivi de correctifs règle déjà une grande partie des problèmes.",[52,131,132,135,136,140],{},[94,133,134],{},"Ensuite, le test d'intrusion."," Il confirme ce qu'un attaquant peut réellement faire. Le NCSC rappelle qu'un test ne valide l'absence de failles connues qu'au jour du test, et qu'il s'écoule souvent un an ou plus entre deux tests : d'où l'importance des scans entre les deux. PCI DSS exige des tests interne et externe au moins tous les 12 mois et après tout changement important. Le ",[59,137,139],{"href":138},"\u002Fblogue\u002Ftest-intrusion-prix-quebec","prix d'un test d'intrusion au Québec"," dépend surtout de la portée.",[52,142,143,146],{},[94,144,145],{},"Puis, éventuellement, le bug bounty."," L'OWASP est franc sur ses limites : beaucoup de signalements sans valeur ou de faux positifs, un budget qui peut grimper si les failles sont nombreuses, des chercheurs qui sortent parfois de la portée, et la difficulté de distinguer un test légitime d'une vraie attaque. Il le réserve aux organisations qui ont déjà un processus mature de divulgation.",[52,148,149,152],{},[94,150,151],{},"Enfin, le red team."," Il n'a de sens que si quelqu'un surveille vos alertes. Sans surveillance, l'exercice confirmera surtout que personne ne regarde.",[86,154,156],{"id":155},"le-cadre-légal","Le cadre légal",[52,158,159,160,163],{},"Un test d'intrusion ou un exercice red team exige une ",[94,161,162],{},"autorisation écrite"," du propriétaire des systèmes : sans elle, l'accès peut constituer une infraction au Code criminel (art. 342.1). Le mandat précise la portée, les dates, les techniques permises et les contacts d'urgence. Pour un bug bounty, ce sont les règles publiées du programme, avec une clause de refuge juridique, qui encadrent les chercheurs ; l'OWASP recommande d'obtenir un avis juridique avant de lancer un programme.",[52,165,166,167,171],{},"Si vous acceptez les cartes de crédit, le questionnaire PCI DSS qui s'applique à vous détermine ce qui est obligatoire ; notre article sur ",[59,168,170],{"href":169},"\u002Fblogue\u002Fpci-dss-4-pme-paiement-carte","PCI DSS 4.0.1 pour les PME"," aide à s'y retrouver.",[86,173,175],{"id":174},"comment-choisir","Comment choisir",[70,177,178,184,190,196],{},[73,179,180,183],{},[94,181,182],{},"Vous ne faites rien de régulier ?"," Commencez par des scans mensuels, internes et externes, et un processus pour appliquer les correctifs.",[73,185,186,189],{},[94,187,188],{},"Un client, l'assureur ou PCI DSS exige une preuve ?"," Un test d'intrusion annuel, et après chaque changement majeur, avec un retest des corrections.",[73,191,192,195],{},[94,193,194],{},"Vous exploitez une application Web ou un produit infonuagique, avec une équipe qui corrige vite ?"," Une politique de divulgation d'abord, puis un programme de bug bounty privé.",[73,197,198,201],{},[94,199,200],{},"Vous avez un SOC ou un service MDR et les bases sont solides ?"," Un exercice red team mesurera si l'ensemble tient.",[52,203,204,205,207],{},"Pour la plupart des PME québécoises, la combinaison gagnante reste la même : des scans réguliers et un ",[59,206,102],{"href":9}," ciblé au moins une fois par année.",[209,210],"cta",{"variant":211},"devis",{"title":213,"searchDepth":11,"depth":15,"links":214},"",[215,216,217,218],{"id":88,"depth":11,"text":89},{"id":119,"depth":11,"text":120},{"id":155,"depth":11,"text":156},{"id":174,"depth":11,"text":175},[220,227,234,241,248,255,260,265,272,279],{"label":221,"values":222},"Question à laquelle il répond",[223,224,225,226],"Quelles failles connues sont présentes ?","Un attaquant peut-il exploiter nos failles ?","Des chercheurs trouvent-ils ce qui nous a échappé ?","Détecterions-nous une vraie attaque ?",{"label":228,"values":229},"Exploitation manuelle des failles",[230,231,232,233],"Non, automatisé","Oui","Oui, par les chercheurs","Oui, par scénarios complets",{"label":235,"values":236},"Fréquence typique",[237,238,239,240],"Au moins trimestrielle, souvent mensuelle ou continue","Annuelle et après un changement important","Continue","Ponctuelle",{"label":242,"values":243},"Portée",[244,245,246,247],"Large : tous les actifs connus","Définie par écrit avant le test","Définie par les règles du programme","Objectifs à atteindre plutôt qu'un inventaire",{"label":249,"values":250},"Faux positifs",[251,252,253,254],"Fréquents, à valider","Écartés par le testeur","Signalements de qualité inégale à trier","Résultats démontrés par le scénario",{"label":256,"values":257},"Évalue la détection et la réponse",[258,259,258,231],"Non","Pas l'objectif principal",{"label":261,"values":262},"Exigé par PCI DSS 4.0.1",[263,264,258,258],"Oui selon le SAQ : scans internes et externes (ASV) au moins tous les trois mois (11.3)","Oui selon le SAQ : tests interne et externe au moins tous les 12 mois (11.4)",{"label":266,"values":267},"Cadre légal",[268,269,270,271],"Autorisation du propriétaire des systèmes","Autorisation écrite et règles d'engagement","Règles du programme et clause de refuge juridique","Autorisation écrite et règles d'engagement détaillées",{"label":273,"values":274},"Coût indicatif",[275,276,277,278],"Le plus bas des quatre","De quelques milliers à plusieurs dizaines de milliers de dollars CA selon la portée","Variable : frais de plateforme + primes","Sur soumission ; généralement plus élevé qu'un test d'intrusion",{"label":280,"values":281},"Maturité requise",[282,283,284,284],"Faible","Moyenne","Élevée","2026-10-24","Scan de vulnérabilités, test d'intrusion, bug bounty ou red team : objectifs, fréquence, coûts indicatifs et maturité requise pour une PME du Québec.","md",[289,292,295,298],{"q":290,"a":291},"Un scan de vulnérabilités peut-il remplacer un test d'intrusion ?","Non. Le scan repère des failles connues sans les exploiter et produit des faux positifs. Le test d'intrusion vérifie ce qu'un attaquant peut réellement faire, en enchaînant les failles. Les deux se complètent : le scan maintient l'hygiène toute l'année, le test valide périodiquement que votre gestion des vulnérabilités fonctionne.",{"q":293,"a":294},"Un test d'intrusion exige-t-il une autorisation écrite ?","Oui. Accéder à un système informatique sans autorisation peut constituer une infraction au Code criminel (art. 342.1). Le mandat doit préciser la portée, les dates, les techniques permises et les personnes à joindre. Si vos systèmes sont hébergés, vérifiez aussi les règles de votre hébergeur ou fournisseur infonuagique.",{"q":296,"a":297},"Peut-on lancer un bug bounty sans avoir de politique de divulgation ?","C'est déconseillé. L'OWASP recommande de réserver les programmes de primes aux organisations qui ont déjà un processus mature de divulgation des vulnérabilités, du personnel pour trier les signalements et un budget prévu. Commencez par publier une politique de divulgation et un moyen sûr de vous signaler une faille.",{"q":299,"a":300},"Une PME a-t-elle besoin d'un exercice red team ?","Rarement au départ. Un exercice red team mesure votre capacité à détecter et à contrer une attaque ; sans surveillance en place, il confirmera surtout que personne ne regarde. Il devient pertinent quand les scans, les correctifs et les tests d'intrusion sont réguliers et qu'une équipe surveille les alertes.","test d'intrusion vs scan de vulnérabilités",{},true,[305,319,332,346],{"name":306,"url":307,"tagline":308,"pricing":309,"bestFor":310,"pros":311,"cons":315},"Scan de vulnérabilités","https:\u002F\u002Fcsrc.nist.gov\u002Fpubs\u002Fsp\u002F800\u002F115\u002Ffinal","Un outil automatisé compare vos systèmes à une base de failles connues, sans les exploiter.","Licence logicielle annuelle ou service géré récurrent ; par exemple, Nessus Professional est affiché à 4 790 $ US par an (site officiel, octobre 2026), sans compter le temps d'analyse","Toutes les PME, en continu, pour repérer les correctifs manquants et les configurations faibles.",[312,313,314],"Couvre rapidement tous les actifs connus","Peut tourner chaque mois, voire en continu","Coût prévisible",[316,317,318],"Faux positifs à valider","N'exploite pas les failles et ne les enchaîne pas","Ne voit pas les failles de logique d'affaires",{"name":10,"url":320,"tagline":321,"pricing":322,"bestFor":323,"pros":324,"cons":328},"https:\u002F\u002Fwww.ncsc.gov.uk\u002Fguidance\u002Fpenetration-testing","Des testeurs qualifiés tentent de percer vos défenses avec les techniques d'un attaquant, dans une portée convenue par écrit.","Les fournisseurs canadiens publient des fourchettes très larges, de quelques milliers à plusieurs dizaines de milliers de dollars selon la portée (par exemple, Packetlabs, août 2026 : environ 5 000 à 45 000 $ CA, chiffres qu'il qualifie lui-même d'« illustratifs ») ; retest souvent facturé à part","Les PME qui doivent démontrer leur sécurité à un client, à un assureur ou dans le cadre de PCI DSS.",[325,326,327],"Démontre l'exploitabilité réelle et écarte les faux positifs","Rapport priorisé avec recommandations de correction","Reconnu par les cadres de conformité (ex. PCI DSS, exigence 11.4)",[329,330,331],"Photo à un moment précis","Limité à la portée convenue","Plus coûteux qu'un scan",{"name":333,"url":334,"tagline":335,"pricing":336,"bestFor":337,"pros":338,"cons":342},"Programme de bug bounty","https:\u002F\u002Fcheatsheetseries.owasp.org\u002Fcheatsheets\u002FVulnerability_Disclosure_Cheat_Sheet.html","Des chercheurs externes signalent des failles en échange de primes, selon les règles publiées d'un programme.","Frais de plateforme (sur soumission) plus primes versées par faille validée ; le budget varie selon le nombre de failles trouvées","Les entreprises qui exploitent une application ou un produit Web exposé et ont déjà un processus mature de gestion des vulnérabilités.",[339,340,341],"Beaucoup de regards aux profils variés","Paiement lié aux résultats","Couverture continue d'une application qui évolue",[343,344,345],"Volume de signalements de qualité inégale à trier","Coût difficile à prévoir","Réservé aux organisations dotées d'un processus de divulgation mature, selon l'OWASP",{"name":347,"url":348,"tagline":349,"pricing":350,"bestFor":351,"pros":352,"cons":356},"Exercice red team","https:\u002F\u002Fcsrc.nist.gov\u002Fglossary\u002Fterm\u002Fred_team_exercise","Une simulation d'attaque réaliste, guidée par des objectifs, qui évalue aussi la détection et la réponse.","Sur soumission ; généralement plus élevé qu'un test d'intrusion, selon la portée et la durée du mandat","Les organisations matures qui ont corrigé l'essentiel et disposent d'une surveillance (SOC ou MDR).",[353,354,355],"Mesure la capacité réelle de détection et de réponse","Teste des scénarios de bout en bout, comme un vrai adversaire","Révèle les failles de processus, pas seulement techniques",[357,358,359],"Coûteux et long","Peu utile si les bases ne sont pas en place","Ne recense pas toutes les vulnérabilités","\u002Fcomparatifs\u002Fpentest-vs-scan-vs-bug-bounty","---\ntitle: \"Test d'intrusion, scan, bug bounty ou red team : que choisir ?\"\ndescription: \"Scan de vulnérabilités, test d'intrusion, bug bounty ou red team : objectifs, fréquence, coûts indicatifs et maturité requise pour une PME du Québec.\"\ndate: 2026-10-24\nverified: \"octobre 2026\"\ntranslationKey: pentest-scan-bugbounty\nkeyword: \"test d'intrusion vs scan de vulnérabilités\"\noptions:\n  - name: \"Scan de vulnérabilités\"\n    url: \"https:\u002F\u002Fcsrc.nist.gov\u002Fpubs\u002Fsp\u002F800\u002F115\u002Ffinal\"\n    tagline: \"Un outil automatisé compare vos systèmes à une base de failles connues, sans les exploiter.\"\n    pricing: \"Licence logicielle annuelle ou service géré récurrent ; par exemple, Nessus Professional est affiché à 4 790 $ US par an (site officiel, octobre 2026), sans compter le temps d'analyse\"\n    bestFor: \"Toutes les PME, en continu, pour repérer les correctifs manquants et les configurations faibles.\"\n    pros: [\"Couvre rapidement tous les actifs connus\", \"Peut tourner chaque mois, voire en continu\", \"Coût prévisible\"]\n    cons: [\"Faux positifs à valider\", \"N'exploite pas les failles et ne les enchaîne pas\", \"Ne voit pas les failles de logique d'affaires\"]\n  - name: \"Test d'intrusion\"\n    url: \"https:\u002F\u002Fwww.ncsc.gov.uk\u002Fguidance\u002Fpenetration-testing\"\n    tagline: \"Des testeurs qualifiés tentent de percer vos défenses avec les techniques d'un attaquant, dans une portée convenue par écrit.\"\n    pricing: \"Les fournisseurs canadiens publient des fourchettes très larges, de quelques milliers à plusieurs dizaines de milliers de dollars selon la portée (par exemple, Packetlabs, août 2026 : environ 5 000 à 45 000 $ CA, chiffres qu'il qualifie lui-même d'« illustratifs ») ; retest souvent facturé à part\"\n    bestFor: \"Les PME qui doivent démontrer leur sécurité à un client, à un assureur ou dans le cadre de PCI DSS.\"\n    pros: [\"Démontre l'exploitabilité réelle et écarte les faux positifs\", \"Rapport priorisé avec recommandations de correction\", \"Reconnu par les cadres de conformité (ex. PCI DSS, exigence 11.4)\"]\n    cons: [\"Photo à un moment précis\", \"Limité à la portée convenue\", \"Plus coûteux qu'un scan\"]\n  - name: \"Programme de bug bounty\"\n    url: \"https:\u002F\u002Fcheatsheetseries.owasp.org\u002Fcheatsheets\u002FVulnerability_Disclosure_Cheat_Sheet.html\"\n    tagline: \"Des chercheurs externes signalent des failles en échange de primes, selon les règles publiées d'un programme.\"\n    pricing: \"Frais de plateforme (sur soumission) plus primes versées par faille validée ; le budget varie selon le nombre de failles trouvées\"\n    bestFor: \"Les entreprises qui exploitent une application ou un produit Web exposé et ont déjà un processus mature de gestion des vulnérabilités.\"\n    pros: [\"Beaucoup de regards aux profils variés\", \"Paiement lié aux résultats\", \"Couverture continue d'une application qui évolue\"]\n    cons: [\"Volume de signalements de qualité inégale à trier\", \"Coût difficile à prévoir\", \"Réservé aux organisations dotées d'un processus de divulgation mature, selon l'OWASP\"]\n  - name: \"Exercice red team\"\n    url: \"https:\u002F\u002Fcsrc.nist.gov\u002Fglossary\u002Fterm\u002Fred_team_exercise\"\n    tagline: \"Une simulation d'attaque réaliste, guidée par des objectifs, qui évalue aussi la détection et la réponse.\"\n    pricing: \"Sur soumission ; généralement plus élevé qu'un test d'intrusion, selon la portée et la durée du mandat\"\n    bestFor: \"Les organisations matures qui ont corrigé l'essentiel et disposent d'une surveillance (SOC ou MDR).\"\n    pros: [\"Mesure la capacité réelle de détection et de réponse\", \"Teste des scénarios de bout en bout, comme un vrai adversaire\", \"Révèle les failles de processus, pas seulement techniques\"]\n    cons: [\"Coûteux et long\", \"Peu utile si les bases ne sont pas en place\", \"Ne recense pas toutes les vulnérabilités\"]\ncriteria:\n  - label: \"Question à laquelle il répond\"\n    values: [\"Quelles failles connues sont présentes ?\", \"Un attaquant peut-il exploiter nos failles ?\", \"Des chercheurs trouvent-ils ce qui nous a échappé ?\", \"Détecterions-nous une vraie attaque ?\"]\n  - label: \"Exploitation manuelle des failles\"\n    values: [\"Non, automatisé\", \"Oui\", \"Oui, par les chercheurs\", \"Oui, par scénarios complets\"]\n  - label: \"Fréquence typique\"\n    values: [\"Au moins trimestrielle, souvent mensuelle ou continue\", \"Annuelle et après un changement important\", \"Continue\", \"Ponctuelle\"]\n  - label: \"Portée\"\n    values: [\"Large : tous les actifs connus\", \"Définie par écrit avant le test\", \"Définie par les règles du programme\", \"Objectifs à atteindre plutôt qu'un inventaire\"]\n  - label: \"Faux positifs\"\n    values: [\"Fréquents, à valider\", \"Écartés par le testeur\", \"Signalements de qualité inégale à trier\", \"Résultats démontrés par le scénario\"]\n  - label: \"Évalue la détection et la réponse\"\n    values: [\"Non\", \"Pas l'objectif principal\", \"Non\", \"Oui\"]\n  - label: \"Exigé par PCI DSS 4.0.1\"\n    values: [\"Oui selon le SAQ : scans internes et externes (ASV) au moins tous les trois mois (11.3)\", \"Oui selon le SAQ : tests interne et externe au moins tous les 12 mois (11.4)\", \"Non\", \"Non\"]\n  - label: \"Cadre légal\"\n    values: [\"Autorisation du propriétaire des systèmes\", \"Autorisation écrite et règles d'engagement\", \"Règles du programme et clause de refuge juridique\", \"Autorisation écrite et règles d'engagement détaillées\"]\n  - label: \"Coût indicatif\"\n    values: [\"Le plus bas des quatre\", \"De quelques milliers à plusieurs dizaines de milliers de dollars CA selon la portée\", \"Variable : frais de plateforme + primes\", \"Sur soumission ; généralement plus élevé qu'un test d'intrusion\"]\n  - label: \"Maturité requise\"\n    values: [\"Faible\", \"Moyenne\", \"Élevée\", \"Élevée\"]\nverdict:\n  - profile: \"Cabinet comptable de 15 postes à Longueuil, sans exigence externe particulière\"\n    pick: \"Scan de vulnérabilités\"\n    why: \"Des scans mensuels, internes et externes, suivis de correctifs, règlent l'essentiel à faible coût. Ajoutez un test d'intrusion externe quand un client ou l'assureur l'exige.\"\n  - profile: \"Boutique en ligne de Québec qui traite des paiements par carte sur son propre site\"\n    pick: \"Test d'intrusion\"\n    why: \"Selon le questionnaire PCI DSS applicable, des tests d'intrusion annuels peuvent être exigés, en plus des scans externes trimestriels par un fournisseur approuvé (ASV).\"\n  - profile: \"Éditeur de logiciel infonuagique de Montréal avec une équipe de développement qui corrige vite\"\n    pick: \"Programme de bug bounty\"\n    why: \"Une fois les tests d'intrusion réguliers en place et une politique de divulgation publiée, un programme privé ajoute une couverture continue de l'application.\"\nfaq:\n  - q: \"Un scan de vulnérabilités peut-il remplacer un test d'intrusion ?\"\n    a: \"Non. Le scan repère des failles connues sans les exploiter et produit des faux positifs. Le test d'intrusion vérifie ce qu'un attaquant peut réellement faire, en enchaînant les failles. Les deux se complètent : le scan maintient l'hygiène toute l'année, le test valide périodiquement que votre gestion des vulnérabilités fonctionne.\"\n  - q: \"Un test d'intrusion exige-t-il une autorisation écrite ?\"\n    a: \"Oui. Accéder à un système informatique sans autorisation peut constituer une infraction au Code criminel (art. 342.1). Le mandat doit préciser la portée, les dates, les techniques permises et les personnes à joindre. Si vos systèmes sont hébergés, vérifiez aussi les règles de votre hébergeur ou fournisseur infonuagique.\"\n  - q: \"Peut-on lancer un bug bounty sans avoir de politique de divulgation ?\"\n    a: \"C'est déconseillé. L'OWASP recommande de réserver les programmes de primes aux organisations qui ont déjà un processus mature de divulgation des vulnérabilités, du personnel pour trier les signalements et un budget prévu. Commencez par publier une politique de divulgation et un moyen sûr de vous signaler une faille.\"\n  - q: \"Une PME a-t-elle besoin d'un exercice red team ?\"\n    a: \"Rarement au départ. Un exercice red team mesure votre capacité à détecter et à contrer une attaque ; sans surveillance en place, il confirmera surtout que personne ne regarde. Il devient pertinent quand les scans, les correctifs et les tests d'intrusion sont réguliers et qu'une équipe surveille les alertes.\"\nsources:\n  - title: \"NIST SP 800-115 : Technical Guide to Information Security Testing and Assessment\"\n    url: \"https:\u002F\u002Fcsrc.nist.gov\u002Fpubs\u002Fsp\u002F800\u002F115\u002Ffinal\"\n  - title: \"NCSC (Royaume-Uni) : Penetration testing\"\n    url: \"https:\u002F\u002Fwww.ncsc.gov.uk\u002Fguidance\u002Fpenetration-testing\"\n  - title: \"OWASP : Vulnerability Disclosure Cheat Sheet (programmes de bug bounty)\"\n    url: \"https:\u002F\u002Fcheatsheetseries.owasp.org\u002Fcheatsheets\u002FVulnerability_Disclosure_Cheat_Sheet.html\"\n  - title: \"NIST CSRC : définition de « red team exercise »\"\n    url: \"https:\u002F\u002Fcsrc.nist.gov\u002Fglossary\u002Fterm\u002Fred_team_exercise\"\n  - title: \"Microsoft Learn : exigence 11 de PCI DSS (texte des exigences 11.3 et 11.4)\"\n    url: \"https:\u002F\u002Flearn.microsoft.com\u002Fen-us\u002Fentra\u002Fstandards\u002Fpci-requirement-11\"\n  - title: \"Packetlabs : coût moyen d'un test d'intrusion au Canada (août 2026)\"\n    url: \"https:\u002F\u002Fwww.packetlabs.net\u002Fposts\u002Fguide-to-the-average-cost-of-a-pentest-in-canada\u002F\"\n  - title: \"Stingrai : coût moyen d'un test d'intrusion au Canada en 2026\"\n    url: \"https:\u002F\u002Fwww.stingrai.io\u002Fblog\u002Faverage-cost-of-pentest-canada-2026\"\n  - title: \"Tenable : Nessus Professional (prix)\"\n    url: \"https:\u002F\u002Fwww.tenable.com\u002Fproducts\u002Fnessus\u002Fnessus-professional\"\n  - title: \"Code criminel, art. 342.1 : utilisation non autorisée d'ordinateur\"\n    url: \"https:\u002F\u002Flaws-lois.justice.gc.ca\u002Ffra\u002Flois\u002Fc-46\u002Fsection-342.1.html\"\n---\n\nVotre assureur demande si vous faites des « scans ». Un client exige un « test de sécurité ». Un consultant vous parle de bug bounty, un autre de red team. Les quatre termes se ressemblent, mais ils ne répondent pas à la même question et n'ont pas du tout le même prix.\n\nPour la différence avec l'audit de cybersécurité, voyez notre article [audit, pentest ou scan de vulnérabilités](\u002Fblogue\u002Faudit-pentest-scan-vulnerabilites-differences). Ici, nous comparons les quatre façons de chercher activement des failles dans vos systèmes.\n\n::callout{type=\"info\" title=\"Notre méthode\"}\n- Nous comparons des approches, pas des fournisseurs. Les définitions et recommandations proviennent du NIST, du NCSC britannique, de l'OWASP et du texte de PCI DSS 4.0.1, consultés en octobre 2026.\n- Critères retenus : question à laquelle chaque approche répond, profondeur, fréquence, portée, faux positifs, détection, exigences PCI DSS, cadre légal, coût et maturité requise.\n- Les prix sont des fourchettes de marché indicatives publiées par des fournisseurs, pas nos tarifs.\n- Ce comparatif n'est pas commandité.\n::\n\n## Quatre approches, quatre questions\n\nLe **scan de vulnérabilités** est un outil automatisé. Il interroge vos systèmes, compare ce qu'il trouve à une base de failles connues et produit une liste. Il ne tente pas d'entrer.\n\nLe **test d'intrusion** va plus loin. Le NCSC britannique le définit comme une façon d'obtenir l'assurance qu'un système est sécuritaire en tentant d'en percer les défenses, avec les outils et les techniques qu'un adversaire pourrait employer. Le NCSC ajoute une nuance importante : le test ne devrait pas être votre principale façon de trouver des failles, mais plutôt une vérification de votre gestion des vulnérabilités, un peu comme l'audit externe vérifie le travail de l'équipe comptable.\n\nLe **bug bounty** invite des chercheurs externes à signaler des failles contre une récompense, généralement en argent, souvent par l'intermédiaire d'une plateforme spécialisée.\n\nL'**exercice red team** simule une attaque réaliste contre les activités de l'organisation pour évaluer l'ensemble de ses capacités de sécurité, selon la définition du NIST. On ne cherche pas toutes les failles : on vérifie si une attaque ciblée passerait inaperçue.\n\n## L'ordre logique pour une PME\n\nCes approches s'empilent plutôt qu'elles ne se remplacent.\n\n**D'abord, le scan.** C'est l'hygiène de base. PCI DSS 4.0.1, par exemple, exige des scans internes et externes au moins tous les trois mois, les scans externes étant faits par un fournisseur approuvé (ASV). Un scan mensuel suivi de correctifs règle déjà une grande partie des problèmes.\n\n**Ensuite, le test d'intrusion.** Il confirme ce qu'un attaquant peut réellement faire. Le NCSC rappelle qu'un test ne valide l'absence de failles connues qu'au jour du test, et qu'il s'écoule souvent un an ou plus entre deux tests : d'où l'importance des scans entre les deux. PCI DSS exige des tests interne et externe au moins tous les 12 mois et après tout changement important. Le [prix d'un test d'intrusion au Québec](\u002Fblogue\u002Ftest-intrusion-prix-quebec) dépend surtout de la portée.\n\n**Puis, éventuellement, le bug bounty.** L'OWASP est franc sur ses limites : beaucoup de signalements sans valeur ou de faux positifs, un budget qui peut grimper si les failles sont nombreuses, des chercheurs qui sortent parfois de la portée, et la difficulté de distinguer un test légitime d'une vraie attaque. Il le réserve aux organisations qui ont déjà un processus mature de divulgation.\n\n**Enfin, le red team.** Il n'a de sens que si quelqu'un surveille vos alertes. Sans surveillance, l'exercice confirmera surtout que personne ne regarde.\n\n## Le cadre légal\n\nUn test d'intrusion ou un exercice red team exige une **autorisation écrite** du propriétaire des systèmes : sans elle, l'accès peut constituer une infraction au Code criminel (art. 342.1). Le mandat précise la portée, les dates, les techniques permises et les contacts d'urgence. Pour un bug bounty, ce sont les règles publiées du programme, avec une clause de refuge juridique, qui encadrent les chercheurs ; l'OWASP recommande d'obtenir un avis juridique avant de lancer un programme.\n\nSi vous acceptez les cartes de crédit, le questionnaire PCI DSS qui s'applique à vous détermine ce qui est obligatoire ; notre article sur [PCI DSS 4.0.1 pour les PME](\u002Fblogue\u002Fpci-dss-4-pme-paiement-carte) aide à s'y retrouver.\n\n## Comment choisir\n\n- **Vous ne faites rien de régulier ?** Commencez par des scans mensuels, internes et externes, et un processus pour appliquer les correctifs.\n- **Un client, l'assureur ou PCI DSS exige une preuve ?** Un test d'intrusion annuel, et après chaque changement majeur, avec un retest des corrections.\n- **Vous exploitez une application Web ou un produit infonuagique, avec une équipe qui corrige vite ?** Une politique de divulgation d'abord, puis un programme de bug bounty privé.\n- **Vous avez un SOC ou un service MDR et les bases sont solides ?** Un exercice red team mesurera si l'ensemble tient.\n\nPour la plupart des PME québécoises, la combinaison gagnante reste la même : des scans réguliers et un [test d'intrusion](\u002Fservices\u002Ftest-intrusion) ciblé au moins une fois par année.\n\n::cta{variant=\"devis\"}\n::\n",{"title":47,"description":286},[364,366,368,370,372,375,378,381,384],{"title":365,"url":307},"NIST SP 800-115 : Technical Guide to Information Security Testing and Assessment",{"title":367,"url":320},"NCSC (Royaume-Uni) : Penetration testing",{"title":369,"url":334},"OWASP : Vulnerability Disclosure Cheat Sheet (programmes de bug bounty)",{"title":371,"url":348},"NIST CSRC : définition de « red team exercise »",{"title":373,"url":374},"Microsoft Learn : exigence 11 de PCI DSS (texte des exigences 11.3 et 11.4)","https:\u002F\u002Flearn.microsoft.com\u002Fen-us\u002Fentra\u002Fstandards\u002Fpci-requirement-11",{"title":376,"url":377},"Packetlabs : coût moyen d'un test d'intrusion au Canada (août 2026)","https:\u002F\u002Fwww.packetlabs.net\u002Fposts\u002Fguide-to-the-average-cost-of-a-pentest-in-canada\u002F",{"title":379,"url":380},"Stingrai : coût moyen d'un test d'intrusion au Canada en 2026","https:\u002F\u002Fwww.stingrai.io\u002Fblog\u002Faverage-cost-of-pentest-canada-2026",{"title":382,"url":383},"Tenable : Nessus Professional (prix)","https:\u002F\u002Fwww.tenable.com\u002Fproducts\u002Fnessus\u002Fnessus-professional",{"title":385,"url":386},"Code criminel, art. 342.1 : utilisation non autorisée d'ordinateur","https:\u002F\u002Flaws-lois.justice.gc.ca\u002Ffra\u002Flois\u002Fc-46\u002Fsection-342.1.html","comparatifs\u002Fpentest-vs-scan-vs-bug-bounty","pentest-scan-bugbounty",null,[391,394,397],{"profile":392,"pick":306,"why":393},"Cabinet comptable de 15 postes à Longueuil, sans exigence externe particulière","Des scans mensuels, internes et externes, suivis de correctifs, règlent l'essentiel à faible coût. Ajoutez un test d'intrusion externe quand un client ou l'assureur l'exige.",{"profile":395,"pick":10,"why":396},"Boutique en ligne de Québec qui traite des paiements par carte sur son propre site","Selon le questionnaire PCI DSS applicable, des tests d'intrusion annuels peuvent être exigés, en plus des scans externes trimestriels par un fournisseur approuvé (ASV).",{"profile":398,"pick":333,"why":399},"Éditeur de logiciel infonuagique de Montréal avec une équipe de développement qui corrige vite","Une fois les tests d'intrusion réguliers en place et une politique de divulgation publiée, un programme privé ajoute une couverture continue de l'application.","octobre 2026","8Eh-7f-8_JA5HcAx6cNYTb6oB4CgzZoOstcod8BV5wQ",{"path":403},"\u002Fen\u002Fcomparisons\u002Fpentest-vs-scan-vs-bug-bounty",[405,409,413],{"path":406,"title":407,"description":408},"\u002Fcomparatifs\u002Fantivirus-edr-mdr-protection-postes","Antivirus, EDR ou MDR : quelle protection pour vos postes ?","Antivirus, EDR ou MDR : détection, intervention, surveillance 24\u002F7, compétences et modèle de coût comparés pour une PME de 10, 50 ou 150 employés.",{"path":410,"title":411,"description":412},"\u002Fcomparatifs\u002Fedr-pme-comparatif","EDR pour PME : Defender, CrowdStrike, SentinelOne et Sophos","Defender for Business, CrowdStrike Falcon, SentinelOne ou Sophos : forfaits qui incluent vraiment l'EDR, prix publics, données au Canada et surveillance 24\u002F7.",{"path":414,"title":415,"description":416},"\u002Fcomparatifs\u002Fformation-cybersecurite-employes-options","Formation en cybersécurité : en ligne, atelier ou simulations ?","Plateforme en ligne, atelier en personne, simulations d'hameçonnage ou programme annuel : engagement, mesure, coûts, français et preuves pour la Loi 25.",1792970121421]