Pentest vs Scan de vulnérabilités : quelle différence et lequel choisir ?
Ces deux termes sont souvent confondus, pourtant ils répondent à des besoins très différents. Un scan de vulnérabilités identifie les failles connues ; un pentest démontre ce qu’un attaquant peut réellement en faire. Comprendre cette différence est essentiel pour investir efficacement dans votre sécurité.
Le scan de vulnérabilités : l’inventaire automatisé
Un scanner de vulnérabilités (Nessus, Qualys, OpenVAS) analyse vos systèmes et compare les versions logicielles, les configurations et les ports ouverts à une base de données de vulnérabilités connues (CVE). C’est un processus automatisé, rapide et reproductible.
Le résultat est un rapport listant les vulnérabilités trouvées, classées par sévérité (critique, haute, moyenne, basse). Un scan complet d’un réseau de 200 machines prend quelques heures et peut être planifié mensuellement.
Le pentest : la simulation d’attaque
Un test d’intrusion est réalisé par un expert humain qui pense comme un attaquant. Il ne se contente pas de lister les failles : il les exploite, les enchaîne et démontre l’impact réel. Un pentester peut combiner une vulnérabilité « moyenne » avec une mauvaise configuration pour obtenir un accès administrateur complet.
Le pentest teste aussi ce que les scanners ne voient pas : la logique métier des applications, les failles dans les processus humains, les possibilités d’ingénierie sociale.
Comparaison directe
Automatisation : le scan est 100% automatisé, le pentest est essentiellement manuel (avec des outils en support).
Profondeur : le scan détecte les vulnérabilités connues en surface, le pentest explore les chaînes d’exploitation en profondeur.
Fréquence : le scan peut être mensuel ou continu, le pentest est réalisé 1 à 2 fois par an.
Coût : le scan coûte quelques centaines d’euros par mois, le pentest entre 5 000 et 30 000 euros selon le périmètre.
Faux positifs : le scan en génère beaucoup, le pentest très peu (les résultats sont vérifiés humainement).
Notre recommandation
Les deux sont complémentaires, pas interchangeables. Le scan de vulnérabilités est votre hygiène continue (comme un check-up médical régulier), le pentest est votre stress test annuel (comme un test d’effort). La plupart des référentiels (NIS 2, DORA, ISO 27001) exigent d’ailleurs les deux.
