Un audit de smart contract est une revue de sécurité indépendante de votre code, menée avant qu'il ne manipule des fonds réels : les auditeurs lisent chaque ligne du périmètre, cherchent les vulnérabilités et les défauts de conception, puis consignent leurs constats dans un rapport. Sur smart-contract.com, vous décrivez votre projet une seule fois et recevez des devis comparables de cabinets d'audit et d'auditeurs indépendants vérifiés.
Le service est gratuit pour les clients, et vous ne vous engagez à rien tant que vous n'avez pas choisi de prestataire. La plateforme ne réalise pas d'audit elle-même : elle prépare le cahier des charges, invite les auditeurs adaptés, impose un format de devis unique et s'assure que l'auditeur retenu n'a jamais développé le code.
Ce que couvre un audit de sécurité
Un audit est une revue manuelle approfondie, appuyée par des outils. Il porte sur une version figée du code, identifiée par une empreinte de commit, et sur une liste définie de contrats. Une mission sérieuse comprend en général :
- Une revue manuelle de la logique métier, du contrôle d'accès, des flux de fonds et des mécanismes de mise à jour : c'est là que se cachent les failles les plus coûteuses.
- Des analyses outillées : analyse statique, fuzzing et tests d'invariants quand la conception s'y prête, vérification formelle des composants critiques si l'auditeur la propose.
- Des constats classés par niveau de gravité, chacun avec une explication, une preuve de concept si nécessaire et une correction recommandée.
- Un rapport d'audit à partager avec vos investisseurs, partenaires ou utilisateurs, publié ou gardé confidentiel selon l'accord.
- Un réaudit de vos corrections, pour que le rapport final décrive bien le code que vous déployez.
Un audit réduit le risque, il ne le supprime pas. Aucun auditeur ne peut promettre l'absence de bug, et un rapport ne vaut que pour le commit examiné. Le guide des vulnérabilités courantes des smart contracts donne un aperçu de ce que recherchent les auditeurs.
Quand faire auditer un smart contract
Prévoyez un audit avant tout déploiement où une faille coûterait de l'argent, des données ou la confiance de vos utilisateurs. Les moments habituels :
- avant le premier lancement sur le mainnet d'un token, d'une collection NFT, d'un contrat de staking ou d'un protocole DeFi ;
- avant une mise à jour importante, un nouveau module ou un déploiement sur une blockchain supplémentaire ;
- quand des investisseurs, une plateforme d'échange ou un partenaire institutionnel demandent un rapport indépendant ;
- après un premier audit, quand le code a suffisamment évolué pour que l'ancien rapport ne le décrive plus.
Réservez tôt. Les auditeurs planifient leur agenda plusieurs semaines à l'avance, et un démarrage sous une ou deux semaines coûte plus cher (voir plus bas). Le code doit être figé, testé et documenté au début de la revue : le guide pour préparer un audit de smart contract détaille chaque étape.
Comment ça se passe sur smart-contract.com
- Vous décrivez le projet une fois. La demande guidée vous interroge sur le type de projet, le langage, les blockchains, la taille du code, le dépôt et votre échéance. Une IA rédige un cahier des charges sur lequel tous les auditeurs chiffrent ; vous le relisez et le modifiez avant de le soumettre. Le budget minimum d'une demande est de 1 000 EUR ou USD.
- Relecture et invitations. La plateforme examine la demande, puis invite automatiquement jusqu'à 6 auditeurs adaptés, selon leurs services, leurs blockchains et leurs langages.
- Des devis comparables. Chaque devis suit le même format : prix, devise, durée, périmètre, équipe, et réaudit inclus ou non. Vous les comparez côte à côte. Un assistant IA qui travaille pour vous se limite à comparer les devis, à signaler les écarts de périmètre et les prix inhabituels : il ne choisit jamais à votre place. Vous échangez avec chaque auditeur par une messagerie dédiée.
- Déclaration du contrat. Une fois l'auditeur choisi, le contrat est déclaré puis confirmé par les deux parties sur la plateforme. L'auditeur paie une commission unique de 10 % ; vous ne payez rien à la plateforme. Il n'y a pas de séquestre : vous réglez l'auditeur directement, selon les conditions convenues entre vous.
Une indépendance appliquée par la base de données
Selon la règle d'indépendance, une société qui détient un engagement de développement sur votre projet ne peut jamais être invitée à son audit ou à son réaudit, ni retenue pour ceux-ci. La règle est appliquée par la base de données, pas seulement par l'interface. Si votre code a été développé via la plateforme, vous pouvez demander un audit indépendant du même projet en un clic dès que le développement est engagé. Le guide sur l'indépendance entre développeur et auditeur explique pourquoi c'est essentiel.
Ce qui détermine le prix d'un audit
Un audit se facture à l'effort : des jours d'auditeur multipliés par un tarif journalier. Dans le modèle indicatif public du calculateur de coût d'audit, l'effort part de la taille du code en nSLOC, puis varie selon :
- le langage : Solidity sert de référence (facteur 1,0) ; Move 1,25 ; Rust (Solana), Cairo et autres langages 1,3 ;
- le type de projet : token 0,7, NFT 0,8, staking 1,0, DeFi 1,35, bridge ou cross-chain 1,6 ;
- la préparation : bons tests et bonne documentation 0,9, partiels 1,0, absents 1,2 ;
- les facteurs de risque : intégrations externes +10 %, contrats évolutifs +10 %, mathématiques spécifiques +20 % ;
- l'urgence : x1,25 pour démarrer sous deux semaines, x1,5 sous une semaine ;
- le réaudit : environ 20 % du prix du premier audit.
Le modèle retient aussi un engagement minimum de 3 jours d'auditeur et distingue deux catégories de prestataires. Fourchettes indicatives en urgence standard, avec des tests et une documentation partiels :
| Projet | Auditeurs indépendants | Cabinets d'audit établis |
|---|---|---|
| Token, 300 nSLOC, Solidity | 2 400 à 4 200 EUR | 5 400 à 11 000 EUR |
| Protocole DeFi, 1 500 nSLOC, Solidity | 4 800 à 8 400 EUR | 15 000 à 30 000 EUR |
| Protocole DeFi, 5 000 nSLOC, Solidity | 16 000 à 27 000 EUR | 49 000 à 95 000 EUR |
Ce sont des ordres de grandeur, pas des devis. Le guide sur le coût d'un audit de smart contract détaille chaque paramètre.
Bien choisir son auditeur de smart contract
Comparez les devis sur les mêmes bases avant de regarder le prix total :
- L'effort : jours d'auditeur et nombre de relecteurs. Un prix très inférieur aux autres signifie le plus souvent moins de jours, pas un auditeur plus rapide.
- L'expérience de votre langage, de votre blockchain et de votre type de protocole, visible dans des rapports publics que vous pouvez lire.
- La méthode : revue manuelle, outils, fuzzing, vérification formelle si elle est utile.
- Le rapport : échelle de gravité, preuves de concept, conditions de publication.
- Le réaudit : inclus ou non, et dans quel délai.
- L'indépendance : aucun lien avec l'équipe qui a écrit le code.
Dans le modèle, les auditeurs indépendants et les petits cabinets coûtent en général deux à trois fois moins cher que les cabinets établis, et les uns comme les autres peuvent livrer un travail sérieux. Les cabinets établis sont plus souvent attendus pour les protocoles qui détiendront des montants importants. Méfiez-vous d'un devis qui n'indique ni le périmètre ni le commit, d'une promesse de code « sûr à 100 % » ou d'une pression pour réduire le périmètre afin de tenir un budget. Le guide pour choisir un auditeur de smart contract va plus loin.
Les prestataires de la plateforme sont vérifiés : existence légale, pouvoir du représentant, références vérifiables et déclaration de conflit d'intérêts. Vous pouvez parcourir les cabinets d'audit de l'annuaire, ou les spécialistes des tests d'intrusion si la partie hors chaîne de votre application doit aussi être testée.
L'audit selon la blockchain
Les auditeurs se spécialisent par langage et par écosystème, et la demande les sélectionne selon votre blockchain. Parcourez les auditeurs et développeurs actifs sur Ethereum, Arbitrum, Solana ou Sui. Dans le modèle, les blockchains non EVM demandent une revue plus longue, car les outils et les relecteurs expérimentés y sont moins nombreux.
Obtenir des devis d'audit
Figez votre code, faites tourner vos tests, listez votre périmètre, puis demandez vos devis d'audit smart contract. Vous décrivez le projet une fois, relisez le cahier des charges rédigé par l'IA, et recevez des devis comparables de 6 auditeurs indépendants au maximum. Si vos contrats ne sont pas encore écrits, commencez par le développement de smart contract et prévoyez l'audit dès le départ.