Devenir Testeur d'Intrusion en 2026 : Feuille de Route

Que fait réellement un testeur d'intrusion ?

Que fait un testeur d'intrusion ? Un testeur d'intrusion est un professionnel de la sécurité payé pour attaquer les systèmes d'une organisation avec une autorisation écrite, trouver les faiblesses qu'un vrai criminel pourrait exploiter, et remettre un rapport qui classe chaque faille par risque et explique comment la corriger. Le métier, c'est du piratage autorisé avec une échéance et un livrable.

Une semaine normale ne ressemble pas à la version cinéma. Vous passez les premiers jours en cadrage et en reconnaissance, à cartographier ce que la cible expose. Vient ensuite l'évaluation pratique : scan, découverte d'un bug, exploitation, élévation des accès, et documentation de chaque étape avec des captures d'écran au fil de l'eau. La dernière ligne droite, celle que les débutants sous-estiment, c'est la rédaction. Une vulnérabilité qu'un développeur ne peut pas reproduire à partir de votre rapport est une vulnérabilité qui ne sera jamais corrigée.

Le test d'intrusion s'inscrit dans la discipline plus large du hacking éthique, et il en est une forme précise, cadrée et limitée dans le temps. Si vous voulez la vue d'ensemble du cycle d'un engagement avant de vous lancer dans le métier, notre guide sur le test d'intrusion détaille les cinq phases en profondeur. Cette feuille de route porte sur l'autre question : comment passer de là où vous êtes à la personne que l'on embauche pour faire ce travail.

Le rôle se divise aussi en spécialités, et on ne les apprend pas toutes d'un coup. Le test d'applications web est le point d'entrée le plus courant, car toute entreprise fait tourner des applications web et il ne faut qu'un navigateur et un proxy. Le test réseau et Active Directory paie bien mais exige plus d'outillage. Le cloud, le mobile et le matériel sont des spécialisations plus poussées vers lesquelles vous bifurquerez plus tard. Choisissez d'abord une voie.

Faut-il un diplôme ou une certification pour commencer ?

Faut-il un diplôme pour devenir testeur d'intrusion ? Non. Un diplôme en informatique aide et certains employeurs le mentionnent comme préférable, mais le recrutement en sécurité offensive valorise la compétence démontrée plus que les diplômes. La plupart des testeurs en exercice sont largement autodidactes, et un solide historique de labs et de CTF ouvre plus de portes qu'un relevé de notes.

Ce n'est pas dire que les diplômes ne servent à rien. Un cursus enseigne les fondamentaux informatiques (systèmes d'exploitation, réseaux, structures de données) qui rendent tout le reste plus facile, et il passe les filtres automatiques de CV des grandes entreprises. Si vous êtes assez tôt pour choisir, c'est une voie raisonnable. Mais si vous avez déjà un diplôme sans rapport, ou aucun, vous n'êtes pas exclu. Le domaine s'est bâti sur des praticiens autodidactes et continue de les embaucher.

Les certifications occupent le terrain intermédiaire. Elles ne vous rendront pas compétent, mais elles prouvent à un recruteur que vous savez performer en conditions d'examen, et les certifications pratiques font aussi office de formation structurée. Le piège, c'est de traiter un certificat comme la ligne d'arrivée. Un candidat avec un OSCP et aucun projet personnel perd presque toujours face à un candidat doté d'un portfolio public de comptes rendus réfléchis. Les certifications vous font passer le filtre ; le portfolio vous décroche l'offre.

Étape 1 : construire les quatre fondations

On ne peut pas exploiter ce que l'on ne comprend pas. La raison la plus courante pour laquelle les débutants calent, c'est de sauter les fondamentaux pour se jeter sur les outils, puis de se figer dès que la sortie d'un outil ne leur dit rien. Construisez d'abord ces quatre fondations, à peu près dans cet ordre.

1. Le réseau. Apprenez comment TCP/IP, DNS, HTTP et les ports courants fonctionnent réellement. Quand un scan signale le port 445 ouvert, vous devez immédiatement penser SMB et à ce que cela implique. Notre introduction à ce qu'est un port est un point de départ tout en douceur si le sujet est nouveau pour vous.
2. La ligne de commande Linux. Presque tous les outils offensifs tournent sous Linux, et beaucoup de cibles sont des serveurs Linux. Vous devez être à l'aise pour naviguer dans une arborescence, gérer les permissions, éditer des fichiers et enchaîner des commandes dans le shell sans recourir à un moteur de recherche à chaque fois.
3. Un langage de script. Python est la norme. Vous n'écrivez pas de logiciel de production ; vous automatisez des tâches répétitives, modifiez du code d'exploit public et analysez des sorties. Bash vient gratuitement à mesure que vous vivez dans le terminal. Le seuil, c'est « savoir écrire un script de cinquante lignes qui fait quelque chose d'utile ».
4. Les bases du web. Comme le test d'applications web est le premier emploi le plus courant, comprenez comment circulent les requêtes et les réponses, ce que font les cookies et les sessions, et comment un navigateur dialogue avec un serveur. C'est le terrain sur lequel repose l'OWASP Top 10.

En pratique, vous ne terminez pas une fondation avant de toucher à la suivante ; elles s'entremêlent. Mais l'ordre compte comme centre de gravité. Celui qui passe ses trois premiers mois vraiment à l'aise dans un shell Linux apprend les attaques bien plus vite que celui qui a mémorisé dix commandes Metasploit sans savoir dire pourquoi l'une a échoué.

Étape 2 : apprendre à attaquer dans un lab

Une fois les fondations solides, vous commencez à apprendre l'offensive de la seule manière qui l'ancre : en exploitant vous-même de vraies vulnérabilités dans un environnement légal et isolé. La boucle d'apprentissage que suit tout testeur efficace est simple et vous la répétez des centaines de fois. Lisez sur une classe de vulnérabilité, exploitez-la vous-même dans un lab, notez ce que vous avez appris, puis passez à la classe suivante.

Commencez par l'OWASP Top 10, la liste des risques applicatifs web les plus critiques. L'injection SQL, le cross-site scripting, le contrôle d'accès défaillant et la falsification de requête côté serveur ne sont pas théoriques ; c'est ce que l'on trouve réellement sur les vrais engagements. Traitez chacun à la main avant de toucher un outil automatisé, car un scanner qui trouve un bug que vous ne comprenez pas fait de vous un presse-bouton, pas un testeur. Notre cours Web Attacks couvre ce catalogue en pratique, de votre première injection à l'enchaînement de bugs vers un impact réel.

De là, ramifiez vers les compétences qu'exige un engagement complet. Le scan et l'énumération avec Nmap. La découverte de contenu pour trouver des points d'entrée cachés. L'exploitation avec un proxy d'interception. Puis la phase que les débutants sautent souvent : l'élévation de privilèges, transformer un point d'appui à faibles droits en contrôle total de la machine. Si le web n'est pas votre voie, le parcours de test d'intrusion réseau vous emmène plutôt à travers l'exploitation de services, le mouvement latéral et Active Directory.

Un avis tranché qui vous fera gagner des mois : moins de tutoriels, plus de labs. Il est confortable de regarder une vidéo de deux heures où quelqu'un pirate une machine et d'avoir le sentiment d'avoir appris. Ce n'est pas le cas. Vous avez regardé. La compétence vit dans les répétitions, dans le fait d'être bloqué quarante minutes et de trouver la sortie soi-même. Les labs guidés qui vous accompagnent les premières fois, puis vous laissent voler seul, sont la version la plus rapide de cette boucle.

Étape 3 : obtenir une certification qui vous fait embaucher

Une fois que vous savez exploiter une machine vulnérable de bout en bout sans qu'on vous tienne la main, une certification transforme votre compétence en une ligne de CV que les recruteurs reconnaissent. Toutes ne valent pas leur prix. Celles qui pèsent en sécurité offensive sont pratiques, c'est-à-dire que l'examen vous fait réellement pirater quelque chose plutôt que répondre à des questions à choix multiples. Notre guide complet des certifications en cybersécurité compare le champ plus large ; le tableau ci-dessous couvre les quatre qui comptent le plus pour une carrière de pentester.

L'ordre sensé pour la plupart des gens est l'eJPT d'abord, car elle est abordable et son examen pratique confirme que vous avez les bases sans la pression d'un test décisif pour la carrière. Puis, quand vous pouvez compromettre de façon fiable des machines de niveau intermédiaire, l'OSCP est celle qui fait bouger l'aiguille du recrutement. Son examen pratique de 24 heures vous fait pénétrer un ensemble de machines dans un réseau isolé, puis rédiger un rapport professionnel, ce qui est exactement le métier.

La PNPT mérite d'être citée car son examen est le plus proche d'un vrai engagement, se terminant par un rapport complet et un débriefing, et il inclut un chemin d'attaque Active Directory. Si vous occupez déjà un poste et voulez la certification qui reflète le mieux le travail quotidien, c'est un choix solide. Quoi que vous choisissiez, n'empilez pas trois certifications avant d'avoir un seul projet à montrer. Une certification pratique plus un portfolio public vaut mieux qu'un mur de badges sans rien derrière.

Étape 4 : construire un portfolio qui prouve la compétence

Comment construire un portfolio de test d'intrusion ? Documentez ce que vous piratez. Chaque lab résolu et chaque machine de CTF conquise devient un compte rendu qui montre votre méthodologie, votre raisonnement quand vous étiez bloqué, et comment vous avez atteint le flag. Une collection publique de ces comptes rendus est la chose la plus convaincante qu'un candidat junior puisse montrer, car elle prouve une compétence qu'un certificat ne fait que suggérer.

Le portfolio fait trois choses à la fois. Il donne des preuves au recruteur, il vous oblige à comprendre ce que vous avez fait assez bien pour l'expliquer, et il bâtit un registre consultable de vos propres techniques que vous consulterez vraiment plus tard. Restez concret et honnête. Un compte rendu qui dit « j'ai supposé que le flag était dans la base, perdu une heure, puis compris que le vrai chemin était un envoi de fichier mal configuré » enseigne davantage et sonne plus authentique qu'un tour de piste sans faute.

• Comptes rendus de labs et de CTF. Publiez-les sur un simple blog ou un dépôt GitHub public. Montrez les commandes, la sortie et le raisonnement, pas seulement la réponse.
• Un GitHub avec de petits outils. Même un script Python de cinquante lignes qui automatise une tâche que vous en aviez assez de faire à la main signale que vous savez coder, ce qui vous distingue des candidats qui ne font que lancer les outils des autres.
• Divulgations de bug bounty. Quand vous êtes prêt, une vulnérabilité valide signalée via une plateforme comme HackerOne ou Bugcrowd est une preuve du monde réel sous des règles autorisées. Même une poignée de rapports de faible gravité, résolus, ont du poids.
• Classements de CTF. Un profil sur une plateforme d'entraînement avec un historique visible de défis résolus montre la régularité, que les employeurs lisent comme quelqu'un qui continuera d'apprendre en poste.

Lors de tests sur de vraies applications, l'habitude de documenter au fil de l'eau n'est pas optionnelle ; c'est le livrable. Prendre cette habitude maintenant, sur des machines de lab où les enjeux sont nuls, fait qu'elle devient un réflexe le jour où un client paie pour cela. Traitez chaque machine d'entraînement comme un vrai engagement et rédigez le rapport que vous remettriez à un client.

Étape 5 : décrocher le premier emploi

La partie la plus dure d'une carrière en sécurité offensive est le premier poste, car la plupart des emplois de pentest demandent une expérience que vous n'avez pas encore. Deux voies éprouvées franchissent ce mur, et toutes deux sont plus fiables que d'envoyer des CV dans le vide.

La première est le mouvement latéral. Des postes comme analyste SOC, support informatique, administrateur système et ingénieur sécurité junior sont bien plus faciles à décrocher, ils vous paient pour accumuler de l'expérience réelle, et ils se situent à un pas du travail offensif. Un analyste SOC qui passe deux ans à observer comment les attaques se présentent vraiment en production, puis étudie l'offensive en parallèle, devient un testeur junior très recherché. Si vous hésitez encore à savoir si le champ plus large vous convient, notre avis franc sur la question de savoir si la cybersécurité est une bonne carrière expose les compromis.

La seconde est de laisser votre portfolio parler à votre place. Un candidat sans intitulé de poste en sécurité mais avec un historique public de CTF résolus, de comptes rendus de labs, de quelques rapports de bug bounty résolus et d'une certification pratique est un vrai candidat, pas un simple espérant. Les recruteurs et responsables du recrutement de ce domaine regardent bel et bien ce travail. C'est ce qui se rapproche le plus d'une expérience que vous pouvez fabriquer par vous-même.

Quand vient l'entretien, attendez-vous à ce qu'il soit pratique. On peut vous donner une machine à compromettre en direct, un extrait de code dans lequel trouver la faille, ou un déroulé d'un engagement passé. Connaissez vos propres comptes rendus sur le bout des doigts, car « parlez-moi d'une machine que vous avez rootée » est une entrée en matière courante, et soyez honnête sur ce que vous ignorez. Dans un domaine aussi vaste, « je n'ai pas encore fait d'Active Directory, mais voici comment je m'y prendrais » est une meilleure réponse qu'un bluff assuré qu'un testeur chevronné verra en quelques secondes.

Combien de temps et quel salaire

Combien de temps faut-il pour devenir testeur d'intrusion ? Pour la plupart des gens qui étudient sérieusement en parallèle d'autres engagements, atteindre le niveau débutant prend environ douze à vingt-quatre mois : quelques mois de fondations, six à douze mois à apprendre l'attaque en lab, et quelques mois de plus pour une certification pratique et un portfolio. Le plein temps et une expérience informatique antérieure le raccourcissent ; un effort sporadique l'allonge.

Le délai est une fourchette, pas une promesse, et la variable qui pèse le plus est la régularité. Une heure par jour, presque tous les jours, bat une orgie de dix heures un week-end par mois, car les compétences offensives se dégradent vite inutilisées et se cumulent avec la pratique. Ceux qui réussissent sont rarement les plus doués ; ce sont ceux qui ont continué de se présenter après le plateau où les gains faciles se tarissent.

Le salaire rend l'effort payant. Le Bureau of Labor Statistics des États-Unis ne suit pas « testeur d'intrusion » comme métier distinct, mais la catégorie la plus proche, les analystes en sécurité de l'information, affichait un salaire médian de 124 910 $ en mai 2024 et devrait croître de 29 pour cent d'ici 2034, bien plus vite que la moyenne. En pratique, les testeurs débutants démarrent souvent près de 90 000 $, et les spécialistes seniors comme les opérateurs de red team dépassent 200 000 $. Notre analyse du salaire d'un testeur d'intrusion détaille les vrais chiffres par niveau et région.

La demande soutient tout cela. Le déficit mondial de main-d'œuvre en cybersécurité reste de plusieurs millions de postes non pourvus selon l'étude annuelle sur la main-d'œuvre d'ISC2, ce qui est la raison structurelle pour laquelle un candidat autodidacte doté d'un vrai portfolio peut encore percer. La pénurie n'est pas un argument marketing ; c'est pourquoi la porte reste ouverte.

Considérations légales et éthiques

Chaque technique de cette feuille de route est légale dans un contexte et un délit dans un autre, et la seule chose qui les sépare est l'autorisation. En apprenant, vous ressentirez la tentation de tester quelque chose de réel : le site d'un ami, la page de connexion de votre employeur, un service qui vous a agacé. Ne le faites pas. Le moyen le plus rapide de mettre fin à une carrière en sécurité avant même qu'elle commence est un test non autorisé qui vous a semblé anodin et a ressemblé à une attaque pour tout le monde.

Il existe trois endroits où vous êtes autorisé à pratiquer, et ils couvrent tout ce dont un débutant a besoin. Les plateformes de labs isolées et les CTF, où les cibles appartiennent à la plateforme et sont offertes à l'attaque volontairement. Les programmes de bug bounty, dont les règles publiées accordent la permission de tester dans des limites définies. Et les systèmes que vous possédez vous-même, comme un lab maison de machines virtuelles. Restez dans ces trois cadres et vous pourrez bâtir tout le savoir-faire sans jamais franchir la ligne.