Hacksplaining : cours de hacking gratuits, guide 2026

Qu'est-ce que Hacksplaining ?

Hacksplaining est un site de formation gratuit qui enseigne la sécurité web par de courtes leçons interactives. Dans chaque leçon, vous jouez l'attaquant face à un faux site web, vous voyez la vulnérabilité se dérouler en animation, puis vous apprenez comment les développeurs l'empêchent, avec des exemples de code sécurisé dans des langages comme Python, JavaScript, Java ou Go.

Le site est écrit par Malcolm McDonald, son fondateur et rédacteur en chef, également auteur du livre Grokking Web Application Security chez Manning. Il existe depuis une dizaine d'années : un article d'i-programmer de 2016 le décrivait déjà comme un site où l'on « pirate » un site de test en voyant la vulnérabilité sous forme d'animations. Aujourd'hui, la page d'accueil revendique plus de 500 000 apprenants inscrits (en juillet 2026).

Un point à savoir d'emblée : le vrai public de Hacksplaining, ce sont les développeurs. Son slogan est « Learn the attacks. Defend your code. » (apprenez les attaques, défendez votre code), et les entreprises l'achètent comme formation au code sécurisé. Cela ne le rend pas moins utile pour un futur hacker. Comprendre pourquoi un code casse, c'est exactement ce qui fait un bon pentester. Cela explique simplement le ton : chaque leçon se termine sur la façon de corriger la faille, pas sur la façon de l'exploiter plus loin.

Ce que couvrent les leçons

Le catalogue des leçons compte 45 leçons, filtrables par OWASP Top 10, PCI DSS et LLM. Regroupées comme un débutant devrait les voir :

• Les classiques de l'injection : injection SQL, exécution de commandes, exécution de code à distance, entités externes XML (XXE), bombes XML et injection de regex.
• Les attaques côté navigateur : XSS stocké, réfléchi et basé sur le DOM, cross-site script inclusion, CSRF, clickjacking, injection CSS, CORS et redirections ouvertes.
• Les failles de connexion et d'accès : contrôle d'accès défaillant, élévation de privilèges, énumération d'utilisateurs, fixation de session, identifiants de session faibles, mauvaise gestion des mots de passe et mass assignment.
• Infrastructure et réseau : SSRF, directory traversal, failles d'upload de fichiers, empoisonnement DNS, SSL stripping, attaques par rétrogradation, subdomain squatting, usurpation d'e-mail et déni de service.
• LLM et IA : prompt injection, divulgation d'informations sensibles, empoisonnement de modèle et slopsquatting, cette attaque récente où des pirates enregistrent les noms de paquets que les assistants de code IA inventent.

Hacksplaining est-il gratuit ?

Oui, pour les particuliers. La FAQ de Hacksplaining indique que le site « est gratuit pour un usage personnel » et que seules les fonctionnalités d'équipe (tableaux de bord, suivi de progression d'équipe et rapports de conformité) sont payantes. Vous pouvez prévisualiser n'importe quelle leçon sans compte, mais il faut un compte gratuit pour lancer le lab interactif. L'inscription demande une adresse e-mail, ou une connexion Google, GitHub ou Microsoft.

Voici ce que vous obtenez à chaque niveau, vérifié sur le site en octobre 2026 :

• Sans compte : les aperçus des leçons, l'explication écrite de chaque vulnérabilité et le glossaire.
• Compte gratuit : les 45 labs interactifs, les guides de prévention, les quiz et le suivi de progression.
• Offre Team (50 $ par utilisateur et par an) : tableaux de bord d'administration, programme personnalisé, SSO, accès API, ainsi que certificats et rapports de conformité PCI DSS et ISO 27001. Un essai gratuit de 14 jours est proposé, sans carte bancaire.
• Auto-hébergé : des leçons au format SCORM pour la plateforme de formation d'une entreprise, avec un prix sur demande.

En tant qu'apprenant, vous n'aurez jamais besoin des offres payantes. Elles existent pour les entreprises qui doivent prouver à un auditeur que leurs développeurs ont suivi une formation en sécurité.

Comment se déroule une leçon Hacksplaining

Chaque page de leçon commence par trois petites notes (la fréquence de la faille, sa facilité d'exploitation et la gravité de son impact), une courte définition, et les exigences de l'OWASP Top 10 et de PCI DSS auxquelles elle se rattache. Viennent ensuite les trois parties qui comptent :

1. Le lab interactif : un site simulé sur lequel vous menez l'attaque étape par étape. La leçon vous dit quoi faire à chaque stade et anime ce qui se passe sur le serveur.
2. Le guide de prévention : la même faille vue côté développeur, avec le code vulnérable et le code corrigé côte à côte.
3. Le quiz : deux ou trois questions. Le réussir marque la leçon comme terminée dans votre suivi de progression.

Les leçons s'appuient aussi sur une galerie de personnages récurrents, comme le Savant, le Cowboy ou le Hacker, qui incarnent différents profils d'attaquants. Ça a l'air d'un gadget. En pratique, c'est ce qui rend les leçons mémorables : vous vous souvenez de la leçon sur le XSS stocké comme « celle où Mal, l'attaquant de la leçon, sabote un forum de boulangers », et les détails reviennent avec.

Pas à pas : la leçon sur l'injection SQL

La leçon sur l'injection SQL est celle par laquelle presque tout le monde commence, et elle illustre bien le style Hacksplaining. Vous attaquez un formulaire de connexion relié à une vraie base de données qui tourne dans votre navigateur :

1. Cassez-le : vous tapez une apostrophe ' dans le champ du mot de passe. L'application plante.
2. Lisez l'erreur : la leçon vous montre le journal du serveur, où une erreur de syntaxe SQL révèle que votre saisie a atterri dans une requête.
3. Regardez le code : vous voyez le code vulnérable qui construit la requête en concaténant des chaînes de caractères.
4. Exploitez-le : vous saisissez ' or 1=1-- comme mot de passe et vous vous connectez sans le connaître.

Pourquoi ça marche : la requête devient quelque chose comme ... WHERE password = '' or 1=1--'. Comme 1=1 est toujours vrai, la base renvoie un utilisateur, et -- transforme le reste de la ligne en commentaire. Le guide de prévention montre ensuite la correction, les requêtes paramétrées, que Hacksplaining qualifie de « défense la plus fiable ». En Python, c'est la différence entre construire une requête avec une f-string et passer la valeur séparément à cursor.execute().

Cette seule leçon enseigne les trois réflexes qu'un hacker utilise tous les jours : titiller un champ avec un caractère spécial, lire l'erreur attentivement, et déduire à quoi doit ressembler le code derrière. Pour les techniques suivantes, comme les requêtes UNION et l'injection à l'aveugle, notre guide de la PortSwigger Web Security Academy présente la plateforme gratuite qui va beaucoup plus loin.

Par quelles leçons Hacksplaining commencer

Le catalogue n'est pas classé pour les débutants. Il est trié par ordre alphabétique, avec les nouveautés en haut, si bien qu'on tombe facilement d'abord sur les buffer overflows ou l'empoisonnement DNS, et qu'on s'y perd. Voici l'ordre que nous recommandons pour qui veut apprendre le hacking éthique. Comptez trois à quatre heures au total, soit environ une semaine de pauses déjeuner :

1. SQL Injection : l'exemple le plus net de « ma saisie a changé ce que fait le serveur ». Commencez ici.
2. Cross-Site Scripting : la leçon sur le XSS stocké. Vous voyez un script caché dans un commentaire de forum s'exécuter dans le navigateur d'un autre utilisateur et livrer ses cookies.
3. Reflected XSS : la même idée, mais transmise par un lien plutôt que par un commentaire enregistré.
4. Cross-Site Request Forgery : comment une page malveillante fait exécuter à votre navigateur des actions sur un site où vous êtes connecté.
5. Directory Traversal : lire des fichiers que le serveur n'a jamais voulu partager, avec ../. C'est court, et ça reste gravé.
6. Command Execution : votre premier contact avec l'exécution de commandes système via un formulaire web.
7. Broken Access Control : la catégorie classée première dans l'OWASP Top 10:2025. Changer un identifiant dans une URL suffit souvent.
8. User Enumeration : comment une page de connexion révèle quels noms d'utilisateur existent, à travers de minuscules différences dans ses messages d'erreur.

Après ces huit leçons, laissez parler votre curiosité. Les leçons sur la SSRF et l'upload de fichiers sont les plus utiles pour les CTF. La prompt injection vaut bien 20 minutes si la sécurité de l'IA vous intéresse. Gardez pour plus tard les leçons d'infrastructure (empoisonnement DNS, SSL stripping, attaques par rétrogradation) : c'est un contexte intéressant, mais vous ne pourrez pas encore les pratiquer dans un lab débutant.

Hacksplaining est-il un bon choix pour apprendre le hacking éthique ?

Oui, comme première étape. Aucune autre ressource gratuite n'explique les attaques web aussi clairement en si peu de temps. Mais c'est une première étape, pas un parcours complet, et mieux vaut connaître ses limites avant d'y passer des semaines.

Ce qu'il fait très bien :

• Les modèles mentaux : les animations montrent en même temps la requête, le serveur et la base de données, exactement ce qu'un débutant n'arrive pas à se représenter seul.
• Zéro installation : pas de machine virtuelle, pas de proxy, pas de VPN. Un navigateur et 20 minutes suffisent.
• Les deux faces de la faille : vous voyez l'attaque et la correction. Cela fait de vous un meilleur hacker, et un bien meilleur candidat en entretien d'embauche.
• La précision : les leçons sont écrites par un expert humain et mises à jour régulièrement. Les leçons sur l'injection SQL et le XSS affichaient toutes deux « Updated Sep 2026 » lors de notre vérification.

Là où il ne suffit pas pour un hacker :

• Les labs sont sur des rails : la leçon vous dit où est la faille et souvent quoi taper. Vous n'avez jamais rien à trouver, alors que c'est justement le métier.
• Pas de vrais outils : vous n'utilisez jamais ni Burp Suite, ni terminal, ni les DevTools du navigateur, dont vous aurez besoin dès votre tout premier CTF.
• Pas de courbe de difficulté : toutes les leçons restent à peu près au même niveau débutant. Il n'y a pas de « maintenant, essayez une version plus dure ».
• Ni flags ni points : rien ne vous récompense quand vous sortez du scénario, et il n'y a aucune dimension compétitive.

Notre avis : utilisez Hacksplaining pour ce qu'il fait de mieux, comprendre une attaque en 20 minutes, puis allez tout de suite exploiter la même faille quelque part où personne ne vous tient la main. Lisez la leçon sur l'injection SQL, puis trouvez vous-même une injection SQL le soir même. Ce duo est bien plus efficace que de finir les 45 leçons avant de toucher une vraie cible.

Hacksplaining face aux autres façons gratuites d'apprendre le hacking web

Hacksplaining est souvent cité aux côtés de quelques autres plateformes. Elles ne font pas le même travail, et savoir laquelle sert à quoi vous fait gagner du temps :

Elles s'enchaînent dans un ordre naturel. Hacksplaining explique l'idée. La PortSwigger Academy enseigne la technique proprement, avec Burp Suite. OWASP Juice Shop vous lâche dans une grosse application où rien n'est étiqueté. Les labs façon CTF vous obligent ensuite à tout combiner : reconnaissance, exploitation, et parfois élévation de privilèges, jusqu'à capturer un flag.

Quand on teste de vraies applications, ce sont les deux dernières qui comptent le plus. Les vraies failles ne s'annoncent jamais. Plus tôt vous vous entraînez sur des cibles qui ne vous disent pas ce qui ne va pas, plus tôt les leçons se transforment en compétences.

De Hacksplaining à votre premier CTF

Voici un plan concret sur quatre semaines pour transformer les leçons Hacksplaining en compétences pratiques, à raison de trois à quatre heures par semaine :

1. Semaine 1, comprendre : suivez les huit leçons ci-dessus, quiz compris. Écrivez une phrase par leçon, avec vos propres mots, pour expliquer pourquoi l'attaque fonctionne.
2. Semaine 2, reproduire : pour l'injection SQL et le XSS, exploitez la même faille dans un lab qui ne scénarise pas les étapes. Notre lab XSS Playground est un forum communautaire avec une faille XSS stockée, le même scénario que la leçon du forum de Hacksplaining, sauf que c'est vous qui écrivez le payload et volez la session de l'admin.
3. Semaine 3, apprendre les outils : installez Burp Suite Community Edition et refaites la semaine 2 en faisant passer chaque requête par le proxy. C'est l'étape que Hacksplaining ne peut pas enseigner.
4. Semaine 4, jouer : choisissez un challenge web de CTF pour débutants et résolvez-le sans consulter de solution pendant la première heure. Rester bloqué fait partie de l'entraînement.

À la fin du mois, vous serez passé du visionnage d'une animation de ' or 1=1-- à la découverte d'injections par vous-même. Ce saut, de la compréhension à la pratique, chaque joueur de CTF et chaque pentester a dû le faire.

Considérations légales et éthiques

• Simulé ne veut pas dire autorisé : taper ' or 1=1-- dans une vraie page de connexion « juste pour voir si la leçon marche » constitue un accès non autorisé dans la plupart des pays, même s'il ne se passe rien.
• Entraînez-vous là où vous êtes invité : utilisez des plateformes conçues pour être attaquées (Hacksplaining, PortSwigger, Juice Shop, labs CTF) ou des programmes de bug bounty avec un périmètre écrit.
• Respectez la plateforme : l'attaque a lieu à l'intérieur de la leçon. Ne scannez pas, ne fuzzez pas et n'attaquez pas hacksplaining.com lui-même.
• Servez-vous de la moitié défensive : si vous trouvez l'une de ces failles dans un logiciel que vous utilisez, signalez-la de façon responsable à son propriétaire au lieu de pousser plus loin.

Questions fréquentes