Jeux de hacker : 15 jeux pour apprendre à hacker (2026)

Qu'est-ce qu'un jeu de hacking ?

Un jeu de hacking est un jeu dont la mécanique principale consiste à s'introduire dans des systèmes informatiques, à les reprogrammer ou à les défendre. L'étiquette couvre tout, du mini-jeu dans un jeu d'action jusqu'à la plateforme de capture the flag complète, il est donc utile de découper la catégorie en trois.

• Les jeux à saveur hacking : le piratage est un bouton, un mini-jeu ou un puzzle de timing. Watch Dogs en est l'exemple type : selon l'historique de développement publié sur Wikipédia, sa mécanique de hacking a été « réduite à un seul bouton » sur le téléphone du héros. Parfait pour une soirée, aucun transfert.
• Les simulateurs de hacking : vous tapez dans un faux terminal ou vous écrivez du code dans un monde isolé. Les systèmes sont fictifs, mais les réflexes sont réels : lire une sortie, enchaîner des commandes, automatiser les étapes pénibles.
• Les vrais jeux de hacking : wargames, plateformes CTF et applications vulnérables. La cible est un vrai logiciel avec de vraies failles, et un tableau des scores ou un système de niveaux en fait un jeu. C'est là que se construisent les vraies compétences.

La liste ci-dessous écarte complètement le premier groupe et classe les deux autres. Les jeux commerciaux passent en premier parce qu'ils offrent une entrée en douceur, puis viennent les plateformes gratuites où le piratage cesse d'être un jeu de rôle.

Les jeux de hacker sur Steam qui enseignent de vraies compétences

Les prix et les appréciations ci-dessous ont été relevés sur la boutique Steam en septembre 2026, en dollars américains. Les prix Steam bougent au gré des soldes, prenez-les comme un ordre de grandeur.

1. Bitburner (gratuit) : celui par lequel commencer

Si vous ne devez essayer qu'un seul jeu de cette section, prenez celui-ci. Bitburner est un jeu incrémental gratuit et open source dans lequel on progresse en écrivant des scripts JavaScript qui appellent l'API du jeu. Steam indique comme développeurs « Fulcrum Games, Hydroflame, over 250 github contributors », les évaluations sont « Très positives », et vous pouvez aussi y jouer dans le navigateur depuis le projet GitHub officiel.

Ce JavaScript n'a rien d'un dialecte jouet. C'est le même langage que vous utiliserez plus tard pour écrire des payloads XSS et automatiser un navigateur, et la boucle du début de partie ressemble à ceci :

/** @param {NS} ns */
export async function main(ns) {
  const target = "n00dles";
  while (true) {
    if (ns.getServerSecurityLevel(target) > ns.getServerMinSecurityLevel(target) + 5) {
      await ns.weaken(target);
    } else if (ns.getServerMoneyAvailable(target) < ns.getServerMaxMoney(target) * 0.75) {
      await ns.grow(target);
    } else {
      await ns.hack(target);
    }
  }
}

Une boucle, des conditions, des appels asynchrones et des vérifications d'état : exactement les briques de tous les scripts de reconnaissance que vous écrirez un jour. Le « hacking » est abstrait, la programmation ne l'est pas. Passez votre tour si vous détestez les jeux incrémentaux, car les premières heures sont volontairement lentes.

2. Hacknet (9,99 $) : la meilleure sensation de terminal

Hacknet, sorti en 2015 par Team Fractal Alligator (le développeur australien Matt Trobbiani, seul aux commandes selon Wikipédia), est ce qui se rapproche le plus d'un film de hacker jouable tout en respectant le terminal. Steam le décrit comme « basé sur de vraies commandes UNIX », et ça se voit : on se déplace avec ls et cd, on copie des fichiers avec scp et on nettoie les journaux avec rm.

La partie attaque est simplifiée. Vous lancez probe sur une cible pour voir ses ports ouverts, vous exécutez des programmes comme SSHcrack 22 ou FTPBounce 21 pour les ouvrir, puis PortHack pour obtenir les droits d'administration. Un vrai serveur SSH ne tombe pas parce que vous avez tapé son nom, mais le déroulé (énumérer, ouvrir les services, élever ses privilèges, effacer ses traces) suit la bonne logique. Avec plus de 26 000 évaluations « Très positives », c'est aussi le jeu le plus évalué de cette liste. Le DLC Labyrinths ajoute une campagne plus corsée.

3. hackmud (18,99 $) : des scripts contre d'autres joueurs

hackmud, de ComCODE (2016), est un MUD textuel multijoueur persistant dans un univers rétro-cyberpunk. On commence par lancer des scripts écrits par d'autres joueurs, ce qui est une leçon en soi : plusieurs d'entre eux sont des pièges. Plus tard, vous écrivez les vôtres dans l'environnement JavaScript du jeu. Steam affirme qu'il « crée des codeurs, souvent à partir de joueurs qui n'ont jamais écrit une ligne de code ». La courbe d'apprentissage est raide et la communauté fait tout le contenu, ce qui explique les évaluations « Plutôt positives ».

4. EXAPUNKS (19,99 $) et TIS-100 (6,99 $) : l'assembleur en puzzle

Les deux viennent de Zachtronics. Dans EXAPUNKS (2018), vous programmez de petits agents dans un langage proche de l'assembleur pour pénétrer des réseaux, en apprenant les règles dans des fanzines de hackers intégrés au jeu. TIS-100 (2015) se présente comme « le jeu de programmation en assembleur que vous n'avez jamais demandé » et fournit un manuel de référence imprimable. Aucun des deux n'enseigne directement le x86. Ce qu'ils enseignent, ce sont les registres, les sauts et l'art de penser en minuscules instructions, le déclic le plus difficile en rétro-ingénierie et en exploitation de binaires. TIS-100 affiche des évaluations « Extrêmement positives » sur Steam et c'est l'un des jeux les moins chers de la liste.

5. Grey Hack (19,99 $) : un bac à sable Unix multijoueur

Grey Hack (Loading Home, 2017) est un simulateur de hacking toujours en ligne, avec des réseaux générés de façon procédurale, un terminal « basé sur de vraies commandes UNIX », un explorateur de fichiers et un éditeur de texte. Les commandes et les exploits sont écrits en GreyScript, un fork du langage MiniScript, et les joueurs les réécrivent librement. Steam le présente toujours comme une bêta (version 0.9) des années après sa sortie en 2017, attendez-vous donc à quelques imperfections. Il existe un mode solo si vous n'avez pas envie que d'autres joueurs vous volent vos fichiers.

6. NITE Team 4 (19,99 $) : le plus proche d'une vraie méthodologie

NITE Team 4 (Alice & Smith, 2019) est le jeu commercial qui s'appuie le plus sur des techniques réelles. Son Training Boot Camp couvre la collecte d'informations, le scan de ports, le fingerprinting, la recherche d'exploits et l'investigation numérique, sur plus de 70 missions. Il tourne uniquement sous Windows et Mac. Nous n'avons pas pu vérifier à quel point ses outils imitent les vrais, prenez-le donc comme une initiation à la méthodologie plutôt qu'une formation aux outils.

Amusants, mais à éviter si vous voulez apprendre

• Uplink : un classique de 2001 à l'ambiance géniale, mais Wikipédia décrit son hacking comme « très simplifié et presque entièrement automatisé ». Vous cliquez sur des outils, vous ne les utilisez pas.
• Hacker Simulator (24,99 $) : sa propre page Steam précise qu'il ne s'agit pas d'une « simulation de hacking réaliste à l'identique ». Il reprend tout de même une version simplifiée de la suite Wi-Fi Aircrack-ng, ce qui permet de découvrir les noms des outils.
• Watch Dogs : un jeu d'action en monde ouvert. Pirater un feu rouge d'une pression de bouton n'est pas une compétence.

Les jeux de hacking gratuits où le piratage est réel

Tout ce qui figure dans cette section est gratuit, légal et conçu par des gens qui veulent que vous l'attaquiez. Les systèmes sont réels, donc les compétences aussi.

7. OverTheWire Bandit (et Natas) : le premier jeu classique

C'est avec Bandit que la plupart des gens commencent le vrai hacking, et ce n'est pas un hasard. Chaque niveau cache le mot de passe du suivant quelque part sur un serveur Linux, et vous le trouvez au terminal. Le jeu compte actuellement 34 niveaux, numérotés de 0 à 33. Votre premier geste constitue à lui seul le tutoriel :

ssh [email protected] -p 2220
# password: bandit0
bandit0@bandit:~$ ls
readme
bandit0@bandit:~$ cat readme

Dans les derniers niveaux, vous manipulez des binaires setuid, des tâches cron et l'historique git, autant de choses que vous retrouverez en élévation de privilèges. Une fois Bandit terminé, Natas fait la même chose pour la sécurité web, avec un site protégé par mot de passe à chaque niveau. Si vous préférez rester dans le navigateur dès le premier jour, les missions Basic de HackThisSite reprennent ce principe d'un mot de passe par niveau, et notre guide HackThisSite pour débutants explique ce qu'enseigne chacune d'elles. Notre guide des wargames OverTheWire passe en revue chaque wargame et l'ordre dans lequel les jouer. Site : overthewire.org.

8. OWASP Juice Shop : toute une boutique web vulnérable

OWASP Juice Shop est une fausse boutique de jus de fruits en ligne truffée de vraies vulnérabilités, de l'injection SQL au contrôle d'accès défaillant. C'est un projet OWASP de niveau Flagship, gratuit sous licence MIT, et il se lance en local en une seule commande :

docker run --rm -p 127.0.0.1:3000:3000 bkimminich/juice-shop

Ouvrez http://localhost:3000 et commencez à fouiller. La partie jeu, c'est un tableau des scores caché qui suit chaque défi résolu, et trouver ce tableau est déjà l'un des défis. Associez-le à Burp Suite et vous faites exactement ce que fait un pentesteur web junior le premier jour.

9. Le XSS game de Google : le cross-site scripting en six petites applis

Le XSS game de Google est court et efficace. Chaque niveau est une petite application web avec une faille de cross-site scripting, et vous gagnez en lui faisant exécuter alert(). Il date un peu, mais le XSS n'a pas beaucoup changé, et les derniers niveaux enseignent ce que les tutoriels oublient souvent : le code vulnérable se trouve fréquemment dans le JavaScript de la page, pas sur le serveur.

10. Microcorruption : la rétro-ingénierie d'une serrure

Microcorruption a été créé par Matasano Security et Square en 2014 et il est toujours en ligne. Vous disposez d'un débogueur dans le navigateur, branché sur le firmware d'une serrure électronique fictive, avec désassemblage, mémoire, registres et points d'arrêt, et votre mission est d'ouvrir la serrure. Le code est du vrai assembleur MSP430. C'est l'introduction à la rétro-ingénierie la plus douce que nous connaissions, et elle se marie parfaitement avec EXAPUNKS si les jeux Zachtronics vous ont plu.

11. Cryptopals : casser de la crypto en écrivant du code

Les défis Cryptopals forment 8 séries d'exercices qui commencent par des conversions en hexadécimal et en base64 et se terminent par des attaques contre de la cryptographie utilisée dans le monde réel. Pas de tableau des scores, pas d'histoire, seulement des problèmes de plus en plus durs. Il faut écrire du code (Python est le choix habituel), ce qui en fait la meilleure suite à Bitburner pour ceux qui ont préféré la programmation au thème du hacking.

12. Hacker101 CTF : le capture the flag de HackerOne

HackerOne gère Hacker101 CTF, une série gratuite de défis web avec des flags à capturer. À son lancement en 2018, HackerOne liait les flags à des invitations dans des programmes de bug bounty privés. La page « about » actuelle ne le mentionne plus, jouez-y donc pour vous entraîner, pas pour décrocher un ticket. C'est une bonne passerelle entre Juice Shop et de vraies cibles de bug bounty.

13. SANS Holiday Hack Challenge : le plus « jeu » de tous

Chaque année, le SANS ouvre un monde en ligne gratuit avec des avatars, une histoire et des dizaines de vrais défis. L'édition 2025, « Revenge of the Gnome(s) », a été lancée le 5 novembre 2025 pour les dix ans du challenge, avec des micro-défis de 10 à 15 minutes pour les débutants et des défis finaux plus durs pour les vétérans. Le cyber range reste ouvert toute l'année, même après la clôture des participations au concours, et une nouvelle édition ouvre en général en novembre. Si vous voulez que votre premier jeu de hacking ressemble à un vrai jeu, commencez ici.

14. Gandalf: Agent Breaker : pirater une IA avec des mots

Le Gandalf original de Lakera était un jeu d'injection de prompt : amener un chatbot à révéler un mot de passe. L'ancienne adresse gandalf.lakera.ai redirige désormais vers Gandalf: Agent Breaker, lancé en septembre 2025, où vous attaquez dix applications propulsées par l'IA. Pas besoin de code, seulement des mots et de l'imagination, et la compétence est on ne peut plus actuelle : l'injection de prompt arrive en tête de la liste OWASP des risques pour les applications LLM.

15. Le Daily Hack de HackerDNA : une vraie énigme par jour

Le daily hack repose sur une idée simple : un défi court et autonome par jour, sans Docker, sans VPN et sans machine virtuelle. Un défi récent vous fournit des journaux publics de certificate transparency et vous demande quel nom d'hôte « interne uniquement » est réellement joignable sur Internet. Le piège : un certificat tout juste émis pour un hôte qui n'existe plus. C'est du vrai raisonnement OSINT en sept minutes environ, et comme un nouveau défi arrive chaque jour, c'est l'habitude la plus facile à tenir de toute cette liste.

Par quel jeu de hacking commencer ?

Choisissez selon ce que vous voulez améliorer, pas selon ce qui a l'air le plus cool. Voici comment nous orienterions un ami :

1. Vous n'avez jamais ouvert de terminal : jouez à Hacknet un week-end pour dépasser l'appréhension, puis attaquez OverTheWire Bandit.
2. Vous voulez apprendre à coder : Bitburner d'abord, Cryptopals ensuite. Les deux récompensent l'écriture de scripts plutôt que les clics.
3. Le hacking web vous attire : le XSS game de Google le temps d'un après-midi, puis OWASP Juice Shop, puis Hacker101 CTF.
4. La rétro-ingénierie vous intrigue : TIS-100 ou EXAPUNKS pour acquérir le bon état d'esprit, puis Microcorruption pour passer au concret.
5. Vous vous intéressez à l'IA : Gandalf: Agent Breaker. Vous comprendrez mieux l'injection de prompt en une heure qu'avec n'importe quel article.
6. Vous n'avez que dix minutes par jour : un daily hack chaque matin. La régularité bat les sessions marathon.

Dans la pratique, ceux qui tiennent sur la durée associent un jeu « fun » à un jeu « réel ». Hacknet sur le canapé, Bandit au bureau. Le jeu fun entretient la motivation, le jeu réel construit la compétence, et au bout de quelques semaines, c'est le jeu réel qui devient le plus fun.

Des jeux de hacking aux vrais CTF

Chaque vrai jeu de hacking de cette liste est un CTF déguisé. Les niveaux de Bandit, les défis de Juice Shop et les flags de Hacker101 suivent tous la même boucle : trouver la faiblesse, extraire un secret, le soumettre, passer au suivant. Une fois cette boucle devenue naturelle, vous êtes prêt pour la suite. Notre guide du CTF pour débutants explique les catégories et les outils, et quand vous voudrez un tableau des scores avec d'autres humains dessus, lisez comment participer à votre première compétition CTF.

La plus grande différence tient à la structure. Les jeux vous donnent des niveaux dans l'ordre. Un CTF vous donne vingt défis d'un coup, sans indiquer lequel est facile. L'habitude qui comble cet écart, c'est la prise de notes : notez chaque commande lancée et pourquoi, même au niveau 3 de Bandit. Ces notes deviennent des write-ups, et les write-ups sont ce que vous montrez à un employeur.

Une dernière remarque, en toute honnêteté. Les jeux de hacking sont excellents pour enseigner les outils et mauvais pour enseigner les fondamentaux comme le réseau et HTTP. Si le niveau 14 de Bandit vous bloque net parce que vous ne savez pas ce qu'est un port, ce n'est pas un manque d'effort, c'est un manque de théorie. Comblez-le, puis revenez.

Considérations légales et éthiques

• Restez dans le périmètre : OverTheWire, Hacker101 et les autres plateformes autorisent les attaques sur leurs défis, pas sur leur propre infrastructure ni sur les machines des autres joueurs.
• Tricher dans un jeu en ligne, c'est autre chose : utiliser des exploits ou des outils de triche dans un jeu multijoueur enfreint les conditions d'utilisation, fait bannir des comptes et, selon le pays et la méthode, peut causer des ennuis judiciaires. Ce n'est pas ce que « jeux de hacking » veut dire dans ce guide.
• Ne partagez pas les solutions des défis en cours : les write-ups de niveaux retirés sont bienvenus. Publier les mots de passe de défis actifs gâche le jeu pour tout le monde.
• Gardez les applications vulnérables en local : lancez Juice Shop lié à 127.0.0.1 comme indiqué plus haut. Exposer une application volontairement vulnérable sur un serveur public attire de vrais attaquants.

Questions fréquentes