PortSwigger Web Security Academy : guide débutant (2026)

Qu'est-ce que la PortSwigger Web Security Academy ?

La PortSwigger Web Security Academy est une plateforme gratuite de formation en ligne à la sécurité des applications web, créée par PortSwigger, l'éditeur de Burp Suite. Elle enseigne des classes de vulnérabilités comme l'injection SQL, le XSS ou la SSRF à travers des cours écrits associés à des labs interactifs : de vraies applications web volontairement vulnérables, que vous exploitez pour valider le lab.

Le contenu est rédigé par l'équipe de recherche de PortSwigger, les mêmes personnes qui présentent de nouvelles techniques d'attaque dans des conférences comme Black Hat. C'est pour cela qu'il va plus loin que la plupart des ressources gratuites. Le sujet injection SQL compte à lui seul 16 labs, et le cross-site scripting en compte 30.

Ce que couvre l'Academy

La liste des sujets de l'Academy compte actuellement 31 entrées. Regroupées à peu près dans l'ordre où un débutant devrait les aborder :

• Les classiques côté serveur : injection SQL, authentification, path traversal, injection de commandes OS, failles de logique métier, divulgation d'informations, contrôle d'accès, upload de fichiers, SSRF, XXE, injection NoSQL, tests d'API et race conditions.
• Côté client : cross-site scripting, CSRF, CORS, clickjacking, vulnérabilités basées sur le DOM et WebSockets.
• Avancé : HTTP request smuggling, web cache poisoning et web cache deception, désérialisation non sécurisée, injection de templates côté serveur, prototype pollution, OAuth, attaques JWT, GraphQL, attaques sur l'en-tête Host et attaques sur les LLM web.
• Essential skills : un court sujet pour travailler plus vite avec Burp, utile une fois que vous avez quelques labs derrière vous.

De nouveaux sujets apparaissent régulièrement. Les attaques sur les LLM web et le web cache deception font partie des ajouts récents : l'Academy suit ce que font les attaquants aujourd'hui, pas ce qu'ils faisaient en 2015.

La PortSwigger Academy est-elle vraiment gratuite ?

Oui. PortSwigger présente l'Academy comme « 100 % gratuite », et c'est vrai : chaque cours, chaque lab et chaque solution officielle est accessible avec un compte gratuit. Pas de paywall au milieu d'un sujet, pas d'essai qui expire.

L'argent n'intervient qu'à trois endroits :

• Burp Suite Professional (499 $) : la plupart des labs se résolvent avec la Community Edition gratuite. Une poignée exige Burp Collaborator, inclus dans la version Professional. Le pare-feu de l'Academy bloque le trafic des labs vers des serveurs externes quelconques, donc aucune alternative gratuite ne fonctionne pour ces labs out-of-band. Laissez-les de côté en tant que débutant.
• La vitesse de Burp Intruder : la Community Edition ne contient qu'une version de démonstration d'Intruder, l'outil de force brute et de fuzzing. Les labs qui demandent de tester quelques centaines de mots de passe sont lents, mais restent faisables.
• La certification BSCP (99 $) : facultative, et elle exige en plus une licence Burp Suite Professional active. Nous y revenons plus bas.

Notre avis : n'achetez rien avant d'avoir résolu au moins 50 labs avec la Community Edition. À ce stade, vous saurez si la sécurité web vous plaît, et les labs réservés à la version Pro seront les seuls à vous bloquer.

Comment fonctionnent les labs

Chaque page de sujet se lit comme un court chapitre de manuel, avec des liens vers les labs là où ils ont leur place. Quand vous cliquez sur « Access the lab », l'Academy lance une copie privée d'une application web vulnérable rien que pour vous, souvent une fausse boutique en ligne ou un blog, sur son propre sous-domaine. La description du lab vous donne l'objectif, et le bandeau en haut de page passe à « Solved » dès que vous l'atteignez.

Apprentice, Practitioner et Expert

Chaque lab porte l'un de ces trois niveaux de difficulté :

• Apprentice : le cas d'école. Le cours juste au-dessus vous dit presque exactement quoi faire. La plupart prennent 5 à 15 minutes.
• Practitioner : une vraie marche. Vous connaissez la classe de faille, mais vous devez trouver où elle se cache, enchaîner deux idées ou contourner un filtre. PortSwigger attend que vous les maîtrisiez avant de tenter sa certification.
• Expert : du niveau recherche. Certains donnent du fil à retordre à des professionnels. Laissez-les de côté pendant vos premiers mois.

Les conventions que vous verrez partout

Quelques détails récurrents déroutent les nouveaux joueurs, alors les voici d'emblée :

• wiener:peter est votre propre compte de test, dans les labs qui vous en fournissent un. Connectez-vous avec ce compte pour voir ce que voit un utilisateur normal.
• carlos est la victime habituelle. Beaucoup de labs se résolvent en supprimant son compte ou en volant ses données.
• administrator est le compte que vous cherchez le plus souvent à prendre.
• L'exploit server est une page hébergée pour vous par PortSwigger dans les labs côté client (XSS, CSRF, clickjacking). Vous y placez votre HTML malveillant et vous le « livrez » à une victime simulée.

Solutions, vidéos de la communauté et mystery labs

Sous chaque lab se trouve une solution officielle repliée, ainsi que des liens vers des walkthroughs vidéo de créateurs comme Rana Khalil, z3nsh3ll ou Michael Sommer. Les vidéos de Rana Khalil sont particulièrement appréciées des débutants parce qu'elle explique pourquoi chaque étape fonctionne, pas seulement quoi taper.

Une fois un sujet maîtrisé, le mystery lab challenge vous sert un lab aléatoire sans titre ni description : à vous de trouver la faille. C'est bien plus proche d'un vrai test, et de l'examen de certification. L'Academy tient aussi un Hall of Fame : les premiers à résoudre chaque nouveau lab voient leur nom affiché et reçoivent des goodies Burp.

Installation : Burp Suite Community et son navigateur intégré

Vous pouvez résoudre quelques labs Apprentice avec la seule barre d'adresse, mais il vous faudra un proxy d'interception dès la première heure. Burp Suite Community Edition est gratuit, et l'installation prend environ cinq minutes :

1. Téléchargez et installez Burp Suite Community Edition depuis le site de PortSwigger. L'installateur embarque son propre environnement Java.
2. Lancez un projet temporaire avec les réglages par défaut de Burp. La Community Edition ne peut pas enregistrer de projets, donc ne vous attardez pas sur cet écran.
3. Ouvrez le navigateur de Burp depuis l'onglet Proxy (« Open browser »). C'est un Chromium qui fait déjà confiance au certificat de Burp : vous évitez la configuration du proxy et du certificat qui bloque la plupart des débutants.
4. Connectez-vous à l'Academy dans ce navigateur, ouvrez un lab, et regardez les requêtes apparaître dans Proxy > HTTP history.

Si vous voulez d'abord une visite plus complète de Proxy, Repeater et Intruder, notre tutoriel Burp Suite pour débutants présente chaque outil avec des captures de ce que vous devez voir.

Votre premier lab PortSwigger, pas à pas

Commencez par le tout premier lab d'injection SQL : SQL injection vulnerability in WHERE clause allowing retrieval of hidden data. La description du lab vous indique que l'application exécute une requête de ce type quand vous choisissez une catégorie de produits :

SELECT * FROM products WHERE category = 'Gifts' AND released = 1

Votre objectif : faire afficher par la boutique les produits non publiés, ceux qui ont released = 0.

1. Trouvez l'entrée : cliquez sur n'importe quelle catégorie de la boutique. Dans l'historique HTTP de Burp, vous verrez une requête comme GET /filter?category=Gifts.
2. Envoyez-la dans Repeater : clic droit sur la requête, puis « Send to Repeater ». Vous pouvez alors la modifier et la renvoyer autant de fois que vous voulez.
3. Cassez la requête : remplacez le paramètre par category=Gifts' et envoyez. Une simple apostrophe qui provoque une erreur serveur est le premier signe classique d'une injection SQL.
4. Injectez le payload : remplacez-le par category=Gifts'+OR+1=1-- et envoyez. Les signes + sont des espaces encodés pour l'URL.
5. Chargez-la dans le navigateur : collez la même URL dans le navigateur de Burp. La page liste tous les produits, et le bandeau du lab passe à « Solved ».

Pourquoi ça marche : la requête devient WHERE category = 'Gifts' OR 1=1--' AND released = 1. Comme 1=1 est toujours vrai, toutes les lignes correspondent, et le -- met en commentaire la condition released = 1. Vous n'avez rien deviné. Vous avez lu la requête, puis réécrit sa logique.

Le lab suivant, SQL injection vulnerability allowing login bypass, applique la même idée à un formulaire de connexion : le nom d'utilisateur administrator'-- met en commentaire la vérification du mot de passe. En deux labs, vous avez appris l'attaque web la plus célèbre qui soit. Pour aller plus loin, avec les techniques UNION et à l'aveugle, notre tutoriel sur l'injection SQL dépasse ce que couvrent les premiers labs de l'Academy.

Un parcours débutant dans l'Academy

PortSwigger propose désormais des parcours d'apprentissage (learning paths), et ce sont des choix par défaut raisonnables. Mais l'erreur de débutant la plus fréquente consiste à suivre la liste des sujets de haut en bas et à tomber sur le request smuggling dès la deuxième semaine. Voici l'ordre que nous recommandons, en ne faisant que les labs Apprentice de chaque sujet avant de passer au suivant :

1. Injection SQL : l'introduction la plus claire à l'idée « mon entrée a modifié la logique du serveur ». Les labs Apprentice sont courts et gratifiants.
2. Authentification : énumération de noms d'utilisateur, 2FA cassée et failles de réinitialisation de mot de passe. Vous apprenez à lire les réponses de près, jusqu'aux plus petites différences dans les messages d'erreur.
3. Path traversal : peu de labs, et l'idée (../../../etc/passwd) vous restera pour toujours.
4. Contrôle d'accès : la classe de faille la plus courante dans la réalité. Modifier un identifiant, la valeur d'un cookie ou un champ de formulaire caché suffit pour la plupart de ces labs.
5. Injection de commandes OS et upload de fichiers : votre premier contact avec l'exécution de code sur le serveur.
6. Cross-site scripting : faites les labs Apprentice reflected et stored. Gardez les labs DOM et Practitioner pour votre deuxième passage : le XSS compte 30 labs et il est facile de s'y noyer.
7. SSRF : un sujet court et moderne, omniprésent dans les rapports de bug bounty sur le cloud.

Ensuite, revenez au début et faites les labs Practitioner de ces sept mêmes sujets. Seulement après, élargissez au CSRF, au XXE, à la logique métier et à la liste avancée. Le request smuggling, le web cache poisoning et la prototype pollution sont passionnants, mais ils supposent que vous raisonnez déjà en requêtes HTTP brutes.

Un rythme raisonnable : cinq labs Apprentice par semaine si vous travaillez ou étudiez à plein temps. En pratique, un sujet par week-end est un rythme qui résiste à un mois chargé, et à ce rythme le tronc commun de sept sujets prend environ deux mois. Vouloir finir toute l'Academy en un mois, c'est le meilleur moyen de s'épuiser quelque part au milieu du XSS.

La PortSwigger Academy est-elle adaptée aux débutants ?

Oui, avec une réserve : elle suppose que vous comprenez déjà le fonctionnement du web. Les cours n'expliquent pas ce qu'est une requête HTTP, comment les cookies vous gardent connecté ni ce que fait une redirection 302. Si ces notions sont floues, passez d'abord une semaine sur les bases du web, sinon les labs Apprentice ressembleront à des tours de magie plutôt qu'à des leçons.

Ce qu'elle fait très bien :

• La précision : le contenu est techniquement exact et à jour, écrit par des gens dont le métier est de trouver ces failles.
• Le rythme cours puis lab : vous lisez la théorie d'une faille et l'exploitez dans les cinq minutes qui suivent, et c'est comme ça qu'elle s'ancre.
• Des outils réalistes : vous apprenez sur Burp Suite, le proxy qu'utilisent chaque jour les testeurs web professionnels.

Là où les débutants coincent :

• Rien entre « aucune aide » et « solution complète » : la plupart des labs vous donnent soit la description, soit la réponse entière. Il y a rarement un coup de pouce intermédiaire.
• Un texte dense : certaines pages de sujet sont de longs blocs d'explications. Lisez une section, faites le lab, revenez. Ne lisez pas tout un sujet d'une traite.
• Le saut vers Practitioner : les labs Apprentice suivent le cours presque mot pour mot. Les labs Practitioner attendent que vous vous adaptiez, et la marche est haute.

Notre règle pour les solutions : accordez 20 minutes honnêtes à chaque lab avant d'ouvrir la réponse. Si vous en avez encore besoin, lisez uniquement la première étape, refermez, et réessayez. Lire la solution complète et la recopier valide le lab, mais vous serez incapable de le refaire la semaine suivante.

Burp Suite Certified Practitioner (BSCP) : est-ce que ça vaut le coup ?

L'Academy mène à la certification de PortSwigger, la Burp Suite Certified Practitioner. D'après les pages officielles de la certification, le format est le suivant :

• Prix : 99 $ par tentative. Repasser l'examen implique d'en acheter un nouveau.
• Format : quatre heures, deux applications vulnérables, chacune en trois étapes. Vous devez réellement exploiter chaque faille pour progresser, pas seulement la détecter.
• Prérequis : une licence Burp Suite Professional active (la Community Edition n'est pas acceptée), plus une webcam et un micro pour la vérification d'identité automatisée.
• Examen blanc : gratuit, tentatives illimitées, deux heures, une seule application.
• Validité : cinq ans après la réussite.

PortSwigger conseille lui-même de réussir tous les labs de niveau Practitioner ou inférieur sans les solutions avant de tenter l'examen. Prenez ce conseil au pied de la lettre. L'examen ne vous dit pas quelle classe de vulnérabilité vous cherchez, et c'est pour cela que les mystery labs sont la meilleure préparation.

Est-ce que ça vaut le coup ? Pour un débutant, pas encore. Le coût total est de 99 $ plus un an de Burp Pro, et l'examen vise des gens qui testent déjà des applications web. En revanche, une fois les labs Practitioner terminés, c'est l'une des certifications pratiques les moins chères qui soient vraiment crédibles auprès des testeurs web, et elle se marie bien avec un profil de bug bounty. D'ici là, c'est l'Academy gratuite elle-même qui a de la valeur.

PortSwigger Academy face aux autres façons gratuites d'apprendre le hacking web

L'Academy n'est pas la seule option gratuite, et ce n'est pas la meilleure première étape pour tout le monde. Voici comment elle se compare aux alternatives que les débutants envisagent le plus souvent :

Ces options fonctionnent mieux ensemble. L'Academy, c'est le manuel : elle enseigne chaque faille isolément. OWASP Juice Shop est l'application réaliste où personne ne vous dit quelle est la faille. Les labs façon CTF vous obligent à enchaîner reconnaissance, exploitation et élévation de privilèges en une attaque complète. La plupart des bons testeurs web sont passés par les trois.

Considérations légales et éthiques

• Attaquez le lab, pas la plateforme : votre cible est le sous-domaine de lab qui vous a été attribué. Ne scannez pas et ne fuzzez pas portswigger.net lui-même ni les instances des autres utilisateurs.
• Gardez vos payloads dans l'Academy : l'exploit server et Burp Collaborator existent pour que vos attaques restent confinées. Ne pointez pas de code d'exploitation vers de vrais sites tiers.
• Ne réutilisez pas les techniques sur des sites réels : ajouter ' OR 1=1-- à l'URL d'une vraie boutique « juste pour voir » constitue un test non autorisé dans la plupart des pays. Passez par des programmes de bug bounty, avec leur périmètre écrit, quand vous voulez de vraies cibles.
• Respectez les règles de l'examen : la BSCP se passe à livre ouvert, mais partager le contenu ou les solutions de l'examen enfreint les conditions de PortSwigger et dévalorise le certificat de tout le monde.

Questions fréquentes