Technique · Enquête · Communication ✳ mise à jour le 8 septembre 2026

Pentester

Aussi appelé : Testeur d'intrusion, Auditeur de sécurité technique, Hacker éthique, Consultant sécurité offensive, Auditeur PASSI, Red Teamer (variante plus large).

Le pentester attaque, avec autorisation, les systèmes d'une organisation pour trouver les failles avant les attaquants, puis explique comment les corriger.

Ce que fait vraiment un pentester

• Cadrer la mission avec le client : périmètre, règles d'engagement, autorisations écrites
• Reconnaître la cible : cartographier les services exposés, les technologies, les points d'entrée
• Rechercher et exploiter des vulnérabilités sur des applications web, des réseaux internes, des annuaires Active Directory, des applications mobiles ou des objets connectés
• Enchaîner les failles pour mesurer l'impact réel : jusqu'où un attaquant pourrait-il aller ?
• Rédiger un rapport clair, avec la gravité de chaque faille, la preuve et la correction recommandée
• Restituer les résultats aux équipes techniques et aux décideurs
• Assurer une veille permanente sur les nouvelles techniques d'attaque et les vulnérabilités publiées

Journée type

Deuxième jour d'un test d'intrusion interne chez un client. La veille, la cartographie du réseau a révélé un vieux serveur oublié. Matinée : exploitation d'une faille connue sur ce serveur, récupération d'identifiants, tentative de rebond vers l'annuaire Active Directory. Point rapide avec le contact client pour signaler une faille critique sans attendre la fin de mission. Après-midi : escalade de privilèges, captures d'écran et notes précises pour le rapport. Fin de journée : structuration du rapport, gravité de chaque faille, recommandations. Le lendemain sera consacré à la rédaction et à la relecture par un pair.

Faut-il savoir coder ?

Oui, au moins un peu. Il faut lire du code pour comprendre une application, écrire des scripts (Python, Bash) pour automatiser une attaque et adapter des outils existants. Pas besoin d'être développeur professionnel, mais un pentester qui ne code pas du tout plafonne vite.

Les profils qui réussissent

Les esprits qui aiment démonter les choses pour comprendre comment elles marchent, et qui persistent quand ça résiste. Anciens développeurs (ils connaissent les erreurs qu'ils ont eux-mêmes commises), anciens administrateurs systèmes ou réseaux (ils savent où les configurations sont fragiles), passionnés d'informatique autodidactes qui pratiquent déjà sur des plateformes de challenge (CTF, Hack The Box, Root-Me). Les reconversions réussies viennent souvent de gens capables de s'entraîner seuls plusieurs heures par semaine pendant un ou deux ans. Il faut aussi savoir écrire : la moitié du métier, c'est le rapport.

Compétences transférables

• Ancien développeur web ou logiciel : lecture de code, logique applicative, compréhension des erreurs classiques
• Ancien administrateur systèmes ou réseaux : architectures, Active Directory, configurations, protocoles
• Ancien technicien QA ou testeur logiciel : recherche systématique de cas limites, documentation des anomalies
• Ancien chercheur, ingénieur R&D ou mathématicien : méthode, persévérance, rigueur de démonstration
• Ancien rédacteur, journaliste ou enseignant : capacité à expliquer un problème technique à des non-techniciens

Compétences à acquérir

• Réseaux et systèmes en profondeur (Linux, Windows, Active Directory)
• Vulnérabilités applicatives web (référentiel OWASP) et leur exploitation
• Scripting Python et Bash, lecture de plusieurs langages
• Outils du métier : Burp Suite, Nmap, Metasploit, BloodHound, et surtout leur logique
• Méthodologies de test (PTES, OWASP Testing Guide) et cadre légal (autorisation, périmètre)
• Rédaction de rapport et restitution orale

Voies d’accès et certifications

• Master ou école d'ingénieurs en cybersécurité, avec stage en cabinet d'audit
• Première expérience en développement, en administration systèmes ou en SOC, puis bascule vers l'offensif
• Formation de reconversion spécialisée (bootcamp offensif ou titre RNCP), à condition d'y ajouter beaucoup de pratique personnelle
• Pratique autodidacte documentée : plateformes de challenge, write-ups publiés, participation à des programmes de bug bounty
• Entrée par un cabinet d'audit ou une ESN qualifiée PASSI, souvent en junior encadré

Certifications utiles

OSCP (OffSec, la référence pratique) · eJPT (porte d'entrée abordable) · PNPT (TCM Security, orientée mission réelle) · CRTP (Active Directory) · Burp Suite Certified Practitioner (web) · En France : qualification PASSI de l'ANSSI, portée par le prestataire et non par l'individu

Salaire indicatif

Moyenne 45 000 € brut annuel (Glassdoor France, décembre 2025, données déclaratives). Fourchettes d'écoles : 50 000 à 65 000 € brut annuel en moyenne (Jedha, 2026) ; 50 000 à 65 000 € après trois à cinq ans d'expérience (Oteria, 2025). Aucun chiffre Hays, Robert Half ou Michael Page visible pour ce poste dans les extraits consultés.

Source ✳ Glassdoor France, décembre 2025 ; Jedha, 2026 ; Oteria, 2025 · lien

Repère indicatif, jamais une promesse. Les fourchettes varient selon la région, l’expérience et la source ; nous n’affichons que des chiffres dont la source est visible.

L’idée reçue

Idée reçue : le pentester est un hacker solitaire qui casse tout en une nuit. Réalité : c'est un consultant qui travaille sur un périmètre autorisé, sous contrat, avec des délais, et qui passe autant de temps à rédiger et restituer qu'à attaquer. Un pentest sans bon rapport ne sert à rien au client.