En 2026, 60% des entreprises françaises déclarent avoir subi une attaque web visant leurs applications, selon le baromètre ANSSI 2026. Le métier de Burp Suite Engineer émerge comme une spécialisation pointue dans la cybersécurité offensive et défensive. Ce professionnel maîtrise l’écosystème Burp Suite pour identifier, analyser et corriger les vulnérabilités applicatives. Contrairement à un pentesteur généraliste, il focalise son expertise sur un outil central. Il ne remplace pas un développeur sécurisé, mais il collabore avec lui. Son rôle gagne en importance avec la multiplication des API et des architectures cloud. La demande pour ce profil explose, portée par les obligations réglementaires européennes.
Périmètre du métier et différences vs métiers proches
Le Burp Suite Engineer se distingue du pentesteur classique par sa spécialisation exclusive sur la suite logicielle PortSwigger Burp Suite. Il ne réalise pas de tests d’intrusion réseau bas niveau. Son travail porte sur le trafic HTTP/HTTPS, les API REST et GraphQL, et les applications web en général. Il maîtrise l’outil, de l’interception de requêtes jusqu’à l’écriture d’extensions BApp en Java ou Python.
À la différence d’un AppSec Engineer, il n’est pas responsable de la politique de sécurité applicative globale. Il exécute des tests précis sur des cibles définies. Face à un DevSecOps, il n’intègre pas directement la chaîne CI/CD, mais il fournit des rapports exploitables pour automiser la détection.
Le périmètre inclut la configuration de l’outil, la rédaction de scénarios de test, l’analyse des faux positifs, et la documentation des preuves de concept (PoC). Il peut aussi former des équipes internes à l’utilisation de Burp Suite Professional ou Enterprise.
Réglementation 2026
Le cadre légal se durcit en 2026. La directive NIS 2, transposée en droit français via la loi du 15 mars 2025, impose des audits de sécurité applicative réguliers aux entités essentielles et importantes. Le Règlement Général sur la Protection des Données (RGPD) continue d’exiger la sécurisation des traitements de données. L’article 32 impose des mesures techniques appropriées, dont des tests d’intrusion.
La loi de programmation militaire 2024-2030 renforce les obligations pour les opérateurs d’importance vitale (OIV). Le décret n° 2025-487 du 12 juin 2025 précise les modalités des audits de sécurité pour les applications web critiques.
La convention collective applicable dépend du secteur : IDCC 1486 (Bureaux d’études techniques, ingénieurs et cadres) pour les sociétés de conseil, IDCC 3018 (Opérateurs de communications électroniques) pour les fournisseurs de services numériques. Le statut cadre est quasiment systématique pour ce poste.
Spécialités et sous-métiers
Le métier se décline en plusieurs spécialités :
- Burp Suite Enterprise Engineer : déploie et maintient l’infrastructure d’analyse automatisée en entreprise, gère les scans planifiés et l’intégration avec les SIEM.
- Burp Suite Tooling Engineer : développe des extensions BApp sur mesure, écrit des scripts de customisation en Java ou Python, améliore les flux de travail.
- Burp Suite API Security Specialist : focalise ses tests sur les API REST, GraphQL, gRPC, avec des configurations spécifiques pour les endpoints critiques.
- Burp Suite Automation Architect : intègre l’outil dans les pipelines CI/CD (Jenkins, GitLab CI), conçoit des chaînes de tests automatisés pour les releases.
- Burp Suite Trainer : forme les équipes internes, conçoit des ateliers pratiques, certifie les collaborateurs sur l’outil.
Stack technique et outils 2026
La maîtrise technique ne se limite pas à Burp Suite. Le professionnel combine plusieurs outils pour couvrir l’ensemble du cycle de test.
| Outil | Usage principal | Type |
|---|---|---|
| Burp Suite Professional 2026 | Interception, scan passif/actif, répéteur | Payant |
| Burp Suite Enterprise 2026 | Automatisation des scans, rapports centralisés | Payant |
| OWASP ZAP 3.0 | Alternative open source, scan automatisé | Gratuit |
| Python 3.12 + Requests | Scripts de fuzzing, PoC, extensions BApp | Gratuit |
| Docker / Kubernetes | Déploiement d’environnements de test isolés | Gratuit |
La connaissance des protocoles HTTP/2, WebSocket, et OAuth 2.0 est indispensable. Les environnements cloud (AWS, Azure, GCP) sont fréquents. L’intégration avec Jira, Slack, et Splunk est courante pour le suivi des vulnérabilités.
Grille salariale détaillée 2026
Les salaires varient selon l’expérience, la localisation et le secteur. Les données ci-dessous proviennent des enquêtes APEC 2026 et Michael Page Tech 2026.
| Niveau | Expérience | Salaire minimum | Salaire médian | Salaire maximum |
|---|---|---|---|---|
| Junior | 0-2 ans | 32 000 € | 35 000 € | 40 000 € |
| Confirmé | 3-5 ans | 40 000 € | 48 000 € | 55 000 € |
| Senior | 5-10 ans | 55 000 € | 65 000 € | 80 000 € |
| Expert | 10+ ans | 70 000 € | 85 000 € | 100 000 € |
Les primes de performance et l’intéressement peuvent ajouter 5% à 15% du salaire de base. Les postes en région parisienne offrent 15% de plus en moyenne par rapport aux autres régions, selon France Travail 2026.
Formations et diplômes reconnus
Il n’existe pas de diplôme unique pour ce métier. Plusieurs parcours y mènent. Les formations initiales en cybersécurité sont nombreuses.
- Master en cybersécurité (Université de Bordeaux, Université de Rennes 1) – RNCP niveau 7.
- Diplôme d’ingénieur en informatique avec spécialisation sécurité (ENSEIRB-MATMECA, INSA Lyon, Télécom Paris) – RNCP niveau 7.
- Certification PortSwigger Web Security Academy (niveaux Practitioner et Expert) – reconnue dans le secteur privé sans référencement RNCP explicite.
- Formation Burp Suite Certified Practitioner (BSCP) : examen officiel PortSwigger, valant certification technique.
- Bachelor en cybersécurité (EPSI, ESGI) – RNCP niveau 6, accessible après bac+2.
Les formations courtes (6 mois) sont proposées par des organismes privés comme Orsys ou M2i Formation. Le CPF peut financer certaines formations de niveau 6 ou 7, à vérifier sur moncompteformation.gouv.fr.
Reconversion vers ce métier
La reconversion est possible pour plusieurs profils techniques. Les passerelles sont réelles avec un accompagnement adapté.
- Développeur web (PHP, Java, JavaScript) : connaît déjà HTTP et les frameworks, doit apprendre la posture offensive et l’outil.
- Administrateur systèmes et réseaux : maîtrise les protocoles réseaux, doit se former à la sécurité applicative et aux tests d’intrusion.
- Technicien support IT : peut viser un titre RNCP niveau 6 en cybersécurité (6 à 12 mois de formation) avant de se spécialiser.
- Auditeur informatique : les bases de la conformité sont acquises, reste à approfondir la pratique de Burp Suite.
Les reconversions longues (2 ans en alternance) offrent un taux d’emploi de 85% selon APEC 2025. Les formations accélérées de 6 mois sont déconseillées sans base technique solide.
Exposition au risque IA
Le score CRISTAL-10 de 80.0 % indique une exposition élevée à l’automatisation par IA. Ce score repose sur cinq critères, selon la méthodologie de Eloundou et al. (2024) et les données ILO 2025.
- Automatisation des scans : les IA génératives savent déjà planifier et exécuter des séquences de tests basiques sur des API documentées.
- Analyse de résultats : les modèles de langage peuvent classer les vulnérabilités par sévérité et proposer des correctifs, réduisant le besoin de relecture humaine.
- Rédaction de rapports : les LLMs produisent des rapports structurés exploitables, ce qui diminue la partie rédactionnelle du métier.
- Faible exposition créative : la conception de PoC complexes et la chasse aux vulnérabilités logicielles originales restent peu automatisables en 2026.
- Requalification probable : le métier évoluera vers du paramétrage d’IA et de la supervision de résultats, avec une baisse des postes juniors dédiés au scan manuel.
Selon France Stratégie 2025, 30% des tâches de test d’intrusion pourraient être automatisées d’ici 2028.
Marché de l’emploi
Le BMO France Travail 2026 recense 2 500 projets de recrutement pour des profils de testeur sécurité applicative, dont une part significative pour des spécialistes Burp Suite. La tension est forte : 74% des recrutements sont jugés difficiles par les entreprises, selon DARES 2026.
La répartition régionale est inégale :
- Île-de-France : 45% des offres, concentrées dans les sociétés de conseil et les sièges sociaux.
- Auvergne-Rhône-Alpes : 15%, avec des hubs à Lyon et Grenoble.
- Occitanie : 10%, portée par l’écosystème aéronautique et spatial.
- Nouvelle-Aquitaine : 8%, autour de Bordeaux et Toulouse.
- Hauts-de-France : 7%, avec des besoins dans les entreprises de e-commerce.
Les secteurs les plus recruteurs sont les ESN/SSII (40%), les banques/assurances (25%), et les éditeurs de logiciels (20%).
Certifications et labels
Les certifications renforcent la crédibilité et peuvent être exigées par les clients.
- Burp Suite Certified Practitioner (BSCP) : certification officielle PortSwigger, examen pratique en ligne, reconnue mondialement.
- Certified Web Application Security Specialist (CWASS) : proposée par EC-Council, couvre l’outil Burp Suite parmi d’autres.
- Offensive Security Web Expert (OSWE) : certifie la maîtrise des tests avancés sur applications web, inclut Burp Suite dans la stack.
- CompTIA Security+ : certification de base en cybersécurité, prérequis fréquent pour les postes juniors.
- Label SecNumCloud : pour les postes chez des hébergeurs de données de santé, recommandé par l’ANSSI.
Ces certifications sont valables 3 ans généralement, avec des frais de renouvellement.
Évolution de carrière
Les perspectives sont variées, que le professionnel reste technique ou évolue vers le management.
- À 3 ans : passage de junior à confirmé, spécialisation sur un secteur (finance, santé, industrie), obtention de la certification BSCP.
- À 5 ans : poste de senior, encadrement de juniors, responsabilité d’un programme de test applicatif pour un grand compte.
- À 10 ans : direction technique (Head of AppSec), architecture sécurité, création d’un cabinet de conseil spécialisé.
Listes des évolutions possibles
- Voie technique : Expert Burp Suite, Lead Security Engineer, Architecte Cybersécurité Applicative, R&D chez PortSwigger.
- Voie managériale : Responsable équipe pentest, CISO adjoint, Manager Sécurité Offensive, Directeur des opérations sécurité.
- Voie entrepreneuriale : Fondateur d’une ESN spécialisée en tests applicatifs, créateur de contenus formation (YouTube, Udemy), auteur de livres blancs.
Perspectives du métier
L’intégration de l’IA générative dans les outils de test comme Burp Suite déplace le rôle de l’ingénieur vers la validation stratégique des alertes plutôt que la rédaction manuelle de payloads. La multiplication des microservices et des architectures serverless rend les compétences sur les tests d’API et de Cloud indispensables. La directive Cyber Resilience Act européenne impose des tests de sécurité pour tout produit numérique mis sur le marché, élargissant le champ d’intervention aux logiciels et firmwares. La consolidation des outils de sécurité applicative par les grands éditeurs élargit progressivement le périmètre du métier vers une gestion unifiée des tests.