Testeuse de pénétration
Périmètre du métier
La testeuse de pénétration simule des cyberattaques autorisées pour identifier les failles d’un système d’information. Elle évalue la robustesse des réseaux, des applications et des infrastructures cloud. Son travail s’inscrit dans une démarche proactive de cybersécurité, souvent sous forme de red team. Contrairement à un auditeur de sécurité, elle cherche activement à exploiter les vulnérabilités plutôt qu’à les inventorier. Le périmètre inclut les tests d’intrusion externes, internes, sans connaissance (boîte noire) ou avec information partielle (boîte grise). Selon l’ANSSI, 72 % des entreprises françaises ont subi au moins une tentative d’intrusion en 2025 (source : ANSSI, Rapport sur l’état de la menace 2025). Ce métier représente environ 8 000 postes en France en 2026 (estimation APEC).
Réglementation 2026
à partir de août 2026, l’AI Act européen impose des règles strictes sur les systèmes d’intelligence artificielle utilisés dans les tests de pénétration. Les outils automatisés de scanning doivent être déclarés et leurs algorithmes audités. La réglementation NIS 2, transposée fin 2025, oblige les opérateurs de services importants à réaliser au moins un test d’intrusion par an (source : France Travail, Guide sectoriel cybersécurité 2026). Les données de test doivent être pseudonymisées et le consentement des clients formalisé. La CNIL rappelle dans ses lignes directrices de 2026 que l’exploitation de failles sans autorisation expose à des sanctions pénales, même en environnement de test. De plus, le RGPD impose une notification des incidents dans les 72 heures si des données personnelles sont accidentellement compromises. Le cadre légal évolue aussi avec la certification de cybersécurité des prestataires (PASSI de l’ANSSI).
Spécialités et domaines d’intervention
La profession se divise en plusieurs spécialités. La testeuse en infrastructure se concentre sur les réseaux, les serveurs et les firewalls. Celle spécialisée en applications web analyse les vulnérabilités OWASP Top 10. La mobile pentest cible iOS et Android, avec des outils comme Objection et Frida. Le cloud pentest concerne AWS, Azure et GCP, où les configurations IAM sont souvent mal paramétrées. Une branche émergente est le test d’intrusion IoT, qui examine les objets connectés. Enfin, le social engineering (phishing, appels) complète les approches techniques. D’après l’ENISA, 68 % des tests en 2025 portaient sur les applications web (source : ENISA Threat Landscape 2025). Des entreprises comme Synacktiv, YesWeHack et Acunetix recrutent ces profils.
- Infrastructure réseau et systèmes
- Applications web et API
- Cloud computing (AWS, Azure, GCP)
Outils et technologies 2026
La boîte à outils s’est enrichie avec l’IA. Burp Suite Pro reste l’étalon pour le web, souvent couplé à des plugins d’intelligence artificielle pour générer des payloads. Metasploit Framework intègre des modules de contournement EDR. Nmap et Masscan pour la découverte réseau, mais avec des versions compatibles AI Act. Les plateformes de bug bounty (HackerOne, YesWeHack) permettent de tester à grande échelle. Les scanners automatisés comme Qualys et Rapid7 InsightVM sont couramment déployés, mais le jugement humain reste nécessaire pour interpréter les faux positifs. L’outil OSINT Maltego sert à la phase de reconnaissance. Selon McKinsey, l’utilisation de solutions IA dans le pentest a augmenté de 34 % entre 2024 et 2026 (source : McKinsey, Cybersecurity AI Report 2026).
Grille salariale 2026
| Expérience | Salaire médian | Premier décile | Dernier décile |
|---|---|---|---|
| Débutante (0-2 ans) | 38 000 € | 32 000 € | 45 000 € |
| Confirmée (3-6 ans) | 50 000 € | 42 000 € | 62 000 € |
| Senior (7-12 ans) | 68 000 € | 55 000 € | 85 000 € |
| Experte (13+ ans) | 85 000 € | 70 000 € | 110 000 € |
| Lead / Manager d’équipe | 95 000 € | 80 000 € | 130 000 € |
Le salaire médian 2026 de 45 000 €/an correspond à 3-4 ans d’expérience. Les primes de bug bounty peuvent augmenter le revenu de 10 % à 30 %. À Paris, les salaires sont 10 % plus élevés qu’en région (source : France Travail, Enquête salaires cybersécurité 2026).
Formations et certifications RNCP
Plusieurs formations sont enregistrées au RNCP. Le titre « Expert en cybersécurité » (RNCP 37354) niveau 7 est dispensé par des écoles comme EPITA, ESIEA et 42. Le mastère spécialisé en cybersécurité de Télécom Paris est aussi reconnu. Des certifications internationales valident les compétences : OSCP (Offensive Security Certified Professional) est la plus courante, avec un taux de réussite de 50 % en 2025 (source : Offensive Security). La certification eLearnSecurity eJPT est adaptée aux débutantes. Le RNCP propose aussi un titre de « Technicien en sécurité des systèmes d’information » niveau 5. France Compétences a répertorié 37 certifications liées au pentest en 2025, dont 15 accessibles en alternance (source : France Compétences, Répertoire 2025).
| Certification | Niveau | Organisme | Coût moyen (€) |
|---|---|---|---|
| OSCP | Avancé | Offensive Security | 1 500 |
| eJPT | Débutant | eLearnSecurity | 400 |
| GPEN (GIAC) | Expert | SANS Institute | 7 500 |
| CREST (CCT) | Professionnel | CREST International | 2 000 |
| PASSI (ANSSI) | National | ANSSI | 4 000 |
Reconversion professionnelle
De nombreuses reconversions viennent du développement web ou de l’administration systèmes. Des bootcamps comme Ironhack, Le Wagon ou 42 accélèrent l’acquisition des bases. La formation « Développeur sécurité pentest » chez Simplon (niveau 6) dure 8 mois. Selon la DARES, 22 % des testeurs de pénétration en poste en 2026 sont issus d’une reconversion (source : DARES, Enquête formation professionnelle 2025). Le compte personnel de formation (CPF) peut financer jusqu’à 15 000 € de cursus. L’association CyberWomen et le Campus Cyber proposent des programmes dédiés aux femmes en reconversion. Les passerelles vers le métier passent souvent par l’obtention de l’OSCP, qui nécessite 3 à 6 mois de préparation intensive. Les profils de techniciennes réseau ont un taux de succès de 73 % dans leur nouvelle carrière (source : APEC, Mobilité professionnelle 2025).
Exposition à l’IA selon CRISTAL-10
L’indice CRISTAL-10 attribue un score de 80,0 % à la testeuse de pénétration, signifiant une forte exposition à l’intelligence artificielle. Les tâches de reconnaissance et de scanning sont automatisées par des IA génératives. L’analyse des logs et des patterns est accélérée par des modèles de deep learning. Cependant, l’exploitation créative de vulnérabilités et le social engineering restent des domaines où le jugement humain domine. McKinsey estime que 45 % du temps de test pourrait être automatisé d’ici 2030 (source : McKinsey, AI in Cybersecurity 2026). L’outil Copilot for Security de Microsoft assiste déjà dans la rédaction de rapports. Les testeurs doivent donc maîtriser les prompts et la validation des résultats de l’IA. L’INSEE note que les métiers d’expertise en sécurité informatique ont connu une croissance de 28 % entre 2020 et 2025 (source : INSEE, Emploi et numérique 2025).
Marché de l’emploi en 2026
La demande en testeurs de pénétration dépasse l’offre. Le BMO 2025 de France Travail indique 3 200 projets de recrutement en cybersécurité offensive, dont 1 800 dans des PME. Le délai de recrutement moyen est de 4,5 mois. Les régions Île-de-France, Auvergne-Rhône-Alpes et Occitanie concentrent 65 % des offres. Les secteurs les plus demandeurs sont la finance (banques, FinTech), les télécoms et les administrations publiques. Des entreprises comme Thales, Orange Cyberdefense et Airbus Defence and Space recrutent en volume. Le télétravail est possible pour 70 % des missions (source : APEC, Observatoire des métiers IT 2026). Le salaire d’embauche a augmenté de 8 % par rapport à 2024. Les freelances facturent entre 500 et 1 200 €/jour pour une mission de pentest, selon YesWeHack (source : YesWeHack, Baromètre freelance 2026).
- Banque et assurance (35 % des offres)
- Conseil et ESN (29 %)
- Administrations et collectivités (18 %)
Évolution de carrière
Après 3 à 5 ans de terrain, la testeuse peut devenir architecte sécurité, responsable SOC ou consultante spécialisée. La progression vers chef de projet sécurité ou responsable cyber dans un grand groupe est fréquente. Les passerelles vers l’investigation numérique ou l’audit de conformité existent. Certaines optent pour l’entrepreneuriat en créant leur propre société de pentest ou en rejoignant une plateforme de bug bounty. La certification OSCE (Offensive Security Certified Expert) ouvre les portes des red teams de haut niveau. Selon le RNCP, 41 % des testeurs de pénétration évoluent vers un poste de management dans les 8 ans (source : RNCP, Étude d’insertion 2025). La mobilité interne est favorisée par les grandes entreprises : 63 % des embauches en cybersécurité se font en interne (source : APEC).
Perspectives du métier
L’IA offensive pousse les testeurs à intégrer des compétences en adversarial AI, tandis que la généralisation du cloud hybride multiplie les surfaces d’attaque. La réglementation européenne, notamment l’AI Act et le Cyber Resilience Act, exige des audits de sécurité dès la conception des produits. Les compétences en OSINT et en renseignement de source ouverte deviennent stratégiques, de même que la maîtrise des certifications étatiques comme le label PASSI. La convergence du pentest avec les pipelines DevSecOps fait évoluer le métier vers un profil hybride alliant expertise technique, connaissance juridique et capacité d’adaptation aux outils d’IA.