Penetration tester : fiche complète 2026
Le penetration tester, ou testeur d’intrusion, simule des cyberattaques pour découvrir les failles des systèmes informatiques avant les pirates. En 2026, la recrudescence des ransomwares et la pression réglementaire poussent les organisations à renforcer leur sécurité offensive. Ce métier technique, classé sous le code ROME D1501, affiche un score d’exposition à l’IA de 55 % au barème CRISTAL-10, illustrant une automatisation partielle des tâches répétitives mais une dépendance forte au jugement humain. Avec un salaire médian de 35 000 euros brut par an, la profession attire des profils variés, issus de l’informatique ou de la reconversion.
Périmètre du métier et différences vs métiers proches
Le penetration tester se distingue de l’expert en cybersécurité défensive (SOC analyst) par son approche offensive : il attaque pour mieux défendre. Contrairement au consultant en sécurité qui conseille sur les politiques, le testeur d’intrusion exécute des tests techniques sur des périmètres définis (réseau, application web, mobile). L’auditeur de sécurité, lui, se concentre sur la conformité réglementaire (RGPD, ISO 27001) tandis que le pentester valide l’efficacité des contrôles en conditions réelles. Le pirate éthique peut aussi réaliser des campagnes d’ingénierie sociale, ce que ne fait pas un ingénieur en sécurité système. Enfin, le red teamer est un pentester senior qui coordonne des simulations complexes, souvent en équipe.
Cadre réglementaire 2026
Le cadre légal impose aux entreprises de sécuriser leurs données. Le RGPD (Règlement général sur la protection des données) exige des mesures techniques appropriées, dont les tests d’intrusion pour prévenir les fuites. L’AI Act 2026 de l’Union européenne classe les systèmes d’IA selon leur risque : un pentester doit s’assurer que les modèles déployés ne présentent pas de failles exploitables, ce qui ajoute une couche de responsabilité. La CSRD (Corporate Sustainability Reporting Directive) oblige les grandes entreprises à publier leurs risques cyber, rendant les audits de pénétration plus fréquents. Le Code du travail encadre les conditions de réalisation des tests : les employeurs doivent autoriser explicitement ces opérations, sous peine de poursuites pour accès non autorisé. Enfin, la convention collective Syntec (pour les sociétés de services) s’applique souvent aux postes de pentester dans le conseil.
Spécialités et sous-métiers
Le métier se décline en plusieurs spécialités selon la cible des tests.
- Pentester web : teste les applications web, API et services en ligne. Utilise des techniques d’injection SQL, XSS, CSRF. C’est la spécialité la plus répandue.
- Pentester mobile : se concentre sur les applications iOS et Android, analyse le code, le stockage local et les communications réseau.
- Pentester cloud : audite les configurations AWS, Azure ou Google Cloud, recherche des bucket S3 ouverts, erreurs IAM, vulnérabilités de conteneurs.
- Pentester réseau & infrastructure : teste la sécurité des équipements (routeurs, switchs), des pare-feux et des VPN. Inclut le test de bornes Wi-Fi.
- Pentester industriel (OT) : audite les systèmes SCADA, automates programmables, réseaux de capteurs. Exige des connaissances en protocoles spécifiques (Modbus, Profinet).
Outils et environnement technique
Le penetration tester utilise un arsenal logiciel principalement open source. Kali Linux est la distribution de référence, regroupant des centaines d’outils. Burp Suite (version professionnelle) est standard pour l’analyse des applications web, avec des modules de proxy, d’intrusions et de scan passif. Metasploit Framework permet d’exploiter des vulnérabilités connues et d’automatiser des post-exploitations. Nmap reste l’outil de cartographie réseau incontournable. Wireshark sert à l’analyse approfondie des paquets et à la détection de protocoles faibles. Pour les tests d’ingénierie sociale, des outils comme Gophish ou Social-Engineer Toolkit (SET) sont courants. Les plateformes cloud (AWS, Azure) offrent des services de tests intégrés comme Inspector ou Defender. Enfin, l’IA générative est utilisée pour générer des payloads ou synthétiser des rapports, mais reste secondaire.
Grille salariale 2026
| Profil | Paris et Île-de-France | Régions |
|---|---|---|
| Junior (0-2 ans) | 35 000 – 40 000 | 30 000 – 35 000 |
| Confirmé (3-5 ans) | 45 000 – 55 000 | 38 000 – 48 000 |
| Senior (+5 ans) | 55 000 – 70 000 | 48 000 – 60 000 |
Le salaire médian de 35 000 euros correspond à un débutant parisien. Les primes de certification (OSCP, CISSP) peuvent ajouter 3 000 à 8 000 euros par an. Les profils cloud ou OT perçoivent une prime de rareté de 10% à 15%.
Formations et diplômes
L’accès au métier peut se faire par des formations généralistes en informatique, puis une spécialisation en cybersécurité. Un bac+2 (BTS SIO option cybersécurité) ou un bac+3 (BUT réseaux et télécommunications, licence professionnelle métiers de la cybersécurité) constituent un premier palier. Les deux tiers des pentesters sont titulaires d’un master en informatique spécialisé (cybersécurité, systèmes embarqués). Des écoles d’ingénieurs (INSAT, ESIEA, Télécom Paris) intègrent des modules de pentesting. Les formations courtes (AFPA, CNAM) proposent des titres professionnels de niveau bac+2, souvent complétés par des certifications. Les bootcamps (privés) durent de 3 à 9 mois et misent sur la pratique, mais leur reconnaissance varie.
| Niveau | Diplôme / Certification | Durée |
|---|---|---|
| Bac+2 | BTS SIO – cybersécurité | 2 ans |
| Bac+3 | BUT R&T – cybersécurité | 3 ans |
| Bac+5 | Master cybersécurité (université ou école) | 5 ans |
| Certification | OSCP (Offensive Security Certified Professional) | Variable (3-12 mois) |
Reconversion vers ce métier
Trois profils de reconversion sont courants.
- Développeur web full-stack : ses compétences en code (PHP, Python, JavaScript) et en architecture web facilitent l’apprentissage du pentesting côté application. Passerelles via des bootcamps de 3 à 6 mois suivis d’un stage.
- Administrateur réseaux et systèmes : maîtrise des infrastructures, des serveurs Linux/Windows, des protocoles. Peut se spécialiser en sécurité offensive après une formation courte (MOOC, certification).
- Technicien support IT : connaissance de base des systèmes et du réseau. Reconversion plus longue (formation diplomante de 12 à 18 mois, type AFPA cybersécurité), mais possible avec de la motivation.
La validation des acquis de l’expérience (VAE) est une voie pour faire reconnaître des compétences autodidactes, notamment pour les autodidactes ayant monté leur propre lab.
Exposition au risque IA
Avec un score de 55 % au CRISTAL-10, le penetration tester est modérément exposé à l’automatisation par l’IA. Les tâches répétitives comme le scan de vulnérabilités, la génération de rapports synthétiques ou l’énumération de sous-domaines sont déjà confiées à des outils IA (ex : modèles de langage pour produire des payloads, analyseurs automatiques de logs). En revanche, la validation des faux positifs, l’interprétation contextuelle des failles et la conception de scénarios d’attaque originaux restent largement humaines. L’IA générative accélère le travail mais ne remplace pas l’expertise métier : les entreprises exigent un rapport humain pour expliquer les risques à la direction. Le risque de substitution partielle existe pour les pentesters juniors, mais les seniors qui maîtrisent l’IA comme assistant verront leur valeur augmenter.
Marché de l’emploi
Le marché est dynamique, tendu pour les profils expérimentés. Les ESN et les cabinets de conseil en cybersécurité embauchent massivement, notamment les grands groupes (Capgemini, Atos, Sopra Steria) ainsi que les sociétés spécialisées (Orange Cyberdefense, Airbus CyberSecurity). Les banques, assurances et opérateurs télécoms ont des équipes internes de pentesting. La demande est forte dans les secteurs régulés (santé, énergie, défense). Les start-up et scale-up cloud-native recrutent aussi, mais avec des budgets plus serrés. La région Île-de-France concentre une majorité des offres, mais les grandes métropoles (Lyon, Toulouse, Bordeaux) connaissent une croissance significative. Le télétravail est répandu, jusqu’à 80% pour les missions techniques, ce qui élargit le vivier géographique. En 2026, les postes en CDI restent majoritaires, avec une part croissante de missions freelance (20-30% du marché).
Certifications et labels reconnus
Les certifications techniques sont cruciales pour valider les compétences. L’OSCP (Offensive Security Certified Professional) est la plus reconnue pour le pentesting offensif, suivie de la CEH (Certified Ethical Hacker) et de la GPEN (GIAC Penetration Tester). Pour la gestion de la sécurité, le CISSP (Certified Information Systems Security Professional) est exigé pour les postes seniors ou de management. Du côté des labels, la certification ISO 27001 (système de management de la sécurité de l’information) n’est pas individuelle mais atteste de la maturité des processus de l’employeur. Le label Qualiopi est requis pour les organismes de formation, ce qui garantit la qualité des parcours de reconversion. Enfin, la certification ANSESI (Agence nationale de la sécurité des systèmes d’information) pour les prestataires de services de confiance qualifiés (audit de sécurité) s’applique aux sociétés de pentesting, pas aux individus.
Évolution de carrière
En 3 ans, un pentester junior peut évoluer vers un poste de consultant sécurité offensif confirmé, en accumulant des certifications et des missions variées. Après 5 ans, deux voies s’ouvrent : la spécialisation technique (expert cloud, mobile, OT) ou le management d’équipe (responsable d’une cellule de test, chef de projet). Une troisième voie est la direction technique (CTO d’une PME de cybersécurité). À 10 ans, le professionnel peut devenir architecte de sécurité, responsable de la sécurité des systèmes d’information (RSSI), ou consultant indépendant avec un réseau de clients. Le passage par la fonction publique (ANSSI, ministères) est également possible pour les profils très qualifiés.
Perspectives du métier
L’essor de l’IA générative pousse à automatiser les phases de reconnaissance et de reporting, mais aussi à tester la sécurité des modèles eux-mêmes via des attaques adversariales. Les tests d’intrusion sur les systèmes embarqués, les objets connectés et les jumeaux numériques se développent, et la réglementation comme l’AI Act et la CSRD rend les pentests obligatoires dans de plus en plus de secteurs. Les attaques ciblant les infrastructures cloud-native imposent une mise à jour continue des compétences, et la pénurie de talents en cybersécurité offre des perspectives aux entrants tout en faisant croître la pression salariale.