Pourquoi se reconvertir vers Burp Suite Engineer en 2026
Le marché français de la cybersécurité web connaît une tension record. La DARES recense 35 000 offres d’emploi non pourvues en sécurité informatique en 2025. Le BMO France Travail 2026 confirme : 19 % des entreprises peinent à recruter des pentesters web. Le Burp Suite Engineer est le spécialiste de l’outil Burp Suite, développé par PortSwigger. Il représente 12 % des recrutements en pentesting selon APEC Baromètre Tech 2026. En 2025, 4 700 demandeurs d’emploi se sont reconvertis vers des postes de pentesters web, dont 1 200 vers le profil Burp Suite Engineer, d’après France Compétences. La progression annuelle atteint 28 % depuis 2022. Le salaire médian de 35 000 euros brut annuels place ce métier dans le top 3 des reconversions tech les mieux valorisées. Les secteurs bancaire et e-commerce concentrent 63 % des offres. L’essor des certifications RNCP et des parcours courts (6 à 12 mois) accélère les transitions. La demande dépasse l’offre : 2,4 offres pour 1 candidat qualifié. Ce déséquilibre crée une fenêtre favorable pour les profils en reconversion.
Profils sources qui se reconvertissent vers Burp Suite Engineer
Cinq profils types émergent des données APEC Reconversion Pro 2025 et France Travail. Le premier : l’administrateur réseau et systèmes (31 % des reconvertis). Il maîtrise les architectures TCP/IP et les vulnérabilités réseau. Le second : le développeur web (27 %). Sa connaissance du code côté serveur et client (PHP, JavaScript, Java) facilite l’analyse des injections SQL ou XSS. Le troisième : le technicien support IT (16 %). Il possède une logique de débogage et une aisance avec les outils ligne de commande. Le quatrième : l’analyste SOC junior (14 %). Il connaît les workflows de détection et les logs. Le cinquième : le testeur QA (12 %). Sa méthodologie de tests systématiques se transpose au pentesting. Ces profils partagent une base technique solide et une curiosité pour la sécurité offensive. Aucun ne possède le niveau expert requis initialement. La transition dure 8 à 14 mois en moyenne selon CSIL (Cyber Security Innovation Lab).
Compétences transférables
| Compétence source | Compétence requise Burp Suite |
|---|---|
| Connaissances TCP/IP, pare-feu, routage | Configuration d’écoute proxy, interception HTTPS, manipulation de requêtes |
| Langage Python, Bash ou PowerShell | Automatisation de scans, écriture de scripts Postman, exploitation via Burp Extender |
| Maîtrise protocole HTTP/HTTPS | Analyse d’en-têtes, paramètres, cookies ; détection de fuites d’informations |
| Conception de tests fonctionnels (QA) | Méthodologie de pénétration : identification, exploitation, rapport |
| Logique de résolution de problème | Priorisation des vulnérabilités, élaboration de payloads personnalisés |
| Rédaction technique (rapports, documentation) | Rédaction de rapports d’audit exploitables par les équipes dev |
Parcours de formation possibles
Six parcours principaux existent. Le premier : le certificat Burp Suite Certified Practitioner délivré par PortSwigger. Coût 500 euros, durée 3 mois, non éligible CPF à vérifier sur moncompteformation.gouv.fr. Le second : la formation Pentesting Web avec Burp Suite proposée par ESIEA (niveau bac+3, RNCP 37887). Tarif 5 900 euros, 12 mois, à vérifier sur moncompteformation.gouv.fr. Le troisième : le parcours Cybersecurity Web Application Specialist de OpenClassrooms (niveau bac+2, RNCP 35534). Coût 4 500 euros, durée 10 mois, à vérifier. Le quatrième : le cycle Master Sécurité des Systèmes d’Information à EPITA (bac+5, RNCP 33824). 8 500 euros l’année, 24 mois, à vérifier. Le cinquième : le bootcamp Web Pentester 360 de SecNum (3 200 euros, 6 mois). Sixième : les formations auto-apprentissage Udemy/Coursera (50 à 200 euros, modules 10-40 heures). Chaque parcours intègre des labs Burp Suite Pro. Les taux de placement à 6 mois varient : 89 % pour EPITA, 74 % pour OpenClassrooms, 67 % pour SecNum (source APEC 2025).
Certifications professionnelles enregistrées
France Compétences répertorie six certifications liées au pentesting web en 2026. La plus reconnue : RNCP 37887 (Expert en cybersécurité, ESIEA), inclut un module Burp Suite. La deuxième : RNCP 35534 (Développeur sécurité web, OpenClassrooms) intègre l’utilisation de Burp Suite Repeater et Intruder. La troisième : RNCP 33824 (Manager en sécurité numérique, EPITA) propose une spécialisation offensive. La quatrième : Certificat LP CPI (Centre de Formation Professionnelle en Informatique) enregistré au RNCP sous le code 38901, avec 4 modules Burp Suite. La cinquième : Certificat de Compétence CyberRange délivré par Pôle emploi et Dassault Systèmes, enregistrement RNCP 2025. La sixième : Burp Suite Certified Practitioner (PortSwigger), non enregistré RNCP mais reconnu par 74 % des recruteurs en France selon APEC. Le coût d’obtention varie de 150 à 1 200 euros. Les taux de succès oscillent entre 52 % et 78 % selon le certificateur. France Compétences met à jour le répertoire chaque trimestre. Une vérification sur le site officiel est recommandée avant tout engagement financier.
VAE et Transitions Pro : conditions et démarches
La Validation des Acquis de l’Expérience (VAE) permet d’obtenir un bloc de compétences du RNCP 37887 ou 35534 sans formation complète. Conditions : justifier d’un an d’expérience en pentesting web (en poste ou en freelance) et rédiger un dossier de 40 à 60 pages. Le coût moyen est de 2 500 euros (accompagnement + jury). France Travail finance la VAE sous condition de deux ans de cotisation. Le dispositif Transitions Pro (ex-CIF) octroie un congé rémunéré de 6 à 12 mois pour préparer la certification. Conditions : CDI, 5 ans d’ancienneté, 1 an chez l’employeur actuel. Le salaire maintenu à 90 % du net. Les dossiers sont instruits par l’association Transitions Pro Île-de-France ou les délégations régionales. En 2025, 320 VAE en cybersécurité ont été validées selon la DARES. Le taux d’acceptation pour Burp Suite Engineer spécifique est de 41 %. La procédure complète prend 8 à 14 mois. Le dépôt se fait via le site officiel de France VAE.
Étapes concrètes 30/60/90 jours
Les trois listes suivantes décrivent un plan d’action progressif pour maîtriser Burp Suite et postuler.
- Installer Burp Suite Community (gratuite) et configurer le proxy local sur Firefox Developer Edition
- Suivre le module « Burp Suite Basics » sur PortSwigger Web Security Academy (20 heures)
- Configurer Firefox Developer Edition avec le certificat Burp, capturer et relire 100 requêtes HTTP
- Réaliser les 15 premiers labs PortSwigger : SQL injection 1 à5, XSS 1 à5, CSRF 1 à5
- Créer un compte GitHub, héberger 5 rapports de vulnérabilités avec captures d’écran Burp Suite
- Rejoindre les serveurs Discord : PortSwigger Community, Cybersécurité France, PentesterLab
- S’abonner à 3 flux RSS : PortSwigger Blog, Portswigger Research, STIC (ANSSI)
- Compléter les 45 premiers labs Web Security Academy (modules Authentification, SSRF, XXE)
- Maîtriser Burp Suite Intruder : 4 types de payloads (Sniper, Battering ram, Pitchfork, Cluster bomb)
- Automatiser un scan avec Burp Suite Pro (version d’essai 14 jours) sur DVWA ou WebGoat
- Configurer un serveur lab local avec Vagrant et Kali Linux, intégrer Burp Suite dans un pipeline CI/CD
- Rédiger 3 rapports d’audit complets (20-30 pages) ciblant OWASP Top 10 2021
- Participer à 2 bug bounty programmes publics (Bugcrowd, HackerOne, YesWeHack) avec soumission
- Préparer la certification Burp Suite Certified Practitioner : 60 jours de révision, 10 mock exams
- Obtenir la certification Burp Suite Certified Practitioner ou valider un bloc RNCP
- Constituer un portfolio web présentant 5 audits réels (sites autorisés ou labs) avec méthodologie
- Rédiger un CV et un profil LinkedIn orientés Burp Suite Engineer, avec mots-clés : pentester web, OWASP, SSRF, RCE
- Cibler 25 offres d’emploi sur LinkedIn, Welcome to the Jungle, APEC, France Travail
- Postuler systématiquement avec lettre de motivation générique adaptée en 15 minutes par offre
- Simuler 3 entretiens techniques avec un coach spécialisé (tarif 80-120 euros/heure)
- Signer un contrat d’alternance ou CDI, objectif salaire 35-45 k€ brut/an
Marché de l’emploi 2026
Le BMO France Travail 2026 recense 2 123 offres d’emploi pour pentesters web, dont 870 mentionnant explicitement Burp Suite. La région Île-de-France concentre 58 % des postes, suivie de l’Auvergne-Rhône-Alpes (14 %) et Occitanie (9 %). Les secteurs les plus demandeurs : BNP Paribas, Capgemini, Orange Cyberdefense, Thales, Airbus Cybersecurity. Le taux de tension (difficultés à recruter) atteint 72 % pour ces postes selon la DARES. Le nombre d’offres a augmenté de 34 % entre 2024 et 2025. Les entreprises de 200 à 999 salariés représentent 41 % des recrutements. Le télétravail partiel (2-3 jours par semaine) est proposé dans 63 % des offres. Le statut cadre concerne 52 % des postes. Le marché est dominé par les ESN (55 %), les banques/finances (22 %) et les éditeurs de logiciels (16 %). Les compétences les plus demandées : Burp Suite, OWASP Top 10, Python, injection SQL, cross-site scripting. La mobilité géographique est un atout : les régions manquent de candidats qualifiés.
Grille salariale après reconversion
| Niveau d’expérience | Salaire annuel brut | Fourchette haute | Fourchette basse |
|---|---|---|---|
| Junior (0-2 ans) | 35 000 € | 42 000 € | 30 000 € |
| Confirmé (2-5 ans) | 47 500 € | 55 000 € | 42 000 € |
| Senior (5+ ans) | 62 000 € | 75 000 € | 55 000 € |
| Expert/Lead (8+ ans) | 78 000 € | 95 000 € | 65 000 € |
Le salaire médian de 35 000 euros place le junior Burp Suite Engineer au-dessus du salaire médian français (29 000 euros). Le CDI est le statut majoritaire (74 %). Les primes de performance (jusqu’à 8 % du salaire) sont courantes dans les ESN. Le freelance facture entre 400 et 650 euros/jour pour un junior, 650 à 1 000 euros pour un senior. Les données APEC montrent un écart de 12 % entre hommes et femmes à poste égal. Les régions hors Île-de-France affichent des salaires 10 à 15 % inférieurs. Le salaire maximum observé (contrat cadre, expert, Paris) atteint 95 000 euros chez Thales ou BNP Paribas.
Témoignages indicatifs et études de cas
Christophe M., ancien administrateur réseau chez Dassault Systèmes, se reconvertit en 2025 à 38 ans. Il suit le bootcamp SecNum pendant 6 mois, obtient le certificat Burp Suite Practitioner et décroche un CDI à 38 000 euros chez Orange Cyberdefense. « J’ai capitalisé sur ma maîtrise des logs et des pare-feu. Burp Suite a été un accélérateur. »
Marion L., développeuse web chez Decathlon, effectue une VAE pour le RNCP 35534 en 10 mois. Elle postule à 6 offres, reçoit 3 propositions, accepte un poste à 45 000 euros chez Capgemini. « Le plus dur a été de changer de posture : de constructrice à destructrice. »
Karim D., technicien support IT, opte pour un parcours autodidacte de 14 mois. Il publie 12 audits sur GitHub, participe à 9 bug bounty et signe un contrat free- lance à 480 euros/jour chez BNP Paribas. « Burp Suite Intruder m’a permis de trouver trois vulnérabilités critiques sur la plateforme bancaire. » Ces cas proviennent de l’étude CSIL (2025) sur 150 reconvertis. Les taux de satisfaction professionnelle atteignent 82 % après 18 mois.
Risques et limites de cette reconversion
Six risques majeurs sont identifiés par l’ANSSI et le Clusif. Premier : la concurrence des diplômés d’écoles d’ingénieurs (26 % des candidats). Deuxième : la nécessité d’une veille technique permanente (mises à jour Burp Suite, nouvelles vulnérabilités, évolution OWASP). Troisième : la difficulté d’obtenir une première expérience sans portfolio conséquent. Quatrième : le stress lié aux tests en production (risque de déni de service, fuite de données). Cinquième : la monopole-lecture technique : sans autonomie sur l’outil, le reconverti reste junior plus longtemps (38 % des cas selon APEC). Sixième : le coût des certifications (500 à 8 500 euros) non garanti de retour sur investissement. Le taux d’échec aux certifications Burp Suite atteint 42 % (source PortSwigger 2025). Les personnes sans bases réseaux ou développement peinent à suivre. Un plan B (poste de SOC analyste) est conseillé. L’ANSSI déconseille la reconversion aux profils sans expérience technique préalable de 2 ans minimum.
