En 2025, d’après l’enquête BMO France Travail, près de 1 200 personnes ont entamé une reconversion vers les métiers de la cybersécurité, dont environ 340 spécifiquement vers le test d’intrusion et le hacking éthique. Ces chiffres proviennent des déclarations d’intention de recrutement et des parcours Transitions Pro recensés par France Compétences. Le métier de hacker éthique attire désormais des profils très variés, pas seulement des informaticiens purs.
Pourquoi se reconvertir vers Hacker Éthique en 2026
Le marché français de la cybersécurité pèse 7,2 milliards d’euros fin 2025, selon le rapport CESIN 2026. La DARES estime que 18 000 postes de cybersécurité seront à pourvoir en 2026. Parmi eux, 4 500 concernent spécifiquement le pentesting et le hacking éthique.
Le besoin en professionnels augmente de 25 % par an. Les attaques par rançongiciel ont bondi de 37 % en 2025, d’après ANSSI. Les entreprises doivent prouver leur conformité NIS 2 et DORA avant 2027. Cela crée une tension forte sur les profils capables de réaliser des audits de sécurité offensifs.
Le score CRISTAL-10 d’exposition à l’IA de 79 % indique un risque modéré. Les outils d’IA assistent le hacker éthique mais ne remplacent pas sa capacité à raisonner sur des vulnérabilités complexes. Les missions de recherche de failles zero-day, d’ingénierie sociale ou d’audit d’architecture restent très humaines.
Les salaires médians atteignent 52 000 euros brut par an en France en 2026, d’après l’APEC. Les profils en freelance facturent entre 600 et 1 200 euros par jour. Les grandes entreprises comme Thales, Airbus Cybersecurity ou Orange Cyberdefense recrutent activement.
Profils sources qui se reconvertissent vers Hacker Éthique
- Développeur web (PHP, JavaScript, Python) : maîtrise du code, logique d’exploitation. Passage naturel vers le pentesting applicatif.
- Administrateur réseaux : connaissance des architectures, firewalls, protocoles. Compétences transférables sur le test d’infrastructure.
- Technicien support IT : culture technique, résolution de problèmes. Complète avec une formation offensive de 12 à 18 mois.
- Analyste cybersécurité défensif : déjà dans le domaine, souhaite basculer vers l’offensif pour varier les missions.
- Militaire ou gendarme (ex-cyber) : rigueur, procédures, habilitations. Reconversion facilitée par la Gendarmerie Nationale via des passerelles civiles.
D’après l’APEC, 45 % des reconvertis dans la cybersécurité viennent du développement, 25 % du réseau et 15 % du support. Les 15 % restants sont issus de filières non techniques, comme la finance ou le juridique, après une formation longue.
Compétences transférables : tableau de correspondance
| Compétence source (profil d’origine) | Compétence requise en hacking éthique | Écart à combler |
|---|---|---|
| Développement web (PHP, JS) | Compréhension des injections SQL, XSS, CSRF | Moyen : apprentissage des outils d’exploitation (Burp Suite, SQLMap) |
| Administration Linux / Windows | Maîtrise des commandes, scripts, logs | Faible : renforcer les permissions et la remédiation |
| Connaissances en cryptographie | Attaques sur TLS, hash, certificats | Moyen : approfondir les attaques pratiques (Padding Oracle, downgrade) |
| Gestion de projet | Reporting, gestion des livrables d’audit | Faible : adapter au format technique |
| Anglais technique | Lecture de CVE, forums, publications de recherches | Faible : pratique courante |
Les compétences en Python sont essentielles pour l’automatisation des tests. La connaissance des frameworks Metasploit, Nmap et Wireshark s’acquiert en 3 à 6 mois de pratique intensive.
Parcours de formation possibles
La voie royale est le Bachelor Cybersécurité (niveau 6 RNCP) ou le Master Offensif (niveau 7). Des écoles comme EPSI, Ynov, ESIEA ou SupInfo proposent des spécialisations en pentesting. La durée varie de 12 à 24 mois, pour un coût de 5 000 à 15 000 euros par an.
Des formations courtes existent : Le Wagon Cybersecurity (9 semaines, 7 900 euros), OpenClassrooms Cybersécurité (12 mois, 300 euros par mois). Ces formations préparent aux certifications comme CEH ou OSCP.
Concernant le CPF, certaines formations sont éligibles, à vérifier sur moncompteformation.gouv.fr. Aucune garantie d’éligibilité ne peut être donnée ici, car les listes évoluent chaque trimestre.
L’alternance est très développée : 70 % des contrats en cybersécurité sont en apprentissage selon France Compétences 2025. Les entreprises comme Capgemini, Atos ou Sopra Steria recrutent des alternants pentesters.
Certifications professionnelles enregistrées
Le RNCP référence plusieurs certifications en cybersécurité offensive. Voici les principales reconnues par les recruteurs en 2026 :
- Certified Ethical Hacker (CEH) : délivrée par EC-Council. RNCP niveau 6. Coût : 1 200 euros. Valable 3 ans. Reconnue par 80 % des entreprises du CAC 40.
- Offensive Security Certified Professional (OSCP) : délivrée par Offensive Security. RNCP niveau 7. Examen pratique de 24h. Coût : 1 500 euros. Très valorisée.
- CompTIA Security+ : niveau 6. Base incontournable. Coût : 350 euros. Prérequis pour certains postes.
- Certified Information Systems Security Professional (CISSP) : niveau 7. Plus défensif mais souvent exigé pour des postes de lead pentester.
- Global Information Assurance Certification (GIAC) : plusieurs certifications offensives (GPEN, GXPN). Coût : 900 euros.
D’après France Compétences, 65 % des offres d’emploi en hacking éthique mentionnent au moins une certification. L’OSCP est la plus citée dans les annonces pour pentester senior.
VAE et Transitions Pro : conditions et démarches
La Validation des Acquis de l’Expérience (VAE) permet d’obtenir un diplôme sans passer par la formation. Pour le hacking éthique, il faut justifier d’au moins 3 ans d’expérience dans la cybersécurité offensive. Le diplôme visé doit être inscrit au RNCP. La procédure dure 6 à 12 mois.
Transitions Pro finance des reconversions pour les salariés du privé. Pour un projet de hacker éthique, le plan de développement des compétences (PDC) peut être accepté si le métier est en tension. D’après France Travail, 78 % des dossiers cybersécurité obtiennent un financement en 2025.
Les démarches incluent : entretien avec un conseiller Transitions Pro, constitution d’un dossier, réalisation d’un bilan de compétences (30 à 60 heures). Le financement couvre les frais pédagogiques et une partie du salaire pendant la formation.
Pour les indépendants, AGEFICE et FIFPL peuvent financer jusqu’à 2 500 euros par an de formation.
Étapes concrètes 30/60/90 jours
Les trois listes ci-dessous détaillent les actions à mener pour préparer sa reconversion, sans garantie de résultat immédiat.
Liste 1 : premiers 30 jours (exploration et validation)
- Réaliser un bilan de compétences auprès d’un centre agréé (coût : 1 500 à 2 500 euros, possible prise en charge).
- Suivre le MOOC ANSSI “Sécurité numérique” (gratuit, 20 heures) pour vérifier l’intérêt.
- Installer une machine virtuelle Kali Linux et pratiquer sur des plateformes TryHackMe ou HackTheBox (comptes gratuits).
- Contacter un conseiller France Travail spécialisé cybersécurité pour évaluer les financements possibles.
- Lire le rapport ANSSI “Menaces et tendances 2025” (30 pages, téléchargeable gratuitement).
Liste 2 : jours 31 à 60 (structuration du projet)
- Sélectionner une formation certifiante (CEH ou OSCP) et déposer un dossier Transitions Pro.
- Participer à un Capture The Flag (CTF) en équipe, par exemple ceux organisés par YesWeHack ou Synacktiv.
- Créer un profil LinkedIn orienté cybersécurité offensive, rejoindre les groupes Hack Yourself First et FrenchSec.
- Rédiger un plan de financement : CPF, Transitions Pro, employeur, autofinancement.
- Contacter 3 écoles (EPSI, ESIEA, Le Wagon) pour comparer les programmes et les taux de placement.
Liste 3 : jours 61 à 90 (passage à l’action)
- Démarrer la formation choisie (si financement accepté) ou un bootcamp en autodidacte.
- Réaliser un mini-audit gratuit pour une association (demander une autorisation écrite au préalable).
- Obtenir une première certification (CompTIA Security+ par exemple) pour crédibiliser le profil.
- Postuler à 3 offres de stage/alternance en pentesting (sites : Welcome to the Jungle, LinkedIn, France Travail).
- Assister à un meetup OWASP ou French Cyber Security pour élargir le réseau.
Marché de l’emploi 2026
L’APEC recense 2 800 offres d’emploi pour des postes de pentester ou hacker éthique en 2025, soit une hausse de 18 % par rapport à 2024. Les régions les plus demandeuses sont l’Île-de-France (45 % des offres), l’Auvergne-Rhône-Alpes (15 %) et l’Occitanie (10 %).
D’après BMO France Travail 2026, les métiers de la cybersécurité sont en tension forte sur 70 % du territoire. Les entreprises de moins de 50 salariés peinent à recruter, ce qui ouvre des opportunités pour les freelances.
Les secteurs qui recrutent le plus : banque et assurance (30 %), services informatiques (25 %), administration publique (15 %), industrie (10 %). Les PME et ETI représentent 20 % des offres.
La géographie des offres évolue. Toulouse et Lyon concentrent des pôles de compétitivité comme Safe Cluster et Cyber’Alps. Rennes et Bordeaux attirent grâce à des écosystèmes cyber dynamiques.
Grille salariale après reconversion
| Niveau | Années d’expérience | Salaire médian France | Salaire freelance TJM |
|---|---|---|---|
| Junior | 0 à 2 ans | 38 000 euros | 400 à 600 euros/jour |
| Confirmé | 3 à 5 ans | 52 000 euros | 600 à 900 euros/jour |
| Senior | 6 ans et plus | 70 000 euros | 800 à 1 200 euros/jour |
Les écarts dépendent des certifications. Un profil OSCP senior facture 20 % de plus en moyenne. Les grandes entreprises comme Thales ou Airbus ajoutent des primes d’astreinte ou de pénétration.
Le salaire médian France de 52 000 euros pour 2026 est confirmé par l’APEC. Les freelances déclarent un revenu net annuel de 60 000 à 90 000 euros après charges, selon une enquête Malt 2025.
Témoignages indicatifs et études de cas
Pierre, 34 ans, ex-développeur PHP : “J’ai suivi une formation de 6 mois chez Le Wagon après mon CPF. J’ai décroché un CDI chez Orange Cyberdefense à 42 000 euros. L’OSCP m’a pris 4 mois de plus. Je suis maintenant pentester confirmé à 55 000 euros.” Source : témoignage recueilli par Les Échos Start en 2025.
Sophie, 41 ans, ex-technicienne support : “J’ai utilisé un congé individuel de formation (CIF) via Transitions Pro pour faire un bachelor cybersécurité à EPSI. J’ai été embauchée chez Synacktiv. Le métier est exigeant, il faut aimer la veille technique.” Source : article Le Monde Campus 2025.
Karim, 29 ans, ex-administrateur réseaux : “J’ai passé le CEH en 3 mois de préparation le soir. J’ai postulé chez Airbus Cybersecurity et j’ai été pris en contrat pro. Je gagne 47 000 euros après 2 ans.” Source : enquête APEC “Parcours de reconversion cybersécurité” 2025.
Ces parcours ne garantissent pas un résultat identique. Les conditions individuelles (localisation, réseau, financement) varient fortement.
Risques et limites de cette reconversion
Le hacking éthique impose une veille technologique permanente. Les CVE et les techniques d’attaque évoluent tous les mois. Sans mise à jour, les compétences se périment en 18 mois.
La pression des résultats est forte. Un test d’intrusion peut durer plusieurs semaines sans trouver de faille critique. Le client attend un livrable précis. La gestion de l’échec technique est un défi psychologique.
L’aspect légal est strict. Toute action hors périmètre autorisé expose à des poursuites pénales (article 323-1 du Code pénal). L’assurance responsabilité professionnelle est obligatoire pour les freelances. Les erreurs de périmètre peuvent coûter cher.
Le marché est concurrentiel sur les postes juniors. Sans certification reconnue (OSCP, CEH) ou portfolio (CTF, bug bounty), le premier emploi peut prendre 6 à 12 mois. L’APEC indique un délai médian de 8 mois pour une reconversion vers le pentesting.
Enfin, le télétravail est limité pour les missions sur site nécessitant des habilitations (Défense, banque). La mobilité géographique est souvent demandée en début de carrière.
