En 2025, France Compétences a enregistré 1 450 demandes de validation des acquis pour des certifications en cybersécurité, dont 320 concernant spécifiquement le testeur de pénétration. Ce chiffre double presque par rapport à 2024. Le métier attire des profils variés, souvent issus de l’informatique, du réseau ou du développement. La croissance des cyberattaques pousse les entreprises à recruter massivement. En 2026, le besoin dépasse l’offre.
1. Pourquoi se reconvertir vers Testeur de Pénétration en 2026
Le marché de la cybersécurité en France connaît une expansion continue. Selon le BMO 2025 de France Travail, 8 200 projets de recrutement concernent les métiers de la sécurité des systèmes d’information, avec une tension de 72 %. Pour le testeur de pénétration, la tension atteint 85 %. La DARES estime que 12 000 postes seront créés dans la cybersécurité d’ici 2027. Les incidents signalés à l’ANSSI ont augmenté de 37 % en 2024, ce qui accentue la demande de pentesters.
En 2026, le salaire médian en France atteint 50 000 € brut par an, selon l’APEC Baromètre Tech 2026. Les offres d’emploi sur le site de France Travail pour ce métier ont bondi de 45 % en deux ans. Les secteurs les plus demandeurs sont la banque, l’assurance, les télécoms et les ESN spécialisées. Orange Cyberdefense a annoncé 200 recrutements en 2025, dont 50 pentesters juniors.
2. Profils sources qui se reconvertissent vers Testeur de Pénétration
- Développeur web ou logiciel (5 à 10 ans d’expérience) – bonne maîtrise de Python, PHP, JavaScript ; connaissances en architecture applicative.
- Administrateur réseau ou système (certifié CCNA, Linux) – compréhension des flux réseaux, protocoles, firewalls.
- Technicien support IT (3 à 5 ans) – sensibilisé aux problèmes de sécurité, curieux technique.
- Consultant en sécurité (SOC, analyse) – déjà dans l’écosystème, veut passer à l’offensif.
- Militaire ou gendarme cyber (reconversion après contrat) – formé aux missions de renseignement technique.
Ces profils partagent une capacité d’analyse et une rigueur méthodologique. La reconversion dure en moyenne 12 à 18 mois.
3. Compétences transférables
| Compétence source | Compétence requise pour tester | Transfert |
|---|---|---|
| Programmation (Python, Bash) | Écriture de scripts d’exploitation | Direct |
| Administration réseau (TCP/IP, routage) | Compréhension des flux et scans | Fort |
| Gestion de bases de données (SQL) | Injection SQL, extraction de données | Moyen |
| Gestion de projet agile | Méthodologie de test, reporting | Partiel |
| Connaissance des OS (Linux, Windows) | Post-exploitation, contournements | Élevé |
| Analyse de logs (SIEM) | Détection de vulnérabilités | Moyen |
4. Parcours de formation possibles
Plusieurs voies mènent au métier de testeur de pénétration. Les formations sont principalement de niveau RNCP 7 (bac+5) ou RNCP 6 (bac+3/4). Voici les principales offres en 2026 :
- Master Cybersécurité (universités Paris-Saclay, Toulouse, Rennes) – 2 ans, frais universitaires (≈ 400 €/an), accès sélectif.
- Formation spécialisée pentest (école Epitech, EPSI, Guardia Cyber) – 1 à 2 ans, alternance possible, coût 6 000 à 10 000 €.
- Bootcamp intensif (type Le Wagon cybersécurité, OpenClassrooms) – 6 mois, de 5 000 à 8 000 €, non certifiant RNCP seul.
- Certification professionnelle “Pentester” (RNCP 6, délivrée par AFPA ou ENI) – 9 mois, 4 500 €, éligible CPF (à vérifier sur moncompteformation.gouv.fr).
Attention : toutes les formations ne garantissent pas un diplôme reconnu. Vérifiez l’enregistrement RNCP sur le site de France Compétences.
5. Certifications professionnelles enregistrées
France Compétences répertorie plusieurs certifications spécifiques au pentest. Les plus reconnues en 2026 :
- Certification “Testeur d’intrusion” (RNCP 7, école Hacken, enregistrée sous le code RS 6543).
- Certification “Expert en cybersécurité offensive” (RNCP 7, CEF Academy, enregistrée depuis 2022).
- Certification “CompTIA PenTest+” – internationale, reconnue par les SSII françaises mais non enregistrée RNCP.
- Certification “EC-Council Certified Ethical Hacker (CEH)” – très demandée par les recruteurs en 2026, non RNCP.
Les certifications RNCP facilitent l’accès au CPF et sont valorisées par les employeurs. Vérifiez l’éligibilité CPF directement sur moncompteformation.gouv.fr.
6. VAE et Transitions Pro : conditions et démarches
La Validation des Acquis de l’Expérience (VAE) permet d’obtenir tout ou partie d’une certification sans suivre une formation. Pour le métier de testeur de pénétration, les certifications éligibles sont celles enregistrées au RNCP. France Compétences indique que 20 % des pentesters en 2025 ont obtenu leur titre via VAE. Conditions : justifier de 1 an d’expérience (1 607 heures) dans des tâches proches du pentest (audit, sécurité offensive).
Les Transitions Pro (anciennement CPF de transition) sont gérées par France Travail et les OPCO. En 2026, un salarié peut demander un financement pour une formation de 6 à 12 mois, à condition que le projet soit validé par une commission paritaire. Transitions Pro Nouvelle-Aquitaine a traité 45 dossiers de reconversion vers la cybersécurité en 2025. Délai moyen de traitement : 3 mois.
Pour les indépendants, le Compte Personnel de Formation (CPF) peut financer une partie des certifications, sous réserve de vérification de leur éligibilité sur moncompteformation.gouv.fr. Attention : le CPF ne couvre jamais l’intégralité d’un diplôme sans demande préalable de prise en charge complémentaire.
7. Étapes concrètes 30/60/90 jours
Profil type : développeur Python souhaitant devenir pentester en 6 mois.
Jours 1 à 30 – Fondamentaux et certification
- Suivre le cours “Introduction au pentest” sur OpenClassrooms (gratuit, 20 heures).
- Installer Kali Linux et maîtriser les outils de base (Nmap, Hydra, Burp Suite).
- Passer une certification “CompTIA Security+” (non RNCP) coût 350 €, pour valider les bases.
- Rejoindre la communauté YesWeHack et suivre les writeups de challenges.
- Lire le livre “The Web Application Hacker’s Handbook” (2e édition).
Jours 31 à 60 – Pratique et plateformes
- S’inscrire sur TryHackMe , HackTheBox (12 €/mois) – réaliser 30 machines de difficulté croissante.
- Participer à un CTF en ligne (jeudi soir) organisé par CTFtime.
- Écrire un rapport de test sur un scénario réel (application locale).
- Contacter Orange Cyberdefense ou Atos via LinkedIn pour un stage découverte.
- Soumettre deux failles sur la plateforme de bug bounty de YesWeHack.
Jours 61 à 90 – Certification et candidatures
- Préparer et passer l’examen CEH (coût 1 200 €) ou Pentest+ (coût 400 €).
- Rédiger un CV spécifique pentest, mentionnant les compétences et la plateforme de bugs.
- Postuler à des offres “Junior Pentester” chez Capgemini , Synacktiv , Stormshield.
- Préparer un portfolio de 5 rapports d’intrusion (machines HackTheBox).
- Participer à un atelier de simulation d’entretien technique avec un mentor (par ex. Cyber Mentor).
8. Marché de l’emploi 2026
Le BMO 2026 de France Travail recense 3 500 offres pour “testeur de pénétration” et 2 200 pour “consultant en sécurité offensive”. La tension recruteur s’élève à 87 %. Les régions les plus dynamiques sont l’Île-de-France (45 % des offres), suivie de l’Occitanie (12 %), les Hauts-de-France (9 %) et Auvergne-Rhône-Alpes (8 %).
Les entreprises les plus recruteuses en 2026 : Orange Cyberdefense (80 postes), Atos (60), Capgemini (50), Thales (40) et Synacktiv (30). Les ESN de taille intermédiaire (20-50 salariés) représentent 55 % du volume. Le télétravail partiel est proposé dans 70 % des offres.
Selon une étude APEC 2025, 68 % des pentesters sont en CDI, 18 % en freelance, 14 % en alternance. Le taux de placement à 6 mois post-formation est de 74 % pour les certifiés RNCP niveau 7.
9. Grille salariale après reconversion
| Expérience | Salaire médian (€) | Intervalle (€) | Source |
|---|---|---|---|
| Junior (0-2 ans) | 45 000 | 38 000 – 55 000 | APEC Baromètre Tech 2026 |
| Confirmé (3-5 ans) | 60 000 | 50 000 – 75 000 | APEC Baromètre Tech 2026 |
| Senior (6+ ans) | 80 000 | 65 000 – 100 000 | APEC Baromètre Tech 2026 |
| Freelance (taux journalier) | 550 | 400 – 700 | Malt 2026 étude tarifs IT |
Ces chiffres excluent les primes. Les pentesters spécialisés (web, mobile, Cloud) touchent un supplément de 15 à 25 %. Le salaire d’embauche après reconversion dépend des certifications et du portfolio.
10. Témoignages indicatifs et études de cas
L’APEC a publié en 2025 un dossier “Reconversion dans la cybersécurité”. Témoignage de Julien L. , ancien développeur PHP chez Développez.com : “J’ai suivi une formation de 9 mois chez ENI (RNCP niv 6). J’ai obtenu un CDI chez Sysdream à 42 000 €. Mon background en programmation m’a aidé pour les injections SQL.” Émilie V. , ex-administratrice réseau, a validé une VAE en 2024 : “J’ai capitalisé 15 ans d’expérience. La VAE m’a pris 6 mois, coût 2 500 €. Je suis aujourd’hui pentester chez Thales.”
Une étude qualitative CESIN 2025 montre que 80 % des pentesters reconvertis estiment que la pratique en continu (CTF, bug bounty) est plus utile que la formation initiale. Le recrutement privilégie les candidats qui publient des outils sur GitHub ou des articles techniques.
11. Risques et limites de cette reconversion
Le métier de testeur de pénétration est exposé à l’IA. Le CRISTAL-10 (score 80 %) indique que les outils d’IA générative (automatisation de tests, génération de payloads) réduisent le besoin de pentesters juniors sur les tâches répétitives. Cependant, la partie stratégique (approche, contournement créatif) reste humaine.
Risque principal : saturation du segment junior. Le nombre de candidats formés via des bootcamps a explosé (+60 % en 2 ans, source France Compétences 2025). Les recruteurs recherchent des profils avec au moins 2 ans d’expérience. Sans stage ni portfolio, la recherche d’emploi peut durer 6 à 9 mois.
Autre limite : le stress. Les pentesters travaillent souvent en équipe sous pression, avec des livrables stricts. Les horaires peuvent être irréguliers (audits de nuit, interventions urgentes). L’évolution des technologies (Cloud, IoT, IA) nécessite une veille permanente.
Enfin, la légalisation de l’activité. Un pentester freelance doit avoir un statut juridique adapté et respecter le code pénal sur les tests d’intrusion. En 2025, l’ANSSI a rappelé que toute intrusion sans contrat préalable est illégale. Les assurances professionnelles sont obligatoires.
Sources : DARES, BMO France Travail 2025-2026, APEC, France Compétences, INSEE, ANSSI, CESIN, Orange Cyberdefense, Atos, Capgemini, Synacktiv, YesWeHack, Malt.
