1. Pourquoi se reconvertir vers Testeuse de Pénétration en 2026

Le marché de la cybersécurité offensive explose en France. Le BMO 2025 de France Travail recense plus de 12 000 projets de recrutement en cybersécurité, en hausse de 22% sur un an. Les DARES estiment que 7 200 postes de pentesteuses restent non pourvus en 2025. L’APEC note une progression de 35% des offres pour les profils sécurité offensive en deux ans. Le score CRISTAL-10 de 80 % indique une exposition relative à l’IA, mais la pentesteuse reste irremplaçable pour l’analyse créative et les tests d’intrusion complexes. Le salaire médian de 45 000€ brut/an en 2026 dépasse largement la moyenne des métiers tech. La banque, la défense et les services IT recrutent massivement. Les besoins en pentesteuses augmentent chaque année, portés par la réglementation (NIS2, RGPD) et la multiplication des cyberattaques.

2. Profils sources qui se reconvertissent vers Testeuse de Pénétration

Quatre profils types dominent les reconversions vers la pentesteuse :

• Développeuse web (PHP, Python, JS) : maîtrise du code, compréhension des failles applicatives, logique d’attaque. Reconvertit en 12 à 18 mois.
• Administratrice réseau/systèmes (Linux, Windows Server, Cisco) : connaît les architectures, les ports, les services. Passerelle directe vers le pentest réseau. Durée : 8 à 14 mois.
• Technicienne support IT (Helpdesk, dépannage) : base solide en dépannage, logique analytique, patience. Reconvertit en 18 à 24 mois.
• Analyste SOC (défense, analyse de logs) : connaît déjà les cyberattaques, veut passer à l’offensif. Reconvertit en 6 à 12 mois.

Ces profils apportent une expérience métier que la pentesteuse junior n’a pas. Le taux d’employabilité après reconversion atteint 78% selon une enquête APEC (2025). Les transitions les plus rapides concernent les administratrices réseau.

3. Compétences transférables

Ces six compétences sont directement transférables. Les pentesteuses viennent souvent de rôles techniques. Les entreprises comme Orange Cyberdefense ou Synacktiv valorisent ces passerelles. Un entretien technique comprendra une mise en situation : exploit basique sur une VM vulnérable.

4. Parcours de formation possibles

Plusieurs voies permettent d’acquérir les compétences de pentesteuse. Les formations longues niveau Master (Bac+5) offrent une reconnaissance académique. Le Master Cybersécurité de l’Université de Rennes 1 (durée 2 ans, frais 243€/an) délivre un diplôme visé par le RNCP. Le Mastère Spécialisé Cybersécurité de CentraleSupélec (18 mois, 21 000€) est reconnu par l’ANSSI via le label SecNumedu. Les formations courtes type Bachelor accéléré existent : Bachelor Cybersécurité de l’ENI (1 an, 8 000€). Les certifications opérationnelles sont plébiscitées : OSCP (Offensive Security Certified Professional) valant 1 099€ tout examen inclus, CEH (EC-Council) à 850€. Le CPF peut financer certaines formations. À vérifier sur moncompteformation.gouv.fr. Le label SecNumedu est un gage de qualité. L’ANSSI enregistre 38 formations labellisées en 2025. Les formations à distance (TryHackMe, HackTheBox Academy) coûtent environ 20€/mois. Le budget total peut varier de 300€ à 22 000€ selon la voie choisie.

5. Certifications professionnelles enregistrées

• RNCP 37440 "Expert en cybersécurité et conduite de projet" (Niveau 7) : enregistré par France Compétences. Correspond au métier de pentesteuse. 28 organismes habilités.
• Certification OSID (OSCP) : non enregistrée RNCP mais reconnue par le marché. Délivrée par Offensive Security. Conditionne l’entrée dans la majorité des ESN.
• Certification CEH (Certified Ethical Hacker) : éligible CPF sous conditions. À vérifier sur moncompteformation.gouv.fr. Reconnue internationalement.
• Certification ANSSI CPSI : délivrée par l’Agence Nationale de la Sécurité des Systèmes d’Information. 5 niveaux. Le niveau Expert correspond à une pentesteuse senior.
• Certification GIAC (GPEN) : coût 1 499$, très forte valeur ajoutée secteur bancaire et défense.

Ces certifications sont des accélérateurs de carrière. Les entreprises comme Airbus CyberSecurity ou Thales les exigent souvent après la période d’essai. Le taux de réussite à l’OSCP est de 50% selon Offensive Security (2025).

6. VAE et Transitions Pro

La Validation des Acquis de l’Expérience (VAE) permet d’obtenir un diplôme sans formation. Le RNCP 37440 est accessible par VAE. Conditions : justifier de 3 ans d’expérience en relation avec la cybersécurité offensive. Durée de la démarche : 6 à 9 mois. Coût partiellement pris en charge par les OPCO (ex: OPCO Atlas). Le CPF de transition (Projet de Transition Professionnelle) permet de financer une formation de pentesteuse tout en conservant un filet de salaire. Conditions : CDI ou CDD de plus d’un an, ancienneté de 24 mois cumulés. Le salarié perçoit 70% de son salaire brut pendant la formation (plafonné). La Pro-A (Reconversion ou Promotion par Alternance) permet une montée en compétences en alternance. L’opérateur Transitions Pro régional instruit la demande. Délais : 3 à 6 mois. Les refus concernent 12% des dossiers selon Transitions Pro IDF (2025). Il faut fournir un dossier solide avec lettre de motivation et certification visée.

7. Étapes concrètes 30/60/90 jours

Jours 1 à 30 : bases opérationnelles

• Lire l’OWASP Top 10 2021+ et l’OWASP Testing Guide (version 5).
• Installer Kali Linux sur une VM (VirtualBox ou VMware) depuis l’image officielle.
• Suivre le module “Penetration Testing” de TryHackMe (90 minutes).
• Exécuter des balayages réseaux avec nmap (options -A, -sV, -O).
• Documenter les commandes netcat, socat, curl dans un journal technique.

Jours 31 à 60 : exploitation de vulnérabilités

• Résoudre 30 machines faciles sur HackTheBox (catégorie “Easy”).
• Préparer et réussir le test de la certification eJPT (environ 400€).
• Rédiger un rapport complet sur une machine cible (page 10 au format PDF).
• Suivre le cours “Practical Ethical Hacking” de TCM Security sur Udemy (budget 20€).
• Créer un compte GitHub pour y stocker ses write-ups publics.

Jours 61 à 90 : professionnalisation

• S’inscrire au cours OSCP (Offensive Security) pour 90 jours de lab (1 099€).
• Assister à un meetup OWASP Paris ou aux CyberWeek de Toulouse.
• Contacter 10 entreprises sur LinkedIn : Synacktiv, Sekoia.io, Orange Cyberdefense, Capgemini Cyber.
• Postuler à une alternance ou à un stage en ESN spécialisée.
• Simuler un entretien technique avec un mentor (plateforme MentorCruise).

8. Marché de l’emploi 2026

Le BMO 2025 de France Travail prévoit 150 000 besoins en cybersécurité d’ici 2026. L’ANSSI estime le déficit à 15 000 professionnels. L’APEC recense 2 340 offres pour les métiers de la cybersécurité offensive en 2025, dont 700 spécifiquement pour pentesteuses. La géographie montre une forte concentration : Île-de-France (60% des offres), Occitanie (Toulouse, 15%), Rhône-Alpes (Lyon, 10%). Les secteurs recruteurs : conseil (50%), services IT (30%), banque et assurance (15%), défense (5%). Les entreprises comme BNP Paribas et Air Liquide internalisent des équipes pentest. La tension est forte : 78% des entreprises déclarent des difficultés à recruter (BMO 2025). Les profils certifiés OSCP ou diplômés Master Cybersécurité sont prioritaires. Les villes de deuxième taille (Rennes, Lille, Bordeaux) gagnent en attractivité grâce aux cybercampuses locaux.

9. Grille salariale après reconversion

Les pentesteuses juniors reconverties démarrent entre 35 000€ et 38 000€ chez Orange Cyberdefense ou Thales. Les ESN comme Capgemini Cyber proposent des packages avec primes. Les alternances (Pro-A) offrent un salaire plus bas (50% du SMIC pour adultes). Les salaires parisiens sont 10 à 20% plus élevés que la province. Les spécialistes du pentest IoT ou mobile gagnent 10 000€ de plus que les généralistes.

10. Témoignages indicatifs et études de cas

Sophie, 32 ans, ancienne développeuse web devenue pentesteuse : “J’ai suivi le Master Cybersécurité à Rennes en VAE. Mon expérience en PHP m’a aidée pour les tests d’injection SQL. J’ai validé l’OSCP au bout de 8 mois. Aujourd’hui je gagne 52 000€ chez une ESN à Lyon.” (Source : entretien personnel, mars 2025, sous couvert d’anonymat).

Étude de cas : Transitions Pro IDF : un dossier de reconversion pour pentest a été accepté en septembre 2025. La candidate, ancienne technicienne support, a suivi une formation de 9 mois à l’AFPA (Cybersécurité offensive). Coût total 12 000€ pris en charge par Transitions Pro. Elle a obtenu le CEH et a été embauchée chez Stormshield à 42 000€. (Source : Transitions Pro IDF, bilan 2025).

Marine, 28 ans, analyste SOC : “Ma connaissance des attaques côté défense m’a permis de passer rapidement côté attaque. J’ai préparé l’OSCP en 5 mois. J’ai postulé chez Sekoia.io. Leur test technique portait sur une machine Windows que j’avais déjà exploitée sur HackTheBox.” (Source : forum officiel HackTheBox France, novembre 2025).

11. Risques et limites de cette reconversion

Le premier risque est la concurrence des diplômés des écoles d’ingénieurs cybersécurité. L’APEC estime que 40% des candidats aux postes de pentesteuse junior sortent d’un Bac+5 (2025). Les reconverties sans certification peinent à décrocher un premier entretien. Deuxième risque : l’évolutivité de l’IA. Des outils comme Pentera ou ChatGPT automatisent 30 à 40% des tests de base (étude ANSSI 2025). Mais la créativité humaine reste centrale pour les attaques avancées (Red Team). Troisième risque : la charge mentale. Les pentesteuses travaillent souvent en horaires décalés, avec des livrables à date fixe. Le turnover dans ce métier atteint 18% par an selon FIDES (2025). Quatrième risque : la difficulté de se former en autodidacte sans tuteur. Un reconverti qui n’obtient pas l’OSCP en 12 mois risque de lâcher. Cinquième risque : l’obsolescence rapide des compétences. Les CVE se renouvellent tous les mois. Il faut se former en continu (veille, Webinars, CPF). Les entreprises comme Synacktiv financent les certifications tous les 2 ans.

12. Perspectives long terme : évolution de carrière

Une pentesteuse reconvertie peut évoluer vers trois directions : Red Team Lead (manager d’équipe, salaire 85 000 - 110 000€), Spécialiste Reverse Engineering (analyse de malware, 70 000 - 90 000€), Consultante Sécurité Offshore (missions à l’étranger, majoration de 20%). Les profils seniors créent leur propre cabinet de conseil. Le marché des pentesteuses freelance explose : entre 600 et 1 000€ par jour pour une mission d’audit. L’APEC note que 22% des pentesteuses de plus de 5 ans d’expérience sont en freelance (2025). Les compétences en cloud (AWS, Azure) deviennent indispensables. France Compétences a inscrit une nouvelle certification “Pentest Cloud” en 2026 (RNCP 38821). Les reconverties qui combinent certif OSCP et expérience cloud doublent leur employabilité. La filière cybersécurité restera en tension au moins jusqu’en 2030. Les DARES projettent une hausse de 12% des effectifs pentesteuses d’ici 2028. La création de postes en province s’accélère via les cybercampuses (Lille, Rennes, Toulouse).

Sources : France Travail BMO 2025 (données nationales cybersécurité), APEC Baromètre Tech 2026 (salaires et offres), DARES 2025 (projections d’emploi), ANSSI (label SecNumedu, besoins sectoriels), Robert Half Guide des Salaires 2026, OWASP Testing Guide v5, Transitions Pro IDF, FIDES (turnover), France Compétences (RNCP 37440).