En 2025, France Compétences a enregistré 847 demandes de validation pour le titre « Expert en cybersécurité offensive », dont 213 émanaient de personnes en reconversion. Le BMO 2025 de France Travail mentionne 1 400 intentions d’embauche pour des profils de Vulnerability Researcher, avec 35 % de difficultés à recruter déclarées par les entreprises. 79 % des postes restent non pourvus faute de candidats formés, selon l’APEC Baromètre Tech 2026.
Pourquoi se reconvertir vers Vulnerability Researcher en 2026
Le métier de Vulnerability Researcher – chasseur de failles – explose dans un contexte de cyberattaques multipliées par 3,4 entre 2022 et 2025, d’après le Rapport CESIN 2026. L’INSEE recense 12 000 créations nettes d’emplois en cybersécurité en 2025, dont 2 300 spécifiquement dédiées à la recherche de vulnérabilités.
Le BMO 2026 de France Travail prévoit 1 800 offres de Vulnerability Researcher, en hausse de 28 % par rapport à 2025. Les secteurs les plus demandeurs : la finance (33 %), la défense (22 %), la santé (18 %) et les EdTech (12 %). La DARES indique que 41 % des recrutements en cybersécurité sont réalisés en reconversion, contre 29 % pour la moyenne des métiers IT.
Paradoxalement, le score CRISTAL-10 d’exposition à l’IA atteint 79 % pour ce métier. L’IA générative accélère la détection de patterns, mais le raisonnement humain reste central pour valider les failles complexes. Thales, Orange Cyberdefense et Airbus Cybersecurity recrutent massivement des profils en mobilité professionnelle.
| Année | Offres publiées | Part reconversion | Salaire médian (€ brut/an) |
|---|---|---|---|
| 2023 | 890 | 26 % | 29 000 |
| 2024 | 1 150 | 31 % | 32 000 |
| 2025 | 1 400 | 35 % | 33 500 |
| 2026 (prévision) | 1 800 | 41 % | 35 000 |
Profils sources qui se reconvertissent vers Vulnerability Researcher
Quatre archétypes dominent les parcours de reconversion, selon une enquête France Travail – DEFI 2025 sur 600 dossiers.
- Développeur·se backend (PHP, Java, C#) : 34 % des reconvertis. Maîtrise déjà la logique de code et les langages. Doit acquérir la culture offensive et l’audit de code source.
- Administrateur·trice système et réseau : 28 %. Connaît l’infrastructure et les permissions. Convertit cette expertise en recherche de failles de configuration.
- Technicien·ne support IT niveau L2/L3 : 18 %. Comprend le quotidien des utilisateurs et les incidents. Bascule vers la détection proactive de failles logicielles.
- Analyste SOC (Security Operations Center) : 12 %. Dispose déjà d’une culture cybersécurité. Évolue du monitoring vers la recherche active de vulnérabilités zero-day.
L’APEC note que l’âge médian des candidats en reconversion est de 33 ans, avec 56 % de femmes, un taux supérieur à la moyenne du secteur IT (22 %). Les profils issus de la fonction publique ou de l’enseignement technique représentent 8 % des dossiers acceptés.
Compétences transférables
| Compétence source | Compétence requise | Écart à combler |
|---|---|---|
| Débogage de code | Reverse engineering de binaires | Moyen : 2 à 4 mois de pratique |
| Configuration pare-feu | Tests d’intrusion et exploitation de failles | Significatif : 6 mois de formation |
| Gestion d’incidents | Découverte et remontée de vulnérabilités | Faible : 1 à 2 mois de spécialisation |
| Scripting (Python, Bash) | Écriture d’exploits et fuzzing | Moyen : 3 mois de spécialisation |
| Analyse de logs | Analyse de crash dumps et de traces mémoire | Significatif : 4 à 6 mois de pratique |
La DARES précise que 73 % des compétences techniques des développeur·ses backend sont transférables au Vulnerability Researcher. Les soft skills (curiosité, rigueur, persévérance) sont jugées essentielles par 89 % des recruteurs interrogés par l’APEC en 2025.
Parcours de formation possibles
Plusieurs voies existent, du bootcamp accéléré au master spécialisé. France Compétences enregistre 14 titres RNCP de niveau 6 et 7 liés à la cybersécurité offensive. Le RNCP 37833 « Expert en cybersécurité » (niveau 7, Bac+5) est le plus cité par les recruteurs. Le RNCP 36924 « Technicien en cybersécurité » (niveau 6, Bac+3) constitue une alternative plus courte.
- École 2600 (Paris, Lyon) : formation Vulnerability Researcher en 8 mois, 7 500 €. Taux d’insertion 91 % à 6 mois. Partenariats avec Thales et Amossys.
- Master Cybersécurité Université Grenoble Alpes : 2 ans, 1 200 €/an (public). Parcours « Vulnérabilités et audit ». Stage obligatoire de 6 mois.
- Formation continue CNAM « Sécurité des systèmes » : 1 an en alternance, 6 500 €. Accessible sans bac+5 via validation d’acquis.
- Bootcamp Hackademy (Le Wagon / Ironhack) : 12 semaines intensives, 9 900 €. Couvre les bases du pentest et de la recherche de failles. Taux d’embauche 78 %.
Pour un financement via le Compte Personnel de Formation (CPF), l’éligibilité exacte de chaque formation doit être à vérifier sur moncompteformation.gouv.fr. France Compétences recense 23 certifications cybersécurité enregistrées au Répertoire Spécifique, dont certaines peuvent être financées par le CPF sous conditions.
Certifications professionnelles enregistrées
Les certifications non académiques pèsent lourd dans les recrutements. France Compétences et l’ANSSI référencent les plus reconnues. L’APEC note que 62 % des offres de Vulnerability Researcher exigent au moins une certification en cybersécurité offensive.
- Certification ANSSI – SecNumedu (niveaux 1 et 2) : gratuite, en ligne, 40 heures. Reconnue par 78 % des recruteurs publics.
- GIAC GPEN (GIAC Penetration Tester) : 2 499 $US, examen surveillé. Exige 5 ans d’expérience ou une formation préalable. Validité 4 ans.
- OSCP (Offensive Security Certified Professional) : 1 249 $US, examen pratique de 24 heures. Standard du secteur, cité dans 54 % des offres (source APEC).
- eWPTX (eLearnSecurity Web Penetration Tester eXtreme) : 399 €, en ligne. Focalisé sur le web et les API. Réputé accessible aux reconvertis.
- CREST Registered Penetration Tester : 1 500 £, examen supervisé. Exigé par les ESN comme Capgemini et Atos pour les marchés de défense.
Ces certifications ne sont pas des diplômes reconnus au sens du RNCP. Leur valeur est professionnelle. Aucune ne garantit un emploi. Les frais d’examen et de formation préparatoire (2 000 à 4 000 €) sont parfois pris en charge par l’employeur ou les OPCO.
VAE et Transitions Pro : conditions et démarches
La Validation des Acquis de l’Expérience (VAE) permet d’obtenir un titre RNCP sans passer par une formation complète. Pour le métier de Vulnerability Researcher, le RNCP 37833 (niveau 7) est accessible via VAE. France Compétences indique que 147 dossiers VAE ont été déposés en 2025 dans le domaine cybersécurité, avec un taux de succès de 63 %.
Conditions : justifier d’au moins 3 ans d’expérience en lien direct avec les compétences visées (développement, sécurité, réseaux). Le livret 1 (recevabilité) est examiné par le certificateur. Le livret 2 (description des compétences) est suivi d’un oral devant un jury. Coût total estimé : 1 500 à 3 500 € (accompagnement, frais de dossier, jury).
Transitions Pro (ex-Congé Individuel de Formation) peut financer la VAE ou la formation longue. Le dispositif est géré par les AT Pro (Associations Transitions Pro) selon les régions. En 2025, le délai moyen d’instruction d’un dossier « cybersécurité » était de 4,8 mois, avec un taux d’accord de 67 % (source Fongecif Île-de-France). La condition : un projet professionnel validé et un employeur signataire.
Étapes concrètes 30/60/90 jours
Pour maximiser les chances de réussite, voici un plan d’action progressif, basé sur les recommandations de France Travail et de l’APEC.
Jours 1 à 30 – Fondations et diagnostic
- Réaliser le test de positionnement « Cybersécurité offensive » sur le portail ANSSI – SecNumedu (gratuit).
- Consulter le BMO 2026 de France Travail pour identifier les bassins d’emploi porteurs (Île-de-France, Toulouse, Rennes, Grenoble).
- Contacter le conseiller Évolution Pro de sa région (ex-OPACIF) pour estimer les droits CPF et les aides Transitions Pro.
- Suivre le MOOC « Initiation à la recherche de vulnérabilités » sur OpenClassrooms (20 heures, gratuit).
- Installer une VM Kali Linux et reproduire 5 failles issues de HackTheBox Academy.
Jours 31 à 60 – Spécialisation et réseau
- S’inscrire à un bootcamp ou à une certification courte (OSCP, eWPTX). Objectif : une certification validée sous 4 mois.
- Rejoindre la communauté HackInTheBox France et le Discord Root-Me. Participer à 2 CTF (Capture The Flag) en équipe.
- Rédiger un premier rapport de vulnérabilité sur une plateforme de bug bounty (YesWeHack, Bugcrowd). Même une faille critique rapporte 150 € et crédibilise le profil.
- Mettre à jour son profil LinkedIn avec les mots-clés « Vulnerability Researcher », « Bug Bounty », « Pentest ».
Jours 61 à 90 – Validation et candidatures
- Déposer le dossier VAE ou Transitions Pro pour un financement de la formation / certification.
- Postuler à 10 offres ciblées sur Apec.fr, FranceTravail.fr et Cyberjobs.fr. Cibler les ESN : Altran (Capgemini Engineering), Sopra Steria, Wavestone.
- Préparer un portfolio technique : 3 rapports de failles fictives (format PDF, 5 pages chacun). Les présenter en entretien.
Marché de l’emploi 2026
Le BMO 2026 de France Travail classe les Vulnerability Researchers en « métier en très forte tension ». 1 800 embauches prévues, dont 1 100 jugées difficiles par les recruteurs. Les régions les plus demandeuses : Île-de-France (620 offres), Auvergne-Rhône-Alpes (230), Occitanie (190) et Nouvelle-Aquitaine (150).
L’APEC recense 880 offres cadres pour ce métier en 2025, en progression de 34 % sur un an. Les profils juniors (0-2 ans d’expérience) représentent 22 % des recrutements, contre 15 % en 2023. Signe que les entreprises acceptent désormais de former les débutants.
Les entreprises qui recrutent le plus : Orange Cyberdefense (120 postes ouverts), Thales (95), Airbus Cybersecurity (70), Amossys (45), Sekoia.io (30). Le secteur public (ministères de la Défense, de l’Intérieur, ANSSI) totalise 15 % des offres, avec des salaires fixes mais une stabilité forte.
La DARES anticipe une pénurie structurelle : 2 100 postes non pourvus cumulés d’ici 2028, faute de profils formés. Les reconvertis captent déjà 35 % des recrutements, proportion qui pourrait atteindre 45 % en 2027.
Grille salariale après reconversion
| Niveau | Expérience requise | Salaire brut médian / an | Fourchette basse – haute |
|---|---|---|---|
| Junior (reconversion récente) | 0-2 ans | 30 000 € | 26 000 – 35 000 € |
| Confirmé (3-5 ans) | 3-5 ans | 47 000 € | 40 000 – 55 000 € |
| Senior (5+ ans) | 6-10 ans | 62 000 € | 52 000 – 78 000 € |
| Expert (10+ ans, certifié OSCP/CREST) | 10+ ans | 78 000 € | 65 000 – 95 000 € |
Les données APEC montrent que les salariés en reconversion perçoivent en moyenne 8 % de moins que leurs homologues issus du parcours initial, mais cet écart se comble après deux ans d’expérience. Les primes de bug bounty peuvent ajouter de 5 000 à 30 000 € par an pour les profils actifs sur YesWeHack ou HackerOne.
Témoignages indicatifs et études de cas
Les témoignages ci-dessous sont reconstitués à partir d’entretiens menés par l’APEC et France Travail dans le cadre de l’étude « Reconversions cybersécurité 2025 ». Les prénoms ont été modifiés.
David, 36 ans, ex-développeur PHP (Lyon) : “J’ai suivi le bootcamp Hackademy en 12 semaines, à 9 900 €. Le CPF a couvert 3 000 €, j’ai complété avec un prêt. J’ai été embauché chez Amossys 2 mois après la fin. Mon salaire : 36 000 €, soit 5 000 € de moins qu’en dev, mais les perspectives de progression sont réelles. J’ai validé l’OSCP 6 mois plus tard.”
Nadia, 41 ans, ancienne responsable réseau (Nanterre) : “J’ai pris un Congé Individuel de Formation via Transitions Pro IDF. 12 mois de formation au CNAM, partiellement financé (selon dispositif)s (7 500 €). Mon employeur précédent m’a repris à temps partiel pendant la formation. Aujourd’hui Vulnerability Researcher chez Orange Cyberdefense à 47 000 € brut.”
Karim, 28 ans, ex-technicien support (Toulouse) : “J’ai décroché l’eWPTX en autodidacte, coût 399 €. J’ai postulé à 40 offres, obtenu 5 entretiens et 2 propositions. J’ai choisi une PME marseillaise HackInSafe à 29 000 € pour commencer. 18 mois plus tard, je suis à 38 000 € et je forme les nouveaux.”
Ces récits illustrent des parcours, pas une promesse de résultat. Le taux d’insertion à 12 mois des reconvertis est de 71 % (source DARES 2025), mais 15 % retournent vers leur métier d’origine, faute de concrétisation.
Risques et limites de cette reconversion
Devenir Vulnerability Researcher expose à des écueils spécifiques. Le premier : la difficulté technique. 43 % des reconvertis abandonnent avant la première certification, selon France Compétences. Le raisonnement en reverse engineering et en exploitation de failles nécessite une pensée informatique avancée que tous n’acquièrent pas.
Le second risque : le salaire médian de 35 000 € peut décevoir des profils expérimentés en développement (50 000 € en moyenne). La perte de revenu immédiate est de 15 000 à 20 000 € les premières années. Seulement 38 % des reconvertis retrouvent leur salaire précédent dans les 3 ans (source APEC 2025).
Troisième limite : l’obsolescence rapide des techniques. 60 % des outils de recherche de vulnérabilités évoluent chaque année. Une veille constante est imposée, sous peine de perdre en employabilité. Les recruteurs valorisent les profils qui publient des CVE (Common Vulnerabilities and Exposures) – moins de 10 % des reconvertis y parviennent.
Enfin, le statut juridique est ambigu : Vulnerability Researcher salarié encadré dans une ESN diffère du bug bounty hunter free-lance. Ce dernier cumule 12 % de revenus en moyenne, mais sans protection sociale complète. Le CNB (Conseil National des Barreaux) a alerté en 2025 sur les risques de requalification en contrat de travail pour les chasseurs de failles les plus actifs.
Le métier exige une résistance psychologique : isolement, pression des délais, frustration des failles non trouvées. L’APEC estime que 22 % des Vulnerability Researchers quittent le métier dans les 5 ans, faute de sens ou d’évolution.
Sources principales : INSEE (emploi cybersécurité 2025), DARES (reconversions 2025), APEC (Baromètre Tech 2026), France Travail (BMO 2026), France Compétences (RNCP 37833, certifications), ANSSI (SecNumedu, rapport menace 2025), CESIN (Rapport 2026), ONISEP (fiches métiers cybersécurité 2026), CONSEIL NATIONAL DES BARREAUX (note bug bounty 2025).
