Mis à jour en juillet 2026
Tu veux devenir pentester mais tu es perdu face au nombre de formations disponibles ? Comment choisir la bonne, celle qui ouvre vraiment des portes ? Tu cherches un chemin clair pour acquérir les compétences demandées par les entreprises.
Ce guide te présente les formations pentest certifiantes, les certifications qui comptent sur le marché, le parcours réaliste pour être employable, et les options de financement disponibles en 2026.
Une formation pentest sérieuse dure entre 5 jours (35h, profils déjà en poste) et 6 mois (reconversion). Pour être employable, vise un titre RNCP ou une certification internationale comme l’OSCP. Budget : 1 500 à 3 800 €, finançable CPF ou France Travail. Le marché recrute : 15 000 postes vacants en France en 2026, selon l’ANSSI.
🎯 Qu’est-ce qu’un pentester et pourquoi est-ce un métier d’avenir ?
Un pentester, ou hacker éthique, est un professionnel de la cybersécurité mandaté pour simuler des attaques informatiques sur les systèmes de ses clients. Son but : trouver les failles avant qu’un vrai pirate ne les exploite.
Ses missions principales :
- Réaliser des tests d’intrusion sur des systèmes, réseaux et applications web
- Identifier et analyser les vulnérabilités découvertes lors des audits
- Rédiger des rapports détaillés compréhensibles par les équipes techniques et la direction
- Recommander des actions correctives priorisées par niveau de criticité
Le marché est en tension structurelle. En 2026, 15 000 postes en cybersécurité restent non pourvus en France, d’après l’ANSSI, et 3,5 millions dans le monde selon le rapport (ISC²) 2025. Les salaires ont progressé de 8 % entre 2024 et 2026 (baromètre Michael Page). Un pentester junior démarre entre 38 000 € et 45 000 € brut annuel. Un senior avec 5 ans d’expérience dépasse facilement les 70 000 €.
📋 Comparatif des formations pentest certifiantes en France
Toutes les formations ne se valent pas sur le marché du travail. Voici les programmes qui font consensus chez les recruteurs en 2026, classés par profil :
| Organisme | Certification visée | Durée | Prix indicatif | Financement | Prérequis |
|---|---|---|---|---|---|
| Cyberini | Cybersécurité & Pentest (labellisée ANSSI SecNumedu) | 120h, 4 mois en ligne | 1 500 € | CPF, France Travail | Bases Linux et réseaux |
| Guardia School | Titre RNCP Niv. 6 « Admin. infrastructures sécurisées » | Formation continue, en ligne avec mentorat | 3 100 € | CPF, AIF France Travail | Connaissances informatique (système, réseau) |
| M2i Formation | Certification RS5137 « Tests d’intrusion » | 5 jours (35h) | 3 300 € | CPF, OPCO | Maîtrise TCP/IP, Windows, Linux |
| Jedha Bootcamp | Titre RNCP Niv. 7 Expert Cybersécurité | 6 mois bootcamp intensif | Sur devis | CPF, financement entreprise | Bac+2 informatique ou équivalent |
🏆 Les certifications internationales qui font la différence
Au-delà des formations françaises, le marché du pentest est dominé par des certifications internationales. Les recruteurs, ESN et cabinets de conseil les valorisent autant voire davantage qu’un titre RNCP. Connaître ces certifications t’aide à choisir ta formation et à définir ta trajectoire.
eJPT : le point d’entrée accessible
L’eJPT (eLearnSecurity Junior Penetration Tester) d’INE Security est la première certification pratique recommandée pour les débutants. Elle valide les fondamentaux du pentest en conditions réelles : reconnaissance, scan, exploitation basique. Coût : 250 à 400 $. C’est le bon premier pas avant de viser des certifications plus avancées.
PNPT : l’alternative crédible et abordable
Le PNPT (Practical Network Penetration Tester) de TCM Security, créé en 2021, s’est imposé en 4 ans comme une certification solide. Tout inclus pour 399 $, avec un examen pratique sur 5 jours qui simule un vrai audit réseau. Il est moins reconnu que l’OSCP dans les grands comptes français, mais son rapport qualité-prix est imbattable pour valider un profil junior.
OSCP : la référence du marché
L’OSCP (Offensive Security Certified Professional) d’OffSec reste en 2026 la certification pentest la plus valorisée. 90 % des offres d’emploi senior en pentest en France la mentionnent. L’examen dure 24h d’exploitation en conditions réelles. Prix : 1 599 $ pour la version standard 2026. C’est l’objectif à 12-18 mois pour un profil en reconversion sérieuse.
🧠 Les compétences clés à maîtriser
Une bonne formation pentest te permet d’acquérir deux types de compétences. Les recruteurs cherchent des profils complets, capables de trouver les failles et d’expliquer leurs résultats clairement.
Les hard skills techniques
- Systèmes d’exploitation : Linux (Kali Linux en priorité) et Windows en profondeur
- Réseaux : protocoles TCP/IP, HTTP/S, DNS, modèle OSI pour analyser les flux
- Outils de pentest : Nmap (scan), Metasploit (exploitation), Burp Suite (web)
- Scripting : bases Python ou Bash pour automatiser les tâches répétitives
- Sécurité applicative : TOP 10 OWASP (injections SQL, XSS, CSRF) pour les tests web
- Active Directory : attaques Kerberos, Pass-the-Hash, BloodHound, indispensables en environnement entreprise
Les soft skills qui font la différence en entretien
- Curiosité intellectuelle : le domaine évolue vite, la veille est permanente
- Rigueur méthodologique : un audit suit un protocole précis, sans improvisation
- Éthique : tu accèdes à des systèmes sensibles, la confidentialité est non négociable
- Communication écrite : un rapport de pentest lisible par la direction est aussi important que les failles trouvées
📅 Quel parcours pour être employable rapidement ?
Beaucoup de candidats choisissent la mauvaise formation parce qu’ils ne connaissent pas le chemin standard. Voici la roadmap réaliste en 2026 :
- Mois 1-3 : Fondamentaux réseau, Linux, Python. TryHackMe ou HackTheBox pour la pratique.
- Mois 4-5 : Certification eJPT ou Security+ pour valider les bases.
- Mois 6-9 : Formation certifiante RNCP ou ANSSI (Cyberini, M2i, Guardia) + CTF réguliers.
- Mois 10-18 : Préparation OSCP ou PNPT. Stages ou alternance en parallèle si possible.
📖 Le programme type d’une formation pentest sérieuse
La plupart des programmes de qualité sont découpés en modules progressifs. Voici ce que tu dois retrouver dans une formation avant de t’y inscrire.
Module 1 : Fondamentaux cybersécurité et réseau
Ce premier module pose les bases : fonctionnement des réseaux TCP/IP, principaux protocoles, architecture des systèmes Linux et Windows. C’est l’étape qui assure que tous les candidats partagent le même socle avant de plonger dans l’offensif.
Module 2 : Reconnaissance et scan de vulnérabilités
Tu apprends les techniques de reconnaissance passive (OSINT, recherche d’informations publiques) et active. Objectif : cartographier la cible avec des outils comme Nmap ou Nessus, identifier les ports ouverts et les services exposés.
Module 3 : Exploitation des failles (système, web, réseau)
C’est le module central. Tu utilises Metasploit pour exploiter des failles connues, tu pratiques les attaques sur les applications web (injections SQL, XSS) et les réseaux (Man-in-the-Middle). Chaque technique se fait sur des labos virtuels sécurisés et légaux.
Module 4 : Post-exploitation et élévation de privilèges
Une fois l’accès initial obtenu, le travail continue. Tu apprends à maintenir l’accès, à te déplacer latéralement dans le réseau et à tenter une élévation de privilèges vers les droits administrateur. Sur les environnements Windows, les attaques Active Directory (BloodHound, Pass-the-Hash) sont au programme des formations sérieuses.
Module 5 : Rapport et cadre légal
Un test d’intrusion sans rapport structuré n’a aucune valeur. Ce module t’apprend à décrire les vulnérabilités trouvées, évaluer leur criticité (CVSS) et formuler des recommandations actionnables. Le cadre légal est aussi couvert : ce que tu peux faire sans mandat écrit, c’est un délit.
✅ Comment reconnaître une formation sérieuse ?
Le marché de la formation pentest est hétérogène. Certains organismes vendent des attestations sans valeur réelle sur le marché du travail. Voici les critères à vérifier avant de signer.
Le titre RNCP : la référence française
Le titre RNCP (Répertoire National des Certifications Professionnelles) est la preuve que la formation a été validée par un jury officiel. Un titre RNCP niveau 6 correspond à un Bac+3/4. Pour les recruteurs français, c’est un gage de sérieux immédiat. Tu peux vérifier n’importe quelle certification sur le site de France Compétences.
Le label SecNumedu de l’ANSSI
En cybersécurité, l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information) est l’autorité nationale de référence. Son label SecNumedu-FC pour les formations continues atteste que le programme respecte ses exigences de contenu et de pédagogie. Sur un CV, c’est un signal fort pour les recruteurs du secteur public et des grandes entreprises.
Les signaux d’alerte à éviter
- Aucune certification visible en sortie (juste une attestation de présence)
- Pas de mention RNCP, ANSSI ou certification internationale
- Programme sans labo pratique ou CTF
- Absence d’avis vérifiés d’anciens stagiaires
💶 Comment financer sa formation de pentester ?
Le coût d’une formation sérieuse peut freiner. Plusieurs dispositifs permettent de réduire sensiblement la charge financière selon ta situation.
Le CPF (Mon Compte Formation)
Le Compte Personnel de Formation est le dispositif le plus utilisé. Chaque année travaillée, tu accumules des droits en euros. Tu peux les mobiliser pour financer totalement ou partiellement une formation éligible, c’est-à-dire toutes celles qui délivrent un titre RNCP. La démarche se fait directement sur moncompteformation.gouv.fr.
L’aide de France Travail (ex-Pôle Emploi)
Si tu es demandeur d’emploi et que ton solde CPF est insuffisant, France Travail peut compléter via un abondement. Tu dois monter un dossier avec ton conseiller pour justifier que la formation accélère ton retour à l’emploi, ce qui est facile à argumenter en cybersécurité vu la tension du marché.
Le financement par l’entreprise
Si tu es en poste, ton entreprise peut prendre en charge la formation via le plan de développement des compétences. L’argument à avancer : renforcer la sécurité interne ou préparer une certification qui sert directement les projets de l’entreprise.
Le financement personnel
Si aucun dispositif ne s’applique, la plupart des organismes proposent un paiement en plusieurs fois sans frais. À vérifier systématiquement lors du premier contact.
🚀 Quels débouchés après une formation pentest ?
Une certification en poche, les portes s’ouvrent sur plusieurs métiers de la sécurité offensive et défensive. Le taux d’emploi après une formation certifiante est très élevé dans ce secteur.
- Pentester / Auditeur en sécurité : le débouché principal. Tu travailles en ESN, cabinet spécialisé ou en interne chez un grand compte.
- Consultant en cybersécurité : tu conseilles les entreprises sur leur stratégie de sécurité globale.
- Analyste SOC : rôle plus défensif, mais une formation offensive te donne un avantage clair pour détecter et analyser les incidents.
- Bug Bounty Hunter (freelance) : tu participes à des programmes de primes aux bugs et es rémunéré par les failles que tu trouves sur les plateformes des entreprises.
- Red Teamer : niveau senior, tu simules des attaques coordonnées sur de longues durées pour tester la résistance globale d’une organisation.
Les secteurs qui recrutent le plus : banques, assurances, industrie, e-commerce, éditeurs de logiciels et cabinets de conseil spécialisés. Depuis l’entrée en vigueur de la directive NIS2 en 2024, les obligations de sécurité ont fortement augmenté pour des milliers d’entreprises européennes, ce qui alimente directement la demande en pentesteurs.
