Devenir pentester en alternance : parcours, compétences et formation

En bref : le pentester, ou testeur d'intrusion, attaque un système d'information avec l'accord écrit de son propriétaire pour en trouver les failles avant un attaquant réel. On y arrive le plus souvent par un Bac+5 en cybersécurité et une première expérience en audit, en administration système ou en SOC. L'alternance permet de pratiquer dès la formation : chez LiveCampus, le Mastère Expert en Cybersécurité (titre RNCP 40897, niveau 7) se suit à distance, en cours en direct, au rythme d'1 semaine de cours pour 3 semaines en entreprise.

Que fait un pentester ?

Le pentester réalise des tests d'intrusion : il simule des attaques sur un périmètre défini (application web, réseau interne, infrastructure cloud, poste de travail, parfois équipes humaines via l'ingénierie sociale) pour mesurer ce qu'un attaquant pourrait réellement obtenir. Une mission suit en général quatre temps :

• le cadrage : périmètre, dates, techniques autorisées et contacts d'urgence, consignés dans une autorisation écrite ;
• la reconnaissance : cartographie des services exposés, des versions logicielles et des accès possibles ;
• l'exploitation : tentative d'exploiter les vulnérabilités trouvées, sans dégrader la production ;
• le rapport : description des failles, niveau de risque, preuves et recommandations de correction, présenté aux équipes techniques et à la direction.

Le rapport compte autant que la technique : un test d'intrusion n'a de valeur que si l'entreprise comprend quoi corriger, et dans quel ordre.

Un métier encadré par la loi

S'introduire dans un système informatique sans autorisation est un délit (article 323-1 du Code pénal). Ce qui distingue le pentester d'un attaquant, c'est donc le mandat : il n'intervient que sur un périmètre et pendant une période définis par écrit avec le client. Côté prestataires, l'ANSSI délivre une qualification PASSI (prestataires d'audit de la sécurité des systèmes d'information), dont le référentiel a été mis à jour en version 2.2 fin 2024 ; elle est exigée pour certains clients publics et opérateurs sensibles.

Les compétences attendues

• Réseaux et systèmes : protocoles, Active Directory, Linux et Windows, cloud. On ne contourne bien que ce que l'on sait administrer.
• Sécurité applicative : vulnérabilités web courantes (injections, contrôle d'accès, authentification), lecture de code.
• Outils : Nmap pour la reconnaissance, Burp Suite pour le web, Metasploit pour l'exploitation, scripts en Python, Bash ou PowerShell.
• Rédaction et restitution : expliquer un risque technique à des interlocuteurs qui ne sont pas spécialistes.
• Éthique et confidentialité : le pentester a accès à des informations sensibles et doit rester strictement dans son mandat.

Pentest et intelligence artificielle

L'IA change le métier de deux façons. D'abord comme outil : assistants pour la reconnaissance, l'analyse de code ou la rédaction, et premiers agents semi-autonomes, dont les résultats doivent toujours être vérifiés. Ensuite comme cible : les applications qui intègrent un LLM, un RAG ou des agents ouvrent de nouvelles failles (injection de prompt, fuite de données, actions non prévues), qu'il faut savoir tester.

Dans le Mastère Expert en Cybersécurité de LiveCampus, le module Pentest (60 heures) consacre environ 20 heures à ces deux aspects, avec des travaux pratiques de red teaming de modèles sur Garak, PyRIT et Promptfoo.

Quelle formation pour devenir pentester ?

Les recruteurs demandent souvent un Bac+5 : diplôme d'ingénieur, master ou titre RNCP de niveau 7 en cybersécurité. Le Mastère Expert en Cybersécurité de LiveCampus prépare le titre Expert en cybersécurité (RNCP 40897), en 900 heures sur 2 ans, après un Bac+3 en informatique. Les modules les plus proches du métier :

• Pentest (60 h) : méthodologie, exploitation, test des systèmes d'IA ;
• Reverse engineering et OSINT (30 h) : analyse de binaires et de malwares, recherche d'informations en sources ouvertes ;
• Méthodologie d'audit (30 h) : conduite d'audit et rédaction du rapport, y compris l'audit d'une application intégrant un assistant IA ;
• Security by Design (27 h) et Principes de remédiation (30 h) : savoir proposer des corrections réalistes.

Le détail du programme, des prérequis et des dates figure sur la fiche du Mastère Expert en Cybersécurité.

Devenir pentester en alternance

L'alternance est un bon accélérateur, à condition de viser le bon type d'entreprise : cabinets d'audit et ESN spécialisées en sécurité offensive, équipes sécurité de grands groupes, prestataires qualifiés. Au rythme d'1 semaine de cours pour 3 semaines en entreprise, l'apprenti participe à des missions réelles sous la responsabilité d'auditeurs expérimentés.

Soyons clairs : les postes d'alternant pentester sont moins nombreux que les postes en SOC, en administration sécurisée ou en conseil. Beaucoup de pentesters commencent par l'un de ces métiers avant de se spécialiser. Une alternance d'analyste SOC ou de consultant en cybersécurité n'éloigne pas du pentest : elle en donne les bases.

En contrat d'apprentissage, la formation est financée par l'entreprise et son OPCO, et l'apprenti est rémunéré selon un barème légal qui dépend de son âge et de son année de formation. Les règles sont détaillées dans notre guide de l'alternance en informatique.

Comment se démarquer en candidature

• Pratiquer sur des plateformes légales : TryHackMe, Hack The Box ou Root-Me permettent de s'entraîner sur des machines conçues pour ça. Chez LiveCampus, l'accès à TryHackMe est inclus pendant la formation.
• Participer à des CTF (capture the flag) et documenter ses résolutions dans de courts write-ups.
• Soigner l'écrit : un exemple de rapport clair vaut souvent plus qu'une longue liste d'outils sur un CV.
• Ne jamais tester sans autorisation : un « test » sur le site d'un futur employeur est un délit, pas un argument.

Évolutions possibles

Avec l'expérience, le pentester peut se spécialiser (applications, Active Directory, cloud, systèmes industriels, IA), évoluer vers le red team, l'audit de code ou la recherche de vulnérabilités, ou prendre la responsabilité d'une équipe d'audit. La fiche métier Pentester résume les missions et les compétences.

Questions fréquentes

Faut-il un Bac+5 pour être pentester ?

Ce n'est pas une obligation légale, mais c'est le niveau le plus souvent demandé. Un Bac+5 en cybersécurité associé à une alternance ou à une première expérience technique reste le parcours le plus courant.

Peut-on devenir pentester en formation à distance ?

Oui, si la formation repose sur des cours en direct et sur des environnements pratiques. Chez LiveCampus, les travaux pratiques se font sur des infrastructures mises à disposition par l'école (machines virtuelles, conteneurs, plateformes d'entraînement).

Le pentest est-il menacé par l'IA ?

L'IA automatise une partie de la reconnaissance et de l'analyse, mais pas le jugement : choisir quoi tester, vérifier les résultats, mesurer un risque pour une entreprise donnée. Elle crée aussi un nouveau champ de tests, celui des applications qui intègrent de l'IA.

Sources

• Légifrance, Code pénal, chapitre « Des atteintes aux systèmes de traitement automatisé de données » (articles 323-1 et suivants).
• ANSSI, mise à jour des référentiels PASSI (version 2.2) et PRIS (version 3.0), 29 novembre 2024.
• ANSSI, Observatoire des métiers de la cybersécurité, enquête 2025.
• France Compétences, fiche RNCP 40897, Expert en cybersécurité.