Apprendre le DevSecOps : roadmap structurée 2026

Devenir DevSecOps engineer opérationnel demande 3-6 mois si tu viens de dev/DevOps avec 2+ ans XP, 6-9 mois depuis sysadmin/ops, 12-18 mois depuis zéro tech. C'est le chemin le plus court depuis le développement vers la cybersécurité, meilleur ratio durée/salaire/proximité de toutes les spés cyber. Salaires CDI FR 2026 : junior 50-65 k€/an, mid 65-85 k€, senior 85-110 k€, lead 110-140 k€. Stack outillage 2026 ordonnée par priorité : SAST (Semgrep, CodeQL, SonarQube), secrets detection (Gitleaks, TruffleHog), SCA (Snyk, Dependabot, Trivy), container scan (Trivy, Grype, Docker Scout), IaC scan (Checkov, tfsec, KICS), supply chain (Cosign, Sigstore, SBOM CycloneDX/SPDX, in-toto), DAST (OWASP ZAP, Burp Suite CI). Frameworks à connaître : OWASP SAMM v2.0 (Software Assurance Maturity Model), OWASP DSOMM (DevSecOps Maturity Model), NIST SSDF SP 800-218 (Secure Software Development Framework, juillet 2022), BSIMM 14 (2024). Certifications par étape : AWS Cloud Practitioner (100$) → AWS Security Specialty (300$) → CDP Practical DevSecOps (~1500-2000$) → CKS Kubernetes Security (~395$). Cet article documente le plan 6-12 mois pas-à-pas, la stack ordonnée, les certifications et le portfolio public à construire, avec anti-patterns persistants (apprendre tous les outils sans pipeline complet, certif CEH inutile pour DevSecOps).

Pour le contexte général : voir Travailler en cyber : par où commencer. Pour les devs en transition : Développeur vers cybersécurité : roadmap 2026.

Le bon mental model : DevSecOps = shift-left + automatisation, pas tools soup

Erreur cognitive du débutant DevSecOps type 2026 : croire que c'est une collection d'outils à empiler dans la CI/CD. Faux. Le DevSecOps est :

1. Un mindset shift-left : déplacer la sécurité le plus tôt possible dans le SDLC (Software Development Life Cycle), design, code, build, test, deploy, runtime.
2. Une automatisation continue : pas un audit annuel, mais des gates intégrés à chaque commit/PR/déploiement.
3. Une coopération dev-sec-ops : pas un département séparé qui vient bloquer, mais un embedded sec engineer qui aide l'équipe dev à livrer plus vite et plus sûrement.
4. Une mesure continue : DORA metrics (Deployment Frequency, Lead Time, Change Failure Rate, MTTR) + métriques sécu (mean time to remediate, vuln density, % builds with security gates).

Ratio mesuré chez Microsoft 2014 : 1$ investi en sécu design/code phase économise 100$ en correction post-prod. C'est ce delta qui justifie économiquement DevSecOps.

Plan d'apprentissage DevSecOps 6-12 mois (depuis dev)

Volume horaire : 10-15h/semaine pendant 6 mois = 240-360h pratique en parallèle d'un emploi dev. Multiplier par 2 pour profil non-dev en transition.

# Setup environnement DevSecOps en 30 minutes
# Outils gratuits ou freemium
 
# SAST
brew install semgrep            # Semgrep CE gratuit
pip install bandit safety       # Python-specific
 
# Secrets detection
brew install gitleaks
brew install trufflesecurity/trufflehog/trufflehog
 
# SCA + Container scan
brew install trivy
brew install anchore/grype/grype
go install github.com/anchore/syft/cmd/syft@latest
 
# Supply chain
brew install cosign
brew install slsa-verifier
go install github.com/in-toto/in-toto@latest
 
# IaC scan
brew install checkov
brew install tfsec
docker pull bridgecrew/checkov
 
# Kubernetes security
brew install kube-bench
brew install kube-score
go install sigs.k8s.io/kind/cmd/kind@latest  # local k8s
 
# DAST
docker pull owasp/zap2docker-stable
brew install --cask burp-suite
 
# Vérifications
semgrep --version    # ≥ 1.50 mai 2026
trivy --version      # ≥ 0.50
cosign version       # ≥ 2.4
checkov --version    # ≥ 3.x

Stack outillage par couche (ordonnée)

Position : démarrer Semgrep + Trivy + Gitleaks + Cosign + Checkov + ZAP = stack DevSecOps complète en open source, suffisant pour 80% des PME-ETI 2026. Ajouter outils commerciaux quand maturité acquise et budget disponible.

# Pipeline GitHub Actions DevSecOps complet, exemple production
name: secure-pipeline
on:
  push:
    branches: [main, develop]
  pull_request:
    branches: [main]
 
permissions:
  contents: read
  security-events: write  # SARIF upload
  id-token: write          # Cosign keyless OIDC
 
jobs:
  security:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
 
      # 1. SAST avec Semgrep
      - name: Semgrep SAST
        uses: returntocorp/semgrep-action@v1
        with:
          config: |
            p/owasp-top-ten
            p/security-audit
            p/secrets
 
      # 2. Secrets detection
      - name: Gitleaks scan
        uses: gitleaks/gitleaks-action@v2
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
 
      # 3. Dependency scan (npm/pip/etc.)
      - name: Trivy filesystem scan
        uses: aquasecurity/trivy-action@master
        with:
          scan-type: fs
          severity: CRITICAL,HIGH
          exit-code: 1
          format: sarif
          output: trivy-fs.sarif
      
      - name: Upload SARIF
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: trivy-fs.sarif
 
      # 4. Build container
      - name: Build image
        run: docker build -t myapp:${{ github.sha }} .
 
      # 5. Container scan
      - name: Trivy container scan
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: 'myapp:${{ github.sha }}'
          severity: CRITICAL
          exit-code: 1
 
      # 6. SBOM generation
      - name: Generate SBOM
        uses: anchore/sbom-action@v0
        with:
          image: myapp:${{ github.sha }}
          format: cyclonedx-json
          output-file: sbom.cdx.json
 
      # 7. Image signing avec Cosign keyless
      - name: Login to GHCR
        uses: docker/login-action@v3
        with:
          registry: ghcr.io
          username: ${{ github.actor }}
          password: ${{ secrets.GITHUB_TOKEN }}
 
      - name: Push image
        run: |
          docker tag myapp:${{ github.sha }} ghcr.io/${{ github.repository }}:${{ github.sha }}
          docker push ghcr.io/${{ github.repository }}:${{ github.sha }}
 
      - name: Cosign install
        uses: sigstore/cosign-installer@v3
 
      - name: Cosign sign keyless
        run: cosign sign --yes ghcr.io/${{ github.repository }}:${{ github.sha }}
 
      - name: Cosign attest SBOM
        run: |
          cosign attest --yes --predicate sbom.cdx.json \
            --type cyclonedx ghcr.io/${{ github.repository }}:${{ github.sha }}
 
      # 8. IaC scan si Terraform/K8s manifests présents
      - name: Checkov IaC scan
        uses: bridgecrewio/checkov-action@master
        with:
          directory: .
          framework: terraform,kubernetes,dockerfile
          quiet: true

Frameworks de référence DevSecOps

Lectures essentielles 2026 :

• « DevSecOps in 100 PaaS » (anonyme communauté, 2024), pratique condensée.
• « Threat Modeling: Designing for Security » Adam Shostack (Wiley 2014, 624 pages), référence threat modeling.
• « Practical DevSecOps » Anant Shrivastava et al. (Practical DevSecOps platform).
• NIST SP 800-218 (~30 pages, lecture rapide), référentiel US qui structure la pratique.

Certifications DevSecOps par étape (ordre 2026)

Ordre recommandé démarrage : AWS Cloud Practitioner (100$) → AWS Security Specialty (300$) → Burp Suite Certified Practitioner (99£) → CDP ou CKS selon orientation. Total ~700-2700$ sur 12 mois.

Portfolio public DevSecOps : 4 piliers

Pilier 1 : Pipeline GitHub Actions complet public

2 projets persos avec :

• Pipeline CI/CD complète (Semgrep + Trivy + Cosign + SBOM + IaC scan).
• README détaillé expliquant chaque gate sécu et son objectif.
• Tests sécu (Bandit, Safety pour Python ; npm audit, ESLint sec-rules pour JS).
• Image Docker signée Cosign keyless sur GHCR.
• Attestation SBOM CycloneDX publiée via cosign attest.

Pilier 2 : Custom Semgrep rules

5-10 règles publiées sur ton GitHub :

# Exemple custom Semgrep rule pour FastAPI
rules:
  - id: fastapi-jwt-no-verify
    pattern: jwt.decode($TOKEN, options={"verify_signature": False})
    message: |
      JWT decode without signature verification creates auth bypass risk.
      Use jwt.decode(token, key, algorithms=['RS256']) instead.
    severity: ERROR
    languages: [python]
    metadata:
      cwe: "CWE-345"
      owasp: "A02:2021 Cryptographic Failures"

Pilier 3 : Articles techniques

1 article/mois, sujets denses :

• « Comment j'ai migré ma CI vers DevSecOps en 4 semaines (avec métriques) ».
• « Cosign keyless signing : pourquoi c'est mieux que GPG en 2026 ».
• « SBOM CycloneDX vs SPDX : choisir pour son écosystème ».
• « Threat modeling STRIDE sur app Next.js : 7 menaces trouvées en 2h ».

Hébergement : Medium, Dev.to, Hashnode, Astro blog perso. Lien depuis CV + LinkedIn.

Pilier 4 : Contributions OSS

1-3 PR mergées sur projets DevSecOps reconnus :

• Semgrep registry : nouvelle règle communautaire.
• Trivy : amélioration parser ou règle.
• OWASP ZAP : extension passive scan.
• OpenSSF Scorecard : nouveau check.
• Sigstore : amélioration documentation.
• Checkov : nouvelle policy Terraform/K8s.

Erreurs fréquentes en apprentissage DevSecOps

Marché DevSecOps FR 2026 : qui recrute, quels salaires

Variations 2026 :

• Paris/IDF : +10-15% vs province.
• Cloud security DevSecOps (AWS Sec + CKS) : +15-25% vs DevSecOps généraliste.
• AI security DevSecOps (LLM pipelines) : pénurie aiguë, +25-40% vs DevSecOps cloud.
• Remote international : +30-50% si anglais excellent + senior.

Pour aller plus loin

• Travailler en cyber : par où commencer, pour cadrer DevSecOps vs autres spés cyber.
• Développeur vers cybersécurité : roadmap 2026, cas spécifique des devs en transition (3-6 mois plus court).
• Reconversion cybersécurité sans 5 ans d'études, voies courtes incluant bootcamps DevSecOps.
• Décrocher sa première mission cybersécurité, plan 90 jours pour 1ère mission.
• Apprendre le pentest : roadmap structurée 2026, chemin alternatif offensif.
• Threat modeling : STRIDE, PASTA, LINDDUN, fondamentaux design sécurisé.
• SAST, DAST, SBOM, outils détaillés du glossaire.
• Sources externes : OWASP SAMM, OWASP DSOMM, NIST SSDF SP 800-218, BSIMM 14 report, SLSA framework, Sigstore, Practical DevSecOps.

Points clés à retenir

• 3-6 mois depuis dev/DevOps avec 2+ ans XP, 6-9 mois depuis sysadmin/ops, 12-18 mois depuis zéro tech. DevSecOps = chemin le plus court depuis dev vers cybersécurité.
• Salaires CDI FR 2026 : junior 50-65 k€, mid 65-85 k€, senior 85-110 k€, lead 110-140 k€. Paris/IDF +10-15%, big tech +15-25%, cloud security DevSecOps +15-25%.
• Stack outillage 2026 : Semgrep (SAST), Trivy (SCA + container), Gitleaks (secrets), Cosign (supply chain signing), Checkov (IaC), OWASP ZAP (DAST). Démarrer ces 6 = 80% des pipelines.
• Frameworks à connaître : OWASP SAMM v2.0, OWASP DSOMM, NIST SSDF SP 800-218 (juillet 2022), BSIMM 14 (2024), SLSA v1.0 (octobre 2023), OWASP ASVS v4.0.3.
• Plan 6 mois : mois 1 OWASP + threat modeling, 2 SAST + secrets, 3 SCA + container, 4 supply chain, 5 cloud AWS, 6 IaC + Kubernetes. Volume 10-15h/sem = 240-360h.
• Certifs ordre recommandé 2026 : AWS Cloud Practitioner (100$) → AWS Security Specialty (300$) → Burp Suite Certified Practitioner (99£) → CDP (~1500-2000$) ou CKS (~395$). Total ~700-2700$ sur 12 mois.
• Portfolio 4 piliers : pipeline GitHub Actions complet public (2 projets), custom Semgrep rules (5-10 règles), articles techniques (1/mois), contribs OSS (1-3 PR mergées Semgrep/Trivy/ZAP/Checkov).
• Big tech FR qui recrutent : Criteo, Doctolib, Stripe FR, Datadog FR, Mirakl, Talend. Salaires juniors 60-80 k€ vs 50-65 k€ ESN. Profil tendu : DevSecOps + AWS Sec + CKS.
• Anti-pattern n°1 : empiler 12 outils sans pipeline complet (tools soup). Maturité = vélocité de livraison sécurisée, pas nombre d'outils.
• Anti-pattern n°2 : CEH en 1ère certif (1200$, technique faible, non DevSecOps). AWS Security Specialty (300$) bat largement.
• Anti-pattern n°3 : pas de portfolio GitHub public. CV junior DevSecOps filtré au tri RH dans 70-80% des cas. Portfolio en place AVANT postulation massive.
• Position : démarrer DevSecOps en CDI ESN cyber (Wavestone, Almond) ou cabinet conseil pour formation technique encadrée, basculer big tech ou freelance après 3-4 ans XP avec certifs AWS Sec + CKS.