Peut-on devenir DevSecOps sans expérience cyber ?

Devenir DevSecOps sans expérience cyber est l'une des trajectoires cyber les plus accessibles en 2026, à condition de venir d'un profil dev, DevOps, SRE, sysadmin ou cloud engineer : 6 à 12 mois de bascule suffisent pour un profil avec 2+ ans d'expérience IT, contre 18-24 mois pour une reconversion totale sans bagage. Le DevSecOps est en forte croissance d'offres en France (contrairement au pentest junior en goulot d'étranglement), porté par la directive NIS 2 transposée en 2024 et l'explosion des pipelines CI/CD dans les entreprises tech. Salaires juniors : 42-65 k€ bruts selon région, progression +5 ans jusqu'à 75-90 k€. Les compétences cyber à ajouter sont identifiables et enseignables — OWASP Top 10, SAST, SCA, IaC security, container security — sur un socle DevOps ou dev déjà solide. Cet article détaille la réalité du marché, les quatre profils qui basculent naturellement, les cinq compétences à ajouter, le portfolio GitHub obligatoire, les certifications pertinentes, et la stratégie d'accélération par bascule interne.

1. La réalité du marché : DevSecOps en croissance, contrairement au pentest junior

Le DevSecOps bénéficie d'un contexte structurellement favorable en France. Les régulations (directive NIS 2, Cyber Resilience Act, DORA pour la finance) imposent aux entreprises de construire la sécurité dans leurs chaînes de livraison logicielle plutôt que de la tester après coup. Cette bascule produit une demande forte en profils capables d'intégrer la sécurité dans les pipelines.

Contraste avec le pentest junior : le DevSecOps junior trouve un emploi 2 à 3 fois plus vite, à salaire équivalent ou supérieur, avec un taux de placement nettement plus favorable. Le choix entre pentest et DevSecOps en reconversion est souvent une question de marché autant que d'appétence personnelle.

2. Les quatre profils qui basculent naturellement en DevSecOps

Durée type pour une bascule complète vers un premier poste DevSecOps junior, à raison de 15 heures hebdomadaires d'effort d'apprentissage en parallèle d'un emploi existant. Pour les trajectoires depuis dev ou système-réseau en détail, voir Quel métier cyber viser quand on vient du développement ? et Quel métier cyber viser quand on vient du système et du réseau ?.

Les profils qui n'ont aucun bagage IT peuvent atteindre le DevSecOps junior, mais le parcours dure typiquement 18-24 mois via un premier poste dev junior ou SOC L1 avant bascule spécialisée. Sauter directement vers DevSecOps depuis zéro est statistiquement peu viable — le socle DevOps est un vrai prérequis structurel.

3. Les cinq compétences cyber à ajouter au socle DevOps ou dev

Le socle dev ou DevOps couvre déjà 60-70 % des compétences d'un DevSecOps junior. Les cinq briques manquantes sont identifiables, enseignables et mesurables.

1. OWASP Top 10 compris en profondeur

Pas juste la liste mémorisée — la compréhension des mécanismes d'exploitation. Un DevSecOps qui intègre Semgrep dans un pipeline doit savoir pourquoi une règle détecte une injection SQL, pas juste la copier.

Ressources gratuites : PortSwigger Web Security Academy (référence absolue), OWASP Cheat Sheet Series, HackTheBox Academy module AppSec.

2. SAST (Static Application Security Testing)

Analyse du code source sans exécution. Outils marché : Semgrep (open source, très actif), SonarQube (standard entreprise), CodeQL (GitHub Advanced Security), Bandit (Python spécifique), Brakeman (Ruby on Rails).

Compétence attendue : non seulement savoir intégrer ces outils dans un pipeline, mais écrire des règles personnalisées adaptées au contexte projet.

3. SCA (Software Composition Analysis)

Analyse des dépendances tierces (bibliothèques, images de base). Outils marché : Trivy (couteau suisse open source), Snyk (standard entreprise SaaS), Dependabot (intégré GitHub), Renovate (équivalent open source), OWASP Dependency-Check.

Compétence attendue : automatiser la mise à jour des dépendances avec seuils de criticité (HIGH et CRITICAL bloquants, MEDIUM alertant).

4. IaC (Infrastructure as Code) security

Analyse statique de Terraform, Ansible, CloudFormation, Kubernetes manifests. Outils marché : Checkov (référence open source), tfsec (Terraform), Trivy Config (polyvalent), Kube-linter (Kubernetes).

Compétence attendue : intégrer ces scans dans le pipeline IaC, bloquer les déploiements avec violations de baselines (CIS, NIST).

5. Container et Kubernetes security

Sécurisation des images de conteneurs et des clusters Kubernetes. Outils marché : Trivy (scan d'images), Falco (détection runtime), OPA / Gatekeeper et Kyverno (admission policies), Tetragon (eBPF-based).

Compétence attendue : scan d'images au build, politiques d'admission restrictive, détection runtime d'anomalies.

Pour une plongée technique sur SAST et DAST spécifiquement, voir l'article SAST vs DAST : comparatif et choix.

4. Le portfolio GitHub obligatoire : pipelines sécurisés démontrables

Contrairement au pentest où le portfolio est HackTheBox-centric, le portfolio DevSecOps se construit sur GitHub public avec projets fonctionnels. Quatre livrables minimum en fin de bascule.

Livrable 1 — Application avec pipeline CI/CD sécurisé complet

Une application simple (Python / Node.js / Go) avec pipeline GitHub Actions ou GitLab CI intégrant SAST + SCA + secrets + DAST + IaC scanning. Exemple représentatif en GitHub Actions :

# .github/workflows/security-pipeline.yml
# Pipeline CI/CD avec gates de securite pour une application Python.
# Representatif du type de livrable attendu d'un DevSecOps junior.
 
name: Security CI
 
on:
  pull_request:
    branches: [main]
  push:
    branches: [main]
 
permissions:
  contents: read
  security-events: write
 
jobs:
  sast:
    name: SAST - Semgrep scan
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Run Semgrep OWASP + Python rules
        uses: returntocorp/semgrep-action@v1
        with:
          config: >-
            p/python
            p/security-audit
            p/owasp-top-ten
        env:
          SEMGREP_APP_TOKEN: ${{ secrets.SEMGREP_APP_TOKEN }}
 
  sca:
    name: SCA - Trivy filesystem scan
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Trivy vulnerability scan
        uses: aquasecurity/trivy-action@master
        with:
          scan-type: fs
          scan-ref: .
          severity: HIGH,CRITICAL
          exit-code: 1
          format: sarif
          output: trivy-results.sarif
      - name: Upload Trivy results to GitHub Security
        if: always()
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: trivy-results.sarif
 
  secrets:
    name: Secrets scanning - gitleaks
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0
      - uses: gitleaks/gitleaks-action@v2
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
 
  iac:
    name: IaC security - Checkov on Terraform
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Run Checkov
        uses: bridgecrewio/checkov-action@master
        with:
          directory: infrastructure/
          framework: terraform
          soft_fail: false
 
  container-scan:
    name: Container scan - Trivy image
    runs-on: ubuntu-latest
    needs: sast
    steps:
      - uses: actions/checkout@v4
      - name: Build container image
        run: docker build -t app:${{ github.sha }} .
      - name: Scan image
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: app:${{ github.sha }}
          severity: HIGH,CRITICAL
          exit-code: 1

Ce pipeline démontre la maîtrise de 5 outils complémentaires, l'intégration avec GitHub Security tab (SARIF), les seuils bloquants en production.

Livrable 2 — Règles Semgrep personnalisées

Un dépôt GitHub avec 5-10 règles Semgrep personnalisées ciblant des anti-patterns spécifiques à un framework ou un contexte. Exemple de règle sur un pattern Python risqué :

rules:
  - id: python-sql-injection-concat
    message: |
      Concatenation detectee dans une query SQL Python.
      Utiliser des parametres prepares : cursor.execute(sql, params).
    severity: ERROR
    languages: [python]
    patterns:
      - pattern-either:
          - pattern: $CURSOR.execute("..." + $VAR)
          - pattern: $CURSOR.execute(f"...{$VAR}...")
          - pattern: $CURSOR.execute("%s" % $VAR)
    metadata:
      cwe: "CWE-89"
      owasp: "A03:2021 - Injection"
      confidence: HIGH

Livrable 3 — Projet Terraform ou Kubernetes durci

Un module Terraform AWS ou un manifest Kubernetes avec configurations durcies par défaut (IAM least privilege, chiffrement obligatoire, pas de publicité réseau par défaut, politiques OPA/Gatekeeper), validé automatiquement par Checkov ou Trivy Config.

Livrable 4 — Blog technique documentant les décisions

3 à 6 articles sur GitHub Pages, Dev.to ou Medium, documentant les arbitrages techniques, les faux positifs gérés, les choix de seuils bloquants. Le raisonnement démontre la séniorité bien avant l'expérience réelle ne la valide.

5. Les certifications DevSecOps et leur place

Contrairement au pentest où l'OSCP domine, le DevSecOps n'a pas de certification unique de référence. Le marché accepte plusieurs certifications complémentaires selon la stack visée.

Ordre recommandé pour un junior : CompTIA Security+ en premier (jalon marché), puis une spécialisation selon le stack et le secteur cible (CKS pour Kubernetes, AWS Security Specialty pour AWS, etc.). Pas besoin de 3+ certifications en parallèle — une spécialisation cohérente pèse davantage qu'un empilement.

6. Stratégie de recherche et premier poste

Quand commencer à candidater

Dès que les 4 livrables portfolio sont publiés et qu'une certification marché (Security+ au minimum) est acquise. En général M+6 à M+9 post-démarrage pour un profil dev ou DevOps.

Où candidater en priorité

• Scale-ups tech : Doctolib, Swile, Dataiku, Algolia, Criteo, Back Market, Alan. Équipes DevSecOps en construction, acceptent les profils reconvertis avec portfolio démontrable.
• ESN tech premium : Octo Technology, Zenika, Theodo, Sfeir. Cultures ingénierie orientées DevSecOps, recrutent sur compétences.
• Entités OIV réglementées : banques et assurances, énergie, transport, santé (bulletins n°2 souvent exigés pour les OIV).
• Secteur public DSI : DINUM, DGFiP, ANSSI (habilitation nécessaire), hôpitaux (CHU, AP-HP).
• Produits SaaS cyber : GitGuardian, Snyk, Tenable, Sekoia.io — idéal pour basculer vers une trajectoire produit côté cyber.

Préparation des entretiens techniques

Trois exercices classiques sur un entretien DevSecOps junior :

• Review d'un pipeline CI/CD existant avec identification des failles de conception (pas de SAST, secrets en clair, pas de politique d'admission K8s).
• Écriture d'une règle Semgrep ou d'une politique OPA en direct, à partir d'un pattern donné.
• Arbitrage technique : expliquer pourquoi bloquer sur HIGH mais pas sur MEDIUM dans un pipeline Trivy, défendre le choix.

7. Trajectoire salariale et évolution

Fourchettes Apec Cadres 2023-2024, Numeum, observatoires LinkedIn France. Les profils avec expérience cloud AWS ou Azure prononcée tirent structurellement la fourchette haute (+3 à 8 k€ selon niveau).

Bifurcations possibles après 3-5 ans de DevSecOps

• Cloud security senior : approfondissement du volet cloud (IAM, services managés, détection cloud-native).
• Security engineering / product security : construction d'outils internes pour les équipes AppSec et SOC.
• Architecte cybersécurité : vision transverse sur l'architecture applicative et infra sécurisée.
• Platform engineering avec focus sécurité : au croisement DevOps et cyber, très demandé dans les grandes équipes produit.

Pour un cadrage global de la reconversion, voir Le guide reconversion pillar. Pour la vue complète des trajectoires par profil initial, voir Quel métier cyber viser quand on vient du développement ? ou Quel métier cyber viser quand on vient du système et du réseau ?.

Points clés à retenir

• DevSecOps en forte croissance en France (+30-40 % offres YoY), contrairement au pentest junior en goulot. Ratio offre/demande favorable au candidat.
• Quatre profils accessibles : dev backend, DevOps/SRE, admin sys, cloud engineer — tous avec 2+ ans d'expérience IT. Bascule en 6-12 mois.
• Cinq compétences cyber à ajouter : OWASP Top 10, SAST (Semgrep), SCA (Trivy), IaC security (Checkov), container security (Trivy + Falco).
• Portfolio GitHub obligatoire : pipeline CI/CD sécurisé complet, règles Semgrep perso, projet IaC durci, blog technique. Le portfolio prime sur la théorie.
• Certifications : CompTIA Security+ en premier, puis CKS ou AWS Security selon stack. Pas de cert unique de référence type OSCP.
• Salaires juniors 42-65 k€ selon région. Progression +5 ans : 65-100 k€. TJM freelance 600-1 200 € après 4-6 ans.

Pour approfondir les outils SAST et DAST spécifiquement, voir SAST vs DAST : comparatif et choix. Pour les prérequis techniques généraux à maîtriser avant la bascule, voir Quelles bases techniques avant de se lancer en cybersécurité ?. Le bootcamp DevSecOps de Zeroday Cyber Academy applique exactement les principes décrits ici : SAST, SCA, IaC security, container security, pipeline CI/CD sécurisé, préparation CompTIA Security+ intégrée et labs cloud AWS ou Kubernetes.