Roadmap DevSecOps 2026 : skill tree complet par niveau

La roadmap DevSecOps 2026 se structure en 6 niveaux de maîtrise progressifs, du fondamental IT jusqu'à l'expertise spécialisée, représentant 5 à 7 ans de progression depuis zéro. Les niveaux 1 à 3 (socle IT, DevOps core, sécurité fondamentale) amènent au junior embauchable (12 à 24 mois selon profil initial). Les niveaux 4 à 5 (DevSecOps core + supply chain et cloud native) forment le confirmé à senior (3 à 5 ans d'expérience cumulée). Le niveau 6 (spécialisation expert) distingue les profils lead, principal ou freelance haut de gamme. Cet article n'est pas un plan chronologique — pour une trajectoire datée sur 12 mois depuis une reconversion, voir Étapes pour devenir DevSecOps. C'est un skill tree technique complet : par niveau, les concepts à maîtriser, les outils utilisés en production (pas du marketing), les certifications pertinentes, les projets qui prouvent la maîtrise et le test pratique de validation.

1. Niveau 1 — Socle IT fondamental

Pré-requis indispensable avant tout contenu DevSecOps. Sans ce socle, les niveaux supérieurs sont fragiles et les lacunes ressortent en production sous forme d'outillage mal configuré ou de décisions de design erronées.

Concepts à maîtriser

• Linux système : processus, permissions, systemd, cgroups, namespaces, iptables/nftables, journalctl, strace basic.
• Réseau TCP/IP : modèle OSI, routage, DNS, TLS 1.2/1.3 handshake, HTTP/1.1 et HTTP/2, proxies, load balancing.
• Programmation : au moins un langage backend fluide (Python, Go, TypeScript, Java) incluant gestion d'erreurs, async/await, tests unitaires.
• Git : branches, merge vs rebase, bisect, reflog, hooks, workflow Gitflow ou trunk-based.
• Bases de données : SQL (joins, index, transactions), bases NoSQL (Redis, MongoDB basics).

Outils

• IDE : VS Code ou JetBrains, extensions sécurité (gitlens, sonarlint, snyk).
• Shell : bash, zsh, utilitaires standards (grep, sed, awk, jq, xargs, find).
• Conteneurs basiques : Docker CLI, docker-compose.

Certifications optionnelles (seulement si besoin de formaliser)

• LPIC-1 (200-250 € par examen), RHCSA (400 €).

Projet de validation niveau 1

Déployer à la main, sans orchestrateur, un serveur Linux privé (VM ou Raspberry Pi) qui héberge un service HTTPS Let's Encrypt derrière nginx, expose une API Python ou Go protégée par authentification JWT, logge au format JSON structuré, et push les métriques vers un Prometheus distant. Sans aucun copy-paste. Si vous le faites en moins d'une journée sans documentation continue, niveau 1 validé.

2. Niveau 2 — DevOps core

Le DevSecOps n'existe pas sans DevOps solide. Ce niveau consolide la chaîne de livraison logicielle moderne, y compris en environnement cloud.

Concepts à maîtriser

• CI/CD : pipelines multi-stage, runners, caches, artefacts, secrets, matrix, environnements protégés, deployment strategies (blue-green, canary).
• Conteneurs avancés : image layers, multi-stage build, distroless, Dockerfile best practices (non-root user, read-only FS, labels OCI).
• Kubernetes opérationnel : pods, services, ingress, deployments, statefulsets, configmaps, secrets, RBAC, network policies, admission webhooks.
• Infrastructure as Code (IaC) : Terraform modules, state management (remote backend, locking), Ansible playbooks idempotents.
• Cloud basics : IAM, VPC, object storage, compute, KMS/HSM pour un cloud (AWS, Azure ou GCP).
• Observabilité : logs structurés, metrics Prometheus, traces OpenTelemetry, dashboarding Grafana.

Outils utilisés en production 2026

• CI/CD : GitHub Actions, GitLab CI (préférés en France), Jenkins (legacy mais encore massif), ArgoCD ou FluxCD pour GitOps Kubernetes.
• Conteneurs : Docker, Podman, Buildah, nerdctl.
• Kubernetes : kubectl, helm, kustomize, k9s, stern, kubectx.
• IaC : Terraform, OpenTofu (fork libre depuis août 2023), Pulumi, Ansible.
• Observabilité : Prometheus, Grafana, Loki, Tempo, OpenTelemetry Collector.

Certifications pertinentes

• CKA (Certified Kubernetes Administrator, environ 395 $) : référence K8s opérationnelle, très reconnue.
• Terraform Associate (environ 70 $) : ticket d'entrée IaC marché.
• AWS SAA-C03, Azure AZ-104 ou GCP ACE : selon cloud cible.

Projet de validation niveau 2

Déployer sur un cluster K3s ou kind local une application 3-tiers (frontend React, API Go, base PostgreSQL), packagée en Helm chart, déployée via ArgoCD depuis un repo Git privé, avec logs Loki, metrics Prometheus et un runbook Grafana d'alerting. Pipeline GitHub Actions qui build, push l'image OCI vers un registre privé, et déclenche le sync ArgoCD sur merge. Livrables : repo public reproductible + README 200-400 lignes + vidéo démo 3 minutes.

3. Niveau 3 — Fondamentaux cybersécurité

Le point de bascule entre DevOps pur et DevSecOps. Un DevSecOps qui ne maîtrise pas les concepts sécurité fondamentaux se réduit à un utilisateur d'outils sans capacité à argumenter les décisions d'architecture sécurité.

Concepts à maîtriser

• OWASP Top 10 (édition 2021, mise à jour 2025 en cours) : injection, broken authentication, cryptographic failures, SSRF, etc. Savoir exploiter et défendre chaque catégorie.
• OWASP API Security Top 10 (2023) : BOLA (Broken Object Level Authorization), BFLA, mass assignment, broken function level authorization.
• Authentification et autorisation : OAuth 2.0, OpenID Connect, JWT, PKCE, mTLS, RBAC, ABAC, principe du moindre privilège.
• Cryptographie appliquée : symétrique (AES-GCM, ChaCha20-Poly1305), asymétrique (RSA, ECDSA, Ed25519), hash et HMAC, KDF (bcrypt, Argon2), PRNG sécurisé.
• Threat modeling : méthodologie STRIDE, attack trees, data flow diagrams, MITRE ATT&CK enterprise framework.
• Secure coding : validation d'entrée, encodage de sortie, parameterized queries, content security policy, CORS, cookies sécurisés (Secure, HttpOnly, SameSite).
• Vulnérabilités classiques : SQL injection, XSS (reflected, stored, DOM), CSRF, IDOR, RCE, SSRF, XXE, path traversal, deserialization.

Outils et labs

• PortSwigger Web Security Academy (gratuit, 300+ labs ; recommandé : compléter au moins 80 labs incluant toutes catégories OWASP Top 10).
• Damn Vulnerable Web Application (DVWA) et OWASP Juice Shop (Node.js).
• Burp Suite Community (gratuit) pour intercepter et modifier les requêtes.
• CyberChef pour les manipulations cryptographiques.

Certifications

• CompTIA Security+ (environ 400 €, SY0-701 depuis novembre 2023) : passage marché quasi obligatoire en France pour un DevSecOps junior.

Projet de validation niveau 3

Rédiger un rapport de threat modeling STRIDE complet pour une application fictive (par exemple : SaaS de gestion de RH multi-tenant), avec : identification des assets, data flow diagram, liste des menaces par composant, notation DREAD ou CVSS, contre-mesures recommandées, trade-offs sécurité vs perf. Puis prouver la maîtrise OWASP en terminant 80 labs PortSwigger documentés dans un repo GitHub (write-ups Markdown par catégorie).

4. Niveau 4 — DevSecOps core : SAST, DAST, SCA, IaC security

Le cœur du métier DevSecOps pratique. Capacité à construire, maintenir et faire évoluer un pipeline sécurité automatisé en production.

Concepts à maîtriser

• SAST (Static Application Security Testing) : taint analysis, data flow, règles sur mesure, gestion des faux positifs à l'échelle.
• SCA (Software Composition Analysis) : détection de dépendances vulnérables, CVE matching, license compliance, politique de remédiation.
• DAST (Dynamic Application Security Testing) : scan actif vs passif, authenticated scanning, DAST API sur spec OpenAPI.
• IAST et RASP : approches modernes (Contrast Security, Jeddak) encore minoritaires en production France 2026.
• IaC security : misconfigurations Terraform, Kubernetes manifests, CloudFormation, ARM, Pulumi.
• Secrets scanning : entropy-based, regex-based, pre-commit hooks, rotation et révocation.
• Container security : image scanning (layers, packages OS, packages app), runtime security basics.
• Policy as Code : Open Policy Agent (OPA), Rego, conftest, Kyverno pour K8s.

Voir SAST vs DAST pour une analyse comparative approfondie.

Outils utilisés en production 2026 (stack open source dominante France)

Outils d'orchestration et reporting

• SARIF (Static Analysis Results Interchange Format) standard : ingestion native GitHub Advanced Security, GitLab Ultimate, Azure DevOps.
• DefectDojo (OWASP, open source) : agrégateur multi-scans avec tracking des vulnérabilités dans le temps.

Certifications

• Practical DevSecOps Engineer Certified (environ 500 $) : hands-on, très valorisé.
• (ISC)2 CSSLP (Certified Secure Software Lifecycle Professional, environ 600-800 $) : plus théorique, orienté architecte.

Projet de validation niveau 4

Repo GitHub public d'un pipeline de référence complet en deux variantes (GitHub Actions et GitLab CI), qui : exécute Semgrep SAST avec 10 règles customs pour une stack précise, Trivy SCA avec politique de fail sur CVE CVSS supérieur ou égal à 7.0, gitleaks secrets scan, Checkov sur Terraform et Kubernetes manifests, OWASP ZAP baseline sur une URL de staging, et ingère tous les résultats en SARIF vers GitHub Security tab. Bonus : un dashboard DefectDojo self-hosted documenté.

# Extrait pipeline GitHub Actions DevSecOps niveau 4
name: devsecops-pipeline
on: [push, pull_request]
 
jobs:
  sast-semgrep:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: returntocorp/semgrep-action@v1
        with:
          config: >-
            p/owasp-top-ten
            p/cwe-top-25
            .semgrep/custom-rules.yaml
          generateSarif: "1"
      - uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: semgrep.sarif
 
  sca-trivy:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: aquasecurity/trivy-action@master
        with:
          scan-type: fs
          severity: HIGH,CRITICAL
          exit-code: "1"
          format: sarif
          output: trivy-results.sarif
      - uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: trivy-results.sarif
 
  iac-checkov:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: bridgecrewio/checkov-action@master
        with:
          directory: infra/
          soft_fail: false
          output_format: sarif
          output_file_path: checkov.sarif
 
  secrets-gitleaks:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0
      - uses: gitleaks/gitleaks-action@v2

5. Niveau 5 — Supply chain, cloud native et runtime security

Le niveau qui sépare un DevSecOps confirmé d'un senior. Trois axes critiques portés par la réglementation (NIS 2, Cyber Resilience Act applicable 2027) et l'explosion des attaques supply chain (SolarWinds 2020, Log4Shell 2021, xz-utils CVE-2024-3094).

5.1 Supply chain security

Concepts

• SBOM (Software Bill of Materials) : formats CycloneDX et SPDX, génération automatisée, distribution via attestations.
• SLSA (Supply chain Levels for Software Artifacts, v1.0 avril 2023) : levels 1 à 4, builder attesté, provenance verifiable.
• Signing et verification : Sigstore (cosign, fulcio, rekor), in-toto, SLSA provenance.
• Dependency management avancé : lockfiles, pinning d'images par digest SHA256, Dependabot et Renovate, politique de mise à jour.
• Reproducible builds : builds déterministes, timestamps figés, ordre de compilation reproductible.

Outils

• cosign (Sigstore) pour signing container images et artefacts.
• syft (Anchore) pour SBOM generation multi-format.
• grype (Anchore) pour vulnerability scanning d'un SBOM.
• in-toto-attestation pour attestations générales SLSA.
• OpenSSF Scorecard pour évaluer la posture sécurité d'un repo open source.

5.2 Cloud native security

Concepts

• Kubernetes security posture : CIS Benchmarks, Pod Security Standards (restricted/baseline/privileged), seccomp, AppArmor, RuntimeClass.
• Service mesh security : mTLS automatique Istio ou Linkerd, authorization policies, traffic encryption.
• Cloud IAM avancé : attribute-based access, workload identity (GKE, EKS, AKS IRSA), principle of least privilege automation.
• CNAPP (Cloud Native Application Protection Platform) : catégorie 2022+ qui regroupe CSPM, CWPP, CIEM, DSPM, Shift-Left AppSec.

Outils

• Kubescape (Armo) pour scan K8s compliance (NSA CISA, MITRE ATT&CK for K8s).
• kube-bench pour CIS Kubernetes Benchmark.
• Falco (Sysdig, CNCF graduated) pour runtime security K8s.
• Trivy Kubernetes pour scan cluster live.
• OpenSCAP, Lynis pour audits système traditionnels toujours pertinents.

5.3 Runtime security et detection engineering

Concepts

• eBPF-based security : Tetragon (Isovalent/Cilium), Falco eBPF, Tracee (Aqua).
• Container runtime security : syscall filtering seccomp, AppArmor profiles, gVisor sandbox, Kata Containers.
• Detection engineering : règles Sigma portables, mapping MITRE ATT&CK for Containers et ATT&CK for Cloud.
• Incident response cloud native : forensics conteneur live, preservation d'evidence, chain of custody en environnement éphémère.

Certifications

• CKS (Certified Kubernetes Security Specialist, environ 395 $) : référence industrie, 2h, très pratique.
• AWS Certified Security Specialty SCS-C02 (environ 300 $) ou Azure AZ-500 (environ 165 $) selon cloud dominant.
• CCSK v5 (Certificate of Cloud Security Knowledge) par la CSA (environ 395 $) : transverse clouds.
• GIAC GCSA (Cloud Security Automation) : cher (environ 8-9 k€) mais très valorisé en banque et OIV.

Projet de validation niveau 5

Construire en 20-40 heures un environnement cloud native sécurisé de bout en bout : cluster K8s sur AWS EKS ou Azure AKS avec IRSA/Workload Identity, application signée via cosign avec SBOM CycloneDX attestée SLSA 3, déploiement gated par Kyverno qui refuse toute image non signée ou avec CVE critique, runtime monitoring Falco avec règles custom, ingestion des events vers un Sentinel ou Elastic SIEM. Documentation complète 30-60 pages incluant architecture decisions records (ADR).

6. Niveau 6 — Spécialisation expert

Après 5 à 7 ans d'expérience cumulée, le DevSecOps confirmé se spécialise pour atteindre le plafond salarial et le rôle de tech lead, principal ou freelance haut de gamme. Quatre spécialisations principales observées en France en 2026.

Signaux de maîtrise niveau 6

• Contribution active à un projet open source majeur (Trivy, Semgrep, Falco, OPA, Sigstore, Kyverno) : PRs mergées, issues résolues, participation aux discussions de conception.
• CVE publiées (CVE-YYYY-NNNNN sur propre recherche ou via bug bounty supply chain).
• Confs techniques (KubeCon, BSides Paris, Le Hack, CTF-Party, SSTIC) : talks ou ateliers.
• Publications techniques : blog technique avec 20+ articles techniques originaux, pas de curation.

Projet typique niveau 6

Construire et maintenir un outil open source DevSecOps utile à la communauté (exemples récents réussis : cela peut être une règle-set Semgrep spécialisée par stack, un opérateur K8s de sécurité, un scanner IaC pour un domaine non couvert, un outil d'analyse SBOM avancée). L'outil doit atteindre 500+ stars GitHub et 10+ contributeurs externes pour valider la reconnaissance communauté.

7. Test pratique de validation à chaque niveau

Le piège le plus fréquent des roadmaps : valider les niveaux sur QCM ou lecture, pas sur pratique chronométrée. Voici le format de validation qui correspond à la réalité marché.

Cadence typique observée

• Niveau 1 à 3 (junior embauchable) : 12 à 24 mois selon profil initial.
• Niveau 4 maîtrisé : 2-3 ans après l'embauche.
• Niveau 5 opérationnel : 3-5 ans d'expérience cumulée.
• Niveau 6 spécialisation : 5-7 ans et plus.

8. Cartographie outils open source vs premium (vision 2026)

Résumé par catégorie des outils utilisés en production en France en 2026, hors marketing et hors legacy.

Règle stratégique : maîtriser d'abord la stack open source permet de comprendre les concepts sous-jacents et reste employable dans 90 % des contextes français. La stack premium s'apprend ensuite en quelques jours une fois les concepts acquis, pas l'inverse. Un DevSecOps qui ne connaît que Snyk et Wiz sans comprendre Semgrep ou Trivy est dépendant d'un outil et moins recruté en PME et ETI.

Points clés à retenir

• 6 niveaux progressifs : socle IT, DevOps core, fondamentaux cyber, DevSecOps core, supply chain + cloud native, spécialisation expert.
• Junior embauchable = niveaux 1 à 3 + 40-60 % du niveau 4, atteint en 12-24 mois selon profil.
• Senior = niveau 5 maîtrisé avec expertise dans au moins un sous-domaine, atteint en 5-7 ans cumulés.
• Stack open source d'abord : Semgrep, Trivy, Checkov, gitleaks, OPA, Falco, cosign, syft. La stack premium ne remplace pas la compréhension conceptuelle.
• Certifications à ROI marché : Security+ (niveau 3), Practical DevSecOps Engineer (niveau 4), CKS + cloud security spécialiste (niveau 5).
• Validation par pratique chronométrée, pas par QCM : test end-to-end de 2-6 journées par niveau.
• Spécialisation niveau 6 : optionnelle, réservée aux profils visant plafond salarial ou freelance haut de gamme.

Pour aller plus loin

• Devenir DevSecOps sans expérience — pillar reconversion DevSecOps et contexte marché.
• Étapes pour devenir DevSecOps — plan chronologique 12 mois depuis une reconversion.
• SAST vs DAST — analyse comparative approfondie des deux paradigmes de scan.
• Salaire DevSecOps — grilles détaillées par niveau et région.
• TJM DevSecOps freelance — pricing freelance par niveau de spécialisation.