Apprendre le pentest légalement : plateformes, labs, CTF, communautés

Apprendre le pentest légalement en France en 2026 est possible à tous les niveaux techniques via cinq canaux parfaitement cadrés juridiquement : plateformes dédiées (HackTheBox, TryHackMe, Root-Me, PortSwigger, PentesterLab), home labs vulnérables déployés chez soi (DVWA, GOAD, Metasploitable), CTF publics avec règlement (404 CTF, Hackropole, FCSC, SSTIC), programmes de bug bounty à scope déclaré (YesWeHack, HackerOne, Bugcrowd), et communautés d'apprentissage actives en français. Hors de ces canaux, le Code pénal français (articles 323-1 à 323-7, loi Godfrain de 1988 renforcée par la LCEN de 2004) sanctionne tout accès ou maintien frauduleux dans un STAD jusqu'à 5 ans de prison et 150 000 € d'amende, même sans dommage causé et même avec une intention purement pédagogique. Cet article détaille les cinq canaux légaux, le cadre juridique à maîtriser et la trajectoire d'apprentissage recommandée sur 12 mois.

Le cadre juridique français en 2026

Le droit français est l'un des plus stricts d'Europe en matière d'intrusion informatique. Maîtriser le cadre est un prérequis non négociable avant de toucher à quoi que ce soit en pratique.

Le socle : articles 323-1 à 323-7 du Code pénal

STAD = Système de Traitement Automatisé de Données, c'est-à-dire tout système informatique au sens large (serveur, application, équipement réseau, objet connecté).

Historique législatif

• Loi Godfrain (1988) : création des articles 462-2 et suivants, ancêtres des 323-X actuels.
• LCEN (21 juin 2004) : renforcement des sanctions et adaptation au numérique moderne.
• Loi LOPPSI 2 (2011) : extension aux outils (article 323-3-1).
• Loi de Programmation Militaire (2013) : obligations spécifiques aux OIV (Opérateurs d'Importance Vitale).
• NIS 2 (directive UE 2022, transposition France fin 2024) : extension du périmètre aux OSE (Opérateurs de Services Essentiels), environ 15 000 entités françaises concernées.
• LCEN article 47 modifié (2024) : renforcement limité de la protection des chercheurs de vulnérabilités agissant de bonne foi, mais sans lever l'exigence d'autorisation préalable.

Jurisprudence à connaître

L'arrêt Bluetouff (Cass. crim. 20 mai 2015, n° 14-81336) reste la référence : accéder à des données librement accessibles (non protégées par mot de passe) mais sans autorisation explicite du propriétaire du système peut être qualifié d'accès frauduleux dès lors que la conscience du caractère non intentionnellement public est établie. Cette jurisprudence a élargi significativement le périmètre des infractions 323-1 en France, au-delà de ce qu'on observe dans d'autres juridictions européennes.

Canal 1 — Les plateformes d'entraînement en ligne

Les plateformes SaaS dédiées couvrent 70 % des besoins d'apprentissage technique. Toutes ces plateformes hébergent des cibles que leurs CGU autorisent explicitement à attaquer par l'utilisateur authentifié.

Recommandations par profil

• Strict débutant pentest web : PortSwigger Web Security Academy (gratuit, couverture complète OWASP Top 10 + WSTG).
• Débutant généraliste : TryHackMe path « Complete Beginner » ou « Jr Penetration Tester ».
• Passage intermédiaire : HackTheBox machines Easy puis Medium, TryHackMe « Offensive Pentesting ».
• Passage avancé : HackTheBox Pro Labs (Offshore, Cybernetics), Altered Security labs (CRTP/CRTE).

Canal 2 — Les home labs et environnements vulnérables à déployer chez soi

Les plateformes en ligne ne remplacent pas un home lab. Déployer soi-même un environnement vulnérable développe la compétence infrastructure et l'autonomie.

Environnements vulnérables standards

• OWASP Juice Shop : application JS moderne volontairement vulnérable, couvre OWASP Top 10 2021. Déploiement Docker en 5 minutes.
• DVWA (Damn Vulnerable Web Application) : PHP/MySQL, classique, adapté aux fondamentaux SQLi/XSS.
• bWAPP : 100+ vulnérabilités web catégorisées.
• WebGoat : projet OWASP Java, exercices guidés.
• Metasploitable 2 et 3 : VM Linux et Windows volontairement vulnérables, pour exploitation système.
• VulnHub : catalogue de centaines de VM vulnérables téléchargeables et exécutables localement.
• HackTheBox Starting Point : machines pédagogiques gratuites (pour membres HTB).
• VulnLab : scénarios AD chaînés (payant).

Home lab Active Directory : GOAD

GOAD (Game of Active Directory) par mayfly277 / Orange Cyberdefense est le standard open-source en 2026 pour apprendre le pentest AD. Déploiement automatisé via Vagrant + Ansible, environnement multi-domaines vulnérable par design couvrant Kerberoasting, AS-REP Roasting, NTLM Relay, ACL abuse, Unconstrained Delegation, RBCD, ADCS ESC1-ESC8.

Configuration matérielle recommandée

• Mini-PC ou station de 16-32 Go RAM (32 Go pour GOAD complet).
• Disque NVMe 500 Go minimum.
• Hyperviseur : Proxmox, VMware Workstation Pro, Hyper-V, ou VirtualBox.
• Budget typique : 600-900 € pour une machine dédiée neuve, ou 400-600 € en occasion.

# Exemple d'installation Juice Shop local en 3 commandes
docker run --rm -p 3000:3000 --name juice-shop bkimminich/juice-shop
 
# Métrique d'apprentissage : compter les challenges résolus via l'interface admin
# http://localhost:3000/#/score-board (compte admin par défaut créé au lancement)

Canal 3 — Les CTF publics en France et à l'international

Les Capture The Flag sont des compétitions cadrées par un règlement où les participants exploitent des challenges préparés par les organisateurs. Format légal par définition.

CTF francophones majeurs 2026

CTF internationaux accessibles

• picoCTF (Carnegie Mellon) : la meilleure porte d'entrée pour débutants.
• Google CTF : annuel, reconnu, nombreuses catégories.
• CSAW CTF (NYU) : qualifications mondiales.
• RingZer0 CTF : plateforme permanente avec système de rangs.
• European Cybersecurity Challenge (ECSC) : championnat européen, équipe France sélectionnée via FCSC.
• NorthSec CTF (Montréal) : reconnu, niveau élevé.

Plateformes centralisatrices

• CTFtime.org : calendrier, classements internationaux, profils d'équipes.
• France-Cybersecurity-Challenge : portail ANSSI pour les compétitions françaises.

Canal 4 — Le bug bounty encadré juridiquement

Le bug bounty est la forme la plus réaliste de pentest légal : cibles en production, enjeux financiers, qualité de reporting exigée. Mais c'est aussi celui qui exige le plus de rigueur juridique.

Plateformes majeures

VDP vs bug bounty rémunéré

• VDP (Vulnerability Disclosure Program) : pas de récompense, reconnaissance publique seulement. Exemples : programmes de Red Hat, GitLab open-source, certaines mairies françaises. Idéal pour débuter sans pression et construire son track record.
• Bug bounty rémunéré : primes allant de quelques centaines d'euros (low severity) à plusieurs dizaines de milliers d'euros (critical RCE sur cible majeure). Ratio soumission / valide typique débutant : 1 sur 20 ou 1 sur 50 les 6 premiers mois.

Règles juridiques non négociables

1. Lire le scope et les exclusions avant tout test. Tout endpoint, sous-domaine ou IP non listé dans le scope est hors périmètre légal.
2. Respecter les restrictions techniques. Interdictions fréquentes : DoS/DDoS, social engineering des employés, test de politiques de mot de passe via brute force massif, publication publique avant autorisation.
3. Respecter le safe harbor du programme. La plupart des programmes incluent une clause de safe harbor qui écarte les poursuites civiles et pénales en cas de respect des règles.
4. Documenter chaque action. Traçabilité via Burp logs, captures horodatées, scope exact au moment du test.

Alternative française : disclosure responsable via l'ANSSI

Pour les systèmes français hors bug bounty formel, l'ANSSI publie un guide de divulgation responsable et accepte les signalements via ssi.gouv.fr. L'article 47 de la LCEN modifié en 2024 renforce la protection du chercheur agissant de bonne foi, mais n'autorise pas les tests non sollicités au préalable.

Canal 5 — Les communautés et ressources d'entraide

Apprendre en solo plafonne rapidement. Les communautés actives accélèrent la progression via retours d'expérience, mentorat informel et collaboration sur des challenges.

Communautés francophones spécialisées pentest

• Zeroday Cyber Academy sur Skool : communauté dédiée à la progression technique et à l'accompagnement carrière en cybersécurité offensive. Accès : skool.com/zeroday. Format : discussions techniques, revues de write-ups, partage de ressources, suivi de parcours d'apprentissage, mentoring.
• Root-Me : communauté historique liée à la plateforme de challenges, active depuis 2010.
• HFS (Hackers For Security) : communauté généraliste FR.

Discords thématiques francophones

• Hackademy (généraliste pentest FR).
• Serveurs officiels de plateformes : HackTheBox FR, TryHackMe FR.
• Serveurs dédiés événements : Breizh-CTF, LeHack, Pass The SALT.

Événements physiques annuels

Chapters OWASP France actifs

• OWASP Paris, Lyon, Toulouse, Nantes, Bordeaux.
• Meetings réguliers avec conférences techniques gratuites.

Erreurs fatales à éviter

Tester un site « pour voir » sans autorisation. Même un simple nmap sur un domaine qui n'appartient pas à soi est un acte juridiquement qualifié. Plusieurs étudiants français ont été condamnés entre 2020 et 2024 pour des tests non autorisés « par curiosité » sur des sites d'universités, de mairies ou d'entreprises.

Utiliser ses compétences contre son employeur actuel. Même avec accès légitime à un système professionnel, un test non demandé par le RSSI peut tomber sous 323-1 et justifier un licenciement pour faute grave. Toujours obtenir une autorisation écrite datée et signée.

Partager des write-ups de machines HackTheBox actives. Interdit par les CGU HTB, entraîne la suspension du compte. Uniquement les machines « retired » (retirées) peuvent faire l'objet d'un write-up public.

Télécharger un leak présumé pour « analyse éducative ». Les données issues d'une compromission restent du ressort de 323-3 (extraction frauduleuse), même si le chercheur n'a pas participé à la compromission initiale. L'affaire Bluetouff (2015) fait jurisprudence.

Publier un exploit 0-day sans coordination avec l'éditeur. Relève potentiellement de 323-3-1 (diffusion d'outils de compromission). La norme en 2026 : Coordinated Vulnerability Disclosure (CVD), délai standard 90 jours via CERT ou bug bounty, extension possible avec accord de l'éditeur.

Trajectoire légale recommandée sur 12 mois

Volume horaire réaliste : 8-12 heures/semaine, pas au-dessus sur la durée (burn-out garanti). La régularité prime sur l'intensité ponctuelle.

Points clés à retenir

• Cadre juridique France : articles 323-1 à 323-7 du Code pénal, jusqu'à 5 ans et 150 000 € sans dommage, 10 ans en bande organisée.
• Cinq canaux légaux : plateformes (HTB, THM, PortSwigger), home labs (GOAD, DVWA, Juice Shop), CTF (404 CTF, Hackropole, FCSC, SSTIC), bug bounty (YesWeHack, HackerOne, Bugcrowd, Intigriti), communautés (Skool Zeroday, OWASP, Discords FR).
• Jurisprudence Bluetouff 2015 : accès à des données apparemment publiques peut constituer une infraction si l'intention d'accès est établie.
• Bug bounty : toujours lire scope + safe harbor avant tout test, débuter sur VDP sans rémunération pour construire sa crédibilité.
• Événements physiques : SSTIC, LeHack, BSides Paris, Pass The SALT, OWASP chapters — multiplicateurs de progression.
• 12 mois de parcours structuré avec 8-12 h/semaine ouvrent l'accès à un niveau junior pentest professionnel.
• Communauté active (ex. Skool Zeroday) multiplie par 2-3 la vitesse d'apprentissage vs autodidacte isolé.

Pour aller plus loin

• Méthodologie pentest web 2026 : OWASP WSTG en pratique — cadre professionnel à pratiquer une fois l'apprentissage légal consolidé.
• Roadmap pentest 2026 : généraliste à spécialiste — structuration long-terme de la trajectoire.
• Roadmap pentest web 2026 — focus sur la spécialité la plus accessible en entrée.
• Roadmap bug bounty 2026 — passage du canal 4 en activité sérieuse.
• Étapes pour devenir pentester en 2026 — trajectoire carrière pour pratiquer ce métier en France.