Compétences en sortie de bootcamp Zeroday : ce que vous saurez faire

À la fin du bootcamp Zeroday Cyber Academy, un apprenant atteint le niveau 200 (junior+ employable) sur l'échelle 100 / 200 / 300 / 400, pas niveau 100 (découverte) ni niveau 300 (senior 5 ans XP), mais une zone précise : capable de passer un entretien technique cyber junior et le réussir, capable de produire un livrable de mission sur périmètre cadré, capable de défendre ses choix en code review. 50+ savoir-faire mesurables par spé avec validation objective (réussite lab + projet capstone + démo live) sur 3 chemins : DevSecOps (pipeline complet SAST/DAST/SCA + AWS hardening + IaC), Pentest (énumération + OWASP Top 10 exploitation + Active Directory + rapport CVSS), LLM Security (OWASP LLM Top 10 v2.0 + MITRE ATLAS + NeMo Guardrails + red teaming PyRIT). Portfolio public de 25-40 livrables sur GitHub Pages + Medium / Notion publics. 3 certifs marché reconnues préparées par spé (AWS Cloud/Security, Burp Cert Practitioner, eJPT, AWS AI Practitioner). Métiers cibles 2026 : Junior DevSecOps Engineer (40-55 k€), Junior Pentester (38-50 k€), Junior AI Security Engineer (50-65 k€, marché en pénurie aiguë). Cet article documente la grille compétences par spé, la progression par niveau, le portfolio attendu, les certifs préparées, et les métriques de validation, sans bullshit marketing.

Pour les autres ressources liées : voir Comment se déroule un bootcamp Zeroday et Labs pratiques bootcamp Zeroday.

Le bon mental model : sortir d'un bootcamp ne fait pas un senior

Erreur cognitive du futur apprenant type 2026 : croire qu'un bootcamp 6 mois produit un profil senior cybersécurité. Faux raisonnement. Un bootcamp produit un junior+ employable, niveau 200 sur l'échelle, pas niveau 300.

Le saut 200 → 300 prend 3-5 ans de mission terrain post-bootcamp, pas 2-3 mois supplémentaires. Aucun bootcamp ne peut compresser ce saut, c'est une montée en charge cognitive qui demande l'exposition à la diversité de cas réels (clients, secteurs, incidents, équipes).

Compétences universelles (toutes spés Zeroday)

Indépendamment du chemin choisi (DevSecOps / Pentest / LLM Security), tout apprenant Zeroday acquiert ces 15 compétences universelles, validées par labs et démos :

Ces 15 compétences forment le socle universel cyber non négociable. Si l'une d'elles n'est pas validée à la fin du bootcamp, le coach déclenche un sprint de rattrapage avant délivrance du titre.

Spécialisation 1 : DevSecOps (compétences 200 junior+ employable)

Métier visé : Junior DevSecOps Engineer (40-55 k€ entrée FR), Application Security Engineer junior, SRE Security.

Compétences techniques DevSecOps (20 savoir-faire mesurables)

Stack outillage DevSecOps maîtrisée

# SAST / SCA / container
brew install semgrep trivy cosign syft grype
docker run --rm -v "${PWD}:/src" returntocorp/semgrep semgrep --config=auto /src
 
# IaC security
brew install tfsec checkov terrascan
tfsec . --soft-fail --format json | jq
 
# Cloud
brew install awscli prowler scoutsuite
aws configure --profile zeroday
prowler -f aws -p zeroday-bootcamp -M html
 
# Secrets management
brew install vault gitleaks talisman
gitleaks detect --source . --verbose
 
# CycloneDX SBOM
npx @cyclonedx/cyclonedx-npm --output-file sbom.cdx.json
grype sbom:./sbom.cdx.json --output table

Compétences soft skills DevSecOps junior

• Communiquer avec dev équipe sans posture « security cop »
• Écrire un rapport de findings avec priorisation (CVSS + business impact)
• Animer une session threat modeling 60 min avec dev + product
• Argumenter un budget sécurité avec ROI mesurable
• Onboarder un nouveau dev sur les pratiques sécurité de l'équipe

Spécialisation 2 : Pentest (compétences 200 junior+ employable)

Métier visé : Junior Penetration Tester (38-50 k€ entrée FR), SOC Analyst Tier 2 avec composante offensive, Bug bounty hunter solo.

Compétences techniques Pentest (18 savoir-faire mesurables)

Capstone Pentest typique (sprint 7-8)

HackTheBox Pro Labs Dante (45 €, 5-10 machines en réseau interne) ou Offshore (Active Directory full forest, niveau pro). Livrable : rapport pentest complet 30-50 pages format mission réelle.

# Exemple : automation de scan réseau + Burp pour pentest sprint 7
import subprocess
import requests
 
def auto_scan(target_ip):
    # Étape 1 : nmap full scan
    subprocess.run(["nmap", "-sV", "-sC", "-p-", "-oN", f"{target_ip}-full.txt", target_ip])
 
    # Étape 2 : extraction ports HTTP
    with open(f"{target_ip}-full.txt") as f:
        http_ports = [line.split("/")[0] for line in f if "http" in line]
 
    # Étape 3 : ffuf sur chaque port HTTP
    for port in http_ports:
        subprocess.run([
            "ffuf",
            "-u", f"http://{target_ip}:{port}/FUZZ",
            "-w", "/usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt",
            "-fc", "404",
            "-o", f"{target_ip}-{port}-ffuf.json",
            "-of", "json"
        ])
 
    # Étape 4 : Burp via API REST (Burp Pro 2026 expose API REST)
    burp_api = "http://localhost:1337/v0.1"
    r = requests.post(f"{burp_api}/scan", json={"urls": [f"http://{target_ip}"]})
    return r.json()

Spécialisation 3 : LLM Security (compétences 200 junior+ employable)

Métier visé : Junior AI Security Engineer (50-65 k€ entrée FR, marché en pénurie aiguë), AI Red Team junior, AI Governance Analyst.

Compétences techniques LLM Security (18 savoir-faire mesurables)

Stack outillage LLM Security maîtrisée

# Stack red teaming LLM
pip install langchain langchain-openai anthropic mistralai
pip install nemo-guardrails pyrit-aml garak promptfoo
 
# Audit RAG sandbox
python -m langchain.embeddings.openai test_corpus_poisoning.py
 
# Red teaming automated avec PyRIT
python -m pyrit.run --target openai-gpt4o --strategy multi-turn-jailbreak
 
# Scan vulnerability Garak
garak --model_type openai --model_name gpt-4o --probes lmrc.Anthropomorphisation,promptinject
 
# Test framework Promptfoo
promptfoo eval -c promptfooconfig.yaml --output results.json

Portfolio public en sortie de bootcamp

À la fin du bootcamp, l'apprenant a publié 25-40 livrables visibles :

Indexation Google : tous les writeups GitHub Pages personnel + Medium sont indexés Google sous 2-4 semaines, donnant une visibilité passive aux recruteurs cyber qui font des recherches type site:github.io <nom-apprenant> ou medium.com <nom-apprenant> pentest.

Signal recruteur : un junior cyber sans XP terrain mais avec 25+ writeups publics + 1 article technique 3000 mots + 1 capstone démo vidéo passe le tri RH dans 60-75% des cas vs 20-30% pour un junior avec 0 portfolio public. C'est le mécanisme principal de placement post-bootcamp.

Certifications préparées et obtenables

Stratégie certification recommandée : combiner 1 certif vendor (AWS) + 1 certif technique (Burp ou eJPT) avant fin bootcamp = meilleur ratio coût/signal recruteur. L'OSCP est visé en post-bootcamp à 6-12 mois après prise de poste, pas pendant le bootcamp (taux d'échec élevé pour juniors sans 6+ mois XP terrain).

Tarification métier visé en sortie de bootcamp

Comparaison référence externe : étude Wavestone Cybersécurité 2025 + benchmarks Hays France IT 2025 + Glassdoor entrée cyber FR 2026.

Pour aller plus loin

• Comment se déroule un bootcamp Zeroday : 5 phases méthodologiques
• Lives de groupe bootcamp Zeroday : format, fréquence, animation
• Labs pratiques bootcamp Zeroday : 5 plateformes, validation 4 niveaux
• Contenu détaillé du programme bootcamp
• Zeroday vs formation cyber générique : 10 différences
• Apprendre le pentest : roadmap débutant
• Apprendre le DevSecOps : roadmap débutant
• Roadmap progression cybersécurité 100 / 200 / 300

Sources externes : OWASP LLM Top 10 v2.0, MITRE ATLAS, NIST AI RMF, PortSwigger Web Security Academy, AWS Security Specialty exam.

Points clés à retenir

1. Niveau 200 (junior+ employable) atteint en sortie, pas niveau 100 découverte ni niveau 300 senior 5 ans XP.
2. 15 compétences universelles validées par tous les apprenants (Linux, networking, OWASP Top 10, threat modeling STRIDE, CVSS, writeups publiés, présentation technique 5 min, code review).
3. Spé DevSecOps : 20 savoir-faire mesurables, pipeline GitHub Actions complet SAST/DAST/SCA/container/Cosign, AWS hardening, IaC Terraform, Kubernetes RBAC, NIS2 + DORA mapping.
4. Spé Pentest : 18 savoir-faire mesurables, reconnaissance + énumération + OWASP Top 10 exploitation + Active Directory + cloud pentest AWS + reporting CVSS.
5. Spé LLM Security : 18 savoir-faire mesurables, OWASP LLM Top 10 v2.0, MITRE ATLAS, NeMo Guardrails, PyRIT red teaming, Garak scanning, RAG security, agents security.
6. Portfolio public 25-40 livrables : 15-30 writeups GitHub Pages, 1-3 articles techniques Medium, 1-2 rapports capstones, profil LinkedIn audit + 5 articles cyber.
7. 3 certifs marché préparées par spé : AWS Cloud Practitioner (90 €) + AWS Security Specialty (270 €) + Burp Cert Practitioner (£99) ou eJPT (224 €) ou AWS AI Practitioner (68 €).
8. Métiers cible 2026 : Junior DevSecOps Engineer (40-55 k€), Junior Pentester (38-50 k€), Junior AI Security Engineer (50-65 k€, marché en pénurie aiguë).
9. Saut 200 → 300 prend 3-5 ans de mission terrain post-bootcamp, aucun bootcamp ne peut compresser ce saut.
10. Freelance trop tôt = piège : recommandation 6-18 mois CDI / alternance avant bascule freelance.
11. Indexation Google des writeups GitHub Pages sous 2-4 semaines = visibilité passive aux recruteurs cyber FR 2026.
12. OSCP visé post-bootcamp à 6-12 mois après prise de poste, pas pendant le bootcamp (taux échec élevé pour juniors).

Bootcamp Zeroday Cyber Academy disponible sur 3 chemins (DevSecOps complet, DevSecOps Autonomie, LLM Security) avec compétences 200 junior+ employable mesurables + portfolio public 25-40 livrables + 3 certifs marché. Étudier la grille compétences avec un coach senior.

FILES_CREATED:

• content/ressources/reconversion/competences-fin-bootcamp-zeroday.md
• public/images/ressources/reconversion/competences-fin-bootcamp-zeroday-cover.webp