Cet article documente la roadmap 26 semaines détaillée d'une apprenante Zeroday Cyber Academy spé DevSecOps (cohorte 2025), Sophie L., ex-développeuse front 7 ans XP devenue Junior DevSecOps Engineer banque tier 1 FR, 4 mois post-bootcamp, salaire 48-55 k€. 16-22h/sem en moyenne sur 26 semaines (volume cumulé 420-570h), répartis en 8 sprints de 2 semaines + 2 semaines buffer + 8 semaines phase placement intégrée (mois 5 → mois 7). Compatible emploi parallèle à 8-12h/sem minimum, avec pics 15-20h sprints capstone (mois 5-6). Stratégie candidatures : démarrage mois 5 (3-4 semaines avant fin officielle bootcamp), 30-80 candidatures sur 2-3 mois → 8-20 réponses RH → 4-10 entretiens RH → 2-6 entretiens techniques → 1-3 offres → 1 signature. Cet article documente chaque sprint en détail (objectifs, livrables, blocages réels, certifs préparées, networking actions), les patterns de progression (sprints 1-3 fondamentaux faciles ex-dev, sprint 5 = pic difficulté, sprint 7-8 = capstone), les erreurs à éviter (procrastiner mois 6, candidater seulement post-bootcamp), et les enseignements méta d'un parcours alumni crédible, sans bullshit marketing.
Pour les autres ressources liées : voir Études de cas alumni Zeroday et Comment se déroule un bootcamp Zeroday.
Le bon mental model : une roadmap n'est pas un planning rigide
Erreur cognitive du futur reconverti type 2026 : croire qu'une roadmap bootcamp est un planning rigide où chaque semaine est figée à l'avance. Faux raisonnement. Une roadmap est un squelette structuré + adaptation individuelle continue sur 26 semaines.
| Vision rigide (fausse) | Vision adaptative Zeroday (correcte) |
|---|---|
| Semaine 5 = ce livrable précis pour tous | Semaine 5 = objectif sprint, ajustement individuel selon profil |
| Pas de tolérance retard | 1 semaine retard tolérée par sprint |
| Tous suivent le même rythme | Coach ajuste cadence individuellement |
| Capstone identique à tous | Capstone choisi avec coach selon profil + ambition |
| Phase placement séparée du bootcamp | Phase placement démarrée mois 5, intégrée au sprint 7-8 |
Position tranchée : un bootcamp qui applique une roadmap rigide identique à tous les apprenants traite des reconvertis 28-50 ans avec la pédagogie d'un Master 2 universitaire pour étudiants 22 ans full-time. Inadapté. Zeroday adapte la roadmap individuellement à chaque coach 1-1, dans le squelette commun de 26 semaines.
Phase 0 : Avant le bootcamp (semaines -4 à 0)
Avant signature (semaines -4 à -2)
| Action | Durée | Livrable |
|---|---|---|
| Diagnostic profil avec coach senior 1h | 1h | Validation alignement profil/programme |
| Étude financement (CPF, OPCO, France Travail) | 2-4h | Plan financement validé écrit |
| Discussion 2-3 alumnis Zeroday LinkedIn | 1.5h | Validation crédibilité bootcamp |
| Lecture ressources Zeroday préparatoires | 3-5h | Mental model aligné |
| Setup matériel (laptop, OS, configuration) | 1-2h | Stack prête |
Sprint 0 : onboarding (semaines -2 à 0)
| Activité | Durée | Détail |
|---|---|---|
| Discord cohorte rejoint | 30 min | Présentation, channels exploration |
| Notion partagé cohorte | 30 min | Plan annuel + ressources |
| Stack préparatoire vérifiée | 2-3h | TryHackMe Premium, GitHub, AWS sandbox account |
| Linux fundamentals refresh | 4-6h | Si profil dev pur, refresh shell, processus, permissions |
| Git + GitHub Pages personnel créé | 2-3h | Premier writeup test publié |
| Lecture théorique sprint 1 (async) | 3-4h | OWASP Top 10 web 2021 + NIST CSF intro |
Volume sprint 0 : 12-18h cumulées sur 2 semaines.
Phase 1 : Fondamentaux, Sprints 1-3 (semaines 1-6)
Sprint 1 (semaines 1-2), Linux, networking, Git profond
Objectifs : maîtriser Linux command line + TCP/IP + Git workflow + premier writeup public.
| Semaine | Lundi | Mardi | Mercredi | Jeudi | Vendredi | Weekend |
|---|---|---|---|---|---|---|
| S1 | Brief sprint live 90 min | Lab THM Linux Fundamentals 2h | Lab Wireshark capture analysis 3h | Live deep dive networking 90 min | 1-1 coach 45 min | Writeup TryHackMe rédaction 3h |
| S2 | Lab Git advanced workflow 2h | Lab Networking II ARP/DNS 2h | Live atelier breakout pair-coding 60 min | Lab nmap basics 2h | 1-1 coach 45 min | Writeup finalisation + publication GitHub Pages 4h |
Livrables : 3 writeups TryHackMe Easy publiés sur GitHub Pages personnel + 5 commits utiles repo personnel + 1 Wireshark capture analysis publié.
Volume : 18h.
Sprint 2 (semaines 3-4), Cryptography, OWASP fundamentals
Objectifs : TLS / hashing / signing + OWASP Top 10 web 2021 (10 catégories).
Activités clés :
- Lab TryHackMe Crypto 101 + Hashing 101 (4h)
- 10 labs PortSwigger Apprentice (8h), SQLi, XSS reflected, broken access control basics
- Live deep dive OWASP Top 10 90 min + atelier breakout 60 min (2.5h)
- 1-1 coach 45 min × 2 (1.5h)
- Lecture OWASP Cheat Sheet Series (3 fiches, 2h)
- Writeup PortSwigger Web Cache Poisoning (3h)
Livrables : 5-7 writeups PortSwigger + 1 article 1500 mots sur SQLi pratique publié GitHub Pages.
Volume : 21h (pic).
Sprint 3 (semaines 5-6), Threat modeling STRIDE + intro DevSecOps
Objectifs : threat modeling STRIDE complet + premiers outils DevSecOps.
Activités clés :
- Lab Microsoft Threat Modeling Tool sur app fictive (4h)
- Setup pre-commit hooks (talisman + gitleaks + detect-secrets) sur repo perso (2h)
- 5 labs PortSwigger SSRF + OAuth (4h)
- Live deep dive STRIDE 90 min + démo capstone live (2h)
- 1-1 coach 45 min × 2 (1.5h)
- Demo sprint bi-mensuelle : pitch 5 min de progression cohorte (1h prépa + 1h live)
- Writeup threat model app fictive (3h)
Livrables : 1 threat model STRIDE complet (diagramme + table threats + mitigations) + 5 writeups PortSwigger + 1 demo sprint donnée.
Volume : 18h.
Phase 2 : Spécialisation DevSecOps, Sprints 4-6 (semaines 7-12)
Sprint 4 (semaines 7-8), SAST + SCA + secrets management
Objectifs : Semgrep + grype + Vault opérationnels en CI/CD.
| Activité | Durée | Notes |
|---|---|---|
| Lab Semgrep custom rules + p/owasp-top-ten | 4h | Création 2-3 rules custom |
| Lab SBOM CycloneDX + grype scan | 3h | Pipeline GitHub Actions intégré |
| Lab HashiCorp Vault local + AWS Secrets Manager | 3h | Rotation secrets démontrée |
| Live deep dive supply chain post XZ Utils CVE-2024-3094 | 90 min | Cas étude récent |
| Live atelier breakout pair-coding pipeline | 60 min | Sous-groupes 3-4 |
| 1-1 coach × 2 | 1.5h | Choix capstone discuté |
| Article technique 2500 mots SAST vs SCA vs DAST publié | 6h | Medium + GitHub Pages |
Livrables : pipeline GitHub Actions avec SAST + SCA + secrets management + 1 article technique publié.
Volume : 21h.
Sprint 5 (semaines 9-10), Container security + IaC + AWS hardening
🔥 Sprint critique, pic difficulté observé chez ex-dev front type Sophie L.
Objectifs : Trivy + Cosign + Terraform + AWS IAM/KMS/CloudTrail/GuardDuty maîtrisés.
Activités clés :
- Lab Trivy container scan + Cosign signing keyless OIDC (4h)
- Lab Dockerfile hardening (5 vulnérabilités à fixer) (3h)
- Terraform IaC sandbox AWS + tfsec + checkov (5h)
- AWS IAM least privilege + KMS + CloudTrail + GuardDuty config (6h)
- Live deep dive Cloud security 90 min + atelier breakout 60 min (2.5h)
- 1-1 coach × 2 (1.5h)
- Writeup pipeline complet capstone draft (3h)
Blocage type sprint 5 : profils ex-dev front comme Sophie L. n'ont jamais touché AWS profond. Sortie blocage : 2-3 1-1 supplémentaires + lectures ciblées AWS Solutions Architect Associate study guide chapitres 4-6 (sécurité IAM/VPC/S3) + redirection sandbox simplifiée pendant 1 semaine pour ancrer.
Livrables : Dockerfile hardened + IaC Terraform sandbox AWS sécurisée + writeup capstone draft 50%.
Volume : 25h (pic).
Sprint 6 (semaines 11-12), Kubernetes RBAC + WAF + observability
Objectifs : K8s RBAC + Network Policies + Pod Security Standards + WAF AWS + logging structuré.
Activités clés :
- Lab minikube + RBAC + Network Policies + Pod Security Standards (5h)
- Lab WAF AWS WAFv2 (managed rules + custom rules) (3h)
- Lab logging structuré ELK ou Loki + Grafana (4h)
- Préparation AWS Cloud Practitioner exam (~90 €, à passer fin sprint 6) (8h cumulées)
- Live deep dive Kubernetes security 90 min (1.5h)
- 1-1 coach × 2 (1.5h)
- Demo sprint bi-mensuelle : pitch capstone progression 50% (1h prépa + 1h live)
Livrables : K8s lab sécurisé + WAF AWS configuré + AWS Cloud Practitioner certif obtenue (90 €, ~85% pass rate sur ressources Zeroday).
Volume : 23h.
Phase 3 : Capstone + placement, Sprints 7-8 (semaines 13-16)
Sprint 7 (semaines 13-14), Capstone projet + démarrage placement
Capstone Sophie L. : sécurisation pipeline complet d'une app fintech fictive (Next.js + Express + PostgreSQL + AWS).
Activités clés :
- Capstone construction (35h cumulées sur sprint) :
- Pipeline GitHub Actions complet SAST/DAST/SCA/container/sign
- Threat model STRIDE complet
- Architecture sécurisée AWS (IAM + KMS + CloudTrail + GuardDuty + WAF)
- IaC Terraform full
- Runbook incident response (NIST SP 800-61 r2 mapping)
- Démarrage phase placement :
- Refonte CV + LinkedIn audit avec coach (4h)
- Identification 30-50 entreprises cibles (banques tier 1 + ESN cyber + fintech) (3h)
- 15-20 candidatures envoyées sprint 7 (8h cumulées)
- Live demo capstone progression cohorte (1h)
- 1-1 coach × 3 (2h), focus stratégie placement
Volume : 28h (pic capstone + placement).
Sprint 8 (semaines 15-16), Capstone finalisation + entretiens techniques
Activités clés :
- Capstone finalisation rapport 35-45 pages (15h cumulées)
- 15-30 candidatures supplémentaires (8h cumulées)
- Mock interviews techniques avec coach + alumnis (3 sessions × 1h = 3h)
- Préparation Burp Suite Certified Practitioner (£99) (6h cumulées)
- 2-3 entretiens RH décrochés (commencent à 2h cumulées sprint 8)
- 1-1 coach × 3 (2h), debrief entretiens
Livrables : Capstone rapport publié (GitHub privé, partagé recruteurs sur demande) + Burp Cert obtenue + 30-50 candidatures cumulées.
Volume : 28h (maintenu pic).
Phase 4 : Placement (semaines 17-26)
Semaines 17-20, Entretiens techniques intensifs
Activités :
- 4-8 entretiens techniques (mix banques tier 1 + ESN cyber + fintech) (10-15h cumulées sur 4 semaines)
- Préparation AWS Security Specialty (270 €), 25h cumulées sur 4 semaines
- Mock interviews avec coach × 4 (4h)
- Refresh techniques OWASP Top 10 + threat modeling avant chaque entretien (5h cumulées)
- 1-1 coach hebdo × 4 (3h)
Résultat semaine 20 : 2 offres reçues (banque tier 1 + ESN cyber), choix banque tier 1.
Semaines 21-22, Négociation + signature
- Négociation salaire (range cible 48-55 k€ + variable + télétravail 2j/sem)
- Vérification contrat juridique (clause non-concurrence, propriété intellectuelle, formation continue)
- Démission ancien CDI front (préavis 1 mois)
- Signature offre finale 51 k€ + 8% variable + 2j télétravail
Semaines 23-26, Onboarding + AWS Security Specialty
- AWS Security Specialty pass à 84% (1ère tentative), semaine 24
- Préparation onboarding poste (lecture stack équipe, code base existant) (semaines 25-26)
- Wrap-up portfolio public final (40 livrables) + LinkedIn audit final
- 1-1 coach mensuel sur 3 mois post-bootcamp
Récapitulatif quantitatif Sophie L. (alumni 2025)
Volume horaire cumulé sur 26 semaines
| Phase | Semaines | Volume hebdo moyen | Volume cumulé |
|---|---|---|---|
| Phase 0 onboarding | -2 à 0 | 12-18h | 24-36h |
| Phase 1 fondamentaux | 1-6 | 18-21h | 110-130h |
| Phase 2 spécialisation | 7-12 | 21-25h | 130-150h |
| Phase 3 capstone + placement | 13-16 | 28h | 110-115h |
| Phase 4 placement | 17-26 | 12-18h | 130-180h |
| Total | 26 sem | 18h moyen | ~480-560h |
Livrables cumulés portfolio public
| Type | Volume |
|---|---|
| Writeups TryHackMe / PortSwigger / HTB publiés GitHub Pages | 32 |
| Articles techniques 1500-4500 mots publiés GitHub Pages / Medium | 3 |
| Capstone projet (rapport 42 pages + repo GitHub privé sécurisé) | 1 |
| Threat models STRIDE complets | 2 |
| Démos vidéo (capstone, demo sprint) | 2 |
| Contributions GitHub publiques (forks, issues, PRs) | 7 |
| Total livrables visibles | 47 |
Certifications obtenues
| Certif | Coût | Sprint passage | Score |
|---|---|---|---|
| AWS Cloud Practitioner | 90 € | Sprint 6 | 87% (1ère tentative) |
| Burp Suite Certified Practitioner | £99 | Sprint 8 | 81% (2e tentative après échec 73%) |
| AWS Security Specialty | 270 € | Semaine 24 | 84% (1ère tentative) |
| Total investissement certif | ~580€ |
Statistiques placement
| Métrique | Valeur |
|---|---|
| Candidatures envoyées | 52 |
| Réponses positives RH | 13 (taux 25%) |
| Entretiens RH | 9 (taux 70%) |
| Entretiens techniques | 5 (taux 56%) |
| Offres reçues | 2 (taux 40%) |
| Délai 1ère mission post-bootcamp | 4 mois (médiane Zeroday 4-7 mois) |
| Salaire signé | 51 k€ + 8% variable |
Conseil opérationnel : transposition à ton profil
Cette roadmap est un cas type ex-dev front 7 ans XP → DevSecOps banque tier 1. Pour adapter à ton profil :
| Profil source | Ajustement vs Sophie L. |
|---|---|
| Ex-sysadmin Linux 5+ ans | Sprints 1-3 plus rapides, focus pentest possible (chemin alternatif) |
| Ex-data scientist 3+ ans | Spé LLM Security recommandée (volume similaire mais lab AI security range interne au lieu d'AWS sandbox) |
| Ex-non-IT direct (RH, comptable) | Phase 0 + sprints 1-3 ralentis (+30-50% durée), spé SOC plutôt que DevSecOps/Pentest |
| Ex-ingénieur banque 10+ ans | Sprints 1-3 facilités (NIS2/DORA déjà connus), accélération sprints 5-6 |
| Ex-officier réserviste cyber | Sprints similaires Sophie L., mais ciblage défense pour 1ère mission |
Action concrète : prendre rendez-vous coach senior Zeroday 1h pour cadrer TA roadmap personnalisée sur ton profil + ambition + contraintes (temps dispo, zone géo, budget, statut emploi). Le coach ajuste le squelette 26 semaines à ton cas.
Anti-patterns dans le suivi de roadmap
| Anti-pattern | Symptôme | Fix |
|---|---|---|
| Procrastiner mois 6 placement | Démarrer candidatures seulement post-bootcamp | Démarrer mois 5 minimum, perdre 30-60 jours sinon |
| Vouloir maîtriser 100% chaque sprint | Sprints 5-6 prennent 3-4 semaines | Tolérance 1 semaine retard, passer au suivant |
| Capstone trop ambitieux | Vouloir faire 5 capstones, en finir 0 | 1 capstone solide complet > 5 demi-projets |
| Négliger writeups post-flag | Score TryHackMe haut, GitHub vide | Imposer writeup dans 7 jours post-flag |
| Ignorer networking sprint 1-3 | Réseau LinkedIn 50 connexions, sprint 7 panique | 200-500 connexions cyber dès sprint 4 |
| Faire toutes les certifs dispersées | 5 certifs à moitié préparées, 0 obtenue | 2-3 certifs ciblées et obtenues |
| Sauter lives groupe en async | « Je rattraperai en replay » répété | Maintenir 70%+ présence live |
Pour aller plus loin
- Études de cas alumni Zeroday : 6 parcours reconversion
- Comment se déroule un bootcamp Zeroday : 5 phases méthodologiques
- Compétences en sortie de bootcamp Zeroday
- Labs pratiques bootcamp Zeroday : 5 plateformes
- Lives de groupe bootcamp Zeroday : format, fréquence
- Pédagogie pratique bootcamp Zeroday
- Témoignages élèves bootcamp Zeroday
- Apprendre la cybersécurité en parallèle d'un emploi
Sources externes : TryHackMe Premium Pricing, PortSwigger Web Security Academy, AWS Cloud Practitioner exam, AWS Security Specialty exam, Burp Suite Certified Practitioner, NIST SP 800-61 r2 incident response.
Points clés à retenir
- 26 semaines roadmap Zeroday DevSecOps : sprint 0 onboarding + 8 sprints (2 sem chacun) + 8 semaines phase placement intégrée + 2 semaines buffer.
- 16-22h/sem en moyenne, pic 25-30h sprints 5-7 (capstone + placement). Volume cumulé 480-560h sur 6 mois.
- Compatible emploi parallèle à 8-12h/sem minimum, 3 conditions : 1h/jour ou 4-5h weekend, lives groupe maintenus, congés concentrés sprints capstone.
- Démarrage candidatures sprint 7-8 (mois 5), pas après bootcamp, délai recrutement cyber FR 30-90 jours, anticipation obligatoire.
- Statistiques placement Sophie L. (2025) : 52 candidatures → 13 réponses RH (25%) → 9 entretiens RH → 5 entretiens techniques → 2 offres → 1 signature 51 k€ + 8% variable, délai 4 mois.
- 47 livrables portfolio public cumulés : 32 writeups + 3 articles techniques + 1 capstone + 2 threat models + 2 démos vidéo + 7 contributions GitHub.
- 3 certifs obtenues coût ~580€ : AWS Cloud Practitioner sprint 6 (87%), Burp Cert Practitioner sprint 8 (81% 2e tentative), AWS Security Specialty post-bootcamp (84%).
- Sprint 5 = pic difficulté documenté sur ex-dev front (cloud AWS profond pas familier) → 2-3 1-1 coach supplémentaires + sandbox simplifiée 1 semaine = sortie blocage.
- Adaptation par profil : ex-sysadmin sprints 1-3 plus rapides, ex-data scientist spé LLM Security, ex-non-IT phase 0 ralentie + spé SOC, ex-banque sprints 5-6 accélérés.
- Tolérance retard : 1 semaine par sprint sans pénalité, 2 semaines = 1-1 redressement, > 1 sprint = pause programme officielle 1-4 semaines avec reprise garantie.
- Anti-patterns suivi : procrastiner mois 6, capstone trop ambitieux, négliger writeups, ignorer networking sprint 1-3, dispersion certifs, sauter lives groupe en async.
- Conseil prise de RDV coach : 1h coach senior Zeroday cadre TA roadmap personnalisée avant signature, diagnostic profil + ambition + contraintes + chemin recommandé (DevSecOps complet vs Autonomie vs LLM Security).
Bootcamp Zeroday Cyber Academy disponible sur 3 chemins (DevSecOps complet, DevSecOps Autonomie, LLM Security) avec roadmap 26 semaines adaptée individuellement par coach senior + 47 livrables portfolio + 3 certifs marché. Cadrer TA roadmap avec un coach senior.
FILES_CREATED:
- content/ressources/reconversion/exemple-roadmap-eleve-bootcamp-zeroday.md
- public/images/ressources/reconversion/exemple-roadmap-eleve-bootcamp-zeroday-cover.webp
