Quel métier cyber viser quand on vient du développement ?

Un développeur qui veut basculer en cybersécurité dispose de quatre trajectoires qui valorisent directement son code et accélèrent l'embauche : AppSec (Application Security, 6-12 mois de bascule), DevSecOps (infrastructure sécurisée et pipelines, 6-12 mois), cloud security pour les profils AWS/Azure/GCP (9-15 mois), security engineering pour les développeurs seniors qui construisent les outils défensifs (12-18 mois). Les salaires juniors atteignent 45 à 70 k€ bruts annuels dès le premier poste, soit 15 à 25 k€ de plus qu'un SOC L1 classique, grâce au différentiel du socle dev valorisé par le marché. Cet article détaille chaque trajectoire, les compétences spécifiques à ajouter au code existant, les certifications pertinentes, et la stratégie d'accélération la plus efficace — la bascule en interne avant la bascule par formation externe.

1. Les quatre métiers cyber qui valorisent un background dev

Fourchettes issues des panels Apec Cadres Cybersécurité 2023-2024, grilles Numeum et observatoires salariaux LinkedIn France. Le salaire senior suppose 5+ ans d'expérience dev antérieure. Pour calibrer le profil d'entrée au sens plus large, voir Entrer en cybersécurité en partant de zéro.

Ces quatre trajectoires ne sont pas exclusives — un développeur qui bascule en AppSec peut bifurquer vers la cloud security ou le security engineering après 2 à 4 ans. Le choix initial conditionne surtout les 18-24 premiers mois.

2. AppSec : la trajectoire la plus naturelle

L'AppSec est la voie la plus directe pour un développeur. Le vocabulaire, les outils et la méthode se recouvrent largement avec le dev : revue de code, analyse statique, frameworks web, compréhension des vulnérabilités dans leur contexte de code.

Ce que le développeur maîtrise déjà

• Revue de code en binôme, outils de revue (GitHub, GitLab, Gerrit).
• Frameworks web et leurs pièges (Django, Spring, Express, Rails, Laravel).
• Pipelines CI/CD, tests unitaires, intégration continue.
• Lecture de logs applicatifs et stack traces.
• Architecture logicielle : couches, services, dépendances.

Ce qu'il faut ajouter

• Mindset offensif : attack surface, threat modeling, supposition d'hostilité.
• OWASP Top 10 2021 et son update 2025, compris dans leur mécanisme d'exploitation, pas juste listés.
• Exploitation web pratique : injection SQL, XSS (Cross-Site Scripting), SSRF (Server-Side Request Forgery), deserialization, SSTI (Server-Side Template Injection).
• Outils de référence : Burp Suite Community puis Pro, OWASP ZAP, Semgrep, SonarQube, CodeQL.
• Méthodologie d'audit : chasse structurée, documentation, priorisation CVSS.

Certifications pertinentes

• eJPT v2 (INE, ≈ 250 €) pour la dimension offensive pratique.
• OSWE (OffSec Web Expert, ≈ 1 600 € bundle) à moyen terme, 12-18 mois post-bascule.
• GWAPT (GIAC Web Application Penetration Tester) pour des profils ESN audit.
• CompTIA Security+ (≈ 400 €) en préalable pour visibilité RH marché français.

Ressources gratuites structurées

• PortSwigger Web Security Academy : gratuit, de loin la meilleure ressource AppSec au monde en 2026.
• OWASP Cheat Sheet Series : référence courte et dense par sujet.
• HackTheBox Academy module AppSec (Web Attacks, API Attacks).
• Cryptopals Challenges pour la cryptographie appliquée.

3. DevSecOps : pour les développeurs à coloration Ops

DevSecOps est la bascule naturelle pour les développeurs qui ont déjà touché à Terraform, Ansible, Docker, Kubernetes, ou à des pipelines CI/CD complexes. Le socle sécurité s'intègre à des gestes déjà familiers.

Stack DevSecOps que le profil doit maîtriser en fin de bascule

Exemple concret de règle Semgrep qu'un DevSecOps junior doit savoir écrire et déployer dans un pipeline GitLab ou GitHub Actions :

# Regle Semgrep : detection d'une concatenation dans une query SQL Python.
# Exemple d'extension des regles par defaut, adaptee au contexte projet.
rules:
  - id: python-sql-injection-concat
    message: |
      Concatenation detectee dans une query SQL Python.
      Utiliser des parametres prepares : cursor.execute(sql, params).
    severity: ERROR
    languages: [python]
    patterns:
      - pattern-either:
          - pattern: |
              $CURSOR.execute("..." + $VAR)
          - pattern: |
              $CURSOR.execute(f"...{$VAR}...")
          - pattern: |
              $CURSOR.execute("%s" % $VAR)
    metadata:
      cwe: "CWE-89"
      owasp: "A03:2021 - Injection"
      references:
        - "https://owasp.org/www-community/attacks/SQL_Injection"

Ce genre de règle personnalisée, intégrée dans un pipeline CI avec seuil bloquant, est exactement le type de livrable qui démarque un DevSecOps junior d'un simple utilisateur d'outils sur étagère.

Certifications pertinentes DevSecOps

• SANS SEC540 (Cloud Security and DevSecOps Automation) : cher mais très reconnu.
• Practical DevSecOps (certification indépendante, ≈ 500 €) : plus accessible.
• AWS Certified Security Specialty (≈ 300 $) si contexte AWS.
• Certified Kubernetes Security Specialist (CKS) pour contexte K8s.

4. Cloud Security : pour les développeurs cloud-natifs

Profil cible : développeur qui a déployé et opéré des applications en production sur AWS, Azure ou GCP. La bascule se fait vers des postes de cloud security engineer, AppSec cloud, ou security architect cloud.

Les sujets clés

• IAM (Identity and Access Management) : principes de moindre privilège, gestion fine des policies, rotation de credentials.
• Services managés de sécurité : GuardDuty et Security Hub chez AWS, Defender chez Azure, Security Command Center chez GCP.
• Détection d'exposition : buckets S3 publics, credentials hardcodés, network misconfiguration, exposition inter-VPC.
• Logging et monitoring centralisés : CloudTrail, CloudWatch, Azure Monitor, Google Cloud Audit Logs, Sentinel, Chronicle.
• Supply chain et CI/CD pipelines cloud : signature d'images, attestations SLSA, SBOM.

Certifications pertinentes cloud security

• AWS Certified Security Specialty : la plus reconnue en France en 2026 pour contexte AWS.
• Microsoft Certified: Security, Compliance, and Identity Fundamentals pour Azure, puis SC-100.
• Google Professional Cloud Security Engineer pour GCP.
• Certified Kubernetes Security Specialist (CKS) pour le volet container.

5. Security Engineering : pour les développeurs seniors qui construisent

Profil cible : développeur senior (5+ ans) avec expérience architecture logicielle et passage à l'échelle. Le métier consiste à construire les outils que les AppSec et les blue teams utilisent, plutôt qu'à exploiter ou défendre au quotidien.

Sujets typiques

• Authentification et autorisation au niveau architecture : OAuth 2.0, OIDC (OpenID Connect), JWT, SAML, mTLS.
• Cryptographie appliquée en production : dérivation de clés, gestion de secrets à grande échelle (HashiCorp Vault, AWS KMS).
• Pipelines de détection automatisée : ingestion, normalisation, anomaly detection.
• Hardening de services et defense in depth côté produit.
• Automation red team ou blue team (chaos engineering sécurité).

Ce qui compte au niveau senior

• Portfolio de projets open source avec impact réel (mainteneur ou contributeur majeur d'un outil sécurité reconnu).
• Publications techniques : articles de blog, présentations à des conférences (Pass the SALT, BlueHat, SSTIC).
• Track record produit : mesurer l'impact d'une feature sécurité qu'on a livrée.

À ce niveau, les certifications comptent moins que le portfolio et la réputation. L'OSCE3 (OffSec Certified Expert 3) ou la GIAC GSEC / GCIH ajoutent une couche côté blue team, mais le poste se décroche surtout sur la base des réalisations démontrables.

6. Ce qu'il faut ajouter au socle dev pour basculer

Les compétences à acquérir au-delà du bagage dev, classées par ordre d'urgence :

Pour le détail du socle technique général préalable, consulter Quelles bases techniques avant de se lancer en cybersécurité ?. Un développeur confirmé couvre déjà 80 % de ce socle et concentre donc sa bascule sur les compétences offensives et les outils spécifiques.

7. Stratégie d'accélération : la bascule interne avant la formation externe

La trajectoire la plus rapide et la moins risquée pour un développeur est la bascule interne : rester dans la même entreprise, transitionner du rôle dev vers un rôle sécurité existant ou créé pour l'occasion.

Pourquoi la bascule interne fonctionne

• Connaissance des applications métier, du stack et des contraintes : ramp-up sécurité divisé par deux.
• Réseau interne préservé : RSSI et CTO connaissent déjà le profil.
• Continuité de rémunération et d'ancienneté.
• Possibilité de transitionner progressivement (20-30 % temps sécurité, puis 50 %, puis 100 %).

Méthode à suivre

1. Discuter avec le RSSI (ou le responsable sécurité) de l'entreprise. Demander un café, pas un entretien formel.
2. Proposer des livrables concrets côté sécurité avant de demander un poste : règles Semgrep personnalisées, threat model d'une application critique, rapport de revue de code orienté sécurité d'un module sensible.
3. Basculer progressivement : négocier 20-30 % du temps en sécurité pendant 3-6 mois, puis évaluer avec le RSSI la bascule complète.

Quand la bascule interne ne fonctionne pas

• Entreprise sans équipe sécurité structurée, pas de RSSI ni de budget dédié.
• Management hostile ou indifférent à l'évolution du profil.
• Taille d'entreprise trop petite (< 50 personnes sans contrainte réglementaire forte).

Dans ces cas, un bootcamp ciblé AppSec ou DevSecOps en 6-9 mois devient la bonne option. Les critères de sélection détaillés dans Bootcamp cybersécurité : pour qui, pour quoi, comment le choisir s'appliquent.

Points clés à retenir

• Quatre trajectoires : AppSec (la plus naturelle), DevSecOps, cloud security, security engineering senior.
• AppSec = voie la plus courte : 6-12 mois pour un dev confirmé, salaire junior 45-70 k€ bruts.
• Ne pas abandonner le code pendant la bascule. C'est le différentiel qui justifie le salaire supérieur au SOC L1.
• Bascule interne > formation externe : 6 mois, zéro risque, continuité de rémunération. Toujours explorer d'abord.
• Compétences à ajouter : OWASP Top 10, threat modeling, exploitation web, Burp Suite, Semgrep custom rules, une certification marché.
• Langages valorisés : Python et Go pour l'outillage, C/C++ pour le bas niveau, JS/TS pour l'AppSec web, Rust en montée.

Pour un cadrage global de la reconversion, voir le guide reconversion pillar. Pour l'étape par étape d'une transition structurée, voir Les vraies étapes d'une reconversion en cybersécurité. Les développeurs qui choisissent l'AppSec comme trajectoire trouveront dans la formation OWASP Web Security un cursus spécifique orienté développeurs, avec threat modeling, labs Burp Suite, exploitation web pratique et règles SAST personnalisées.