Téléchargez le programme de nos formations
Téléchargez le rapport d’insertion 2026
Le pentest attire parce qu'il constitue la partie la plus tangible de la cybersécurité : vous cherchez une faille, vous la trouvez, et vous la prouvez pour la faire corriger. Quatre principales raisons reviennent ainsi régulièrement chez les personnes qui font une reconversion professionnelle pour devenir Pentester :
Cette idée d'un socle commun, Martin Chamlout, intervenant de notre table ronde, la résume d’ailleurs en une phrase :
L'avantage de la cybersécurité, c'est qu'elle a une même base, c'est l'informatique. Plus quelqu'un aura ses connaissances en informatique, plus elle sera apte à comprendre la cybersécurité.
Martin Chamlout, intervenant de notre table ronde « Métiers de la Cyber en 2026 ».
Un Pentester est missionné par une entreprise pour se mettre dans la peau d'un attaquant, dans un périmètre défini à l'avance, et pour démontrer ce qu'un vrai attaquant pourrait faire. Le fondateur de Jedha vous l’expliquait d’ailleurs bien lors d’une de nos tables rondes :
Un Pentester ou un Ethical Hacker, ça va être quelqu'un qui va être missionné justement pour faire un pentest, donc un test de pénétration sur une entreprise, et donc se mettre finalement dans la peau d'un attaquant dans un scope assez restreint, parce que du coup il va y avoir des règles qui vont être mises en place selon une note de cadrage ou un contrat.
Antoine Krajnc, fondateur de Jedha, table ronde « Métiers de la Cyber en 2026 ».
Un test d'intrusion web suit toujours les mêmes étapes. Et comme le rappelle Ninon Eyrolles, l’une de nos expertes en cybersécurité chez Jedha, il commence systématiquement par une phase d’observation :
La première chose à faire, c'est de faire de la reconnaissance, simplement pour voir ce que fait le site web, comprendre le principe du site web, et surtout voir à quoi on a accès.
Ninon Eyrolles, Content Creator chez Jedha, workshop « Introduction au Pentest web ».
Le pentest est légal, mais à condition qu’il se pratique avec l'autorisation explicite du propriétaire du système testé, ou sur des environnements conçus pour l'entraînement. En dehors de ce cadre, tester une faille est un délit. Avant même de vous intéresser à la technique, c’est d’ailleurs l’une des premières choses que vous apprenez lors d’une formation :
Ne le faites pas sur n'importe quel site. N'allez pas tester des vulnérabilités sur n'importe quel site sur internet, c'est illégal. C'est des choses qu'il faut faire soit avec la permission explicite de la personne qui maintient le site, soit sur des sites d'entraînement qui sont faits pour ça.
Ninon Eyrolles, Content Creator chez Jedha, workshop « Introduction au Pentest web ».
La cybersécurité se divise en trois grandes familles de métiers, selon le rôle que vous tenez face aux attaques : attaquer, défendre ou gouverner.
Blue Team et Red Team sont plutôt des métiers plus techniques, quand la GRC est plutôt plus managériale ou plus stratégique. La posture Blue Team qui est plutôt défense, une posture Red Team qui est plutôt attaque.
Antoine Krajnc, fondateur de Jedha, table ronde « Métiers de la Cyber en 2026 ».
Si vous hésitez encore entre ces trois voies, notre guide sur la reconversion dans la cybersécurité compare justement ces métiers entre eux.
Il est possible de décrocher un poste de Pentester dès la fin de votre formation, mais ce n’est pas la voie la plus fréquente. Pourquoi ? Tout simplement parce que le pentest est un métier de spécialiste, et que beaucoup de professionnels y arrivent après un premier poste qui leur a permis de consolider leur socle technique. Nicolas Caproni explique d'ailleurs que commencer votre carrière en sécurité informatique par de l'offensif n'est pas forcément le meilleur réflexe, même si c'est celui que l'on a le plus souvent en sortant d'école :
C'est toujours rigolo, depuis 15 ans c'est vrai que en sortie d'école ou des étudiants, la première chose qu'ils vont vouloir faire en cyber c'est l'offensif, Pentester, et je pense que c'est peut-être pas le premier bon choix forcément de commencer par là.
Nicolas Caproni, Head of Threat Detection & Research chez Sekoia, table ronde « Métiers de la Cyber en 2026 ».
Mais si vous ne pouvez pas être Pentester dès le départ, par quel métier commencer ? Trois postes vous serviront de porte d’entrée, et vous permettront d’acquérir de l’expérience pour ensuite devenir Hacker éthique :
Cette réalité se lit aussi dans nos chiffres. D'après notre rapport d'insertion 2026, les alumni de notre parcours Cybersécurité occupent d'abord des postes en conseil et GRC (25 %), en administration systèmes et réseaux (23 %), en analyse de menaces et opérations SOC (16 %) et en coordination opérationnelle (16 %). Ces postes relèvent surtout de la défense, de la gouvernance et de l'administration, mais votre formation à l'attaque n'y est pas perdue, car comme le rappelle Nicolas Caproni, savoir comment pense un attaquant fait de vous un meilleur défenseur :
C'est bien, pour défendre, de savoir comment les attaquants attaquent.
Nicolas Caproni, Head of Threat Detection & Research chez Sekoia, table ronde « Métiers de la Cyber en 2026 ».
Il n'y a pas de profil type pour devenir Pentester, et avoir un parcours atypique est même souvent un atout :
D'avoir des backgrounds un peu différents des autres, c'est une force pour certains métiers de la cyber, d'avoir une vision des fois des auditeurs techniques ou non techniques qui ont fait des études en psychologie, ou les juristes.
Nicolas Caproni, Head of Threat Detection & Research chez Sekoia, table ronde « Métiers de la Cyber en 2026 ».
Et concernant votre niveau d’entrée ou votre âge lors de votre reconversion, là aussi, il n’existe aucune règle. Pour preuve, dans notre rapport d'insertion 2026, vous découvrirez que 36 % de nos apprenants ont 40 ans ou plus, 41 % ont entre 30 et 39 ans, et 11 % sont titulaires d'un bac.
Nul besoin de venir de l’informatique pour vous reconvertir en Pentester, à condition d’acquérir le socle technique nécessaire en cours de route. Cela implique notamment de maîtriser les réseaux et les systèmes pour comprendre comment circule une information et comment fonctionne une machine, en commençant par Linux, puis Windows.
Tous les métiers de la cybersécurité reposent là-dessus, et ce sont justement ces compétences que vous acquerrez dans notre formation pour devenir Pentester, accessible même sans background en informatique.
À 40 ans, il est loin d'être trop tard pour vous reconvertir en Pentester, et votre expérience professionnelle passée est même un précieux atout. Un test d'intrusion se termine par un rapport lu par des décideurs, et savoir expliquer un risque à quelqu'un qui n'est pas du métier est quelque chose que vous avez probablement déjà appris à faire dans votre domaine d'origine.
Vous ne serez d'ailleurs pas seul dans ce cas : d'après notre rapport d'insertion 2026, 36 % des personnes que nous formons ont 40 ans ou plus.
Jonathan a passé une quinzaine d'années dans la restauration, sur des postes à responsabilité, avant qu’un licenciement économique lui ouvre la porte d'une reconversion accompagnée :
Avant ça, j'étais donc effectivement dans la restauration, donc rien à voir. J'ai opéré pendant une quinzaine d'années sur différents postes dans la restauration.
Jonathan Riss, OSINT & Blockchain Intelligence Analyst chez CertiK, Paroles d'alumni #8.
Il s'est entraîné en autonomie avant même d'entrer en formation, sur les plateformes où s'entraînent aussi les futurs Pentesters :
J'ai commencé à m'intéresser à la cyber, aller voir ce qui se passait sur TryHackMe, Hack The Box.
Jonathan Riss, OSINT & Blockchain Intelligence Analyst chez CertiK.
Son recrutement ne s'est pas joué sur un diplôme, mais sur une mise en situation concrète, un exercice technique à réaliser en direct. Si vous visez le pentest, cela vous offre un bon aperçu de ce qui vous attend, où vous serez surtout jugé sur ce que vous savez faire :
Il y a pas d'histoire de diplôme, il y a pas d'histoire de tes bac plus combien. Par contre moi j'ai eu des mises en situation, un exercice type à faire en live.
Jonathan Riss, OSINT & Blockchain Intelligence Analyst chez CertiK.
Il a trouvé son poste deux à trois mois après la fin de sa formation, et il travaille aujourd'hui dans une équipe de réponse à incident chez CertiK, où il enquête sur des attaques et trace des flux financiers sur la blockchain. Il offre d’ailleurs un précieux conseil aux candidats au métier de Pentester :
Soyez curieux, faites preuve de motivation, d'initiative. Si vous êtes face à une difficulté, essayez d'aller au-delà, ne pas laisser tomber.
Jonathan Riss, OSINT & Blockchain Intelligence Analyst chez CertiK.
Comme l’indique le fondateur de Jedha, la compréhension des systèmes et réseaux est essentielle pour devenir Pentester après une reconversion :
Il faut savoir comment fonctionne un réseau, il faut savoir comment fonctionnent des systèmes, et notamment vous commencez par la partie Linux, ensuite la partie Windows.
Antoine Krajnc, fondateur de Jedha, table ronde « Métiers de la Cyber en 2026 ».
Mais loin de se suffire à elle seule, ce sont en réalité cinq compétences qui vous seront essentielles pour exercer ce métier :
Et si ces connaissances théoriques sont essentielles, contrairement aux idées reçues sur le métier de Pentester, elles doivent impérativement être complétées par une solide expérience pratique.
Le plus simple pour cela, c'est de vous entraîner sur des environnements conçus pour ça : des applications volontairement vulnérables, que vous pouvez attaquer sans aucun risque et en toute légalité. OWASP Juice Shop en est un bon exemple, puisque cette application web réunit plus d'une centaine de challenges, des plus simples aux plus techniques. Vous pouvez aussi vous mesurer aux plateformes de CTF (Capture The Flag), des compétitions en ligne où vous devez résoudre des épreuves de sécurité.
Toutes ces plateformes gratuites pour apprendre le hacking éthique vous permettent de progresser à votre rythme, et surtout de laisser une trace publique que vous pourrez montrer à un recruteur :
Montrer une motivation, la matérialiser par ces petits CTF, par monter sa petite infrastructure.
Nicolas Caproni, Head of Threat Detection & Research chez Sekoia, table ronde « Métiers de la Cyber en 2026 ».
Sachez d’ailleurs que chez Jedha, nous animons régulièrement un workshop gratuit d'introduction au pentest web, où vous apprendrez à exploiter vos premières failles sur OWASP Juice Shop en direct. Les prochaines dates sont indiquées sur notre page événements.
À ces compétences pratiques s’ajoutent certains soft skills essentiels pour devenir Pentester :
L'IA générative n'a pas réduit le besoin de Pentesters, elle a élargi la surface à tester. Elle profite d'abord aux attaquants, ce qui augmente mécaniquement la demande côté défense :
Pour les attaquants, finalement on se rend compte qu'ils ont été plus rapides que les défenseurs à s'approprier l'IA. La rédaction de code malveillant, écrire des malwares, finalement on a plus besoin d'être un expert.
Nicolas Caproni, Head of Threat Detection & Research chez Sekoia, table ronde « Métiers de la Cyber en 2026 ».
Elle crée aussi une catégorie de failles qui n'existait pas il y a trois ans : celles des applications qui embarquent un modèle de langage :
Un attaquant peut tout à fait essayer de trouver un moyen de contourner l'utilisation de l'IA pour siphonner ce qu'il y a dans la base de données.
Antoine Krajnc, fondateur de Jedha, table ronde « Métiers de la Cyber en 2026 ».
Savoir tester une injection de prompt et le contournement des garde-fous d'un modèle fait donc désormais partie du métier.
Après une reconversion, un Pentester junior gagne généralement entre 35 000 et 50 000 € brut par an. Vous découvrirez d’ailleurs en détail les écarts de salaire selon la ville et le type d'employeur dans notre article sur le salaire d'un Pentester.
Lorsque vous vous réorientez, la meilleure comparaison reste celle avec votre carrière actuelle. Tous parcours confondus, nos alumni passent ainsi d'une rémunération médiane de 38 000 € avant formation, à 44 000 € un an après, représentant une belle évolution de 6 000 €.
Trois voies vous mènent au métier de Pentester, mais elles ne demandent ni le même temps ni le même investissement :
Jedha est une école spécialisée en cybersécurité, en data et en intelligence artificielle. Nous accompagnons des personnes en reconversion depuis notre fondation en 2017, et plus de 4 000 élèves sont ainsi passés par nos formations.
Notre formation pour devenir Pentester dure 450 heures, et vous pourrez la suivre en 3 mois à temps plein, en 7 mois à temps partiel, en ligne ou sur l'un de nos 14 campus. Il s’agit en réalité de notre parcours Cybersécurité Fullstack, qui couvre aussi bien la défense que l'attaque.
Ce que vous apprendrez :
Les points forts de notre formation :
Vous n’avez aucune préalable en informatique et partez donc de zéro en systèmes et réseaux ? Ce n’est pas un problème, commencez simplement par notre formation Cybersécurité pour débutant, elle aussi éligible au CPF, où vous acquerrez ces bases en seulement 75 heures.
Il n’est pas nécessaire de passer une certification en cybersécurité dès le début de votre reconversion, d’autant que les certifications offensives reconnues s'adressent surtout aux profils qui ont déjà le socle technique, et se préparent donc plutôt après une première expérience. Le fondateur de Jedha le rappelle d’ailleurs :
L'OSCP, c'est pas forcément accessible dès le départ.
Antoine Krajnc, fondateur de Jedha, table ronde « Métiers de la Cyber en 2026 ».
Cela est par contre une très bonne idée après un premier poste en cybersécurité, notamment si vous voulez évoluer pour prétendre à un poste de Pentester.
Notre formation Pentester est éligible au CPF et aux dispositifs publics de financement, ce que vous pouvez mobiliser dépendant de votre situation :
N’hésitez d’ailleurs pas à prendre rendez-vous avec notre équipe d’admission, qui est là pour vous aider à identifier les financements auxquels vous êtes éligible et à monter votre dossier.
Pour transformer votre projet de reconversion professionnelle en Pentester en succès, procédez par étape :
Comptez 450 heures pour devenir Pentester en suivant la formation de Jedha, ce qui représente 3 mois à temps plein, ou 7 mois à temps partiel. Si vous partez de zéro en systèmes et réseaux, ajoutez à cela 75 heures (2 semaines à temps plein, 6 à temps partiel) pour acquérir ces bases grâce à la formation Cybersécurité pour débutant.
Aucun diplôme spécifique n'est requis pour devenir Pentester, puisque ce sont davantage vos compétences effectives et votre portfolio de projets concrets et de mises en situations techniques qui font foi auprès des recruteurs.
Loin de menacer le métier, l’intelligence artificielle donne au contraire plus de travail aux Pentesters ! En effet, l'IA générative sert d'abord les attaquants, qui l'ont adoptée plus vite que les défenseurs, et elle crée également une nouvelle catégorie de failles à tester dans les applications qui embarquent un modèle de langage. Résultat, les risques augmentent, et il faut plus de professionnels qu’auparavant pour s’en prémunir.
Le bootcamp Pentester de Jedha (450 heures) est éligible au CPF et aux financements publics, tout comme leur formation Cybersécurité pour débutant (75 heures) qui vous permettra d’acquérir les bases nécessaires pour débuter votre reconversion si vous ne venez pas de l’informatique.
.webp)
