Pentester

• Niveau d’étudesBac+3 à Bac+5
• Salaire débutant3 300 € brut / mois
• Salaire confirmé5 000 € brut / mois
• EmployabilitéTrès bonne
• MobilitéBonne
• Code ROMEM1866

Fiche mise à jour en novembre 2026.

Qu’est-ce qu’un pentester ?

Un pentester, ou testeur d’intrusion, est un spécialiste en cybersécurité qui évalue la sécurité d’un système d’information en simulant des attaques, avec l’autorisation de son responsable. Il cherche les failles des réseaux, des applications et des infrastructures, les exploite pour mesurer leur impact réel, puis explique comment les corriger.

Le mot vient de l’anglais « penetration test », abrégé en pentest. On parle aussi de hacker éthique. L’ANSSI décrit le test d’intrusion comme une évaluation du niveau de sécurité d’un système d’information « en identifiant, et le cas échéant en exploitant, des vulnérabilités ». C’est cette exploitation qui le distingue d’un simple scan. Le pentester travaille dans un cabinet spécialisé, une ESN, une équipe de sécurité interne ou à son compte.

En résumé : le pentester attaque un système d’information avec l’accord de son responsable, pour révéler ses failles et aider à les corriger avant qu’un attaquant ne les exploite.

Le métier de pentester en vidéo

Les missions du pentester

Cadrer le test avec le client

Il fixe avec lui le périmètre, les dates, les objectifs et le mode de test : boîte noire (presque aucune information au départ), boîte grise (quelques informations et les droits d’un utilisateur) ou boîte blanche (architecture, code source, configurations). Rien ne commence sans autorisation écrite.

Rechercher les vulnérabilités

Il collecte les informations accessibles sur la cible, scanne les réseaux et les applications, puis écarte les faux positifs.

Exploiter les failles pour mesurer leur impact

Il tente d’accéder à des données, d’élever ses privilèges ou de rebondir vers d’autres systèmes, et il note chaque preuve. Toute action qui pourrait rendre un système instable demande l’accord préalable du client.

Rédiger le rapport et accompagner la correction

Il classe les failles par niveau de risque, explique comment les reproduire et propose des corrections. Il présente ses résultats aux équipes techniques et peut revenir vérifier, lors d’un audit de contrôle, que les failles ont été corrigées.

Assurer une veille technique

Il suit les nouvelles vulnérabilités et techniques d’attaque, teste des outils et écrit ses propres scripts.

Une journée type de pentester

1. Le matinIl fait le point avec le client sur le périmètre autorisé et les règles de la mission, puis lance la reconnaissance et les scans de vulnérabilités sur les applications ou les réseaux à tester.
2. En fin de matinéeIl analyse les résultats des scans, écarte les faux positifs et cible les failles les plus prometteuses, en s’appuyant sur des outils comme Nessus, Burp Suite ou Wireshark.
3. L’après-midiIl tente d’exploiter les failles retenues, par exemple avec Metasploit, pour mesurer leur impact réel : accès à des données, élévation de privilèges ou rebond vers d’autres systèmes, en notant chaque preuve.
4. En fin de journéeIl rédige les constats du jour dans le rapport, avec le niveau de risque et les recommandations de correction, puis consacre du temps à la veille sur les nouvelles vulnérabilités et techniques d’attaque.

En fin de mission, le rythme change : il finalise le rapport et présente ses résultats aux équipes techniques du client pour les aider à corriger les failles découvertes.

Les compétences clés

Quelle formation pour devenir pentester ?

France Travail indique un niveau Bac+3 à Bac+5 en programmation, systèmes et réseaux, avec une spécialisation en sécurité informatique. Selon l’Observatoire des métiers de l’ANSSI, 40 % des offres d’emploi en cybersécurité demandent un Bac+5. Les filières courantes sont la licence professionnelle en administration et sécurité des systèmes et des réseaux, le BUT informatique suivi d’une spécialisation et les écoles d’ingénieurs ou de cybersécurité.

• Bac+3 : notre formation Spécialiste en cybersécurité (titre RNCP42503), en 1 an, en alternance ou en formation initiale. Son premier bloc de compétences porte sur la conduite de tests d’intrusion éthiques.
• Bac+5 : notre formation Responsable cybersécurité, en 2 ans et en alternance, qui cite le pentester parmi ses métiers visés.
• Format hybride : notre formation Expert en cybersécurité des organisations et des infrastructures critiques, qui inclut la conduite d’une évaluation offensive de la sécurité.

Encore au lycée ? Découvrez quel bac choisir pour travailler dans la cybersécurité.

Devenir pentester en alternance

L’alternance permet d’apprendre les techniques d’attaque à l’école et de les appliquer sur de vraies missions, encadré par des pentesters expérimentés. À CSB.SCHOOL, la formation Spécialiste en cybersécurité alterne 2 semaines à l’école et 4 semaines en entreprise.

Les missions confiées à un alternant

• Reconnaissance et scans de vulnérabilités, sur un périmètre autorisé.
• Tri des résultats et élimination des faux positifs.
• Participation à des tests d’intrusion, sous la supervision d’un pentester confirmé.
• Rédaction de parties de rapports, scripts d’automatisation et veille.

Quelle rémunération en alternance ?

En contrat d’apprentissage, le salaire minimum est fixé en pourcentage du SMIC, selon l’âge et l’année de contrat :

L’entreprise peut prévoir davantage, et le minimum prévu par la convention collective s’applique s’il est plus favorable. Le détail est sur service-public.fr. Pour trouver votre entreprise, consultez nos conseils pour trouver son alternance en cybersécurité.

Les certifications utiles

• CEH (Certified Ethical Hacker) : les techniques de hacking éthique. EC-Council recommande 2 ans d’expérience en sécurité informatique.
• OSCP (OffSec) : une certification pratique citée par France Travail pour le test d’intrusion, avec 23 h 45 d’épreuve sur machines et 24 heures pour remettre le rapport.
• eJPT (INE Security) : une certification pratique de premier niveau, sans prérequis formel.
• GPEN (GIAC) : une épreuve surveillée de 3 heures sur la conduite d’un test d’intrusion.
• CISSP : plus tard, pour évoluer vers le pilotage. Elle demande 5 ans d’expérience professionnelle.

Les formations de CSB.SCHOOL, du Bac+3 au Bac+5, intègrent la préparation et le passage des certifications CEH, EBIOS RM, ISO 27001 et CISSP ; l’OSCP, l’eJPT et le GPEN n’en font pas partie et se préparent à part. Consultez aussi notre guide des certifications en cybersécurité.

Quel est le salaire d’un pentester ?

En début de carrière, un pentester gagne environ 3 300 € brut par mois, et autour de 5 000 € brut par mois une fois confirmé. Ces repères sont arrondis à partir de sources qui divergent selon leur méthode et leur zone géographique :

Salaires bruts annuels. Licorne Society : fiche de juillet 2026, méthode non précisée. Michael Page : Étude de rémunérations 2027, poste Auditeur sécurité IT, fixe hors variable. Randstad Professional : baromètre 2025-2026, postes pourvus par le cabinet, avec une médiane de 52 500 € en Île-de-France et de 46 830 € ailleurs. Pour ces deux dernières sources, les colonnes indiquent des niveaux de salaire, pas des années d’expérience. Comparez avec les autres métiers dans notre guide des salaires en cybersécurité en 2026.

Évolution de carrière

Avec l’expérience, le pentester peut devenir responsable d’une équipe offensive ou évoluer vers :

• Red Teamer
• Consultant en cybersécurité
• Architecte sécurité
• RSSI (responsable de la sécurité des systèmes d’information)
• Formateur en cybersécurité

La demande reste forte : selon l’Observatoire des métiers de l’ANSSI, les offres d’emploi en cybersécurité ont augmenté de 49 % entre 2019 et 2024. France Travail classe le pentester parmi les métiers d’avenir et juge élevée la difficulté de recrutement.

Pentester ou auditeur de sécurité technique : quelles différences ?

Les deux métiers évaluent la sécurité technique d’un système, mais avec une approche différente :

Questions fréquentes

Le pentest est-il légal ?

Oui, s’il est autorisé par le responsable du système testé. Sans cet accord, le Code pénal punit l’accès ou le maintien frauduleux dans un système de 3 ans d’emprisonnement et 100 000 € d’amende (article 323-1), et l’entrave à son fonctionnement ou la manipulation frauduleuse de ses données de 5 ans et 150 000 € (articles 323-2 et 323-3). L’article 323-3-1 vise aussi la détention d’outils d’attaque « sans motif légitime, notamment de recherche ou de sécurité informatique ». En pratique, cette autorisation est donnée par écrit avant le début des tests.

Quelle différence entre un pentester et un red teamer ?

Le pentester teste un périmètre défini, avec l’accord des équipes techniques, lors de missions plus courtes dont le calendrier est fixé à l’avance. Le red teamer simule une attaque réelle sans prévenir les équipes de défense, lors d’opérations longues et discrètes, pour évaluer aussi leur capacité de détection et de réaction. Les deux interviennent à la demande de l’organisation testée.

Peut-on se reconvertir pour devenir pentester ?

Oui, surtout depuis un poste technique comme administrateur systèmes et réseaux ou développeur. Il faut ensuite se former au test d’intrusion et prouver ses compétences par la pratique. La formation Spécialiste en cybersécurité de CSB.SCHOOL est accessible après un Bac+2 en informatique ou avec une expérience équivalente.

Quel est le code ROME du métier ?

Dans le référentiel des métiers de France Travail, le pentester correspond à la fiche M1866 « Pentesteur / Pentesteuse », qui inclut l’appellation « Expert / Experte en tests d’intrusion – sécurité des systèmes d’information ».

Quelles formations propose CSB.SCHOOL pour ce métier ?

La formation Spécialiste en cybersécurité (Bac+3) ouvre directement sur ce métier, en alternance ou en formation initiale, et intègre la certification CEH. La formation Responsable cybersécurité (Bac+5) permet ensuite d’évoluer vers des fonctions à responsabilité. CSB.SCHOOL ne prépare pas à l’OSCP.

Sources

• France Travail, fiche métier M1866 « Pentesteur / Pentesteuse ».
• Légifrance, Code pénal, articles 323-1 à 323-8.
• ANSSI, Observatoire des métiers de la cybersécurité (2025).
• Service-public.fr, rémunération de l’apprenti.
• Licorne Society, fiche métier Pentester (juillet 2026).
• Michael Page, grille de salaires Auditeur sécurité IT, Étude de rémunérations 2027.
• Randstad Professional, baromètre des salaires cadres 2025-2026.
• Certifications : EC-Council (CEH), OffSec (OSCP), INE Security (eJPT), GIAC (GPEN), ISC2 (CISSP).