Philipp Katzenberger / Unsplash
En sortie d'école, un pentesteur démarre autour de 3 000 € brut par mois (soit 35 000 à 45 000 € brut annuels selon les baromètres 2026), ce qui est élevé pour un premier emploi. Après 3 à 5 ans, la fourchette monte à 4 300 – 5 800 € brut mensuels (52 000 à 70 000 € annuels). Les profils seniors et spécialisés atteignent 5 800 à 7 900 € brut mensuels, et jusqu'à 8 000 – 10 000 € pour les experts très rares (red team, systèmes industriels, recherche de vulnérabilités). Les écarts sont marqués : environ +15 % en Île-de-France par rapport à la province, et une prime nette pour les titulaires de l'OSCP. En freelance, les tarifs journaliers vont d'environ 450 € (junior) à plus de 1 000 € (expert). Le bug bounty peut compléter les revenus, mais reste très irrégulier.
Estimation du net avant impôt sur le revenu (statut cadre, ~25 % de charges). Le montant réel varie selon le statut et la convention collective. SMIC net mensuel ≈ 1 427 €.
Le parcours de référence est un bac+5 : diplôme d'ingénieur en informatique avec spécialisation cybersécurité (ENSIBS, ESIEA, INSA, Télécom SudParis, EPITA…), master mention informatique parcours sécurité/cybersécurité, ou titre RNCP niveau 7 « Expert en cybersécurité » délivré par des écoles spécialisées (Guardia, Oteria, Ynov, Jedha…). L'alternance est très répandue et constitue un vrai accélérateur pour décrocher un premier poste.
En amont, on passe généralement par un bac général (spécialités maths + NSI) ou un bac STI2D SIN, puis par un BUT informatique (le parcours « déploiement d'applications communicantes et sécurisées » est le plus adapté), un BTS SIO option SISR, une licence informatique ou une prépa MPI/MP2I.
Un bac+3 (licence pro cybersécurité, BUT) permet d'entrer sur des postes juniors dans certains cabinets, surtout avec une forte pratique personnelle. Car dans ce métier, le diplôme ne suffit jamais : les recruteurs regardent le portfolio — plateformes d'entraînement (Root-Me, TryHackMe, Hack The Box), participation à des CTF (Capture The Flag), rapports de bug bounty, projets publiés. Beaucoup de pentesteurs sont d'abord des passionnés autodidactes que la formation est venue certifier.
Trouve des entreprises qui recrutent en alternance pour ce métier.
Le pentesteur (de *penetration testing*, test d'intrusion) simule de vraies cyberattaques, mais dans un cadre légal et contractuel très strict. Une mission dure en général de quelques jours à quelques semaines et suit toujours les mêmes étapes : reconnaissance (collecter un maximum d'informations sur la cible), recherche de vulnérabilités, exploitation des failles trouvées, puis élévation de privilèges pour voir jusqu'où un attaquant pourrait aller.
Au quotidien, il jongle entre outils spécialisés (Burp Suite, Metasploit, Nmap, la distribution Kali Linux) et scripts qu'il écrit lui-même en Python ou en Bash. Selon le périmètre, il teste une application web ou mobile, un réseau interne, un objet connecté, une infrastructure industrielle, ou encore la vigilance des salariés via des tests de phishing (ingénierie sociale).
Mais la moitié du métier n'a rien de spectaculaire : c'est la rédaction du rapport d'audit. Il faut décrire chaque faille, la classer par niveau de gravité, prouver qu'elle est exploitable, et surtout proposer des correctifs concrets. Le pentesteur présente ensuite ses conclusions aux équipes techniques et à la direction — souvent à des gens qui n'y connaissent rien. Savoir vulgariser est aussi important que savoir hacker.
On exerce principalement dans des cabinets d'audit et de conseil en cybersécurité (souvent qualifiés PASSI par l'ANSSI), chez des éditeurs et des ESN, dans les grandes entreprises (banques, industrie, e-commerce) qui ont leur propre équipe offensive, ou dans le secteur public (ANSSI, ministère des Armées, DGSE). Le freelance et le *bug bounty* — être payé à la faille trouvée sur des plateformes comme YesWeHack — sont aussi des voies possibles.
Le travail se fait devant plusieurs écrans, en agence, chez le client ou en télétravail selon la sensibilité de la mission. Les horaires sont plutôt confortables, mais certains tests doivent être menés la nuit ou le week-end pour ne pas perturber les systèmes en production, et les fins de mission peuvent être intenses. Un point non négociable : l'éthique. On accède à des données ultra-confidentielles, on signe des accords de confidentialité, et sortir du périmètre autorisé constitue un délit. Un casier judiciaire vierge est exigé, et une habilitation Défense pour certains postes.
Après 2 à 4 ans, on se spécialise : pentest web, mobile, systèmes industriels (OT/SCADA), cloud, *hardware*, ou *red team* (attaques longues et furtives simulant un groupe criminel). On peut aussi passer côté défense : analyste SOC, réponse à incident, *forensic* (investigation numérique).
À plus long terme, les évolutions classiques sont responsable d'équipe pentest, manager d'offre en cabinet, architecte sécurité, RSSI (responsable de la sécurité des systèmes d'information), ou consultant indépendant à son compte. Certains rejoignent la recherche en vulnérabilités, publient des CVE ou vivent du bug bounty à temps plein. C'est un métier où la veille technique permanente n'est pas une option : les techniques d'attaque évoluent tous les mois.
C'est l'un des marchés les plus tendus du numérique — en faveur des candidats. La cybersécurité emploie plus de 80 000 professionnels en France et l'ANSSI estime à plus de 15 000 le nombre de postes non pourvus, avec un besoin d'environ 50 000 recrutements supplémentaires d'ici 2030. Les directives européennes NIS2 et DORA obligent des milliers d'entreprises et de collectivités à faire auditer leurs systèmes, ce qui tire directement la demande de tests d'intrusion. Les recruteurs : cabinets d'audit et de conseil qualifiés PASSI, ESN, grands comptes (banque, assurance, industrie, santé, e-commerce), éditeurs de logiciels, secteur public et défense. Les débuts se font le plus souvent en cabinet, où l'on enchaîne les missions chez différents clients — c'est la meilleure école. Un point de vigilance : le pentest « purement automatisé » se banalise et se dévalorise. Les profils recherchés sont ceux qui combinent l'expertise offensive avec le conseil et l'accompagnement à la remédiation. La concurrence est aussi réelle sur les postes juniors, très demandés par les jeunes diplômés : l'alternance, les CTF et un portfolio de pratique font la différence.