En cybersécurité, les certifications pèsent plus lourd que dans la plupart des autres métiers de la tech. Les offres d’emploi les citent souvent, certains clients les exigent de leurs prestataires, et elles permettent à un candidat junior de prouver des compétences qu’il n’a pas encore pu exercer en entreprise. Mais toutes ne se valent pas, et surtout, elles ne servent pas les mêmes métiers. Un analyste SOC, un pentesteur et un profil gouvernance, risques et conformité ne passent pas les mêmes examens, ni au même moment de leur carrière. Cet article fait le point par famille de postes, puis explique comment les présenter sur un CV avec les labs et les CTF qui les accompagnent.
Pourquoi les certifications pèsent en cybersécurité
Trois raisons expliquent le poids particulier des certifications dans ce domaine.
La difficulté de prouver une compétence autrement. Un développeur peut montrer son code ; un analyste sécurité peut rarement montrer les incidents qu’il a traités ou les vulnérabilités qu’il a trouvées chez un client, couverts par la confidentialité. Une certification pratique, passée dans un environnement contrôlé, offre une preuve vérifiable.
Les exigences des clients et des marchés. Les prestataires de services de sécurité travaillent souvent pour des clients qui demandent des intervenants certifiés, notamment dans les appels d’offres. En France, l’ANSSI qualifie aussi des prestataires (audit, réponse aux incidents, détection), et ces qualifications reposent en partie sur les compétences évaluées des personnes.
Un marché qui recrute des profils variés. Le panorama des métiers de la cybersécurité 🔗 publié par l’ANSSI en donne la mesure, et beaucoup d’analystes et de consultants arrivent d’autres métiers (administration système, réseau, développement, audit). La certification leur sert de passerelle reconnue.
La limite reste la même que partout : une certification sans pratique se repère vite en entretien. Les recruteurs du secteur posent volontiers des questions très concrètes, parfois sous forme de mise en situation.
Analyste SOC : les certifications d’entrée
L’analyste SOC surveille les systèmes d’une organisation, qualifie les alertes et réagit aux incidents. L’Onisep décrit le métier dans sa fiche analyste SOC 🔗. Pour un premier poste, les recruteurs cherchent des bases solides en réseau, en systèmes et en sécurité, et une familiarité avec les outils de détection.
Certifications utiles à ce stade :
- CompTIA Security+ 🔗 : la certification généraliste d’entrée la plus répandue, qui couvre les fondamentaux de la sécurité (menaces, architecture, opérations, gestion des risques). Elle rassure sur un socle, sans être spécialisée.
- CompTIA CySA+ 🔗 : orientée analyse de sécurité et détection, un cran au-dessus.
- Les certifications des éditeurs d’outils de détection (SIEM, EDR) : utiles si l’employeur visé utilise l’outil en question. Vérifiez dans l’offre.
- Les certifications pratiques orientées défense, comme celles d’organismes spécialisés dans la formation des équipes bleues ou la GCIH 🔗 du GIAC pour la gestion d’incident, plus coûteuse et plus souvent financée par l’employeur.
Pour ce poste, un environnement de laboratoire personnel (collecte de journaux, règles de détection, analyse d’une attaque simulée) complète très bien une certification d’entrée.
Pentest : la place de l’OSCP
Le pentesteur, ou auditeur en tests d’intrusion, attaque des systèmes avec l’autorisation de leur propriétaire pour en révéler les failles, puis rédige un rapport. C’est un métier très pratique, et les certifications qui comptent le sont aussi.
- L’OSCP 🔗 d’OffSec reste la référence la plus citée dans les offres de pentest. L’examen est pratique : vingt-quatre heures pour compromettre plusieurs machines d’un environnement, dont un ensemble Active Directory, sous surveillance. L’organisme a introduit une variante OSCP+, à durée de validité limitée, à côté de l’OSCP historique sans expiration. Beaucoup de recruteurs la considèrent comme le seuil d’entrée d’un pentesteur autonome.
- Les certifications pratiques d’entrée, comme l’eJPT 🔗 d’INE, permettent de commencer avant l’OSCP et de montrer une progression.
- Le CEH 🔗 d’EC-Council est connu des services achats et figure dans certains appels d’offres, mais les équipes techniques de pentest lui préfèrent généralement les certifications pratiques. Il peut être utile pour certains clients institutionnels.
- Les certifications spécialisées (applications web, Active Directory, environnements cloud) viennent ensuite, selon votre domaine de prédilection.
En pentest plus que partout ailleurs, les CTF et les plateformes d’entraînement comptent : un classement sur Root-Me 🔗, des machines résolues sur une plateforme d’entraînement, des rédactions publiées de vos solutions (quand les règles de la plateforme le permettent) prouvent une pratique régulière.
Gouvernance et conformité : ISO 27001 et CISSP
Les métiers de la gouvernance, des risques et de la conformité (GRC) organisent la sécurité d’une entreprise : politiques, analyses de risques, conformité aux normes et aux réglementations, pilotage des plans d’action. Le RSSI en est la figure la plus connue, mais on y trouve aussi des consultants et des chargés de conformité.
- ISO/IEC 27001 Lead Implementer et Lead Auditor : ces certifications, délivrées par plusieurs organismes de certification de personnes, attestent la maîtrise de la norme internationale sur les systèmes de management de la sécurité de l’information. La première prépare à mettre en œuvre un tel système, la seconde à l’auditer.
- Le CISSP 🔗 de l’ISC2 : la certification de référence pour les responsables sécurité expérimentés. Elle exige plusieurs années d’expérience professionnelle dans les domaines couverts ; un candidat qui réussit l’examen sans cette expérience obtient un statut d’associé en attendant de la réunir.
- Les certifications liées à la gestion des risques (comme EBIOS Risk Manager, méthode publiée par l’ANSSI) et à la protection des données, selon le secteur.
Ces postes sont rarement des premiers emplois. On y arrive souvent après une expérience technique ou d’audit. La gouvernance de la sécurité croise d’ailleurs l’audit des systèmes d’information : le CV d’un auditeur IT en cabinet 🔗 montre comment ce profil voisin présente ses référentiels et ses missions de contrôle.
Pour les formations initiales, l’ANSSI attribue le label SecNumedu 🔗 à des formations de l’enseignement supérieur qui répondent à ses critères. Pour un étudiant, choisir une formation labellisée est un repère utile, distinct d’une certification.
Labs, CTF et certifications sur le CV
Une certification se présente dans la rubrique formation (ou dans une rubrique « Certifications »), avec son intitulé officiel, l’organisme et la date d’obtention. Mais en cybersécurité, elle gagne à être entourée de preuves de pratique.
Avant : « Certifications : Security+, CEH, en cours OSCP. Compétences : pentest, Kali Linux, Metasploit, Burp Suite, Wireshark, Nmap. »
Après :
- « OSCP (OffSec), obtenue en mars ; CompTIA Security+, obtenue l’année précédente. »
- « Pratique régulière sur Root-Me et une plateforme d’entraînement : machines Windows et Active Directory, rédactions de solutions publiées sur mon blog. »
- « Laboratoire personnel : domaine Active Directory virtualisé, collecte des journaux dans un SIEM open source, écriture de règles de détection pour trois techniques d’attaque courantes. »
La seconde version relie chaque certification à une pratique, et transforme une liste d’outils en environnements et en techniques. Les outils (Burp Suite, Nmap, Wireshark) restent dans la rubrique compétences, regroupés par usage, comme l’explique notre article sur la présentation de la stack technique.
Si vous venez de l’infrastructure, valorisez ce que vous avez sécurisé : durcissement de serveurs, gestion des accès, segmentation réseau, sécurité des clusters. Le modèle de CV d’ingénieur DevOps ou SRE montre un profil d’exploitation dont la sécurité des clusters fait partie du quotidien, un bon point de départ pour une évolution vers la sécurité. Pour la logique générale des certifications d’entrée, notre article sur les certifications cloud donne une méthode de choix qui s’applique aussi ici.
Un CV de cybersécurité est souvent lu par un logiciel de suivi des candidatures avant un recruteur, qui cherche les sigles exacts des certifications. L’éditeur de TechCV garde vos intitulés en texte lisible, dans des rubriques standards, pour que les recherches par mot-clé les retrouvent. Vous pouvez mettre à jour votre CV avec vos certifications et vos labs.
Questions fréquentes
Quelle certification passer en premier pour entrer en cybersécurité ?
Pour un profil sans expérience, une certification généraliste d’entrée comme CompTIA Security+ donne un socle reconnu. Si vous savez déjà que vous visez le pentest, une certification pratique d’entrée puis l’OSCP sont plus parlantes pour les équipes offensives.
Une certification remplace-t-elle un diplôme en cybersécurité ?
Non, elles jouent des rôles différents. Un diplôme, idéalement issu d’une formation labellisée, atteste une formation complète ; une certification prouve une compétence précise et récente. Pour un profil en reconversion, la combinaison d’une certification et de labs documentés peut toutefois ouvrir des portes.
Les CTF ont-ils vraiment de la valeur sur un CV ?
Oui, surtout pour les postes offensifs. Un classement, des épreuves résolues dans des catégories précises ou une participation en équipe à des compétitions montrent une pratique régulière. Indiquez des résultats vérifiables plutôt qu’une simple participation.
L’employeur finance-t-il les certifications ?
Souvent, en particulier dans les ESN spécialisées et chez les prestataires qui doivent présenter des intervenants certifiés à leurs clients. Les certifications les plus coûteuses sont généralement passées après l’embauche, avec un financement de l’employeur.