On te vend la cybersécurité comme la nouvelle ruée vers l’or : des salaires à six chiffres, une pénurie de talents, un job « passion » qui te mettrait à l’abri du chômage pour trente ans. Le problème, c’est que ce discours est porté par les mêmes boîtes qui te facturent 7000 € une formation accélérée de six mois. La réalité est plus rugueuse, mais aussi plus intéressante.
Apprendre la cybersécurité, ce n’est pas mémoriser des commandes Kali Linux ou apprendre à lancer un scan Nmap. C’est d’abord comprendre comment un réseau fonctionne, pourquoi un système d’exploitation plante, et ce qui se passe vraiment quand un paquet traverse un firewall. Moins spectaculaire, plus ingrat, mais c’est ce socle qui fait la différence entre un type qui exécute des scripts et quelqu’un qui résout un incident.
Le vrai point de départ, c’est le réseau
Beaucoup de débutants foncent sur des outils comme Metasploit ou Wireshark sans comprendre ce qu’ils regardent. C’est logique : les tutos YouTube vendent le hacking comme un jeu vidéo, avec des interfaces graphiques et des cibles toutes prêtes. Mais dans la vraie vie, un analyste SOC passe plus de temps à interpréter des logs qu’à lancer des exploits.
Avant de toucher à la moindre notion de sécurité, tu dois maîtriser TCP/IP, le modèle OSI, le routage, le DNS, le fonctionnement d’un pare-feu. Pas besoin d’un master : les cours de NetworkChuck ou de David Bombal sur YouTube suffisent pour poser les bases, couplés à des labs sur Packet Tracer. L’objectif, c’est de pouvoir lire un échange HTTP dans Wireshark et comprendre pourquoi ce paquet est passé, pourquoi cet autre a été bloqué.
💡 Conseil : Installe Wireshark sur ta machine et capture ton propre trafic pendant une heure. Regarde ce qui sort. Tu vas découvrir des choses sur les applis que tu utilises.
Un admin réseau qui sécurise son infra est meilleur qu’un « pentesteur junior » qui ne sait pas configurer un VLAN. Le secteur recrute des gens qui comprennent l’infrastructure avant de chercher à l’attaquer.
Les fondamentaux avant les outils
Le piège classique, c’est d’installer Kali Linux le jour 1 et de se prendre pour un hacker. Sauf que Kali est une distribution spécialisée, pas un environnement d’apprentissage. Tu vas te retrouver devant trente outils dont tu ignores l’usage, frustré, à suivre des walkthroughs sans rien retenir.
Commence par maîtriser un OS généraliste. Linux, parce que 90 % des serveurs tournent dessus et que la majorité des outils de sécurité sont conçus pour cet environnement. Pas besoin d’y passer trois ans : savoir naviguer en ligne de commande, gérer les permissions, comprendre le système de fichiers, écrire un script Bash basique.
Ensuite, la programmation. Pas pour devenir développeur, mais pour automatiser des tâches et comprendre le code que tu analyses. Python fait l’unanimité pour sa lisibilité et ses bibliothèques dédiées à la sécurité : Scapy pour le réseau, Requests pour le web, Pexpect pour l’automatisation. Quelques heures suffisent pour écrire un scanner de ports basique ou un parseur de logs. C’est là que la théorie se transforme en compétence.
Savoir lire avant d’écrire
Un aspect que les formations survolent trop vite : la lecture de code. En cybersécurité, tu passes plus de temps à analyser le code des autres qu’à écrire le tien. Savoir lire du JavaScript pour comprendre un script malveillant dans une page web, savoir lire du C pour analyser une vulnérabilité dans un driver, c’est au moins aussi précieux que de pondre du Python propre.
Le système d’exploitation en profondeur
Comprendre comment un OS gère la mémoire, les processus, les appels système, c’est ce qui te permettra plus tard de reconnaître un comportement anormal. Si tu veux apprendre la cybersécurité sérieusement, ne zappe pas cette couche. Le paramétrage du fTPM sur un processeur AMD illustre bien la relation entre sécurité et couche basse : une option BIOS mal configurée ouvre des brèches discrètes que peu de débutants identifient.
Une roadmap pour ne pas se perdre
Il existe une trentaine de « roadmaps » pour débuter en cybersécurité, et la plupart sont soit trop vagues, soit écrasantes de contenu. En voici une simplifiée, construite autour de ce qui est réellement utile dans un premier emploi.
Mois 1 à 3 : les fondamentaux réseau et OS. Installe une distribution Linux (Ubuntu ou Debian), casse-la, répare-la. Monte des machines virtuelles, fais-les communiquer, coupe la communication, rétablis-la. Apprends le sous-réseautage, le NAT, le routage. Le but n’est pas d’être expert, c’est de ne plus être perdu.
Mois 4 à 6 : premiers outils, premières certifs. Wireshark, Nmap, tcpdump deviennent ton quotidien. Tu peux passer la CompTIA Security+ pour valider les bases théoriques : menaces, vulnérabilités, cryptographie, gestion des risques. Une certif généraliste qui ne fera pas de toi un expert, mais qui prouve que tu sais de quoi tu parles.
Mois 7 à 12 : spécialisation et lab. Tu choisis un domaine et tu creuses. Analyse de malware, réponse à incident, pentest, cloud security, ça dépend de ce que tu préfères. La plateforme TryHackMe est parfaite pour ça, avec des labs thématiques qui montent en difficulté.
Les certifs qui valent le coup
Tout le monde te vend du CompTIA Security+ ou du CEH comme un ticket d’entrée garanti. La vérité : Security+ est un bon socle théorique, le CEH est cher pour ce qu’il apporte (un QCM et une réputation surfaite), et aucune certification ne remplace un lab pratique.
Le parcours logique pour un débutant ressemble à ça :
- CompTIA Network+ si le réseau est vraiment ton point faible (avant Security+)
- CompTIA Security+ pour les fondamentaux sécurité (après Network+)
- eJPT (eLearnSecurity Junior Penetration Tester) pour une certif pratique, pas chère, avec un vrai examen de pentest
- OSCP plus tard, si tu veux faire du pentest offensif et que tu as déjà 12-18 mois de pratique derrière toi
Ne te ruine pas en certifications en début de parcours. Les employeurs regardent ce que tu sais faire, pas combien tu as dépensé.
Monter son lab : là où tout s’aligne
C’est la bascule. Avant le lab, tu accumules de la théorie. Après le lab, tu résous des problèmes.
Un lab en cybersécurité, c’est un environnement isolé où tu peux attaquer, défendre et observer sans conséquence. La configuration de base : un hyperviseur (VirtualBox ou VMware, gratuits), deux machines virtuelles (une attaquante, une cible), un réseau interne.
Installe Metasploitable ou une VM VulnHub comme cible. Déploie Kali pour l’attaque. Et commence par scanner, énumérer, exploiter des failles documentées. Très vite, tu vas casser quelque chose, tout réinstaller, recommencer. C’est exactement ce processus qui construit la compréhension.
Tu peux complexifier progressivement : ajouter un pare-feu PfSense, monter un petit SIEM avec Security Onion, déployer un Active Directory vulnérable. Booter sur une clé USB devient une compétence de base quand tu alternes entre plusieurs environnements de test et que tu veux cloisonner tes machines physiques.
⚠️ Attention : Ne scanne jamais un réseau qui ne t’appartient pas sans autorisation écrite. Même un scan innocent peut être interprété comme une tentative d’intrusion et déclencher des poursuites.
Pourquoi les labs gratuits suffisent (pour commencer)
TryHackMe et HackTheBox proposent des machines gratuites. Tu n’as pas besoin de setup local pour tes premiers labs. L’avantage d’un lab local, c’est que tu contrôles toute l’infrastructure et que tu peux t’entraîner sur des scénarios réseau complexes. Mais les trois premiers mois, le gratuit suffit largement.
Les mauvaises pistes qui font perdre six mois
Il y a des impasses dans lesquelles tombent la plupart des débutants. Les voici, pour que tu les évites.
Croire que Kali Linux est un prérequis. Kali est une boîte à outils pour pentesteurs, pas un environnement d’apprentissage. Naviguer sur internet depuis un OS spécialisé rappelle une vérité simple : un environnement contraint, c’est l’inverse de ce qu’il te faut quand tu débutes. Tu veux un OS généraliste que tu connais sur le bout des doigts.
Sauter directement dans le pentest offensif. C’est la partie sexy, celle que YouTube met en avant. Mais le marché recrute surtout des défenseurs : analystes SOC, administrateurs sécurité, ingénieurs détection. Le pentest représente une fraction du secteur.
Collectionner les certifications sans pratique. Un CV avec cinq certifs et zéro lab, c’est suspect. Les recruteurs techniques le savent et posent des questions pratiques. Si tu ne sais pas expliquer ce qui se passe réseau quand tu lances un scan SYN, ta certif ne te sauvera pas.
Négliger la couche physique et hardware. La sécurité ne commence pas au firewall. Un BIOS mal configuré ou un profil mémoire XMP non contrôlé peut créer des instabilités que seul un attaquant patient exploitera. La sécurité d’un système commence au moment où il est sous tension.
📌 À retenir : Les meilleurs professionnels qu’on rencontre dans le secteur viennent rarement d’une formation cyber pure. Ils viennent du réseau, du système, du développement. Ils ont bifurqué ensuite.
Questions fréquentes
Combien de temps faut-il pour apprendre la cybersécurité ?
Pour un poste junior, avec 15 à 20 heures par semaine de pratique régulière, comptez 12 à 18 mois avant d’être opérationnel. Moins si vous venez d’un background réseau ou système. Les formations de 6 mois qui promettent un emploi immédiat omettent généralement de dire que leurs candidats ont déjà un bagage technique significatif.
Quelle formation choisir pour commencer ?
Les certifications CompTIA (Network+ puis Security+) constituent un socle reconnu et abordable. Pour la pratique, les plateformes comme TryHackMe ou Root-Me proposent des labs gratuits progressifs. Évitez les bootcamps à plusieurs milliers d’euros tant que vous n’avez pas validé les fondamentaux par vous-même.
Faut-il être développeur pour travailler dans la cybersécurité ?
Non, mais vous devez savoir lire du code et écrire des scripts simples. Python suffit dans la majorité des cas. L’analyse de code et l’automatisation font partie du métier ; l’incapacité à lire un script malveillant est un vrai handicap.
La cybersécurité, est-ce que c’est accessible sans diplôme ?
Oui, à condition de pouvoir prouver vos compétences. Un portfolio de labs documentés, des rapports de bug bounty, une participation active aux communautés en ligne pèsent souvent plus qu’un diplôme dans les entretiens techniques. Le secteur recrute sur la capacité à résoudre des problèmes concrets.
Votre recommandation sur apprendre la cybersécurité en 2026
Trois questions rapides pour savoir exactement ce qui s'applique dans votre situation.
Merci, voici notre conseil personnalisé.
D'après vos réponses, le mieux est de reprendre l'article ci-dessus en focalisant sur les passages qui parlent de votre situation : c'est là que se trouvent les recommandations les plus concrètes pour vous. Bonne lecture !
