Comparer les certifications d'entrée : Security+, eJPT, OSCP, CEH
« Faut-il passer une certification ? Laquelle ? » C'est la question que se posent presque tous les débutants, et la réponse honnête est : cela dépend de votre objectif. Une certification peut ouvrir la porte d'un entretien, structurer un apprentissage, ou rassurer un employeur. Elle ne remplace ni la pratique ni le portfolio. Cette leçon compare quatre certifications d'entrée très connues, vous donne des critères de choix et vous aide à décider sans vous précipiter.
Avertissement sur l'information
Les certifications évoluent : programmes, formats, durées de validité, conditions et tarifs changent régulièrement. Les descriptions ci-dessous sont des ordres de grandeur à vérifier impérativement sur le site officiel de chaque organisme certificateur avant de vous engager. Nous ne donnons volontairement aucun prix. Par ailleurs, la pratique de l'intrusion, pendant la préparation comme après, ne se fait que dans un laboratoire ou avec autorisation écrite et périmètre défini (articles 323-1 à 323-3-1 du Code pénal).
Dans la leçon précédente, vous avez appris à rédiger un rapport. Ici, nous nous intéressons à ce qui, sur un CV, signale votre niveau. Le fil rouge reste votre portfolio d'apprenti white hat : les certifications en sont un complément, pas le cœur.
Ce qu'une certification prouve (et ne prouve pas)
- Elle prouve que vous avez réussi un examen défini, à une date donnée, sur un programme connu. Elle sert de filtre dans certains recrutements, de langage commun avec les employeurs, et de cadre d'étude.
- Elle ne prouve pas que vous êtes compétent sur le terrain, que vous savez communiquer, ni que vous êtes fiable. Un portfolio de réalisations, des rapports et des contributions montrent cela bien mieux.
La meilleure combinaison pour un débutant : une pratique régulière visible (portfolio) + une certification adaptée à l'objectif visé.
Les deux grands types d'examens
Il est essentiel de distinguer :
- les examens de connaissances : questions à choix multiples et parfois exercices de simulation. Ils évaluent ce que vous savez ;
- les examens pratiques : on vous donne un environnement à attaquer ou à analyser, et vous devez accomplir des objectifs concrets, souvent avec un rapport à rendre. Ils évaluent ce que vous savez faire.
Les employeurs du test d'intrusion accordent généralement plus de poids aux certifications pratiques ; les employeurs de postes de conformité, de gestion ou de défense apprécient les certifications de connaissances reconnues.
Comparaison des quatre certifications
| Certification | Orientation | Type d'examen | Niveau visé | À qui elle convient |
|---|---|---|---|---|
| Security+ | Fondamentaux de la sécurité : menaces, architecture, gestion des risques, opérations, gouvernance | Connaissances (questions à choix, avec quelques exercices de simulation) | Entrée dans le métier, généraliste | Futurs analystes, administrateurs, profils de gestion, candidats visant des postes où un référentiel reconnu est demandé |
| eJPT | Notions de test d'intrusion : reconnaissance, énumération, exploitation de base, utilisation de méthodologie | Pratique, en environnement de laboratoire, avec questions à partir des résultats obtenus | Débutant à junior en test d'intrusion | Apprentis pentesters qui veulent valider leurs bases par la pratique |
| OSCP | Test d'intrusion pratique, orienté méthode et persévérance | Examen pratique long, en environnement de laboratoire, avec rapport à remettre | Intermédiaire, très reconnu dans le test d'intrusion | Candidats ayant déjà de bonnes bases et un entraînement conséquent, visant un poste de pentester |
| CEH | Panorama large des outils et techniques d'attaque, en vocabulaire de hacking éthique | Connaissances principalement, avec une partie pratique proposée en option selon les formules | Entrée à intermédiaire | Candidats pour qui un intitulé connu des recruteurs ou des appels d'offres est un atout ; souvent demandé dans certains secteurs |
Ce tableau résume des tendances. Les contenus, les durées d'examen, les prérequis et la réputation de chaque certification varient selon les pays, les secteurs et les époques. Vérifiez toujours sur le site de l'organisme.
Comment choisir : cinq questions
- Quel est mon objectif ? Un poste d'analyste défensif ne demande pas la même certification qu'un poste de testeur d'intrusion.
- Quel est mon niveau réel aujourd'hui ? Se présenter à un examen avancé sans préparation, c'est perdre du temps et de l'argent. Mieux vaut valider un palier solide.
- Que demandent les offres d'emploi que je vise ? Lisez-en une vingtaine : certaines certifications reviennent systématiquement dans votre secteur ou votre région.
- Quel est mon budget temps et argent ? Le coût total dépasse souvent le prix de l'examen : formation, laboratoire, renouvellement. Renseignez-vous sur les conditions de validité et de renouvellement.
- Mon employeur ou mon organisme de formation peut-il m'aider ? Certains financent tout ou partie du parcours.
Les parcours de formation reconnus en France
En complément des certifications internationales, le paysage français comporte des formations diplômantes. L'ANSSI (cyber.gouv.fr) délivre un label, SecNumedu, aux formations de l'enseignement supérieur en cybersécurité qui respectent un référentiel qualité. Pour une reconversion, des formations professionnelles, des titres du répertoire national et des dispositifs de financement existent. Consultez les sites officiels (cyber.gouv.fr, cybermalveillance.gouv.fr pour les ressources grand public) pour des informations à jour.
Un plan raisonnable pour un débutant
Voici un enchaînement fréquemment suivi, à adapter :
- Consolider les bases : réseaux, systèmes, web (les cours précédents du parcours).
- S'entraîner sur les plateformes légales (TryHackMe, HackTheBox, PortSwigger Web Security Academy, laboratoire personnel) pendant plusieurs semaines ou mois.
- Valider un premier palier : Security+ si l'objectif est généraliste ou défensif ; eJPT si l'on vise le test d'intrusion.
- Viser un palier avancé (OSCP ou équivalent) lorsque la pratique est régulière, avec plusieurs centaines d'heures d'entraînement derrière soi, et idéalement une première expérience.
- Choisir une spécialité (web, cloud, Active Directory, réponse à incident) et la certification correspondante.
Rien n'oblige à les passer toutes. Beaucoup de professionnels n'en ont que deux ou trois, bien choisies, et le reste de leur crédibilité vient de leurs réalisations.
Les pièges à éviter
- « Collectionner » les certifications sans pratique. Un CV plein de sigles et vide de réalisations inquiète autant qu'il rassure.
- Les « bachotages » à base de questions d'examen mémorisées : certains organismes l'interdisent, et cela ne vous apprend rien. Les ressources doivent servir à comprendre.
- Les promesses de salaire garanti : méfiez-vous des formations qui font de tels engagements.
- Négliger les compétences transversales : écrire clairement, présenter, travailler en équipe, comprendre le métier du client. Elles font la différence à niveau technique égal.
À vous de jouer
Trois profils fictifs vous demandent conseil. Pour chacun, proposez une première certification et une raison :
- Inès, administratrice systèmes depuis cinq ans, veut évoluer vers un poste d'analyste dans un SOC.
- Malik, étudiant en informatique, passionné de pratique sur les plateformes d'entraînement, rêve de devenir pentester.
- Sophie, consultante en conformité, doit comprendre la sécurité pour dialoguer avec les équipes techniques et rédiger des politiques.
Voir une solution
- Inès : une certification généraliste de connaissances comme Security+ pour structurer sa transition vers un rôle défensif, complétée par de la pratique d'analyse de journaux (TryHackMe propose des parcours défensifs).
- Malik : eJPT comme premier palier pratique, puis, après de nombreuses heures d'entraînement, une certification pratique avancée comme l'OSCP.
- Sophie : Security+ pour acquérir le vocabulaire et la vision d'ensemble, et éventuellement une certification de gouvernance et de gestion des risques adaptée à son métier.
D'autres réponses sont défendables : l'important est de relier la certification à l'objectif et au niveau actuel, et de vérifier les informations sur les sites officiels.
Pour votre plan
Ajoutez à votre dossier un tableau « Mes certifications envisagées » avec quatre colonnes : objectif, niveau actuel, échéance réaliste, ressources de préparation. Nous le réutiliserons dans le plan de 90 jours.
À retenir
- Une certification est un complément, pas un substitut à la pratique et au portfolio.
- Examens de connaissances (Security+, CEH le plus souvent) et examens pratiques (eJPT, OSCP) évaluent des choses différentes.
- Choisissez selon votre objectif, votre niveau réel et les offres d'emploi visées.
- Vérifiez toujours le contenu, le format et les conditions sur le site officiel : ils changent.
- Évitez la collection de sigles, le bachotage et les promesses de salaire garanti.