Quels exercices pratiquer chez soi en parallèle de sa formation en cybersécurité ?

Suivre une formation en cybersécurité, c’est acquérir un socle théorique solide. Mais dans un secteur où plus de 15 000 postes restent vacants en France et où les recruteurs testent techniquement les candidats lors des entretiens, la pratique personnelle fait vraiment la différence. Que vous soyez étudiant, en reconversion ou déjà en poste, des exercices faisables chez soi permettent de transformer vos connaissances en réflexes. Du laboratoire virtuel monté sur votre PC aux compétitions de hacking éthique, en passant par la chasse aux bugs rémunérée, voici des exercices concrets à intégrer dès maintenant à votre routine d’apprentissage.

Les exercices pratiques essentiels pour compléter une formation en cybersécurité

Un diplôme peut ouvrir des portes. Mais, sur le terrain, ce sont vos compétences opérationnelles qui font la différence au moment de signer. En cybersécurité, montrer ce que vous savez faire pèse souvent plus lourd que réciter un cours par coeur.

Pourquoi la pratique personnelle est indispensable dans le secteur de la cybersécurité

Le constat est sans appel : 61 % des entreprises françaises peinent à recruter des profils qualifiés en cybersécurité. Le problème n’est pas qu’il n’y a pas de candidats diplômés. C’est plutôt qu’il manque des profils capables de passer vite à l’action. L’objectif national de créer 37 000 emplois d’ici 2025 dans la filière accentue encore cette pression.

Côté recrutement, les habitudes ont changé. Sur des postes comme SOC Analyst ou pentester, on vous demandera souvent de résoudre un exercice technique pendant l’entretien. Dans ce contexte, votre classement sur une plateforme de challenges ou la documentation de votre Home Lab peut compter bien plus qu’une ligne supplémentaire sur votre CV. Comprendre pourquoi se former à la cybersécurité est une première étape, mais la pratique régulière est ce qui transforme un apprenant en professionnel capable de produire.

Les trois piliers d’exercices complémentaires à toute formation

Pour structurer votre entraînement, imaginez trois espaces, chacun associé à un type de compétence :

• L’Atelier (Home Lab) : votre laboratoire personnel où vous construisez, configurez et sécurisez des infrastructures. C’est là que vous comprenez vraiment comment s’assemblent un réseau, des machines, des services… et où ça casse.
• Le Gymnase (Plateformes et CTF) : des environnements d’entraînement encadrés, avec des challenges classés par difficulté. Idéal pour travailler la méthode, la rigueur, et la vitesse de résolution.
• L’Arène (Bug Bounty) : la confrontation avec des systèmes réels, en production. Vous y testez vos compétences dans des conditions authentiques, avec une rémunération à la clé.

Les trois piliers suivent une progression logique : on commence par construire son atelier, on s’entraîne au gymnase, puis on entre dans l’arène quand on se sent prêt. Voyons comment mettre tout ça en place, étape par étape.

Créer son laboratoire personnel (Home Lab) : l’environnement d’entraînement idéal

Le Home Lab est souvent le meilleur terrain de jeu pour apprendre. Vous pouvez casser, réparer et sécuriser sans risque juridique, et sans mettre en danger un système réel. Comme le résume un guide de l’ESCNA : « Un homelab documenté vaut beaucoup plus qu’une liste de buzzwords sur un CV. »

Les options matérielles selon votre budget (de 0 € à 800 €)

Bonne nouvelle : pas besoin de dépenser une fortune pour démarrer. Vous avez trois niveaux d’investissement possibles, selon votre budget et ce que vous voulez simuler.

Option 1 : Le laboratoire 100 % virtuel (0-50 €)

C’est le point de départ le plus simple. Vous utilisez votre ordinateur avec un logiciel de virtualisation. VirtualBox est entièrement gratuit. VMware Workstation Pro l’est aussi devenu pour un usage personnel.

Le principe : vous créez des machines virtuelles (VM) qui se comportent comme des ordinateurs indépendants à l’intérieur de votre PC. Vous pouvez faire tourner, en même temps, une machine d’attaque (Kali Linux), une cible vulnérable (Windows Server) et un pare-feu, sans toucher à votre système principal.

Prérequis matériel : essayez d’avoir au moins 16 Go de RAM pour être à l’aise avec deux à trois VM en parallèle. Un SSD aide beaucoup pour éviter les ralentissements.

Option 2 : Le kit « Hacker Éthique » pour tests physiques (100-250 €)

Si vous voulez aller plus loin que le virtuel (Wi-Fi, IoT, etc.), un peu de matériel devient utile. Voici l’essentiel :

• Raspberry Pi 5 (8 Go) : environ 127 € pour la carte seule, ou 189 € en Starter Kit complet (boîtier, alimentation, câbles) chez des revendeurs comme LDLC ou Kubii.
• Carte Wi-Fi Alfa Network AWUS036NH : compatible avec Kali Linux et le mode monitor indispensable au pentest. Comptez entre 25 € et 40 € sur Amazon FR ou des revendeurs spécialisés.

Ce kit permet de travailler des scénarios difficiles à reproduire en virtuel, comme l’interception de trames Wi-Fi ou l’analyse de protocoles IoT.

Option 3 : Le mini-serveur de virtualisation (300-800 €)

Pour simuler un réseau d’entreprise complet, un mini-PC reconditionné est souvent le meilleur compromis. Un HP ProDesk, Lenovo Tiny ou Intel NUC d’occasion, équipé de 64 Go de RAM et d’un SSD de 1 To, revient entre 450 € et 550 € sur BackMarket ou Leboncoin.

Avec ce type de configuration, vous pouvez faire tourner une dizaine de VM : un domaine Active Directory, un pare-feu, un SIEM, des postes clients et des serveurs vulnérables. Concrètement, c’est un mini-datacenter sur votre bureau.

Voici un récapitulatif des options :

Les exercices techniques incontournables à réaliser dans son Home Lab

Une fois le lab prêt, vous pouvez attaquer trois exercices très utiles. Ils couvrent des compétences souvent demandées sur le marché français.

1. Déployer un pare-feu pfSense ou OPNsense : installez cette solution open source sur une VM ou un vieux PC pour segmenter votre réseau. Vous apprendrez à configurer des règles de filtrage, du NAT et des VPN. C’est une base solide pour comprendre la sécurité réseau.
2. Monter un Active Directory (AD) : installez Windows Server en version d’évaluation gratuite (180 jours) et configurez un contrôleur de domaine avec des utilisateurs, des groupes et des GPO. Environ 90 % des entreprises françaises utilisent Active Directory. Savoir le défendre (et comprendre comment il se fait attaquer) est très utile.
3. Installer un SIEM : déployez la version gratuite de Splunk ou la suite Elastic (ELK) pour collecter et analyser les logs de votre propre lab. Vous entraînez ainsi les réflexes d’un analyste SOC, un profil très recherché.

Documentez chaque étape dans un carnet technique ou un blog personnel. Cette documentation devient vite un portfolio concret à sortir en entretien. Et une fois la base en place, l’étape suivante consiste à se confronter à des exercices plus variés.

S’entraîner sur les plateformes de challenges et CTF

Si le Home Lab vous apprend à construire et comprendre une infra, les plateformes de challenges et les compétitions CTF (Capture The Flag) vous entraînent à trouver, exploiter et résoudre. Et, sur ce point, la France a un écosystème vraiment actif.

Root-Me : la référence française pour progresser méthodiquement

Root-Me est la plus grande communauté francophone de hacking éthique, avec plus de 600 000 membres. Depuis mai 2025, la plateforme est redevenue 100 % gratuite pour les particuliers, ce qui la rend très accessible.

Les challenges sont rangés par catégories (web, réseau, cryptographie, forensic, stéganographie…) et par niveaux de difficulté. Vous avancez à votre rythme et vous validez des flags qui prouvent que vous avez résolu chaque épreuve.

Au-delà de l’apprentissage, un bon classement sur Root-Me peut clairement aider sur un CV, notamment auprès de recruteurs et RSSI en France. La plateforme propose aussi une offre « Root-Me PRO » utilisée par les entreprises pour évaluer les candidats lors du recrutement.

Les compétitions nationales (CTF) pour se mesurer aux autres

Participer à un CTF, c’est résoudre des épreuves de sécurité informatique en temps limité, seul ou en équipe. Pour un recruteur, c’est aussi un signal simple : vous avez déjà travaillé sous contrainte, avec une méthode.

• FCSC (France Cybersecurity Challenge) : organisé par l’ANSSI, c’est le CTF le plus prestigieux du pays. Il sert de sélection pour l’équipe de France lors des championnats européens. Se distinguer au FCSC peut vous rendre visible auprès des services de l’État et d’acteurs industriels majeurs.
• 404 CTF : co-organisé par la DGSE et Télécom SudParis, il a rassemblé plus de 3 000 participants lors de ses dernières éditions. C’est le plus grand CTF inter-écoles de France, particulièrement adapté aux étudiants qui veulent se mesurer à d’autres profils.

Ces compétitions sont gratuites et ouvertes à tous. Même si vous ne finissez pas dans le top 10, l’entraînement « en conditions » est très formateur.

Ressources d’apprentissage complémentaires en ligne

En plus de Root-Me et des CTF français, d’autres plateformes proposent des parcours progressifs, souvent très pratiques pour démarrer :

• TryHackMe : parfait pour les débutants grâce à ses « rooms » guidées pas à pas. L’interface est intuitive et les parcours thématiques (pentest, SOC, red team) sont très bien structurés. Une grande partie du contenu est gratuite.
• HackTheBox : plus exigeant, il propose des machines virtuelles à compromettre. La version gratuite donne accès aux machines « actives » et la communauté est très réactive pour aider.
• VulnHub : une bibliothèque de machines virtuelles vulnérables à télécharger gratuitement et à exploiter dans votre Home Lab. L’idéal pour combiner les deux premiers piliers.

Pour développer l’ensemble des compétences nécessaires pour exceller en cybersécurité, alternez entre ces ressources. Elles ne travaillent pas toutes les mêmes réflexes. Et si vous voulez passer un cran au-dessus, il reste un terrain particulièrement formateur : les systèmes réels.

Le Bug Bounty : s’exercer sur des systèmes réels (et se rémunérer)

Quand vous maîtrisez les bases du Home Lab et des CTF, le Bug Bounty est souvent l’étape suivante. Vous quittez le terrain d’entraînement pour des environnements réels, avec des enjeux concrets et une rémunération possible. Comme le souligne Antoine Izsak, investisseur chez Wendel : « Le bug bounty est aujourd’hui reconnu comme un incontournable par certaines des entreprises les plus exposées à la menace cyber. »

Comprendre le fonctionnement du Bug Bounty en France

Le Bug Bounty consiste à chercher des failles de sécurité dans des systèmes d’entreprises qui ont explicitement autorisé cette démarche. Vous n’agissez pas sans cadre : vous travaillez avec un périmètre défini, via une plateforme intermédiaire, et avec des règles claires.

La référence française est YesWeHack, fondée en 2015. Elle connecte plus de 40 000 chercheurs en sécurité à des entreprises et des administrations publiques. Passer par cette plateforme vous garantit le statut de hacker éthique et vous protège juridiquement. C’est une différence fondamentale avec le hacking non autorisé, qui reste un délit pénal en France.

Dans les grandes lignes : vous choisissez un programme, vous lisez le périmètre autorisé, vous cherchez des vulnérabilités, puis vous rédigez un rapport détaillé si vous trouvez quelque chose. Et oui, la qualité du rapport compte souvent autant que la faille.

Les rémunérations possibles pour un étudiant ou jeune professionnel

Le Bug Bounty peut devenir un vrai complément de revenus pendant votre formation. Les primes varient selon la criticité de la faille :

L’État français a récemment augmenté ses primes pour sécuriser ses services numériques. Une faille critique sur un service public peut désormais rapporter jusqu’à 30 000 €. Même sans viser ces montants, quelques centaines d’euros sur des failles classiques restent motivants… et c’est aussi une ligne très parlante sur un CV. Ensuite, il reste une question pratique : comment faire reconnaître officiellement ces compétences ?

Valider ses compétences pratiques par des certifications reconnues

La pratique personnelle construit vos compétences. Les certifications les rendent lisibles aux yeux des recruteurs. Et quand l’examen est pratique, le signal est encore plus clair.

Les certifications techniques incontournables et leur coût

Deux certifications reviennent souvent en France, surtout côté sécurité offensive :

• OSCP (Offensive Security Certified Professional) : c’est le standard technique pour les pentesters. L’examen est 100 % pratique : vous disposez de 24 heures pour compromettre cinq machines. Le pack de base (cours, 90 jours de lab et un essai à l’examen) coûte environ 1 525 €. C’est un investissement conséquent, mais la certification reste très respectée.
• CEH (Certified Ethical Hacker) v12 : plus orientée théorie avec un examen sous forme de QCM, elle reste valorisée par les grandes entreprises et les ESN françaises. L’examen seul coûte environ 1 100 €, et la formation complète avec examen tourne autour de 2 350 € HT.

Pour choisir, partez d’une question simple : visez-vous un poste offensif (pentester, red team) ou défensif (analyste SOC, RSSI) ? L’OSCP est souvent un passage important pour le premier cas. Le CEH convient mieux au second, en complément d’une certification défensive comme le BTL1 ou le CCD.

Stratégies pour financer ses certifications en tant qu’étudiant

Quand on est en formation, ces montants peuvent piquer. Heureusement, il existe plusieurs options pour alléger la facture :

• L’alternance : c’est souvent la voie la plus simple. Discutez avec votre entreprise d’accueil d’une prise en charge via le plan de développement. Beaucoup acceptent, parce qu’elles y gagnent aussi.
• Le CPF (Compte Personnel de Formation) : certaines certifications comme le CEH sont éligibles au CPF. Vérifiez sur moncompteformation.gouv.fr avant de payer de votre poche.
• Les aides régionales : plusieurs régions françaises proposent des aides à la formation dans le numérique. Renseignez-vous auprès de votre conseil régional ou de votre mission locale.
• Les revenus du Bug Bounty : les primes accumulées sur YesWeHack peuvent financer une partie de votre certification. C’est un cercle vertueux entre pratique et validation.

Si votre budget est serré, commencez par des certifications gratuites ou peu coûteuses. Le Google Cybersecurity Certificate ou les badges TryHackMe sont de bons premiers jalons. Ils ne remplacent pas une OSCP, mais ils montrent que vous avancez. Pour approfondir votre parcours et identifier la meilleure approche pour maîtriser la cybersécurité, combinez ces certifications avec une pratique régulière sur votre Home Lab.

En cybersécurité, on n’arrête jamais vraiment d’apprendre. Chaque exercice fait chez soi, chaque challenge résolu, chaque faille documentée renforce votre crédibilité. Le plus important, c’est de commencer maintenant, avec ce que vous avez, et de progresser de façon méthodique. Si vous cherchez la formation en cybersécurité la plus adaptée à votre profil et à vos objectifs, LearnThings vous aide à comparer les meilleures options disponibles pour faire le bon choix.