CEH v13 ou OSCP+ : quelle certification pentest choisir ?

Le CEH (Certified Ethical Hacker) d'EC-Council et l'OSCP+ d'OffSec sont les deux noms qui reviennent le plus souvent quand on parle de certification en test d'intrusion. On les oppose volontiers, comme s'il fallait choisir un camp. En réalité, elles ne mesurent pas la même chose et ne s'adressent pas exactement au même moment d'une carrière.

Le CEH v13, dit « CEH AI », valide une connaissance large de la méthodologie du hacking éthique : reconnaissance, scan, énumération, exploitation, maintien d'accès, attaques web, sans fil, cloud, IoT, et désormais l'usage de l'IA dans l'attaque comme dans la défense. Son examen principal (312-50) vérifie que vous connaissez ces techniques, ces outils et le vocabulaire associé.

L'OSCP+, obtenu après le cours PEN-200, valide autre chose : votre capacité à compromettre réellement des machines, seul, sous pression, puis à le prouver dans un rapport professionnel. On pourrait résumer ainsi : le CEH démontre que vous savez de quoi est fait un pentest, l'OSCP+ démontre que vous savez en mener un.

C'est la différence la plus visible. L'examen CEH 312-50 comporte 125 questions à choix multiples en 4 heures, avec un seuil de réussite compris entre 60 % et 85 % selon la forme de l'examen qui vous est attribuée. Il se passe en ligne sous surveillance à distance ou dans un centre agréé. Les questions portent sur des scénarios, des commandes, des résultats d'outils à interpréter : il ne suffit pas d'avoir appris des définitions, mais vous n'avez rien à exploiter vous-même.

EC-Council propose aussi un CEH Practical optionnel : 6 heures, 20 challenges sur un environnement réel, avec un seuil de 70 %. Il comble en partie la critique « trop théorique » adressée au CEH, et ceux qui réussissent les deux épreuves peuvent prétendre au titre CEH Master.

L'examen OSCP+ est entièrement pratique : 23 h 45 min pour compromettre un ensemble Active Directory et plusieurs machines autonomes, sous surveillance par webcam et partage d'écran, puis 24 heures supplémentaires pour remettre un rapport de pentest. Il faut 70 points sur 100. Aucune question à cocher : chaque point se gagne en obtenant un accès et en le documentant avec des preuves. La gestion du temps, de la fatigue et du stress fait partie de l'épreuve.

Le CEH v13 est une certification de niveau intermédiaire. Il demande de bonnes bases en réseaux TCP/IP, la pratique de Windows et de la ligne de commande Linux, et des notions de sécurité ; EC-Council recommande deux ans d'expérience, mais suivre une formation officielle dispense de la procédure d'éligibilité. Un administrateur système ou réseau motivé, ou un jeune diplômé avec un bon socle technique, peut le préparer sérieusement.

L'OSCP+ est une certification avancée. Elle suppose une maîtrise solide de Linux, de bonnes notions de Windows et d'Active Directory, une aisance réseau (DNS, HTTP, SMB…) et la capacité à lire et adapter des scripts Bash, Python ou PowerShell. Sa difficulté ne tient pas tant à la complexité de chaque technique qu'à l'autonomie exigée : face à une machine, personne ne vous dit quelle piste est la bonne. Beaucoup de candidats ont besoin de plus d'une tentative, ce qui n'a rien d'anormal.

Pour y voir clair, voici les deux certifications côte à côte, avec les tarifs publics de nos formations au Maroc (voucher ou tentative d'examen inclus).

Le CEH est l'une des certifications les plus citées dans les offres d'emploi en cybersécurité offensive, et il figure dans plusieurs référentiels officiels de postes, comme le cadre DoD 8140 du département de la Défense américain. Concrètement, cela compte au moment du filtrage RH : quand un recruteur ou un logiciel de tri cherche le mot-clé « CEH », votre candidature passe. Au Maroc, banques, assureurs, opérateurs télécoms, intégrateurs et administrations soumises à la loi 05-20 le connaissent bien, y compris pour des postes qui ne sont pas purement offensifs.

L'OSCP+ jouit d'une autre forme de crédibilité : celle des équipes techniques. Un responsable pentest sait qu'un titulaire a passé près de 24 heures à compromettre des machines et a produit un rapport accepté. Les cabinets d'audit, les équipes red team et les prestataires qui réalisent des tests d'intrusion pour des clients européens depuis Casablanca ou Rabat le mentionnent régulièrement. En revanche, il est parfois moins connu des services RH généralistes et des grilles d'achat publiques.

Les deux sont donc reconnues, mais pas par les mêmes personnes ni pour les mêmes raisons. C'est précisément ce qui rend la combinaison intéressante.

Côté budget, nos formations démarrent à 21 900 MAD pour le CEH v13 (5 jours, labs officiels, support EC-Council et voucher 312-50 inclus) et à 29 900 MAD pour l'OSCP+ (80 heures de coaching, accès aux labs PEN-200 et une tentative d'examen). Pour l'OSCP+, prévoyez qu'une tentative supplémentaire ou une prolongation des labs puisse représenter un coût additionnel.

Côté temps, le CEH se prépare généralement en quelques semaines de révision après la formation pour un profil ayant déjà les bases. L'OSCP+ demande davantage : au-delà du coaching, la plupart des candidats ont besoin de nombreuses heures de pratique personnelle sur les labs, souvent étalées sur plusieurs mois selon leur point de départ. Il vaut mieux prévoir ce temps dans son agenda que de compter sur le seul enthousiasme du début.

Si vous venez de l'administration système, du réseau ou du SOC et que vous découvrez l'offensif, le CEH v13 est en général le meilleur premier pas : il structure vos connaissances, couvre un périmètre large et vous donne un titre immédiatement lisible sur un CV. Si vous êtes déjà à l'aise sur Linux, que vous avez pratiqué des plateformes de type CTF et que votre objectif est clairement le métier de pentesteur, vous pouvez viser directement l'OSCP+. CompTIA PenTest+ (à partir de 12 900 MAD) est une alternative intermédiaire intéressante, avec un accent sur le cadrage et le reporting.

Beaucoup de professionnels finissent par détenir les deux, et ce n'est pas une collection de badges : le CEH ouvre les portes du filtrage RH et apporte une vision méthodologique complète, l'OSCP+ prouve la compétence pratique aux équipes techniques. L'ordre CEH puis OSCP+ est le plus fréquent, car le premier prépare le terrain du second.

Chez GATech, nous proposons les deux parcours à Casablanca, à Rabat ou en classe virtuelle, avec un formateur francophone et l'examen inclus. Si vous hésitez, un court échange avec nos conseillers permet d'évaluer votre niveau et de choisir l'ordre le plus adapté.