Devenir pentester au Maroc : compétences, parcours et certifications

Un pentester (ou testeur d'intrusion) est mandaté par une organisation pour attaquer ses propres systèmes, avec son accord écrit, afin d'identifier les failles avant qu'un attaquant réel ne les exploite. Le périmètre peut être une application web, une application mobile, un réseau interne, un annuaire Active Directory, une infrastructure cloud ou même les collaborateurs, dans le cas de tests d'ingénierie sociale.

Une mission suit presque toujours le même déroulé : cadrage et autorisation, reconnaissance, recherche de vulnérabilités, exploitation, élévation de privilèges et mouvement latéral, puis rédaction du rapport. Ce dernier point est souvent sous-estimé : un pentest ne vaut que par la qualité du rapport remis au client, avec des constats reproductibles, un niveau de risque argumenté et des recommandations applicables.

Le pentest n'est pas un point d'entrée en informatique : c'est une spécialisation qui s'appuie sur des fondamentaux solides. Voici les compétences que les recruteurs s'attendent à trouver chez un pentester junior.

La pratique fait la différence entre un candidat qui a lu sur le pentest et un candidat qui sait en faire. Bonne nouvelle : tout peut se pratiquer légalement, sur des environnements conçus pour cela.

Visez la régularité plutôt que l'intensité : quelques machines par semaine, avec un compte rendu rédigé pour chacune, valent mieux qu'un week-end intensif sans trace écrite. Ces comptes rendus deviennent aussi un portfolio que vous pouvez montrer en entretien.

Les certifications structurent l'apprentissage et rassurent les employeurs, à condition de les passer dans un ordre cohérent. Le parcours que nous recommandons va du socle général à la preuve pratique.

La différence entre un pentester et un pirate tient en un mot : l'autorisation. Le Code pénal marocain, dans ses articles 607-3 et suivants (introduits par la loi 07-03 relative aux atteintes aux systèmes de traitement automatisé des données), sanctionne notamment l'accès frauduleux à un système, le maintien frauduleux dans ce système et les atteintes à son fonctionnement ou à ses données. Les intentions ne changent rien : tester un site ou un réseau sans accord constitue une infraction pénale, même pour « rendre service ».

En pratique, aucun test ne doit commencer sans un document signé par une personne habilitée de l'organisation cliente : convention ou lettre de mission précisant le périmètre exact (adresses IP, domaines, applications), les dates, les techniques autorisées et les contacts d'urgence. Les données personnelles rencontrées pendant la mission restent par ailleurs protégées par la loi 09-08, ce qui impose confidentialité et minimisation.

Ce rappel est général et ne remplace pas un conseil juridique : en cas de doute sur un périmètre ou un contrat, faites valider par un juriste avant d'agir.

Les cabinets de conseil et d'audit en cybersécurité, ainsi que les ESN, sont les premiers employeurs de pentesters : ils réalisent des missions pour des clients marocains et, souvent, pour des clients européens depuis Casablanca, Rabat ou Tanger. Les banques, les assurances et les opérateurs télécoms disposent aussi d'équipes internes d'audit technique ou font appel à des prestataires qu'ils supervisent.

Dans le secteur public et chez les opérateurs d'importance vitale, la loi 05-20 relative à la cybersécurité et le cadre de la DGSSI encouragent les audits de sécurité réguliers, ce qui alimente la demande en auditeurs techniques. Certains profils expérimentés travaillent enfin en indépendant ou complètent leur activité par le bug bounty. Pour un premier poste, un rôle d'analyste SOC ou d'auditeur junior est souvent un tremplin réaliste vers le pentest.

GATech accompagne ce parcours au Maroc avec des formations Security+, CEH v13, PenTest+ et OSCP+, en salle ou en ligne, voucher d'examen officiel inclus. Si vous ne savez pas par quelle étape commencer, nos conseillers peuvent évaluer votre niveau et vous orienter vers la certification la plus adaptée.