Entretien d’embauche pentesteur
Le recrutement d’un pentesteur comporte presque toujours une épreuve technique : machine à évaluer, analyse d’une requête, questions sur une faiblesse courante ou rédaction d’un court rapport.
L’entretien avec le responsable porte aussi sur l’éthique, la relation client et l’écrit. Révisez vos bases et préparez deux ou trois missions que vous savez raconter étape par étape, sans divulguer d’information confidentielle.
Les questions à préparer
01Décrivez votre démarche lors d’un test d’intrusion web en boîte grise.
Ce que le recruteur cherche
Le recruteur vérifie que vous suivez une méthode structurée et pas seulement des réflexes d’outils.
Exemple de réponse
Je commence par cartographier l’application avec les comptes fournis, en observant les fonctions et les échanges avec le serveur. Je m’appuie sur le guide de test de l’OWASP pour couvrir les grandes familles de faiblesses : authentification, gestion des sessions, contrôle d’accès, validation des entrées. Je priorise selon la sensibilité des fonctions. Je documente chaque constat au fil de l’eau, avec une preuve reproductible, car la rédaction du rapport prend presque autant de temps que les tests. Je termine en recoupant mes constats avec le contexte métier pour coter correctement la criticité.
02Comment vous assurez-vous de rester dans le cadre autorisé d’une mission ?
Ce que le recruteur cherche
L’éthique et le respect du périmètre sont déterminants dans ce métier. Le recruteur veut en être certain.
Exemple de réponse
Avant toute chose, je vérifie l’ordre de mission signé et le périmètre exact : adresses, domaines, comptes autorisés, plages horaires. Si je découvre un système hors périmètre relié à ma cible, je m’arrête et j’en parle au client avant d’aller plus loin. Je garde une trace horodatée de mes actions, ce qui protège le client et moi-même. Et je traite les données que je rencontre avec précaution : je ne les extrais que si c’est nécessaire à la preuve, et je les détruis à la fin selon la procédure convenue.
03Comment cotez-vous la criticité d’une faiblesse ?
Ce que le recruteur cherche
Le recruteur veut voir que vous reliez la technique au risque réel pour le client.
Exemple de réponse
Je m’appuie sur le CVSS comme base objective, mais je l’ajuste au contexte. Une même faiblesse n’a pas le même poids sur une application interne peu exposée et sur un service accessible depuis Internet qui traite des données sensibles. Je prends en compte la facilité d’exploitation, les prérequis et l’impact métier. Dans le rapport, j’explique ce raisonnement, car un client comprend mieux « accès possible aux dossiers d’autres utilisateurs » qu’un simple score. Cela l’aide à prioriser ses corrections.
04Comment restituez-vous vos résultats à une équipe qui les reçoit mal ?
Ce que le recruteur cherche
La restitution peut être perçue comme un jugement par les équipes auditées. Le recruteur teste votre tact.
Exemple de réponse
Je rappelle en ouverture que l’objectif est d’aider, pas de sanctionner, et que toute application contient des faiblesses. Je présente d’abord ce qui est bien fait, puis les constats du plus critique au moins grave, avec des recommandations concrètes. J’évite le vocabulaire qui humilie. Quand un développeur conteste un constat, je lui propose de reproduire la manipulation ensemble. En général, une restitution bien menée transforme l’équipe en alliée pour le contre-audit.
05Quelle est la différence entre un test d’intrusion et une simulation d’attaque de type red team ?
Ce que le recruteur cherche
Le recruteur vérifie que vous situez les différentes prestations d’audit offensif.
Exemple de réponse
Un test d’intrusion vise à couvrir un périmètre défini et à trouver le maximum de faiblesses dans un temps donné, avec un rapport exhaustif. Une simulation de type red team poursuit un objectif précis, par exemple atteindre une donnée sensible, en restant discrète et sans prévenir les équipes de défense, pour tester aussi la détection et la réaction. Elle dure plus longtemps et donne moins de faiblesses, mais une vision réaliste de la posture globale. J’ai surtout fait du test d’intrusion et commencé à participer à des missions red team.
06Comment restez-vous à jour dans un domaine qui évolue vite ?
Ce que le recruteur cherche
La veille est indispensable. Le recruteur cherche des pratiques concrètes, pas une intention vague.
Exemple de réponse
Je suis quelques chercheurs et équipes reconnues, je lis les bulletins de l’ANSSI et les avis de vulnérabilités qui concernent les technologies de mes clients. Je m’entraîne sur des machines récentes qui reprennent des vulnérabilités d’actualité, et je participe à des CTF quand j’en ai le temps. J’assiste aussi à des meetups et à une conférence par an. Enfin, je note dans un carnet les techniques utiles rencontrées en mission, pour les retrouver facilement.
07Un client vous demande de tester un système en production pendant les heures ouvrées. Comment réagissez-vous ?
Ce que le recruteur cherche
Le recruteur évalue votre prudence et votre sens du dialogue avec le client.
Exemple de réponse
Je commence par expliquer les risques : certaines manipulations peuvent ralentir ou perturber un service. Je propose des garde-fous : un environnement de recette quand c’est possible, sinon des horaires décalés, un interlocuteur joignable côté client et une liste de tests que j’évite ou que je réalise avec précaution. Je mets ces règles par écrit dans les conditions d’engagement. Si le client maintient sa demande, nous décidons ensemble du niveau de risque acceptable, mais je ne lance jamais une action susceptible de couper la production sans accord explicite.
08Parlez-nous d’une mission dont vous êtes fier.
Ce que le recruteur cherche
Question ouverte pour juger votre capacité à raconter une mission avec recul et honnêteté.
Exemple de réponse
Lors d’un audit interne chez un industriel, j’ai mis en évidence qu’un poste utilisateur ordinaire permettait, de proche en proche, d’atteindre des droits d’administration sur une partie du système. Plutôt que de m’arrêter au constat, j’ai pris le temps d’expliquer à l’équipe comment quelques mesures simples cassaient ce chemin. Six mois plus tard, le contre-audit a confirmé que les corrections tenaient. Ce qui m’a plu, c’est que la découverte technique a débouché sur un vrai changement, et pas seulement sur une ligne dans un rapport.
Les questions à poser au recruteur
- Quels types d’audits composent la majorité de vos missions ?
- Le cabinet est-il qualifié PASSI et accompagnez-vous les auditeurs vers cette qualification ?
- Comment sont réparties les missions entre technique et rédaction de rapports ?
- Quelles formations et certifications l’entreprise finance-t-elle ?
- Travaillez-vous en binôme sur les missions, notamment pour les débutants ?
Votre recherche, en automatique
Lancer mon scan d’offres pentesteur
JobFast cherche les offres qui vous correspondent sur les grands sites d’emploi, note chacune sur 10 et prépare un CV et une lettre adaptés. Vous relisez, vous validez.
Sans carte bancaire · Sans compte pour commencer
Questions fréquentes
L’épreuve technique est-elle éliminatoire ?
Souvent, oui. Beaucoup de cabinets font passer une machine à évaluer ou un petit audit en temps limité, parfois à distance avant l’entretien. L’important n’est pas toujours d’aller au bout : les recruteurs observent votre méthode, votre rigueur et votre façon de documenter. Prenez des notes claires pendant l’exercice, elles font partie de l’évaluation.
Faut-il apporter un exemple de rapport ?
C’est un vrai plus, car la rédaction est centrale dans le métier. Apportez un rapport rédigé sur une machine d’entraînement ou un environnement de test que vous possédez, sans aucune donnée confidentielle. Il montre votre capacité à structurer les constats, à coter la criticité et à écrire des recommandations utiles.