Guide des certificats de cybersécurité avec classement — mise à jour 2026 (l’ère de l’IA)

J’ai écrit cet article en avril 2024, et il est depuis devenu l’un des plus lus de ce blog. Un seul problème : en deux ans, il a pris plus de rides que bien des guides en dix ans. 💥 Le CASP+ n’existe formellement plus, l’OSCP a reçu un successeur avec une date d’expiration, le CEH s’est doté de modules IA, le programme gratuit d’ISC2 est terminé et les prix des examens ont fortement grimpé. Et en chemin, quelque chose de plus gros s’est produit : l’IA a commencé à rebattre les cartes du marché de l’emploi même dont ces certifications étaient censées être le ticket d’entrée.

Alors, plutôt que d’écrire un nouvel article, je mets simplement celui-ci à jour. Tu trouveras ci-dessous le même classement en 6 niveaux, mais avec les prix et les versions des examens d’août 2026, une comparaison toute fraîche de la demande sur le marché de l’emploi (j’ai répété mon analyse d’Indeed après deux ans — les conclusions sont plus intéressantes que je ne m’y attendais), et une nouvelle section sur ce que l’IA fait aux certifications.

Les plus grands changements depuis 2024, en bref :

• CompTIA CASP+ a été rebaptisé SecurityX (décembre 2024), et les prix des examens CompTIA ont augmenté de 20–30% en moyenne
• OffSec a introduit l’OSCP+ — la même certification, mais avec une date d’expiration au bout de 3 ans
• le CEH est passé à la version 13, modules IA inclus
• ISC2 a mis fin à son programme gratuit CC après avoir franchi le million de certifiés — aujourd’hui, l’examen coûte $199
• l’ISACA a publié ses premières certifications strictement axées sur l’IA : AAIA (audit de l’IA) et AAISM (gestion de la sécurité de l’IA), plus le CCOA, orienté pratique, pour les analystes SOC
• CompTIA est entré dans la course : SecAI+ ($298) a débuté en février 2026 — une certification sur la sécurisation des systèmes d’IA et l’usage de l’IA en défense ; SecOT+ est annoncé pour décembre 2026
• la demande pour les certifications d’entrée de gamme (A+, ITIL) a chuté brutalement, tandis que les certifications pratiques et cloud (OSCP, CCSP, CCSK) ont décollé

Table des matières

1. Ce que l’IA a fait au marché de l’emploi (et pourquoi tu devrais le savoir avant de choisir une certification)
2. Le marché de l’emploi 2024 vs 2026 — j’ai répété mon analyse d’Indeed
3. Le classement : 6 niveaux de certification
4. Les nouveaux joueurs : les certifications dont la communauté est tombée amoureuse
5. Tableau comparatif de toutes les certifications
6. Les certifications ont-elles encore un sens en 2026 ?
7. FAQ
8. Mon avis subjectif et les ressources d’apprentissage que je recommande

Ce que l’IA a fait au marché de l’emploi (et pourquoi tu devrais le savoir avant de choisir une certification)

Il y a deux ans, j’écrivais que les certifications « ne te font pas embaucher, pas plus que l’argent ne fait le bonheur, mais qu’elles peuvent sérieusement enrichir un CV au moment d’entrer sur le marché du travail ». Aujourd’hui, je dois affûter cette phrase : « entrer sur le marché du travail » ne ressemble plus du tout à ce que c’était quand la plupart de ces certifications ont été conçues.

Louis Nyffenegger, fondateur de PentesterLab (la même plateforme que je recommande à la fin de cet article depuis des années), a dit lors d’un webinaire quelque chose qui m’est resté en tête : nous allons devenir les trieurs de ce que l’IA recrache. C’est exactement à ça que commence à ressembler le travail dans l’IT en ce moment. De moins en moins de « chasse aux vulnérabilités à partir de zéro », de plus en plus d’automatisation, de vérification, de filtrage et de mise en contexte business de ce que les outils ont généré. La différence, c’est que les outils sont devenus incomparablement plus intelligents — et accessibles à tout le monde.

Que disent les chiffres ?

Les chercheurs de Stanford (l’équipe d’Erik Brynjolfsson, l’article « Canaries in the Coal Mine », novembre 2025) ont analysé les données de paie du plus grand fournisseur de services de paie américain. Conclusion : l’emploi des 22–25 ans dans les métiers les plus exposés à l’IA générative a chuté d’environ 16% en termes relatifs — tandis que l’emploi des spécialistes expérimentés dans les mêmes rôles est resté stable ou a progressé. En clair : l’IA ne licencie pas les seniors. L’IA ferme la porte par laquelle les juniors entraient dans le métier.

ISC2, dans son Cybersecurity Workforce Study 2025 (16,000 répondants, décembre 2025), complète le tableau :

• 59% des organisations signalent des lacunes de compétences critiques ou significatives — un an plus tôt, c’était 44%. On ne comble plus les manques avec des effectifs, mais avec des compétences précises.
• La plus grande lacune de compétences ? L’IA — citée par 41% des organisations. Devant le cloud, devant la sécurité applicative, devant tout le reste.
• 39% des organisations ont gelé les embauches, et 24% sont passées par des licenciements dans leurs équipes sécurité.
• Et mon chiffre préféré de tout le rapport : seulement 6% des répondants sont entrés dans le secteur par les certifications. La plus grande part (56%) — par l’expérience IT.
• En même temps, 73% des répondants pensent que l’IA créera de nouveaux rôles, plus spécialisés — pas moins de travail, mais un travail différent.

Leçon nº 1 : La certification n’est plus un ticket d’entrée — elle devient un filtre RH et une exigence de conformité réglementaire. Le ticket d’entrée version 2026 ressemble à ça : tu sais vérifier si ce que l’IA a recraché est vrai — et ce que ça signifie pour le business. Une certification peut en attester. Mais elle ne le remplacera pas.

Est-ce que ça veut dire que le classement ci-dessous ne sert à rien ? Bien au contraire. C’est exactement pour ça que je l’ai mis à jour : puisque les certifications coûtent de plus en plus cher et que leur rôle change, il est d’autant plus important de choisir la bonne, au bon moment de ta carrière — au lieu de collectionner des bouts de papier. D’autant que le marché ne les valorise pas toutes de la même façon, comme le montre la section suivante.

Le marché de l’emploi 2024 vs 2026 — j’ai répété mon analyse d’Indeed

En 2024, j’ai fait un truc simple : j’ai tapé les noms des certifications dans le moteur de recherche d’emploi d’Indeed (marché américain) et j’ai noté le nombre d’annonces. Pas de la science — un sondage express de la demande. Mais répété deux ans plus tard avec la même méthode (sans filtres, au 9 août 2026), ça donne quelque chose de plus précieux qu’une mesure isolée : une direction.

Voici ce que j’y lis (entre les lignes, comme d’habitude 😈) :

Le CISSP est toujours le roi — 10,350 annonces, +43% en deux ans. Si les RH, où que ce soit dans le monde, connaissent une seule certification en cybersécurité, c’est celle-là. Ça n’a pas changé, et ça ne changera probablement pas de sitôt.

Les certifications d’entrée de gamme piquent du nez. CompTIA A+ est passé de 6,096 à 2,833 annonces (-54%), ITIL 4 Foundation a été divisé par deux, SSCP et CCNA sont aussi dans le rouge. C’est exactement l’histoire que racontent les données de Stanford : les postes « d’entrée » dont ces certifications étaient le sésame existent tout simplement en plus petit nombre. Le helpdesk et le support de premier niveau sont les cibles les plus faciles de l’automatisation.

Les compétences pratiques, le cloud et la gestion des risques progressent. OSCP +207% (627 → 1,925 annonces). CCSK +188%, CCSP +175%, CRISC +122%, CISM +83%. Le marché paie pour deux choses : la capacité documentée à réellement faire quelque chose de ses mains, et la capacité à gérer un risque qu’il ne comprend pas lui-même. Les deux sont difficiles à automatiser.

Une friandise pour les persévérants : 1,776 annonces exigent encore le « CASP+ » — une certification qui n’existe formellement plus depuis décembre 2024. Le nouveau nom, SecurityX, n’apparaît que dans 749. Les recruteurs se mettent à jour plus lentement que les organismes de certification. 😈 Pendant ce temps, l’OSCP+ — la nouvelle variante avec date d’expiration — a déjà eu le temps d’apparaître dans 1,435 annonces.

Au global, ce travail, il y en a plus ou moins ? Plus. L’américain CyberSeek a compté 514,000 postes ouverts en cybersécurité sur les 12 mois précédant avril 2025 — soit 57,000 (+12%) de plus qu’un an plus tôt. Par-dessus, le BLS projette +29% de croissance de l’emploi des analystes sécurité sur la décennie jusqu’en 2034 — plusieurs fois plus vite que la moyenne de tous les métiers. Le paradoxe : au même moment, 39% des organisations gèlent les embauches (ISC2). Comment est-ce possible ? Le marché grandit et relève la barre d’entrée en même temps.

C’est dans le rapport senior/junior qu’on le voit le plus nettement. J’ai vérifié avec la même méthode (Indeed, US, août 2026) : l’expression « senior security » — 1,284 annonces. « Junior security » — 116. « Entry level security » — 142. Pour chaque annonce junior, il y a aujourd’hui environ cinq annonces senior. C’est exactement l’image des données de Stanford : le travail en cybersécurité existe — mais de moins en moins sous la forme de celui par lequel on démarrait une carrière.

Les salaires ? Ils montent — tranquillement mais sûrement. Le salaire médian des analystes sécurité aux États-Unis est de $124,910 par an (BLS, données de mai 2024) contre $120,360 un an plus tôt — +3.8% sur un an.

Et quelle certification paie le mieux ? J’ai compté de la même manière qu’il y a deux ans — directement depuis les annonces. Méthodologie inchangée : pour chaque certification, je parcours les résultats d’Indeed (US) et, pour chaque annonce qui affiche une fourchette de salaire, je prends le point médian. Cette fois, ça a donné 1,451 points de données tirés de plus de 2,000 annonces (de 31 à 233 par certification). Une remarque avant que tu regardes le tableau : tous les salaires ici sont en USD par an ; les chiffres de 2024 sont convertis depuis mon analyse originale en PLN au taux NBP du 24 avril 2024, soit 4.0417.

Ce qui en ressort :

• Le nouveau roi des salaires : le CISM — $166,405 par an en moyenne (+29%). Il y a deux ans, le cloud (CCSK) trônait au sommet ; aujourd’hui, c’est la gestion de la sécurité de l’information. Le marché ne paie pas le mieux pour cliquer, mais pour endosser la responsabilité.
• Le risque talonne le management : CRISC $156,814 (+29%). Combiné à ses +122% de croissance dans les annonces, ça en fait le vainqueur discret le plus solide de toute la comparaison.
• Pas de révolution au sommet : CISSP $153,702 (+19%), CCSK $150,853 (+16%), CCSP $148,989 (+22%) — management, risque et cloud occupent tout le podium.
• Des baisses : seulement CASP+ (−1%) et A+ (−12%). Le CASP+ est désormais un zombie des offres d’emploi : les nouveaux postes, mieux payés, demandent SecurityX. Et le CEH ? Il a à peine bougé (+2%) malgré un bond de +61% de la demande — de plus en plus d’annonces, mais pour des rôles de moins en moins bien payés.
• Le plus grand bond salarial en pourcentage : Security+ (+30%) — sauf à compter les +34% d’ITIL 4 Foundation, que je prendrais avec des pincettes : l’expression « ITIL 4 Foundation » apparaît aujourd’hui surtout dans des annonces pour des postes de management senior, pas parce que la certification elle-même rapporte autant.

La comparaison sous forme de graphiques, ci-dessous :

Pour mémoire : l’enquête mondiale de Skillsoft (2025) montre un haut de tableau concordant — cloud et gestion des risques au sommet — donc ce n’est pas un artefact de mon échantillon.

Sur mon marché d’origine, en Pologne, il n’existe tout simplement pas de données par certification. Le point de repère dont on dispose : d’après le rapport HackerU/Devire (données 2023/24), les fourchettes salariales des ingénieurs sécurité allaient d’environ 10k PLN brut par mois pour un junior à environ 30k PLN pour un senior — je n’ai pas encore vu d’édition plus récente aussi complète. Si tu connais des données polonaises plus fraîches par certification, laisse-les en commentaire.

Leçon nº 2 : Ne demande pas « quelle certification est la plus facile à obtenir » — demande « qu’est-ce que le marché paie de plus en plus cher ». En 2026, la réponse est : les compétences offensives pratiques, la sécurité du cloud et la gestion des risques. Les certifications d’entrée de gamme gardent leur sens — mais plus comme garantie d’un premier emploi, plutôt comme programme structuré pour apprendre les bases.

Le classement : 6 niveaux de certification

Les critères n’ont pas changé : la reconnaissance dans le secteur et la valeur du nom, le salaire proposé sur le marché, les coûts de certification, la difficulté et le caractère pratique des connaissances. Tous les prix sont les tarifs officiels des organismes en USD, en date d’août 2026 (selon l’endroit où tu vis, la TVA et les taux de change s’ajoutent, et certains organismes pratiquent des prix régionaux).

Ce qui a changé dans le classement par rapport à 2024 :

• Les niveaux changent de nom. J’échange les vieilles étiquettes « Premier/Débutant/Ça t’accroche… » contre quelque chose que je connais, par mon boulot, mieux que ma propre poche : l’anatomie d’une vraie attaque. Apprendre ce métier suit exactement le même chemin — d’abord la reconnaissance, puis le premier point d’appui, jusqu’au jour où tu tiens les clés du royaume. L’ordre et le contenu des niveaux sont inchangés ; seule la signalétique change (et les sous-titres restent, parce que vous les aimez).
• Security+ descend du niveau 5 au niveau 3. En 2024, je l’avais placé haut parce que c’est comme ça que les recruteurs le voient — mais je n’arrêtais pas de le décrire comme « fondamental », et c’était une incohérence que plusieurs d’entre vous m’ont, à juste titre, fait remarquer. Sa notoriété est de classe mondiale ; sa difficulté — solidement fondamentale. Considère ça comme du rangement.
• OSCP devient OSCP+ (plus de détails sur la différence ci-dessous), CASP+ devient SecurityX.
• Dans la gamme ISACA, CSX-P sort (retiré par l’organisme) ; CCOA, AAIA et AAISM entrent. Il y a aussi un nouveau venu chez CompTIA — SecAI+.
• Tout le reste ne bouge pas — cette structure a tenu deux ans et je ne vais pas la casser juste pour le plaisir de changer.

1. Reconnaissance — « Tu as commencé à faire quelque chose ! »

Toute attaque commence par un repérage du terrain. Une carrière aussi : à ce niveau, tu vérifies tout simplement si ce secteur est fait pour toi.

CompTIA A+ — $274 par examen (il t’en faut deux : $548 au total)

Le ticket d’entrée absolu dans l’IT : matériel, systèmes d’exploitation, réseaux, bases de la sécurité et dépannage. Depuis 2025, une nouvelle série d’examens est en vigueur — 220-1201 et 220-1202 (la série précédente 220-110x a été retirée). Pas de prérequis formels ; CompTIA recommande 9–12 mois d’expérience pratique. Attention au changement de prix : en 2024, la paire coûtait $438, aujourd’hui c’est $548 — pendant que la demande dans les annonces a été divisée par deux. Si ton objectif est la sécurité plutôt que le helpdesk, envisage de commencer directement par CC ou Security+.

CC – Certified in Cybersecurity (ISC2) — $199

Grand changement ici : ISC2 a mis fin à son programme « One Million Certified in Cybersecurity », dans le cadre duquel l’examen était gratuit — l’objectif du million de certifiés a été atteint. Aujourd’hui, tu paies $199. Le CC reste une excellente et honnête « première certification sécurité » : concepts fondamentaux de sécurité, gouvernance, opérations, réponse aux incidents. Un bon signal envoyé à un employeur que tu prends le sujet au sérieux — mais ce n’est plus gratuit, alors fais le calcul coût/bénéfice.

2. Initial Access — « Le premier pas est derrière toi »

Dans une attaque, c’est le moment où tu obtiens ton premier point d’appui dans le réseau de la victime. Toi, tu prends ton premier point d’appui dans le secteur : les fondamentaux sans lesquels tu ne peux pas aller plus loin.

CompTIA Network+ — $399

Le réseau depuis la base : configuration et maintenance des équipements, routage, segmentation, normes de sécurité réseau, dépannage. Une anecdote tirée de mon analyse Indeed : c’est l’un des plus forts grimpeurs dans les annonces (+101%). Les réseaux restent la fondation — pour les gens de la sécurité aussi. Le prix est passé de $319 (2024) à $399.

CompTIA PenTest+ — $439

La théorie des tests d’intrusion : planification, reconnaissance, scan, exploitation, rapport. La version actuelle de l’examen, PT0-003, couvre aussi les attaques sur les environnements cloud et des sujets liés à l’IA. Mais honnêtement : ça reste un examen sur le pentest, pas un examen de pentest — la vraie pratique, seuls l’OSCP+ ou de vrais labs la vérifient.

SSCP (ISC2) — $249

L’un des rares prix qui n’ont pas bougé. Une certification solide pour les administrateurs systèmes et réseaux qui pivotent vers la sécurité : sept domaines, du contrôle d’accès à la réponse aux incidents en passant par la cryptographie. Elle glisse un peu dans les annonces (-17%), mais pour structurer des connaissances « d’admin » côté sécurité — ça reste une bonne option.

ITIL 4 Foundation — ~€370 (examen via PeopleCert ; prix variables selon la région)

La gestion des services IT : chaîne de valeur, pratiques, les quatre dimensions de l’ITSM. Les annonces ont fondu de moitié — et franchement, sur un parcours purement sécurité, ITIL a toujours été un complément, jamais une fondation. Je le garde dans le classement pour ceux qui visent des rôles où les opérations rencontrent la sécurité.

3. Privilege Escalation — « Tu commences à piger »

À ce stade, l’attaquant transforme un compte utilisateur ordinaire en un compte avec de vrais pouvoirs. Toi, tu transformes ton « je fais un peu de tout » en une vraie spécialisation.

CompTIA Security+ — $439 (descendu du niveau 5)

La certification sécurité fondamentale la plus reconnue au monde — en partie parce qu’elle est exigée dans beaucoup d’institutions publiques américaines. Cryptographie, IAM, sécurité réseau et applicative, menaces, conformité réglementaire. Annonces en hausse de +60%. Hélas, le prix a « pris des forces » lui aussi : $349 → $439. Si tu ne dois passer qu’une seule certification théorique au début de ton parcours — je pointerais toujours celle-là.

CompTIA CySA+ — $439

L’analyse de sécurité : surveillance, détection, analyse des menaces, réponse. Une bonne direction pour les futurs analystes SOC — et la demande grandit (+52%). À mettre en balance avec le nouveau CCOA de l’ISACA (ci-dessous), qui vise le même rôle.

CCNA (Cisco) — $300

Le classique du réseau : routage et commutation, sans-fil, automatisation, fondamentaux de sécurité. Un léger creux dans les annonces (-14%) — mais le CCNA reste l’une de ces certifications que « tout le monde connaît », et une base solide pour la sécurité réseau.

CEH (EC-Council) — $1,199 (examen en centre Pearson VUE) + $100 de frais de dossier

Je maintiens ce que j’écrivais il y a deux ans : moqué par les vétérans pour son côté théorique, adoré des recruteurs. Depuis septembre 2024, la version v13 est en vigueur, marketée à fond comme « AI-powered » — elle a ajouté des modules sur l’attaque et l’exploitation des outils d’IA. Annonces +61%, donc la valeur RH tient bien la route. Mais le rapport entre le prix et les connaissances pratiques reste le pire de toute la gamme. Pour cet argent-là, tu es presque à un OSCP+.

GSEC (GIAC) — $999

Une certification « security essentials » large et solide de GIAC/SANS : défense réseau, cryptographie, durcissement des systèmes, détection d’intrusion. Le prix a sauté de $949 à $999 (et avec un cours SANS attaché, on change carrément de catégorie de prix). La demande est stable. La qualité — comme toujours avec SANS — irréprochable.

Professional Cloud Security Engineer (Google) — $200

La sécurité sur GCP : IAM, configuration réseau, protection des données, surveillance (Security Command Center, Cloud Armor, IAP). Toujours le moyen le moins cher de documenter des compétences cloud chez l’un des trois grands.

AWS Certified Security – Specialty — $300

Une spécialisation avancée pour ceux qui travaillent avec AWS (examen actuel : SCS-C03) : IAM, KMS, Security Hub, GuardDuty, automatisation de la sécurité. Et note bien : selon Skillsoft, c’est la certification IT la mieux payée, tout court (~$204k par an dans les données mondiales). Cloud + sécurité, c’est actuellement le croisement de compétences le plus lucratif du marché.

SecAI+ (CompTIA) — $298 (nouveau : lancé le 17 février 2026)

La première certification de la nouvelle série sécurité IA de CompTIA (examen CY0-001) : protection des systèmes, des données et des modèles d’IA, défense contre les attaques adverses, usage de l’IA en détection et en réponse, plus la conformité (NIST AI RMF, RGPD). Recommandé : 2+ ans d’expérience en sécurité. Trop frais pour juger de son poids en recrutement — mais c’est un signal clair que la « sécurité de l’IA » n’est plus une niche. CompTIA a déjà annoncé la certification suivante de la série (SecOT+, décembre 2026).

4. Lateral Movement — « Tiens, tiens, quelqu’un a fait du sacré bon boulot ! »

À ce stade, l’attaquant se déplace librement entre les systèmes de la victime. Professionnellement, c’est le niveau senior — quelqu’un qui combine couramment plusieurs domaines à la fois.

SecurityX (anciennement CASP+, CompTIA) — $544

Décembre 2024 : CompTIA a rebaptisé CASP+ en SecurityX et l’a intégré à la série « Xpert ». Sur le fond, c’est toujours le même profil : architecture de sécurité avancée, ingénierie, risque, réponse — pour les praticiens qui ne veulent pas s’engager sur la voie purement managériale (c’est ce qui le distingue du CISSP). Le plus drôle : dans les annonces, l’ancien nom bat toujours le nouveau 1,776 à 749 — en mettant ton CV à jour, mieux vaut pour l’instant lister les deux. 😉

GSE (GIAC Security Expert) — nouveau parcours : examens GX à $499 pièce ($1,299 sans la certification prérequise)

Le parcours le plus prestigieux de GIAC a été entièrement reconstruit. À la place du légendaire examen pratique en une seule fois (pour lequel il fallait prendre l’avion et se présenter sur place), le GSE s’obtient désormais par étapes : 6 certifications Practitioner + 4 examens Applied Knowledge de quatre heures de la série GX. Chaque examen GX coûte $499 si tu détiens la certification de base exigée ($1,299 sinon) — la série complète de quatre revient à environ $2,000, toujours moins cher que l’ancienne formule avec le déplacement et son risque « tout ou rien ». Ça reste la ligue du « montre que tu sais tout faire à la fois ».

5. Domain Admin — « Maintenant on te voit, expert ! »

Le compte Domain Admin contrôle tout le domaine — c’est l’objectif de la plupart des pentests. Professionnellement : tu es l’expert qu’on appelle quand ça devient sérieux.

OSCP / OSCP+ (OffSec) — $1,749 (cours PEN-200 + une tentative d’examen)

Le changement le plus important de tout le classement. Depuis novembre 2024, réussir le même légendaire examen pratique de 24 heures te vaut deux titres : OSCP (à vie, comme avant) et OSCP+ — valable 3 ans et renouvelable par recertification, un autre examen OffSec ou des crédits CPE. Pourquoi ce changement ? Le marché (et les régulateurs) exigent de plus en plus des certifications « à jour », pas obtenues une fois pour toutes. Le prix est passé de $1,499 à $1,749 (le repassage coûte $249 ; l’abonnement annuel Learn One, $2,749). Dans les annonces, l’OSCP a progressé de +207% — le record de toute la comparaison. Si tu veux faire du pentest professionnellement, c’est toujours la seule certification qui prouve réellement quelque chose.

Certifications ISACA — $575 (membres) / $760 (non-membres) par examen

Un peu de rangement dans la gamme. Les piliers ne bougent pas : CISA (audit des systèmes — 3,289 annonces sur Indeed), CISM (gestion de la sécurité de l’information, +83% de demande), CRISC (risque IT, +122%), CGEIT (gouvernance IT), CDPSE (ingénierie de la protection des données et de la vie privée). Le pratique CSX-P a été retiré. À sa place, l’ISACA a sorti trois nouveautés qui montrent exactement où va le secteur : CCOA (Certified Cybersecurity Operations Analyst — une certification pratique pour analystes SOC, 2025) et les premières certifications strictement IA du marché : AAIA (Advanced in AI Audit) et AAISM (Advanced in AI Security Management). Trop tôt pour juger de leur poids en recrutement — mais si tu audites ou gères des systèmes avec une composante IA, c’est la direction que je surveillerais de près.

CCSP (ISC2) — $599

La sécurité du cloud au niveau architecture : conception, opérations, conformité, cryptographie. Prix inchangé, mais la demande a bondi de +175% — le troisième meilleur résultat de la comparaison. À l’heure où « tout est dans le cloud », le CCSP a cessé d’être une niche pour devenir l’un des mouvements de carrière les plus rentables (selon Skillsoft, ~$172k par an).

Azure Security Engineer Associate (AZ-500, Microsoft) — $165 (prix US ; ailleurs, tu paies l’équivalent régional chez Pearson VUE)

Sécuriser Azure et les environnements hybrides : identité, protection de la plateforme, données, applications. Une petite correction par rapport à 2024 : l’outil que je décrivais alors sous le nom d’« Azure Security Center » s’appelle désormais Microsoft Defender for Cloud. Microsoft pratique des prix régionaux, donc ce que tu paies dépend d’où tu vis.

6. Holy Grail — « Tu as atteint la maîtrise. Il est temps de prendre ta retraite ! »

Dans une attaque, le Holy Grail — le Saint Graal — ce sont les données que tu étais venu chercher. Dans une carrière : des certifications qu’on ne passe plus pour des droits d’accès, mais pour le prestige.

CISSP (ISC2) — $749 (€719 en Europe)

Le roi n’a pas changé. Il exige cinq années documentées d’expérience dans au moins deux domaines de la sécurité, et il apparaît dans les offres d’emploi plus souvent que n’importe quelle autre certification sécurité au monde (10,350 offres sur Indeed, +43%). Huit domaines, de la gestion des risques à la sécurité logicielle. Si tu vises des rôles d’architecte, de manager ou de CISO — tôt ou tard, quelqu’un te le demandera.

CCSK (Cloud Security Alliance) — $445 (version v5, deux tentatives incluses)

Toujours la certification cloud la plus universelle (indépendante des fournisseurs) — et toujours un excellent rapport qualité/prix, malgré la hausse depuis $395. La version actuelle v5 (2024) a ajouté, entre autres, le zero trust et des sujets IA. Dans ma comparaison Indeed, c’est la deuxième certification à la plus forte croissance en pourcentage (+188%, certes depuis une base basse). L’équivalent cloud de la règle « apprends les fondamentaux, pas les interfaces ».

Les nouveaux joueurs : les certifications dont la communauté est tombée amoureuse (et les recruteurs pas encore)

Elles n’étaient pas dans le classement 2024, et en deux ans elles ont pris la communauté d’assaut — surtout comme alternative moins chère et très pratique à l’OSCP :

• HTB CPTS (Hack The Box — Certified Penetration Testing Specialist) — un examen pratique de 10 jours couronné par un rapport complet. Le voucher coûte ~$210, et la meilleure affaire est l’abonnement HTB Academy Silver ($490/an, voucher inclus).
• PNPT (TCM Security — Practical Network Penetration Tester) — $499 pour la formation + l’examen avec un repassage gratuit inclus : 5 jours de tests (OSINT, Active Directory), 2 jours pour le rapport et un débrief de 15 minutes de tes résultats, en direct avec des pentesters. De tous les examens que je connais, c’est celui qui ressemble le plus à une vraie mission.
• CRTO (Zero-Point Security — Red Team Ops) — un cours à £365 avec une tentative d’examen incluse. Une porte d’entrée dans le monde du red teaming et des frameworks C2 sans mettre un rein en gage.
• BSCP (PortSwigger — Burp Suite Certified Practitioner) — ~$99 la tentative ; un examen des créateurs de Burp et de la WebSecurityAcademy gratuite, que je recommande plus bas.

Et maintenant, la douche froide — je les ai vérifiées avec la même méthode Indeed : CPTS apparaît dans… 1 annonce (l’expression complète « HTB CPTS » — dans 6), BSCP dans 3, eJPT dans 10. Impossible de compter honnêtement PNPT et CRTO, parce que les acronymes entrent en collision avec des annonces de secteurs complètement différents (salutations aux infirmières praticiennes en pédiatrie dans les résultats « PNPT » 😉). Pour comparaison : OSCP — 1,925 annonces. Anecdote : l’expression « Hack The Box » elle-même apparaît dans 63 annonces — mais presque toujours sous la forme « une expérience sur des plateformes comme HTB est un plus », c’est-à-dire comme lieu d’apprentissage, pas comme diplôme exigé. Et c’est toute cette histoire en résumé : tout le monde connaît la plateforme, presque personne n’exige le certificat.

Leçon nº 3 : La communauté et les recruteurs vivent dans des mondes différents. Les certifications communautaires peuvent t’apprendre plus que bien des « grandes » — mais elles n’existent pas encore dans les systèmes de recrutement. La stratégie pour 2026 : apprends sur elles, et ajoute à ton CV une certification que les RH reconnaîtront sans googler.

Tableau comparatif — toutes les certifications au même endroit

* prix régionaux ou à confirmer auprès de l’organisme — détails dans les descriptions ci-dessus.

Les certifications ont-elles encore un sens en 2026 ?

Version courte : oui, mais plus comme avant.

Je vais le dire cash, même si je scie la branche sur laquelle cet article est assis : si tu n’as qu’un seul budget d’argent et de temps à dépenser, alors en 2026, une certification seule est un moins bon investissement qu’en 2024. On ne peut plus s’acheter de ticket d’entrée dans le secteur — cette porte est désormais gardée par l’IA et par des budgets d’embauche gelés. Une certification fonctionne dans trois situations : quand elle te fait passer le filtre RH et les ATS — ces systèmes qui trient automatiquement les CV (CISSP, Security+) ; quand une réglementation ou un client l’exige (le monde post-NIS2/DORA adore les « papiers ») ; et quand le programme derrière elle construit réellement une compétence dont le marché a besoin (OSCP+, certifications cloud).

Si je partais de zéro aujourd’hui, je ferais comme ça : CC ou Security+ pour structurer les bases → des centaines d’heures de pratique (labs, CTF, PentesterLab, mes propres projets) → OSCP+ ou la voie cloud (CCSK/CCSP/AWS), selon ce qui me passionne. Et en parallèle — et ça, c’est nouveau par rapport à 2024 — j’apprendrais à travailler avec l’IA dès le premier jour : pas le « prompting », mais la vérification. Parce que le trieur dont parlait Louis, ce n’est pas quelqu’un qui clique sur « approuver ». C’est quelqu’un qui sait quand cliquer sur « rejeter ».

Leçon nº 4 : Une certification est la preuve que tu as traversé un processus d’apprentissage structuré. À l’ère où l’IA recrache des réponses toutes faites, c’est le processus qui garde la valeur — parce que seul le processus te donne le droit de dire « c’est n’importe quoi » avec une conviction totale.

FAQ — les questions les plus fréquentes

Par quelle certification commencer son parcours en cybersécurité en 2026 ?

Par le CC (ISC2, $199) si tu veux vérifier à moindre coût si ce secteur est fait pour toi, ou par Security+ (CompTIA, $439) si tu veux d’emblée la certification fondamentale la plus reconnue. Mais aucune des deux ne remplace la pratique — considère-les comme un programme d’études, pas comme un laissez-passer.

Combien coûte une certification en cybersécurité ?

Entrée de gamme : $199–550. Niveau intermédiaire : $300–1,300. Professionnelle pratique (OSCP+) : $1,749 cours compris. S’y ajoutent souvent des cotisations annuelles (p. ex. ISC2 $50, ISACA) et des coûts de recertification. La plupart des organismes ont relevé leurs prix de 15–30% par rapport à 2024 (CompTIA, OffSec, GIAC, CSA) ; ISC2, ISACA, AWS et Google tiennent leurs tarifs, et la « hausse de prix » la plus raide a frappé le CC — parce qu’il a cessé d’être gratuit.

Le CEH vaut-il encore le coup ?

Ça dépend de ce que tu optimises. Pour les recruteurs et les exigences formelles (y compris les institutions américaines) — ça marche, et la demande dans les annonces a crû de 61%. Pour les vraies compétences — pour $1,299 (examen + dossier), tu es presque à un OSCP+ complet, qui enseigne incomparablement plus de pratique.

L’IA va-t-elle prendre le travail des pentesters et des analystes sécurité ?

Elle ne le prendra pas — elle en change la nature. Les données montrent deux choses à la fois : l’emploi des personnes en début de carrière dans les rôles exposés à l’IA a chuté d’environ 16% (Stanford), mais 73% des professionnels s’attendent à de nouveaux rôles, plus spécialisés (ISC2). La valeur de la vérification, du contexte et de la responsabilité monte — tout ce que tu ne peux pas déléguer à un modèle.

Quelle certification paie le plus ?

Selon mon analyse des fourchettes de salaire dans les annonces Indeed (US, août 2026) : CISM (~$166k/an), CRISC (~$157k) et CISSP (~$154k) — autrement dit : management, risque et architecture. Dans l’enquête mondiale de Skillsoft, AWS Security – Specialty complète le sommet. Ne transpose pas ces chiffres tels quels sur ton marché local, mais la direction « management + risque + cloud » est universelle.

Mon avis subjectif et les ressources d’apprentissage que je recommande

Personnellement, je crois — peut-être à contre-courant de l’opinion dominante — que la meilleure base pour apprendre reste la rigueur académique. Avec des fondamentaux solides, les certifications commerciales viennent beaucoup plus facilement. Côté ressources commerciales, je ne recommande que celles que je connais bien moi-même (l’ordre n’est pas un hasard) :

• PentesterLab — la meilleure plateforme d’apprentissage que je connaisse. Louis Nyffenegger n’a pas seulement construit un endroit où pratiquer un nombre énorme de vulnérabilités : à beaucoup d’endroits, il explique en profondeur comment une vulnérabilité fonctionne réellement. Le même Louis que je cite plus haut — je recommande aussi de suivre sa réflexion sur l’IA dans le pentest.
• WebSecurityAcademy — une plateforme pratique et gratuite des créateurs de Burp Suite. Je ne connais pas de meilleure introduction à la sécurité des applications web.
• INE Security — les examens capturent bien l’essence du métier de pentester : au-delà d’obtenir « root », ce qui compte, c’est trouver toutes les vulnérabilités et écrire un rapport sensé.

Et de chez moi, de Pologne :

• Zaufana Trzecia Strona — cours et webinaires d’Adam Haertle
• Sekurak Academy — formations et webinaires de Sekurak
• Niebezpiecznik — formations
• Jakub Mrugalski / UW-TEAM — cours et ressources
• Security by Szurek — les contenus de Kacper Szurek

En résumé

Il y a deux ans, cet article se terminait par une liste de cours. Aujourd’hui, je le termine autrement, parce que l’époque est différente : les certifications ne sont pas mortes — elles ont changé de fonction. De ticket d’entrée, elles sont devenues un multiplicateur : elles amplifient celui qui a de la pratique, et elles masquent de plus en plus mal son absence. Alors ne choisis pas la certification la plus facile à décrocher — choisis celle dont le programme t’apprendra quelque chose que l’IA ne fera pas à ta place. Et ensuite, va faire le travail — labs, CTF, projets perso. Le papier peut attendre.

Et si tu représentes une entreprise et que, plutôt que de collectionner les certificats, tu préfères voir comment tes systèmes tiendraient face à un vrai attaquant — c’est exactement à ça que servent les tests d’intrusion. Chiffre un pentest dans le calculateur ou écris-moi tout simplement. 🔓

Sources 📚

• ISC2 Cybersecurity Workforce Study 2025 (lacunes de compétences, IA, voies d’entrée dans le secteur)
• Brynjolfsson, Chandar, Chen — « Canaries in the Coal Mine? », Stanford Digital Economy Lab, 2025 (−16% d’emploi chez les 22–25 ans dans les métiers exposés à l’IA)
• OffSec — « Everything you need to know about the OSCP+ » (l’OSCP+ et la validité de 3 ans)
• CompTIA — « Introducing SecurityX: CASP+ Gets an Update and Rebrand »
• EC-Council — annonce du CEH v13
• ISACA — AAIA (Advanced in AI Audit), AAISM (AI Security Management), CCOA
• ISC2 — clôture du programme 1 Million Certified in Cybersecurity
• Tarifs des examens ISC2 · Tarifs GIAC · Le nouveau parcours GSE — GIAC · CCSK v5 — CSA · CISA — ISACA
• CompTIA SecAI+ (CY0-001) · AWS Security – Specialty · Google Professional Cloud Security Engineer
• Skillsoft — Top-Paying IT Certifications 2025 (salaires par certification)
• CyberSeek — 514,359 postes ouverts, +12% sur un an (NIST, juin 2025) · BLS — Information Security Analysts (salaire médian, projection +29%)
• Les nouveaux joueurs : CPTS — HTB Academy · PNPT — TCM Security · CRTO — Zero-Point Security · BSCP — PortSwigger
• Nombres d’annonces et chiffres de salaires : ma propre analyse des annonces sur indeed.com (US) — avril 2024 et 9 août 2026, même méthodologie ; salaires = point médian des fourchettes indiquées dans les annonces (1,451 points de données issus de 2,000+ annonces), exprimés en USD par an ; chiffres 2024 convertis depuis mon analyse originale en PLN au taux NBP du 24 avril 2024 de 4.0417 PLN/USD

Mis à jour : août 2026. Version originale de cet article : avril 2024.