Un pentest (penetration test, « test d'intrusion ») est un audit de sécurité offensif au cours duquel un expert, avec une autorisation écrite, attaque une cible (application web, API, application mobile, réseau, environnement cloud) pour trouver les failles exploitables avant un attaquant.
On distingue trois approches selon l'information fournie : black box (aucun accès de départ), grey box (accès limité, par exemple un compte utilisateur) et white box (accès au code et à la documentation). Le livrable est un rapport qui classe les failles par gravité, avec les preuves d'exploitation et les corrections recommandées.
Le pentest complète les outils automatiques (SAST, DAST), les programmes de bug bounty et les audits de configuration. Il est souvent exigé par les clients grands comptes et par les démarches de conformité.
Pourquoi ça compte quand on recrute
Pour un pentester, les certifications pratiques (OSCP et équivalents) et les classements sur des plateformes d'entraînement sont de bons premiers filtres, mais rien ne remplace un extrait de rapport ou un exercice concret. Distinguez le pentester, qui teste ponctuellement, de l'AppSec Engineer, qui intègre la sécurité dans le développement au quotidien.