2026-06-12 · CRAFT · L'équipe d'Offensive Technology

Ce que prouvent réellement l'OSCP, l'OSEP et le CRTO

Les pages des équipes de sécurité regorgent d'acronymes. La plupart des acheteurs acquiescent sans s'attarder, car ces sigles ne veulent pas dire grand-chose si l'on ne connaît pas déjà le domaine. Mais ces certifications ne sont pas là pour faire joli. Chacune d'elles correspond à un examen exigeant qui valide une compétence précise. Voici leur explication en langage clair.

OSCP Vous savez compromettre un système à la main

L'OffSec Certified Professional constitue la référence du secteur pour le travail offensif pratique. C'est un examen pratique de 24 heures durant lequel vous devez compromettre de vraies machines et rédiger un rapport détaillé. Il est impossible de le réussir par simple mémorisation. Lorsqu'une personne détient l'OSCP, vous savez qu'elle est capable de trouver et d'exploiter concrètement des vulnérabilités, et pas seulement d'en parler.

OSEP Vous savez déjouer des défenses actives

L'OffSec Experienced Penetration Tester prend le relais là où s'arrête l’OSCP. Il met l'accent sur l'évasion et la profondeur : contournement d'antivirus et de protections d'endpoints, progression au sein d'un réseau et discrétion lors des opérations. L'OSEP prouve qu'un auditeur sait évoluer face à un environnement qui cherche activement à le détecter, exactement comme le ferait un attaquant réel.

CRTO Vous savez mener une véritable opération de red team

Le Certified Red Team Operator couvre l'intégralité d'une campagne : déploiement de l'infrastructure d'attaque, initiale foothold, élévation de privilèges et progression vers l'objectif à la manière d'un adversaire organisé. Là où l'OSCP prouve que vous savez compromettre une machine, le CRTO prouve que vous savez piloter toute l'opération au sein d'une entreprise défendue.

Deux types de certifications, et pourquoi la différence compte

Toutes les certifications en sécurité n'évaluent pas les mêmes compétences. Il existe globalement deux familles, et la confusion entre les deux induit souvent les acheteurs en erreur.

Les certifications ci-dessus sont pratiques. Elles s'obtiennent en passant un examen pratique chronométré où vous compromettez, ou non, les cibles. L'OSCP représente environ 24 heures au clavier face à des machines réelles, suivies d'un rapport écrit. L'OSEP, l'OSWE et l'OSED vous accordent chacun environ 48 heures face à des cibles réelles, puis 24 heures supplémentaires pour documenter vos actions. Le CRTO se déroule sur plusieurs jours au sein d'un réseau multi-domaine défendu, en utilisant les mêmes outils de command-and-control qu'un attaquant réel. Il n'y a pas de points accordés pour la théorie. Vous avez réussi à pénétrer ou non.

L'autre famille est axée sur les connaissances théoriques. Des certifications telles que le CISSP, CompTIA Security+ ou le CEH standard s'obtiennent en réussissant un examen théorique, en grande partie sous forme de QCM. Elles ont leur utilité : le CISSP atteste d'une solide culture en gouvernance, gestion des risques et architecture, ce qui correspond exactement aux attentes pour des postes de management ou de conformité. En revanche, un examen théorique ne prouve pas que son titulaire sait identifier et exploiter une vulnérabilité en conditions réelles, et ce n'est d'ailleurs pas son objectif.

Aucune famille n'est meilleure dans l'absolu, elles répondent à des besoins différents. Lorsque vous achetez une prestation offensive, qu'il s'agisse d'un test ciblé ou d'une opération de red team complète, la question essentielle est de savoir si cet intervenant est réellement capable de s'introduire dans votre système. C'est précisément ce que visent à démontrer les certifications pratiques.

Ce que prouve chaque certification, en une ligne

Si vous ne devez retenir qu'une chose par acronyme, retenez ceci :

• OSCP : sait identifier et exploiter manuellement des vulnérabilités sur des hôtes réseau réels.
• OSWE : sait analyser le code source d'une application et transformer une faille en un exploit fonctionnel.
• OSEP : sait contourner les défenses réseau et d'endpoints, et se déplacer au sein d'un réseau sans se faire détecter.
• OSED : sait concevoir un exploit fonctionnel au niveau binaire, en déjouant les protections mémoire modernes.
• CRTO : sait planifier et exécuter une opération red team complète face à une entreprise défendue.
• BSCP : sait tester et exploiter des applications web de manière systématique, de bout en bout.

Pourquoi cela importe pour vous

Les certifications ne font pas tout, et quiconque vous affirme le contraire cherche à vous vendre quelque chose. L'expérience et le sens critique restent primordiaux. Mais ces certifications spécifiques sont pratiques : elles s'obtiennent en compromettant de vrais systèmes en conditions d'examen, et non en répondant à un QCM. Lorsque vous les voyez, vous faites face à des professionnels qui ont prouvé leur maîtrise technique du terrain, et pas seulement révisé la théorie.

C'est l'exigence que nous nous imposons, et c'est pourquoi un auditeur senior participe à chaque restitution que nous livrons.

Ce qu'une certification ne peut pas vous dire

Une certification est un indicateur fort, pas une garantie, et la considérer comme telle serait une erreur. Voici quatre points qu'elle ne garantit pas :

• C'est une photographie à un instant T. Une personne a réussi un examen exigeant un jour donné. Les compétences offensives ne restent aiguisées qu'avec une pratique régulière, et certaines certifications imposent désormais un renouvellement pour cette raison précise. Demandez quels types de tests l'intervenant a réalisés récemment, et pas seulement les titres qu'il détient.
• La compétence technique n'est pas le sens de la mesure. Compromettre une machine en examen est une compétence différente de celle qui consiste à définir le périmètre d'une intervention réelle, à respecter une autorisation écrite, et à rédiger une vulnérabilité qu'un développeur pourra réellement corriger.
• Un logo concerne une équipe, pas votre mission. Une série d'acronymes sur le site d'une entreprise ne vous indique pas qui interviendra sur votre projet. Demandez qui réalise le travail et qui le contrôle. Le prix plancher du marché est fixé par le taux journalier des profils seniors, ce qu'il convient de garder à l'esprit lorsque vous analysez un devis de pentest.
• Aucune certification ne couvre tout. Le réseau, le web, le binaire et les campagnes globales sont des disciplines distinctes. La valeur réside dans la complémentarité de l'ensemble, c'est pourquoi l'éventail global importe plus qu'une ligne prise isolément.

Certifications en sécurité : réponses rapides

Quelle est la différence entre l'OSCP et le CRTO ?

L'OSCP prouve qu'un auditeur sait identifier et exploiter manuellement des vulnérabilités sur des systèmes individuels. Le CRTO prouve qu'il sait planifier et mener une opération red team complète : déployer une infrastructure d'attaque et progresser vers un objectif à travers un réseau d'entreprise défendu. L'OSCP concerne la compromission d'une machine ; le CRTO concerne la conduite de la campagne globale.

L'OSCP est-elle une bonne certification ?

Oui, en tant que preuve pratique de compétences techniques sur le terrain. Il s'agit d'un examen d'environ 24 heures où vous compromettez des machines réelles et documentez votre démarche. Il ne peut être réussi par cœur et est largement considéré comme le standard de base pour le travail offensif. Comme toute certification individuelle, elle ne garantit pas à elle seule le sens de la mesure ou une expérience récente.

Quelle est la différence entre une certification pratique et une certification théorique ?

Une certification pratique s'obtient via un examen technique chronométré face à des cibles réelles, sans aucun point accordé à la théorie. Une certification théorique, comme le CISSP ou le CEH standard, s'obtient via un examen portant sur des concepts de sécurité. Les deux ont leur utilité, mais seuls les examens pratiques démontrent que leur titulaire est réellement capable de s'introduire dans un système.

Les certifications garantissent-elles un bon test d'intrusion ?

Non. Elles constituent une preuve solide de compétence, mais un certificat n'est qu'une photographie des capacités le jour de l'examen et ne dit rien sur la personne réellement assignée à votre mission, ni sur la qualité du cadrage ou du rapport. Demandez qui réalise et révise le travail, et exigez un exemple de rapport anonymisé plutôt qu'une simple liste de diplômes.

Articles connexes

• Pourquoi chaque mission commence par une signature
• Contrôle, scan ou pentest complet ?