Se lancer dans le test d’intrusion (pentest), c’est excitant. Mais la plupart des débutants commettent les mêmes erreurs — certaines font perdre des mois, d’autres peuvent coûter très cher, y compris devant la justice. Voici les 10 pièges les plus fréquents chez nos apprenants, et comment les éviter dès le départ.

1 Attaquer sans autorisation écrite

C’est l’erreur la plus grave. Tester un système qui ne vous appartient pas « juste pour voir » n’est pas un exercice d’apprentissage : c’est une infraction. En RDC, la Loi n° 23/010 sur le numérique réprime l’accès et le maintien frauduleux dans un système informatique. Un hacker éthique n’agit jamais sans autorisation écrite et périmètre défini. Pas d’autorisation, pas de test.

2 Sauter les fondamentaux réseau

Beaucoup veulent lancer des exploits avant de comprendre le modèle TCP/IP, le routage ou le DNS. Résultat : ils utilisent des outils sans comprendre ce qu’ils font. Les bases réseau (niveau CCNA) ne sont pas optionnelles — elles sont le socle sur lequel repose tout le pentest.

3 Se jeter sur les outils avant la méthodologie

Nmap, Metasploit, Burp Suite… ces outils sont puissants, mais un pentest n’est pas une collection d’outils : c’est une méthodologie. Reconnaissance, scan, énumération, exploitation, post-exploitation, rapport. Sans cette structure, on tourne en rond et on passe à côté de l’essentiel.

4 Négliger la phase de reconnaissance

Les débutants veulent « hacker » tout de suite et bâclent la reconnaissance. Or 80 % d’un bon test se joue avant la moindre attaque : comprendre la cible, sa surface d’exposition, ses technologies. Plus la reconnaissance est solide, plus l’exploitation est simple.

5 Confondre un scanner de vulnérabilités avec un pentest

Lancer un scanner automatique et remettre son rapport brut, ce n’est pas un pentest — c’est un point de départ. La valeur d’un pentester, c’est de valider manuellement les failles, d’écarter les faux positifs et de démontrer l’impact réel.

6 Ne pas documenter au fur et à mesure

« Je noterai plus tard » est un piège classique. Au moment du rapport, on ne se souvient plus des commandes, des captures, des preuves. Documentez pendant le test : captures d’écran, commandes, horodatages. Votre rapport est votre produit final.

7 Sous-estimer le rapport

Un client ne paie pas pour un accès root : il paie pour comprendre ses risques et savoir quoi corriger. Un rapport clair, hiérarchisé (criticité, impact, remédiation), vaut plus que dix exploits mal expliqués. C’est souvent ce qui distingue un amateur d’un professionnel.

8 Ignorer les contre-mesures (le côté défense)

Apprendre à attaquer sans apprendre à défendre, c’est la moitié du métier. Les meilleurs pentesters comprennent les défenses — pare-feu, IDS, durcissement — parce que c’est exactement ce qu’ils aident leurs clients à améliorer. Le hacking éthique sert à protéger.

9 S’entraîner uniquement sur la théorie

On ne devient pas pentester en regardant des vidéos. Il faut pratiquer sur des labs — des environnements légaux conçus pour ça. La compétence vient des mains sur le clavier, dans des conditions réalistes, répétées jusqu’à ce que ça devienne un réflexe.

10 Vouloir tout apprendre seul, sans cadre

Internet regorge de ressources, mais éparpillées, souvent en anglais, sans progression. Résultat : on s’épuise, on saute des étapes, on abandonne. Un parcours structuré et un mentor qui corrige vos erreurs vous font gagner des mois — et vous évitent de mauvaises habitudes difficiles à désapprendre.

En résumé

Le pentest est un métier exigeant, méthodique et profondément éthique. Les erreurs ci-dessus ont toutes la même racine : vouloir aller trop vite, sans cadre. La bonne nouvelle, c’est qu’elles s’évitent toutes avec une formation structurée et de la pratique encadrée.