C'est plus facile d'attaquer que de se défendre
Un lab n’est pas une production
En 2025 et 2026, j’ai suivi la formation PEN-200 d’OffSec. Je n’ai pas de certification à revendiquer au bout : c’est une formation, pas une expérience. Les labs Hack The Box ont servi de terrain d’exercice.
Ce que la formation a changé n’est pas une compétence que je peux cocher sur une ligne de CV. C’est une manière de lire un système, par ses points d’entrée et par ses versions. La formation ne m’a pas rendu plus rapide à casser quelque chose. Elle m’a rendu plus lent à faire confiance à une configuration.
Une faille n’est jamais seule
En lab, j’ai pu compromettre tout type d’application web, différents protocoles, des systèmes d’exploitation Linux et Windows ainsi que de l’Active Directory. Aucun pentest n’a été mené en production, et aucun système d’un client n’a été touché.
Ce que la formation enseigne, c’est que la faille d’entrée n’est jamais le but : elle donne un premier accès, puis on cherche un RCE, puis une escalade de privilèges, puis les droits admin de la machine, puis ceux du domaine. Le chemin ne tient pas à la chance : il tient à la méthode et au temps qu’on y passe.
J’ai adoré ça.
En production, je regarde les versions avant les attaquants
Chez Back Market, Renovate fusionnait automatiquement les mises à jour mineures et correctives. Les majeures restaient une décision manuelle, et les dépendances qui évoluent ensemble étaient regroupées dans une même pull request. Chez UKG, puis sur mes projets actuels, Dependabot a tenu ce rôle de 2020 à 2026.
Je regarde le Top 10 OWASP, et je patche vite dès qu’un correctif de sécurité sort. La configuration de Renovate et de Dependabot est un travail en soi : assez d’automatisation pour ne pas être bloqué au moment du correctif, sans passer par un provider spécialisé dont le coût ne se justifie pas sur mes projets. Une mise à jour mineure qui casse la production coûte plus cher que celle qu’elle corrige, et c’est pourquoi les majeures gardent une décision manuelle. Ce n’est pas de la sécurité spectaculaire. C’est du travail de fond, et il se démontre mal.
Une mise à jour qu’on repousse assez longtemps finit par être une décision. Je peux dire qu’elle est en place et qu’elle tourne sans moi.
La configuration, pas l’attaquant
Le vrai danger n’est pas l’attaquant. C’est la configuration et le manque de mises à jour, donc l’oubli et le peu de temps ou d’attention de ceux qui administrent et qui déploient.
Chez Jaccede, entre 2015 et 2020, Sentry était la seule instrumentation. Ni métriques, ni alertes, ni SLO ni SLA. Une erreur se découvrait une fois l’utilisateur touché. Le cycle qui a suivi était régulier : une 5xx arrivait par mail avec sa traceback, devenait un ticket, était corrigée, puis marquée résolue pour fermer toutes ses occurrences. Il commençait après l’incident. Le problème n’était pas l’outil. C’était le moment où il parlait.
Sur Medical Appointment, en 2026, la configuration est sortie dans un dépôt dédié, avec des charts Helm et ArgoCD. Un environnement se déploie de façon reproductible, sans script maison. Sur Interview Challenger, en 2025 et 2026, la mise en production attend une approbation humaine, les images sont taguées par SHA et la CI compte sept jobs. Chez UKG, de 2020 à 2024, la pile Python historique est restée en place : Elasticsearch est passé de la version 1 à la 8 à contrat fonctionnel constant, sans réécrire le produit.
Dans chacun de ces cas, le travail n’était pas de repousser un attaquant. C’était de réduire ce qui reste ouvert par oubli. La configuration et la mise à jour sont des décisions, pas des événements.
Ce que je ne sais pas
Aucune baisse d’incidents n’a été mesurée pour la politique de mises à jour. Je n’ai pas de chiffre à opposer à qui me demanderait si elle protège quelque chose, et je préfère le dire avant qu’on me le demande.
La fragilité que j’ai observée en lab reste une observation. Je n’ai ni échantillon ni mesure, et je ne transforme pas ce que j’ai vu sur ces machines en état du parc.
Le pentest, je ne l’ai pas mené, et la formation ne remplace pas cette expérience.
C’est plus facile d’attaquer que de se défendre.