Comment écrire un CV en cybersécurité sans expérience ?

Les recruteurs en sécurité n'attendent pas des candidats juniors d'avoir un historique d'emploi dans le domaine. Ce qu'ils vérifient, c'est si vous avez réellement appris, pas juste affirmé votre intérêt. Le CV est votre preuve.

Commencez par un bloc compétences et projets, pas un paragraphe d'introduction

Oubliez la phrase générique « professionnel motivé cherchant des opportunités ». Elle ne dit rien et gaspille l'espace le plus visible de la page. À la place, mettez un court bloc sous votre nom et vos coordonnées listant les outils et domaines concrets : « Nmap, Wireshark, Burp Suite, Splunk, scripts Python, administration Windows/Linux, Top 1% TryHackMe, OSCP en cours. » Un recruteur parcourant cinquante CV décide en environ six secondes s'il continue — donnez-lui les mots-clés immédiatement.

Transformez les labs et CTF en rubriques de CV, pas en loisirs

N'enterrez pas votre travail pratique dans une section « loisirs » en bas. Si vous avez complété le parcours SOC Level 1 de TryHackMe, construit un lab maison avec pfSense et un SIEM, ou placé dans un CTF, écrivez-le comme un projet :

• « Construit un lab SOC maison utilisant Security Onion et Sysmon pour détecter et analyser des attaques simulées (Atomic Red Team), en rédigeant des notes de détection pour chaque technique testée. »
• « Complété 40+ salles TryHackMe couvrant les attaques Active Directory, l'exploitation web et l'analyse de logs ; documenté la méthodologie et les résultats pour chacune. »

Cela fait deux choses : cela montre l'initiative, et cela donne aux intervieweurs quelque chose de précis à demander, ce qui joue en votre faveur parce que vous maîtrisez ces projets.

Traduisez votre ancien emploi en langage sécurité, honnêtement

Si vous venez du support IT, de l'administration réseau, ou même d'un domaine sans rapport, traduisez ce que vous avez réellement fait en termes qu'une équipe sécurité reconnaît. Un technicien helpdesk qui a trié les emails de phishing, coordonné avec la sécurité IT pour réinitialiser 15+ comptes compromis et soutenu le déploiement d'une MFA a une expérience réelle adjacent aux équipes défensives — dites-le directement : « Trié les emails de phishing signalés par les utilisateurs, coordonné avec la sécurité IT pour réinitialiser 15+ comptes compromis, et soutenu le déploiement d'une MFA à l'échelle de l'organisation. » Ne gonflez pas un titre de poste et ne prétendez pas avoir fait de la réponse d'incident si ce n'est pas le cas. Les recruteurs et interviewers trouveront le manque rapidement, et cela vous coûte en crédibilité pour le reste de la conversation.

Les certifications doivent être près du haut, mais ne commencez pas avec des acronymes seuls

Security+, Network+, ou une note OSCP-en-cours compte et doit être visible sans scroll. Mais une liste d'acronymes sans contexte paraît léger. Associez les certs à ce que vous avez fait pour les obtenir ou ce qui a suivi : « CompTIA Security+ (2024) — suivi d'une pratique pratique sur le parcours Jr Penetration Tester de TryHackMe pour renforcer les concepts d'examen avec des outils réels. » Cette phrase dit à un recruteur que vous ne collectionnez pas juste des certs, vous appliquez leur contenu.

Une page, sauf si vous avez réellement plus à dire

Pour quiconque avec moins de cinq ans d'expérience professionnelle, une page est standard. Remplir un CV de deux pages avec des tirets gonflés pour paraître expérimenté se retourne contre vous — cela dilue les lignes fortes avec les faibles. Supprimez tout ce qui ne correspond pas à la description de poste devant vous. Adaptez par application : si l'annonce souligne SIEM et l'analyse de logs, votre projet Splunk monte au-dessus de votre formation réseau, pas l'inverse.

La candidature elle-même : lettres de motivation et réalité ATS

La plupart des entreprises de taille moyenne et grande traitent les CV par un système de suivi des candidatures avant qu'un humain ne les voit. Cela signifie que correspondre au langage de l'offre d'emploi compte plus que des phrases astucieuses. Si l'annonce dit « gestion des vulnérabilités », utilisez cette phrase exacte quelque part si c'est vrai de votre expérience, plutôt qu'un synonyme comme « suivi des patchs ».

Une courte lettre de motivation (trois à quatre phrases) aide toujours pour les petites entreprises et les recommandations, même si les grandes entreprises les lisent à peine. Utilisez-la pour expliquer directement une reconversion plutôt que d'espérer que le CV parle de lui-même : « Après cinq ans en administration réseau, je me suis orienté vers les opérations sécurité, en accumulant une expérience pratique via l'ingénierie de détection en lab maison et en complétant Security+ et le parcours SOC de TryHackMe. Je cherche à apporter ce background à un rôle d'analyste SOC Tier 1. » C'est une phrase de contexte, pas un CV réécrit en forme de paragraphe.

Les recommandations battent les candidatures froides, à chaque fois

Candidater à froid via une page Carrières a un faible taux de réponse presque partout, sécurité comprise. Les commentaires LinkedIn, les rencontres sécurité locales, et les communautés Discord liées aux certifications ou aux plateformes CTF mènent à de vraies recommandations bien plus souvent qu'un CV parfait seul. Traitez le CV comme nécessaire mais non suffisant — il ouvre la porte une fois que quelqu'un le regarde.

Pour plus d'informations sur la constitution de l'expérience pratique qui remplit réellement ce CV, consultez les segments Breaking In et Certifications de Korra Studio.