Un testeur QA peut-il se réorienter vers la cybersécurité ?

Les testeurs QA pensent déjà comme des attaquants plus qu'ils ne le réalisent. Casser des logiciels, trouver des cas limites, rédiger des étapes de reproduction précises et retracer les défauts jusqu'à leur cause racine sont les mêmes instincts dont les équipes de sécurité ont besoin. Le passage du QA à la sécurité est moins un saut que de passer, par exemple, de la comptabilité, mais il faut combler des lacunes spécifiques.

Ce qui se transfère déjà

Si vous avez passé du temps en QA, vous avez déjà :

• Des compétences en conception de cas de test qui correspondent directement à la rédaction de plans de test de sécurité et de cas d'abus
• Une familiarité avec le SDLC et CI/CD qui vous aide à comprendre où insérer des vérifications de sécurité (SAST, DAST, analyse des dépendances)
• Une discipline de suivi des bugs dans des outils comme Jira, qui est pratiquement identique aux flux de gestion des vulnérabilités
• Des habitudes de test de régression qui se transposent bien à la vérification des corrections pour les vulnérabilités signalées
• Une expérience de test d'API et d'interface utilisateur utilisant Postman, Selenium ou Cypress, qui chevauche largement la façon dont les testeurs AppSec recherchent les injections, l'authentification cassée et les défauts logiques

Si vous avez fait du test exploratoire ou négatif (en envoyant délibérément des entrées malformées, en testant les conditions limites, en essayant de casser la logique de validation), vous avez déjà fait une forme rudimentaire de test de sécurité sans l'étiquette.

Les lacunes à combler

Le test QA suppose généralement que l'application est censée fonctionner d'une certaine manière et que vous vérifiez la correction fonctionnelle. Le test de sécurité suppose qu'un adversaire essaie activement de subvertir cette logique. Vous devez développer :

• Les fondamentaux HTTP à un niveau plus approfondi — codes de statut, en-têtes, cookies, CORS, et comment les sessions fonctionnent réellement sous le capot
• Le Top 10 OWASP sur le bout des doigts : injection SQL, XSS, SSRF, contrôle d'accès cassé, désérialisation non sécurisée
• Les bases du réseau : TCP/IP, DNS, poignées de main TLS, comment un proxy comme Burp Suite intercepte et manipule le trafic
• Les scripts, de préférence Python ou Bash, pour pouvoir automatiser les tests répétitifs et rédiger de petits PoCs d'exploitation
• L'aisance avec la ligne de commande Linux puisque la plupart des outils de sécurité supposent que vous n'avez pas peur d'un terminal

Un parcours d'étude concret

Commencez par la Web Security Academy de PortSwigger — c'est gratuit et vous guide à travers chaque catégorie OWASP avec des labs pratiques utilisant Burp Suite. Associez cela à TryHackMe de