TryHackMe vs HackTheBox : par où commencer pour les débutants ?

Chaque débutant en cybersécurité arrive au même carrefour dans son premier mois : TryHackMe ou HackTheBox ? Les deux sont des plateformes légitimes avec de vraies machines à pirater, mais elles sont construites pour des stades différents de la courbe d'apprentissage, et choisir la mauvaise en premier peut vous ralentir ou vous faire abandonner.

Ce que TryHackMe vous offre réellement

TryHackMe est structuré autour de salles guidées. Des salles comme « Linux Fundamentals » ou « Web Fundamentals » vous font avancer dans les concepts étape par étape, souvent avec des questions intégrées qui vous forcent à lire réellement le matériel au lieu de le survoler pour trouver un flag. Les chemins d'apprentissage (Pre Security, Cyber Security 101, Jr Penetration Tester) chaînent les salles ensemble pour former quelque chose qui ressemble à un cursus.

C'est important si vous ne savez pas encore ce qu'est un reverse shell, comment fonctionne SSH, ou pourquoi nmap -sV vous donne un résultat différent de nmap -sC. TryHackMe suppose que vous pourriez ne pas savoir, et il vous l'explique. Le niveau gratuit est suffisamment généreux pour passer par beaucoup du contenu fondamental avant d'avoir besoin d'un abonnement.

Ce que HackTheBox attend de vous

HackTheBox n'offre presque aucune assistance par défaut. Vous obtenez une adresse IP et un nom de machine (les boîtes retirées ont des writeups disponibles ; les actives non). Pas d'indices à moins de les payer ou de fouiller les serveurs Discord communautaires. La philosophie est la loi de la jungle : vous êtes censé faire des recherches Google, lire la documentation, et assembler une chaîne d'attaque à partir d'informations partielles.

C'est plus proche de ce qu'un vrai test de pénétration ou une compétition CTF ressemble. Les machines sont aussi notées par difficulté (Easy, Medium, Hard, Insane) et étiquetées par technique, donc une fois que vous savez à peu près ce que vous faites, vous pouvez vous entraîner sur des compétences spécifiques comme l'énumération Active Directory ou l'escalade de privilèges Windows.

La différence qui compte vraiment

Cela revient à l'échafaudage. TryHackMe vous donne l'échelle. HackTheBox vous donne le mur et vous dit que l'équipement d'escalade existe quelque part. Ni l'un ni l'autre n'est objectivement meilleur, ils résolvent des problèmes différents. Un total débutant jeté dans HackTheBox sans expérience Linux passera trois heures juste à figurer comment utiliser gobuster correctement, et pas d'une manière productive, plutôt d'une manière frustrante qui tue la motivation. En même temps, quelqu'un qui a passé six mois à faire uniquement des salles TryHackMe guidées peut frapper un mur sur HackTheBox parce qu'ils n'ont jamais eu à énumérer une cible sans une checklist leur disant quel outil exécuter ensuite.

Une séquence réaliste

Commencez par les chemins Pre Security et Cyber Security 101 de TryHackMe si vous ne connaissez pas déjà les bases du réseau (TCP/IP, ports, DNS) et la ligne de commande Linux basique. Prévoyez quelques semaines ici, pas des mois. Bâcler cette étape signifie que vous ferez de la reconnaissance de motifs sur les commandes sans comprendre ce qu'elles font, ce qui s'écroule dès qu'une machine dévie du script du tutoriel.

Une fois que vous pouvez énumérer confortablement une box avec nmap, identifier une version de service, et rechercher un exploit correspondant sur Exploit-DB ou searchsploit sans qu'on vous le dise, passez aux salles du chemin offensif de TryHackMe (comme celles couvrant OWASP Top 10) et commencez à mélanger la piste Starting Point de HackTheBox, qui est la propre réponse de HTB à