Théme de la semaine : Exploitation
Accueil • Cybersécurité : guide complet et tutoriels

Guide complet

Apprendre la Cybersécurité

Apprenez la cybersécurité Web, la cryptographie et le pentest éthique grâce à un parcours progressif. Ces tutoriels expliquent les vulnérabilités, la protection des applications et les outils d’audit à pratiquer uniquement sur vos propres systèmes ou avec une autorisation explicite.

121 tutorielsMis à jour le

La cybersécurité Web

La cybersécurité regroupe les méthodes utilisées pour protéger les sites, applications, serveurs, réseaux et données. Elle consiste à comprendre le fonctionnement normal d’un système, à repérer ses faiblesses puis à appliquer des protections adaptées avant qu’un attaquant ne puisse les exploiter.

Nos tutoriels sont classés dans un ordre d’apprentissage logique. Commencez par les bases du réseau et de Linux, sécurisez ensuite vos applications Web, découvrez la cryptographie et les principales vulnérabilités, puis entraînez-vous au pentest dans un laboratoire volontairement vulnérable et strictement autorisé.

« En cybersécurité, comprendre une attaque sert d’abord à mieux prévenir, détecter et corriger la vulnérabilité qui la rend possible. »Principe de défense en profondeur

Apprendre

Progressez par étape

Protéger

Sécurisez vos sites

Détecter

Repérez les failles

Attaquer

Testez vos systèmes

Parcours conseillé

Apprendre dans le bon ordre

  1. 01Comprendre les basesRéseau, Linux, SSH et environnement de test.
  2. 02Protéger le WebHTTP, sessions, données, uploads et mots de passe.
  3. 03Étudier les faillesInjections, inclusions, CSRF, RCE et zero-day.
  4. 04Apprendre l’auditReconnaissance, analyse réseau et outils OWASP.
  5. 05Pratiquer légalementDVWA, exercices guidés et rapports de correction.
Commencez le parcours

Phases principales

Les outils de référence

2. Analyse / Scan

4. Rapport

  • Dradis
  • Faraday
  • PlexTrac
  • Obsidian
  • PwnDoc
Tous les outils pentest

La bibliothèque

Tous les tutoriels Cybersécurité

01

Fondamentaux

Bases des réseaux, systèmes, vocabulaire et principes de cybersécurité.

13 tutoriels
Les 4 phases du pentestingSuivez les quatre phases d’un test d’intrusion, du cadrage initial au rapport de correction.Reconnaissance Les outils essentiels de PentestingDécouvrez une sélection structurée d’outils pour préparer, exécuter et documenter un pentest autorisé.Reconnaissance White Hat et Black HatDécouvrez ce qui distingue ces hackers, leurs motivations et leurs méthodesDéfinition Les 7 couches du modèle OSIComprenez les sept couches réseau et situez chaque protocole ou attaque dans une architecture claire.Débutant Lire et écrire du binaireApprenez à lire et écrire des données binaires, une base utile pour comprendre fichiers, paquets et encodages.Débutant Dictionnaire du hackingMaîtrisez le vocabulaire indispensable du hacking éthique et des tests d’intrusion.Reconnaissance L’empreinte numérique uniqueDécouvrez les signaux qui rendent un navigateur identifiable et les moyens de limiter le pistage.Débutant Sécuriser ses connexion SSHDurcissez vos accès SSH avec des clés, une configuration adaptée et des contrôles contre les connexions abusives.Débutant Sécuriser son réseau Wi-FiSécurisez votre réseau sans fil, son chiffrement, son mot de passe et les appareils qui s’y connectent.Débutant Être anonyme sur internetComprenez les limites de l’anonymat en ligne et réduisez les traces laissées pendant votre navigation.Débutant Surfer sur le darkwebDécouvrez Tor et le dark web avec des précautions concrètes pour naviguer sans exposer votre système.Débutant Les distributions LinuxComparez les distributions Linux destinées à l’audit et choisissez un environnement adapté à votre apprentissage.Débutant Installer Kali sur un SSD externeInstallez Kali Linux sur un SSD externe pour disposer d’un laboratoire mobile et isolé.Débutant
02

Reconnaissance

Collecte d’informations, découverte de domaines et cartographie de la cible.

23 tutoriels
Reconnaissance : Aspirer un siteDécouvrez comment récupérer ses pages, ses ressources et repérer des informations utiles pour votre reconnaissance.Audit Reconnaissance : IP, DNS, MailApprenez à collecter ces indices pour préparer un pentesting méthodique.Audit Reconnaissance : Interprétation des informationsApprenez à interpréter vos résultats, analyser les métadonnées et recouper les indices.Audit ExifTool : Extraire métadonnéesExtrayez les métadonnées de documents et de photos pour enrichir une phase de reconnaissance.Reconnaissance Gau : Anciennes et urls cachéesRetrouvez des URL anciennes ou cachées afin de cartographier la surface d’exposition d’un site autorisé.Reconnaissance Holehe : Vérifier un mailVérifiez sur quels services une adresse e-mail semble utilisée dans le cadre d’une recherche autorisée.Reconnaissance Maigret : Rechercher un pseudoRecherchez la présence publique d’un pseudonyme sur plusieurs plateformes avec une méthode reproductible.Reconnaissance PhoneInfoGa : Info N° téléphoneAnalysez les informations publiques associées à un numéro de téléphone dans un cadre légal.Reconnaissance Recon-ng : Le guide completOrganisez une collecte d’informations modulaire avec Recon-ng et ses espaces de travail.Reconnaissance Sherlock : Rechercher un pseudoRecherchez la présence publique d’un pseudonyme sur plusieurs plateformes avec une méthode reproductible.Reconnaissance Shodan CLI : Rechercher IOTInterrogez Shodan depuis le terminal pour inventorier des services exposés dont vous avez l’autorisation.Reconnaissance TheHarvester : Collecte d’infosCollectez domaines, e-mails et hôtes publics pour préparer une reconnaissance passive.Reconnaissance WayBackUrls : Wayback MachineRetrouvez des URL anciennes ou cachées afin de cartographier la surface d’exposition d’un site autorisé.Reconnaissance Amass : Scan sous-domainesIdentifiez des sous-domaines publics afin de mieux cartographier une surface d’attaque autorisée.Reconnaissance AssetFinder : Ss-domaines publiquesIdentifiez des sous-domaines publics afin de mieux cartographier une surface d’attaque autorisée.Reconnaissance Chaos : BDD de sous-domainesInterrogez la base Chaos pour enrichir rapidement un inventaire de sous-domaines publics.Reconnaissance DNSX : Scan massif de DNSValidez et analysez de grandes listes d’hôtes DNS avec un outil conçu pour l’automatisation.Reconnaissance Hakrawler : Crawler site webParcourez un site autorisé pour découvrir ses liens, scripts et points d’entrée accessibles.Reconnaissance NSLookup : Adresse IP et DNSInterrogez le DNS pour retrouver les adresses et enregistrements associés à un domaine.Reconnaissance SubFinder : Scan sous-domainesIdentifiez des sous-domaines publics afin de mieux cartographier une surface d’attaque autorisée.Reconnaissance TorBot : Recherche réseau TorExplorez des ressources du réseau Tor dans le cadre d’une recherche légale et prudente.Reconnaissance goSearch : Vérifier compte hackéVérifiez si un identifiant public apparaît dans des fuites connues et sécurisez les comptes concernés.Pratique Hudson rock : Vérifier infostealerVérifiez si vos données apparaissent dans les journaux d’un infostealer et adoptez les bons réflexes.Débutant
03

Scan

Identification des ports, services et versions, énumération et recherche de vulnérabilités.

18 tutoriels
Le Scan : La phase d’analyseRepérez les machines accessibles, comprenez les ports ouverts et avancez dans vos analyses.Scan Le Scan des portsLe scan des ports est une étape clé du pentesting pour repérer les services exposés.Scan Le Scan des vulnérabilitésScanner les ports, identifier les services et rechercher des vulnérabilités.Scan Identifier une connexion SSHRepérez les services SSH avec Nmap et découvrez quelles machines acceptent des connexions SSH.Scan HTTPX : Scan massif de domaineVérifiez rapidement quels hôtes répondent en HTTP et récupérez leurs principales caractéristiques techniques.Analyse Dirsearch : Dossier et fichier cachéRecherchez dossiers et fichiers non référencés sur une cible de laboratoire ou explicitement autorisée.Audit Ffuf : Fuzzing webDécouvrez le fuzzing Web pour tester des chemins et paramètres dans un périmètre autorisé.Audit GoBuster : Scan dossier / fichierRecherchez dossiers et fichiers non référencés sur une cible de laboratoire ou explicitement autorisée.Audit Nessus : Scan des vulnérabilitésDécouvrez comment utiliser Nessus en test d’intrusion grâce à ce tutoriel complet.Audit Naabu : Scan des portsIdentifiez les ports ouverts et services accessibles afin d’établir une cartographie réseau fiable.Audit NMap : Scan des portsIdentifiez les ports ouverts et services accessibles afin d’établir une cartographie réseau fiable.Audit NikTo : Scan serveur webAnalysez la configuration d’un serveur Web et repérez plusieurs erreurs de sécurité connues.Audit TestSSL.sh : Audit SSL/TLSContrôlez protocoles, suites cryptographiques et certificats TLS exposés par un serveur.Audit WhatWeb : Audit technique siteIdentifiez les technologies utilisées par un site avant de choisir des vérifications adaptées.Audit WPScan : Analyse sécu WordpressAuditez un site WordPress autorisé, ses versions, extensions et principaux indicateurs de risque.Audit DalFox : Scan de failles XSSAnalysez les paramètres d’une application autorisée pour rechercher puis corriger des failles XSS.Pratique Nuclei : Audit sécuritéAutomatisez des contrôles de sécurité reproductibles avec les modèles de la communauté Nuclei.Pratique Owasp Zap : Détecter Faille XSSUtilisez OWASP ZAP pour rechercher des failles XSS dans une application dont vous contrôlez le périmètre.Pratique
04

Exploitation

Mise en pratique des techniques d’exploitation, validation des failles et post-exploitation.

14 tutoriels
La phase d’exploitation en pentestingLa phase d’exploitation révèle ce qu’une faille permet réellement de faire.Méthode Tester un formulaire de loginTestez la résistance d’un formulaire de laboratoire et comprenez les protections contre la force brute.Pratique Tester une connexion SSHDurcissez vos accès SSH avec des clés, une configuration adaptée et des contrôles contre les connexions abusives.Pratique BruteForceAI : Test de formulaireTestez un formulaire de laboratoire et étudiez les mécanismes de défense contre les attaques automatisées.Pratique Commix : Injection cmd systèmeDétectez une injection de commandes dans une application de test et comprenez comment la corriger.Pratique Créer votre WordlistConstruisez une liste de mots adaptée à un audit autorisé au lieu d’utiliser un dictionnaire générique.Reconnaissance Crunch : Générer une wordlistGénérez une wordlist ciblée pour vos exercices de laboratoire et audits explicitement autorisés.Pratique Hydra : Craquer un mot de passeComprenez les attaques par dictionnaire sur un service de laboratoire et les moyens de les bloquer.Pratique John the Ripper : Guide completAuditez hors ligne la robustesse de hashes de test et améliorez votre politique de mots de passe.Pratique SQLMap : Scan de failles SQLValidez une suspicion d’injection SQL sur un laboratoire puis appliquez les corrections côté application.Pratique rockyou.txt : Le fichier de pentestComprenez le rôle de la wordlist rockyou.txt et utilisez-la uniquement dans vos exercices autorisés.Pratique SecLists : compilation de wordlistsExplorez les listes SecLists et sélectionnez les données adaptées à chaque type de test autorisé.Pratique JWT_Tool : Tester un JWTAnalysez un JSON Web Token et testez sa configuration uniquement dans un environnement autorisé.Cryptographie Challenge : Craquer un hashRésolvez un challenge encadré pour comprendre la résistance d’un hash et l’importance des mots de passe forts.Cryptographie
05

Sécurité web

Applications web, API, authentification, sessions et protections.

16 tutoriels
Mon site web est-il piraté ?Repérez les signes d’une compromission, confirmez l’incident puis commencez à nettoyer votre site.Défense .htaccess : Bloquer accès dossiersBloquez l’accès direct aux dossiers sensibles et réduisez l’exposition des fichiers confidentiels sous Apache.Défense Bloquer les bots inutilesFiltrez les robots nuisibles sans bloquer les moteurs de recherche utiles ni dégrader votre référencement.Défense Bloquer certains user-agentRefusez certains user-agents avec prudence et comprenez les limites de ce filtrage côté serveur.Défense Analyser les en-têtes HTTPRécupérez et interprétez les en-têtes HTTP pour diagnostiquer la sécurité d’une réponse Web.Défense Sécuriser les Header HTTP en PHPAjoutez en PHP les principaux en-têtes de sécurité et réduisez plusieurs risques côté navigateur.Défense CSP : Content Security PolicyDéployez une politique CSP pour limiter les scripts, styles et ressources autorisés sur votre site.Défense Sécuriser une session PHPProtégez les sessions PHP contre le vol, la fixation et une mauvaise gestion des cookies.Défense Escaping et sanitization PHPNettoyez, validez et échappez les données au bon moment afin de bloquer les entrées dangereuses.Défense Upload de fichier sécurisé en PHPContrôlez le type, la taille, le nom et le stockage des fichiers envoyés par les utilisateurs.Défense Upload d’image sécurisé en PHPSécurisez un formulaire d’upload d’images avec vérifications MIME, renommage et stockage maîtrisé.Défense Sécuriser et stocker passwordStockez les mots de passe avec un algorithme de hachage moderne et une vérification sûre en PHP.Défense Hashé un mot de passeUtilisez password_hash et password_verify pour protéger correctement les mots de passe en PHP.Défense Le fichier .gitignoreExcluez secrets, configurations et fichiers sensibles avant de publier un dépôt Git.Défense L’anti-spam reCAPTCHA GoogleAjoutez reCAPTCHA pour freiner les soumissions automatisées sans remplacer les protections côté serveur.Vulnérabilité 10 Exercices sécurité webEntraînez-vous à repérer puis corriger des failles dans dix extraits de code PHP vulnérables.Pratique
06

Vulnérabilités

Explication des failles, de leurs causes, impacts et correctifs.

14 tutoriels
Les grandes familles des faillesDécouvrez les principales familles de vulnérabilités Web et les mécanismes qui les rendent possibles.Vulnérabilité 10 Failles les plus courantesPassez en revue dix vulnérabilités fréquentes et les protections prioritaires à appliquer.Vulnérabilité CVE et NVD : Base de données des vulnérabilitésDécouvrez comment CVE et NVD vous aident à comprendre les vulnérabilités informatiques.Vulnérabilité Clickjacking et CSRF : ProtectionComprenez le clickjacking et la falsification de requêtes, puis mettez en place leurs protections.Vulnérabilité InfoStealer : La menace discrèteDécouvrez comment un infostealer dérobe identifiants, cookies et données, puis comment réduire le risque.Vulnérabilité Injection SQL : Se protégerComprenez l’injection SQL et protégez vos requêtes avec des paramètres préparés et des droits limités.Vulnérabilité LFI : Local File InclusionAnalysez une inclusion locale de fichier, sa détection et les validations nécessaires pour la corriger.Vulnérabilité LDAP : Protocole des annuairesComprenez le protocole LDAP et les mauvaises constructions de requêtes qui peuvent exposer un annuaire.Vulnérabilité RCE : Remote Code ExecutionDécouvrez comment une exécution de code à distance survient, comment la détecter et la corriger.Vulnérabilité RFI : Remote File InclusionComprenez l’inclusion de fichiers distants et bloquez les entrées capables de charger du code externe.Vulnérabilité Zéro day : La faille inconnueComprenez ce qu’est une vulnérabilité zero-day et comment réduire l’exposition avant la publication d’un correctif.Vulnérabilité Protection faille cPanel 2026Découvrez Protection faille cPanel 2026 et appliquez cette notion dans un environnement de test légal et maîtrisé.Débutant Injection dans les méta-donnéesComprenez comment du code peut être dissimulé dans des métadonnées et comment contrôler les fichiers reçus.Débutant Attaque par DDoSComprenez le déni de service distribué, ses effets et les protections capables d’en limiter l’impact.Débutant
07

Pentesting

Méthodologie globale, cadrage, organisation d’un audit et rédaction du rapport.

10 tutoriels
Les outils ProjectDiscoveryExplorez la suite ProjectDiscovery pour automatiser reconnaissance, validation HTTP et recherche de vulnérabilités.Reconnaissance Les outils OwaspUtilisez les principaux projets OWASP pour analyser et améliorer la sécurité d’une application Web.Reconnaissance Bug Bounty : Hacker légalementComprenez le cadre légal du bug bounty et la manière de signaler une vulnérabilité de façon responsable.Reconnaissance Caido : l’outil polyvalentInterceptez et analysez les requêtes Web avec une plateforme moderne dédiée aux audits applicatifs.Audit Wireshark : Outil de sniffingCapturez et analysez le trafic réseau pour comprendre les protocoles et détecter des échanges suspects.Audit Metasploitable : Labo de PentestMetasploitable est la machine Linux idéale pour apprendre la cybersécurité sans prendre de risques.Pratique DVWA : Le tutoriel completInstallez et utilisez DVWA pour apprendre la sécurité Web sur une application volontairement vulnérable.Pratique DVWA : Modules et parcoursInstallez et utilisez DVWA pour apprendre la sécurité Web sur une application volontairement vulnérable.Pratique Bien utiliser DVWA + ExercicesInstallez et utilisez DVWA pour apprendre la sécurité Web sur une application volontairement vulnérable.Pratique Construire son MinilabConcevez un petit environnement personnel pour tester serveurs, réseaux et applications web.Minilab
08

Cryptographie

Chiffrement, hachage, signatures et certificats.

13 tutoriels
Introduction à la cryptographieDécouvrez les objectifs de la cryptographie et son rôle concret dans la protection des applications Web.Cryptographie Types de cryptographieDécouvrez les objectifs de la cryptographie et son rôle concret dans la protection des applications Web.Cryptographie HTTP vs HTTPSComprenez comment TLS protège les échanges HTTPS et ce qui distingue une connexion HTTP non chiffrée.Cryptographie BCrypt VS Argon2Comparez BCrypt et Argon2 pour choisir un hachage de mot de passe robuste et correctement paramétré.Cryptographie Chiffrer / Déchiffrer en JSChiffrez et déchiffrez un message en JavaScript tout en distinguant AES, encodage et gestion des clés.Cryptographie Empreinte SHA256Calculez une empreinte SHA-256 pour contrôler l’intégrité d’un fichier ou d’une donnée.Cryptographie OpenSSL et signatureManipulez clés publiques, clés privées et signatures numériques avec OpenSSL.Cryptographie Courbe elliptique EECDécouvrez les courbes elliptiques et leur intérêt pour obtenir une sécurité forte avec des clés compactes.Cryptographie Coder une messagerie chiffréeConstruisez une messagerie chiffrée en PHP et JavaScript pour appliquer les notions étudiées.Cryptographie Coder un token JWT en PHPCréez et sécurisez un JWT en PHP en contrôlant signature, durée de vie et validation des données.Cryptographie Vérification sha256sumCalculez une empreinte SHA-256 pour contrôler l’intégrité d’un fichier ou d’une donnée.Cryptographie CyberChef : La boite à outilsEncodez, décodez, transformez et analysez des données grâce aux recettes visuelles de CyberChef.Reconnaissance Stéganographie : code dans imageCachez puis détectez des données dans une image afin de comprendre les principes de la stéganographie.Débutant