CTF et recrutement : ce qu'un classement dit (et ne dit pas)

Un candidat indique sur son CV qu'il figure dans le haut d'un classement de CTF, ou que son équipe a remporté une compétition étudiante. C'est un signal intéressant, mais que vaut-il vraiment pour le poste que vous ouvrez ? Cet article vous aide à lire une expérience de CTF avec justesse : ni la surestimer, ni l'ignorer, et surtout savoir quelles questions poser pour en tirer une information utile.

Ce qu'est un CTF, en quelques lignes

Un CTF (« Capture The Flag ») est une compétition de sécurité dans laquelle les participants résolvent des épreuves pour récupérer des « flags », des chaînes de caractères qui prouvent la résolution. Il en existe plusieurs formats.

• Jeopardy : une liste d'épreuves indépendantes, classées par catégorie et par difficulté. C'est le format le plus répandu.
• Attaque-défense : chaque équipe protège ses propres services tout en attaquant ceux des autres. Le format est plus proche d'une situation opérationnelle, mais plus rare.
• Plateformes d'entraînement permanentes : des machines et des challenges disponibles en continu, avec un classement qui récompense surtout la régularité.

Les catégories habituelles sont le web, l'exploitation binaire (souvent appelée « pwn »), la rétro-ingénierie, la cryptographie, la forensique, l'OSINT et une catégorie « divers ». Certaines compétitions proposent aussi des épreuves orientées défense : analyse de journaux, investigation, détection.

Ce qu'un bon classement prouve

Un résultat de CTF n'est pas un détail de CV. Il dit plusieurs choses solides sur une personne.

• Une pratique réelle. On ne se classe pas sans avoir passé des heures à chercher, échouer et recommencer. C'est une preuve de pratique, pas seulement de connaissances théoriques.
• De la curiosité et de la persévérance. Une épreuve difficile peut demander une nuit entière sur un détail. Cette ténacité se retrouve dans le travail de pentest, de recherche de vulnérabilités ou d'investigation.
• La capacité à apprendre vite. Beaucoup d'épreuves portent sur une technologie que le participant ne connaissait pas le matin même. Savoir se documenter rapidement est une compétence centrale en sécurité.
• Un ancrage dans la communauté. Les joueurs réguliers échangent, publient des write-ups et suivent l'actualité technique. C'est souvent un bon indicateur de motivation durable.

Pour un profil junior ou en reconversion, sans expérience professionnelle en sécurité, c'est parfois la meilleure preuve disponible. Notre guide pour évaluer le potentiel d'un junior en cybersécurité détaille les autres signaux à rechercher.

Ce qu'un classement ne dit pas

Le même classement laisse dans l'ombre une grande partie de ce qu'un poste exige. Les angles morts sont prévisibles.

Trois points méritent une attention particulière.

Le jeu d'équipe. Beaucoup de compétitions se jouent en équipe. Un excellent classement peut reposer sur deux ou trois membres très forts. Il faut donc toujours revenir à ce que le candidat a résolu lui-même.

L'écart avec le métier. Une épreuve de cryptographie avancée ou d'exploitation de binaire obscur dit peu de choses sur la capacité à qualifier des alertes dans un SOC ou à mener un audit de configuration cloud. Le CTF valide une pratique, pas forcément celle de votre poste.

L'absence de livrable. En CTF, le flag suffit. En mission, le résultat est un rapport, une recommandation, une décision. La capacité à expliquer clairement ce qu'on a trouvé est une autre compétence, que le classement ne mesure pas.

Lire un CTF selon le poste

La valeur d'une expérience CTF dépend beaucoup du rôle à pourvoir. Voici une grille de lecture simple.

• Pentester, red teamer : les catégories web, exploitation et Active Directory sont directement pertinentes. Vérifiez la méthode et la qualité de restitution. Voir notre guide pour recruter un pentester.
• Analyste SOC, réponse à incident : les épreuves de forensique, d'analyse de journaux et de détection sont les plus parlantes. Un profil purement offensif reste intéressant, mais il faudra vérifier sa démarche défensive.
• Sécurité applicative : les épreuves web et de revue de code sont utiles, à condition que le candidat sache aussi proposer une correction, pas seulement exploiter une faille.
• GRC, RSSI : le CTF est un signal de curiosité technique, rarement un critère. Ne pénalisez pas son absence.

Dans tous les cas, l'absence de CTF ne doit pas être un motif d'exclusion. Beaucoup d'excellents professionnels n'y ont jamais joué, faute de temps ou d'intérêt pour la compétition. Notre article sur la diversité des profils en cybersécurité explique comment éviter ce type de filtre.

Les questions à poser en entretien

Une expérience de CTF devient vraiment informative quand on la fait raconter. Quelques questions suffisent.

1. Quelle épreuve avez-vous résolue seul et dont vous êtes le plus fier ? Demandez-lui de la dérouler étape par étape.
2. Où avez-vous bloqué, et comment vous en êtes-vous sorti ? La réponse montre la méthode et l'honnêteté.
3. Quel était votre rôle dans l'équipe ? Spécialiste d'une catégorie, coordination, partage des tâches.
4. Avez-vous publié des write-ups ? Lire un write-up donne un aperçu direct de la qualité d'écriture et de raisonnement.
5. Comment transposeriez-vous cette technique sur un vrai périmètre ? C'est la question qui fait le lien entre le jeu et le métier : autorisation, impact, restitution.

Les bons candidats parlent de leur démarche avec précision, reconnaissent ce qu'ils n'ont pas su faire et font eux-mêmes la différence entre une compétition et une mission. Si vous n'êtes pas spécialiste, notre guide pour structurer un entretien technique sans être expert vous donne une trame.

Les erreurs à éviter

• Exiger un classement. C'est écarter des profils solides qui n'ont jamais fait de compétition.
• Comparer des classements entre eux. Les compétitions n'ont ni la même difficulté ni le même public. Un rang n'a de sens que dans son contexte.
• Remplacer l'évaluation par le CTF. Un classement oriente le tri, il ne dispense pas d'une évaluation sur un cas proche du poste.
• Confondre vitesse et qualité. En mission, la rigueur et l'exhaustivité comptent souvent plus que la rapidité.
• Utiliser une épreuve de CTF publique comme test. Les solutions circulent en ligne : vous mesureriez la capacité à chercher un write-up, pas à résoudre le problème.

Du CTF au lab pratique

Le meilleur usage d'une expérience CTF est de s'en servir comme point de départ, puis de vérifier ce qu'elle annonce sur un exercice construit autour du poste. Un lab pratique reprend ce que le CTF a de bon (agir dans un environnement réaliste) et ajoute ce qui lui manque : un périmètre défini, un contexte métier, un livrable à rédiger.

C'est l'approche de Cyber Recrut : nos candidats présélectionnés prouvent leurs compétences sur des labs pratiques adaptés au poste, et un praticien de la sécurité examine leur démarche autant que leur résultat. Pour concevoir votre propre exercice, notre article sur l'évaluation des compétences au-delà du CV propose un modèle de grille de notation.

En résumé

Un bon classement de CTF prouve une pratique réelle, de la curiosité et une capacité à apprendre vite. Il ne dit rien, à lui seul, de la contribution personnelle, du respect d'un périmètre, de la méthode sur la durée ni de la qualité de restitution. Traitez-le comme un signal fort à creuser en entretien, jamais comme un critère d'exclusion ni comme une évaluation suffisante.

Vous recrutez un profil technique et voulez dépasser les classements et les mots-clés ? Parlez-nous de votre besoin. Chaque recherche est menée par un recruteur et un praticien de la sécurité, avec une évaluation pratique sur un cas proche de votre poste. Découvrez notre processus.