Portfolio cybersécurité : quoi y mettre pour convaincre

En cybersécurité, un recruteur ou un praticien qui lit votre candidature se pose toujours la même question : cette personne sait-elle vraiment faire ce qu'elle écrit ? Un portfolio bien construit y répond avant même l'entretien. Voici ce qu'il doit contenir selon le poste visé, comment documenter chaque projet et les erreurs qui transforment une bonne intention en signal d'alerte.

À quoi sert un portfolio en cybersécurité

Le CV résume, le portfolio démontre. Votre CV cybersécurité annonce des compétences en quelques lignes ; le portfolio montre comment vous raisonnez, comment vous travaillez et comment vous écrivez.

Il est particulièrement utile dans trois situations :

Vous débutez et votre expérience professionnelle en sécurité est courte ou inexistante.
Vous êtes en reconversion et devez prouver que votre pratique dépasse la formation suivie.
Votre travail est confidentiel et vous ne pouvez rien montrer de vos missions passées.

Pour un profil confirmé, le portfolio reste un plus, mais il pèse moins que l'expérience. Quelques éléments bien choisis suffisent.

Gardez une idée en tête : un portfolio n'est pas une vitrine, c'est un dossier de preuves. Mieux vaut trois projets solides que vingt dépôts abandonnés.

Ce qu'un portfolio cyber peut contenir

Il n'existe pas de format unique. Un portfolio peut être un site personnel, un blog technique, un profil GitHub soigné ou une simple page qui rassemble vos liens. Ce qui compte, c'est la nature des éléments.

Type d'élément	Ce qu'il prouve	Exemple
Home lab documenté	Capacité à construire, attaquer et défendre un environnement	Domaine Active Directory, SIEM et attaques simulées, avec un journal de bord
Write-ups de CTF ou de machines d'entraînement	Démarche, persévérance, capacité à expliquer	Résolution détaillée avec pistes abandonnées et correction proposée
Règles de détection	Compréhension des attaques et de la télémétrie	Règles Sigma ou requêtes SIEM avec le scénario qu'elles couvrent
Scripts et outils	Automatisation, qualité de code	Outil de collecte de journaux, script d'analyse, avec documentation
Rapport d'audit fictif	Rédaction, priorisation, sens du client	Rapport de test d'intrusion sur un environnement volontairement vulnérable
Articles et présentations	Pédagogie, curiosité, veille	Article sur une technique, présentation en meetup
Contributions open source	Travail en équipe, revue de code	Corrections ou nouvelles règles sur un projet de sécurité reconnu

Vous n'avez pas besoin de tout. Choisissez ce qui sert le poste visé.

Choisir ses projets selon le poste visé

Un recruteur lit votre portfolio à travers le poste qu'il ouvre. Un portfolio pertinent pour un pentester ne l'est pas forcément pour un analyste GRC.

Analyste SOC ou réponse à incident

Un home lab défensif : postes Windows, collecte de journaux, SIEM, quelques attaques rejouées et leur détection.
Des règles de détection commentées, avec les faux positifs rencontrés.
Une investigation rédigée de bout en bout sur un jeu de données public, avec chronologie et conclusions.

Notre parcours pour devenir analyste SOC détaille comment monter ce type de lab.

Pentest ou red team

Des write-ups de machines d'entraînement, orientés méthodologie plutôt que suite de commandes.
Un rapport de test d'intrusion fictif, rédigé comme pour un vrai client : synthèse pour la direction, constats priorisés, recommandations.
Un petit outil ou un script qui vous a fait gagner du temps, documenté.

Le rapport est souvent l'élément qui manque le plus, alors qu'il représente une part importante du métier. Notre guide pour devenir pentester revient sur cet aspect.

Sécurité applicative et DevSecOps

Une revue de code d'une application volontairement vulnérable, avec les corrections proposées.
Un pipeline d'intégration continue qui intègre des contrôles de sécurité, expliqué étape par étape.
Des contributions à des projets open source, même modestes.

Si vous venez du développement, notre article sur la transition du développement vers la sécurité applicative donne d'autres pistes.

Sécurité cloud

Un environnement de test déployé en infrastructure as code, avec les contrôles de sécurité ajoutés et justifiés.
Une revue de configuration d'un compte de test, avec les écarts trouvés et corrigés.

GRC

Le portfolio technique est moins attendu, mais il reste possible : une analyse de risques sur une organisation fictive, une politique de sécurité rédigée et commentée, ou une note de synthèse sur un texte réglementaire comme NIS2. L'objectif est de montrer votre capacité à structurer et à rédiger.

Documenter un projet : la méthode

Un projet sans explication ne prouve presque rien. Pour chaque élément, une courte page suffit, organisée autour de cinq points.

Le contexte : quel problème, quel objectif, en deux ou trois phrases.
Votre démarche : les choix faits, les alternatives écartées et pourquoi.
Le résultat : ce qui fonctionne, ce qui ne fonctionne pas encore.
Les limites : ce que vous feriez différemment en environnement réel.
Ce que vous avez appris.

Le point 4 est celui qui distingue les candidats. Montrer que vous voyez l'écart entre un lab et une production (volumétrie, contraintes métier, autorisations) est un signal de maturité.

Soignez aussi la forme : un fichier de présentation clair à la racine de chaque dépôt, un code lisible, des captures expurgées de toute donnée réelle.

Où publier votre portfolio

Pas besoin d'une solution complexe.

GitHub ou GitLab pour le code, les règles de détection et les configurations, avec un profil épinglé sur vos meilleurs dépôts.
Un blog ou un site statique pour les write-ups, les rapports et les articles.
LinkedIn pour relayer vos publications et rendre le portfolio visible des recruteurs.

Placez un seul lien vers votre portfolio dans l'en-tête de votre CV. Le lecteur doit trouver vos meilleurs éléments en moins d'une minute.

Les erreurs qui desservent votre candidature

Un portfolio peut aussi faire perdre des points. Voici les erreurs les plus fréquentes.

Publier des données confidentielles : extraits de rapports clients, captures d'un ancien employeur, adresses IP réelles. C'est rédhibitoire, car cela montre exactement ce qu'un employeur redoute.
Montrer des actions hors cadre : tout ce que vous présentez doit avoir été réalisé sur vos propres systèmes ou sur des environnements prévus pour cela.
Enfreindre les règles des plateformes : certaines interdisent la publication de solutions pour des épreuves encore actives. Respectez-les.
Copier sans comprendre : un outil forké sans modification ou un write-up recopié se repère vite en entretien.
Laisser des projets à l'abandon : dix dépôts vides diluent vos trois bons projets. Archivez ou masquez le reste.
Négliger l'écriture : en sécurité, on rédige beaucoup. Un texte confus fait douter de vos rapports futurs.

Préparer l'entretien à partir du portfolio

Un portfolio bien fait oriente l'entretien vers votre terrain. Attendez-vous à ce qu'on vous demande de détailler un projet, et préparez-le.

Choisissez un projet phare lié au poste et sachez le raconter en cinq minutes.
Préparez la réponse à « qu'est-ce qui n'a pas marché ? ».
Anticipez « comment feriez-vous en production ? ».
Relisez tout ce qui est en ligne : chaque ligne peut devenir une question.

Si le processus inclut une épreuve technique, notre guide pour préparer un test pratique en cybersécurité complète cette préparation. Et si vous pratiquez les CTF, voyez comment les valoriser sur votre CV.

La checklist avant de partager votre portfolio

Trois à cinq projets choisis pour le poste visé, pas plus.
Chaque projet explique contexte, démarche, résultat, limites et apprentissages.
Aucune donnée réelle, confidentielle ou appartenant à un ancien employeur.
Tout a été réalisé sur un environnement autorisé.
Les projets abandonnés sont archivés ou masqués.
Un lien unique figure dans l'en-tête du CV et sur LinkedIn.
Je peux présenter mon projet phare en cinq minutes.

En résumé

Un portfolio cybersécurité efficace est court, ciblé et honnête. Il rassemble quelques projets choisis pour le poste visé, documente votre démarche autant que vos résultats et reconnaît ses propres limites. C'est souvent ce qui fait la différence pour un profil junior ou en reconversion, et un appui précieux pour tous les autres.

Chez Cyber Recrut, nous partageons cette logique de preuve : nos candidats présélectionnés démontrent leurs compétences sur des labs pratiques proches du poste, et votre portfolio devient un point de départ naturel pour la discussion. Rejoignez gratuitement le réseau et découvrez comment nous travaillons.