C’est quoi
Le HTB CPTS (Certified Penetration Testing Specialist) est la certification pentest professionnelle de HackTheBox. Le principe : compléter 100% du path “Penetration Tester” sur HTB Academy, puis passer un examen pratique de 10 jours — assessment grey-box web, externe, et Active Directory interne, avec livraison d’un rapport de pentest professionnel. Les 10 jours couvrent à la fois l’exploitation et la soumission du rapport.
Compétences validées : méthodologie de test d’intrusion, collecte d’informations, attaques Active Directory, pentest web, élévation de privilèges, mouvement latéral et pivoting, post-exploitation, rédaction de rapport professionnel.
Pourquoi j’ai passé cette certification
À ce moment-là, j’étais en alternance dans une équipe red team. Le travail portait principalement sur les opérations red team — TTPs avancées, infrastructure C2, évasion. La CPTS représentait l’opportunité de prendre du recul et de consolider des bases solides en méthodologie pentest : tests d’applications web, couverture AD complète, et rédaction de rapports professionnels. Des compétences que j’utilisais en morceaux, mais que je n’avais pas encore formellement structurées.
Le path de formation
Le path couvre tout : de l’énumération basique jusqu’aux attaques Active Directory avancées. Certains modules peuvent sembler redondants selon ton niveau — Getting Started, Nmap basique, reconnaissance web fondamentale. Ne les saute pas pour autant. Il y a presque toujours quelque chose à noter même dans les modules que tu penses maîtriser.
Les modules qui comptent vraiment :
Pivoting, Tunneling, and Port Forwarding — indispensable pour l’examen. Ne survole pas celui-là.
Active Directory Enumeration & Attacks — le cœur du path. BloodHound, Kerberoasting, AS-REP roasting, abus d’ACL, attaques de délégation, attaques de trust. Extrêmement complet.
Documentation & Reporting — sous-estimé par la plupart des gens. Le rapport d’examen représente la moitié de la certification. Prends en main SysReptor avant d’arriver à l’examen.
Attacking Enterprise Networks — le module capstone. Regroupe tout dans un scénario réaliste. Bon indicateur de ton niveau réel.
Une vraie critique : certains modules s’étirent inutilement. Quelques sections consacrent des pages entières à des concepts qui tiendraient dans un paragraphe. Le path est long, et maintenir la concentration jusqu’au bout demande une vraie discipline.
Les Skills Assessments : ce qui différencie vraiment
Chaque module se conclut par un skills assessment — aucune réponse fournie, aucun walkthrough. Tu passes ou tu passes pas. C’est ce qui distingue la CPTS des certifications où la mémorisation suffit. Quand tu arrives à l’examen, tu as déjà prouvé que tu sais appliquer le contenu, pas juste le réciter.
Cela dit, certains essaient de court-circuiter ces assessments en cherchant des walkthroughs externes. Si tu fais ça, tu paies pour te mentir à toi-même — l’examen n’offre pas cette option. 😒
La prise de notes
Avec autant de contenu, les notes ne sont pas optionnelles. J’ai séparé les notes techniques (commandes, syntaxe, techniques par catégorie) des notes méthodologiques (quand utiliser quoi, dans quel ordre). Des fiches de référence rapide pour les tâches répétitives ont aussi été indispensables : commandes d’énumération, one-liners de reverse shell, checklists de privesc.
Tu vas utiliser tout ça pendant l’examen. Commence à les construire dès le premier module.
L’examen
10 jours pour compromettre un réseau d’entreprise réaliste et produire un rapport professionnel. Tu reçois une lettre de mission définissant le périmètre et les objectifs — lis-la attentivement. Elle précise ce qui est dans le scope, les findings à documenter, et les attentes sur le livrable.
L’environnement sur lequel j’ai passé l’examen (avant le redesign de l’été 2025) avait quelques limitations à connaître : aucune défense active, pas d’EDR, pas de Defender. Les chemins d’exploitation étaient assez linéaires, avec peu d’alternatives. Ça rend l’examen plus accessible, mais ça ne teste pas l’évasion — c’est de la compétence pentest core, pas de la furtivité red team.
Le rapport n’est pas une formalité. C’est un livrable formel. Le mien faisait 213 pages. Utilise le template SysReptor — il structure le document correctement et te fait gagner un temps considérable. Documente tout au fur et à mesure de l’exploitation, pas après. Reconstituer 48 heures d’opérations de mémoire n’est pas un exercice agréable.
Conseils pratiques :
- Énumère en profondeur. Le chemin d’exploitation se révèle à ceux qui regardent attentivement.
- Screenshots et documentation en temps réel, pas après.
- Ne laisse pas le rapport pour les trois derniers jours. Ça prend plus de temps que prévu.
- Lis la lettre de mission deux fois.
Ce que j’en ai retiré
La formation m’a donné une méthodologie structurée là où j’avais de l’intuition. La partie rapport m’a forcé à penser les findings du point de vue client — pas juste “c’est exploitable” mais “voilà le risque business et voilà comment corriger”.
La couverture est large et honnête : web, réseau, AD, post-exploitation, pivoting, reporting. Le cycle complet d’un engagement. Pour quelqu’un venant d’un background plus spécialisé, cette largeur a une vraie valeur.
Ce que ça ne couvre pas : opérer contre des défenses actives. Pas d’évasion EDR, pas de bypass AV, pas d’évitement de détection. Ce n’est pas un défaut — c’est une autre catégorie de certification. Si c’est ce que tu cherches, regarde du côté du RTO ou équivalent.
Où ça se place
La CPTS est plus complète que les certifications entry-level et plus réaliste que la plupart des mid-tier. La comparaison la plus proche reste l’OSCP — portée et niveau similaires, mais la CPTS met beaucoup plus de poids sur le rapport professionnel et moins sur la pression temporelle. Le format 24h de l’OSCP teste autre chose. Choisis en fonction de ce que tu veux vraiment démontrer.
Pour aller plus loin sur des domaines spécifiques après la CPTS, le CRTP est solide pour l’Active Directory, et le CRTO pour les opérations red team.
Verdict
Ça vaut le coup. Le modèle d’évaluation continue permet de valider la certification progressivement, pas en un seul passage stressant. L’exigence de rapport la distingue des certifications qui ne testent que les compétences techniques. Et la durée étendue de l’examen permet un travail qui ressemble vraiment à un engagement réel.
Sois clair sur ce que c’est et ce que ce n’est pas. C’est une solide certification de fondation en pentest. Ce n’est pas une certification red team. Les deux sont des objectifs légitimes — choisis juste celle qui correspond à l’endroit où tu veux aller.