Nous avons analysé 11 017 épreuves de hacking résolues par 2 937 participants sur notre plateforme CTF, entre 2023 et 2026. Résultat le plus frappant : pour 100 épreuves faciles réussies, il n’y en a que 9 de niveau difficile. Le vrai mur de la cybersécurité n’est pas d’y entrer, c’est d’aller au bout.
Depuis des années, des milliers de personnes s’entraînent au hacking éthique sur nos défis gratuits. Chaque épreuve résolue laisse une trace anonyme dans notre base. Plutôt que de vous répéter ce que “pensent les gens” de la cybersécurité (les sondages déclaratifs, on en trouve partout), on a préféré regarder ce que les apprenants font vraiment. Voici ce que ces données de terrain racontent sur la façon dont on apprend à hacker, où l’on accroche, et où l’on décroche.
Comment lire ce baromètre CTF : nos chiffres portent sur les épreuves réussies. Ils mesurent donc la popularité et la progression réelles des participants, pas un taux d’échec. Une épreuve peu résolue peut être très difficile, ou simplement moins tentée : on vous le précise à chaque fois plutôt que de surinterpréter. Toutes les données sont anonymes et agrégées, les épreuves tutorielles et les comptes de test sont exclus.
Les chiffres-clés en un coup d’oeil
Le mur de la difficulté : là où tout le monde décroche
Voici sans doute l’enseignement le plus net de tout ce baromètre. Si on classe les 11 017 réussites par niveau de difficulté, on obtient une pente vertigineuse : les épreuves faciles sont résolues onze fois plus souvent que les difficiles.
Ce n’est pas une surprise en soi, mais l’ampleur du décrochage l’est. Concrètement, sur notre épreuve d’introduction au cracking (crackmeCM), 1 529 personnes l’ont vaincue. Sur une épreuve difficile d’exploitation comme apercu ou pycalc, on tombe à… 6 personnes. Le hacking, ça s’apprend vite au début, mais franchir le cap de l’expertise demande une persévérance que peu de gens vont chercher.
Le regard du formateur : je le vois à chaque session. Les premières épreuves déclenchent un vrai déclic, ce fameux “ah, mais en fait je peux le faire !”. Puis vient le palier difficile, où il ne suffit plus d’appliquer une recette : il faut comprendre en profondeur, échouer, recommencer. C’est exactement à cet endroit que se sépare la curiosité passagère de la vraie vocation. Et la bonne nouvelle, c’est que ce mur se franchit avec de la méthode, pas avec un don.
Quelle discipline du hacking attire (et laquelle rebute)
Nos épreuves couvrent six disciplines, avec le même nombre de défis chacune (9). On peut donc comparer équitablement lesquelles séduisent les apprenants et lesquelles les font fuir. Le classement est sans appel :
| Discipline | Épreuves résolues | Ce que c’est |
|---|---|---|
| Inforensique | 2 975 | Enquêter, analyser des traces numériques |
| Cracking | 2 778 | Casser des protections, retrouver des mots de passe |
| OSINT | 2 294 | Enquêter à partir de sources ouvertes |
| Web | 1 717 | Exploiter les failles des sites web |
| Stéganographie | 801 | Débusquer des données cachées dans des fichiers |
| Pwn | 452 | Exploiter des programmes (binaires, mémoire) |
L’inforensique et le cracking caracolent en tête : ce sont des disciplines “enquête” et “énigme”, très accessibles et gratifiantes pour débuter. À l’opposé, le pwn ferme la marche avec six fois moins de réussites que l’inforensique, à nombre d’épreuves égal. Rien d’étonnant : l’exploitation de binaires est la discipline la plus technique, celle qui demande le plus de bases en programmation et en fonctionnement bas niveau. C’est le “boss de fin” du hacking.
Le “taux de survie” : qui va jusqu’au niveau difficile
En croisant discipline et niveau, on obtient un indicateur passionnant : pour 100 épreuves faciles résolues dans une discipline, combien de difficiles le sont ? C’est une mesure de la marche à gravir dans chaque domaine.
| Discipline | Facile | Moyen | Difficile | Ratio difficile / facile |
|---|---|---|---|---|
| Stéganographie | 500 | 216 | 85 | 17 % |
| Inforensique | 1 472 | 1 288 | 215 | 15 % |
| Pwn | 338 | 76 | 38 | 11 % |
| Cracking | 2 212 | 408 | 158 | 7 % |
| OSINT | 1 569 | 611 | 114 | 7 % |
| Web | 1 310 | 361 | 46 | 4 % |
Lecture intéressante : le cracking attire énormément de monde au niveau facile (2 212 réussites) mais seuls 7 % vont jusqu’au difficile. La stéganographie, moins populaire, retient bien mieux ceux qui s’y lancent (17 %). Autrement dit, une discipline peut être une formidable porte d’entrée sans être celle où l’on persévère, et inversement. Pour un débutant, c’est un bon indice : commencez par ce qui vous accroche, mais ne confondez pas facilité d’entrée et facilité de maîtrise.
Par où l’on commence quand on débute
Quelle est la toute première épreuve que les gens réussissent en arrivant ? La réponse en dit long sur ce qui met en confiance. Notre petit crackme d’introduction (crackmeCM) est la porte d’entrée de 1 206 participants, loin devant les autres. Les premières victoires se concentrent sur une poignée d’épreuves faciles et ludiques : un défi de cracking, une analyse de PDF, une petite enquête OSINT.
Le regard du formateur : ce chiffre me conforte dans une conviction pédagogique. La première victoire doit arriver vite. Un débutant qui galère trois heures sur sa première épreuve abandonne ; un débutant qui décroche un premier “flag” en dix minutes revient le lendemain. Tout l’art de l’enseignement du hacking tient dans cette première étincelle : rendre la réussite atteignable sans la rendre creuse.
On accroche ou on décroche vite
Combien d’épreuves un participant résout-il, en moyenne, avant de s’arrêter ? La distribution dessine deux mondes. Une grande partie des participants résout une seule épreuve puis ne revient pas. Mais ceux qui passent le cap des premières épreuves deviennent assidus, et une poignée de mordus enchaîne les défis.
Ce profil est typique de l’apprentissage par le jeu : beaucoup de curieux testent une fois, et un noyau motivé s’installe dans la durée. Les 51 participants à 20 épreuves et plus (jusqu’à 54 pour le recordman) sont nos vrais passionnés, ceux pour qui le CTF est devenu un terrain de jeu régulier.
Un engouement qui ne faiblit pas
Année après année, le nombre d’épreuves résolues progresse : 1 993 en 2023, 2 641 en 2024, 3 905 en 2025. L’intérêt pour l’entraînement au hacking éthique est bien réel et croissant, porté par une prise de conscience générale des enjeux de cybersécurité.
L’année 2026 n’est comptée que sur son premier semestre : à ce rythme, elle dépassera largement 2025. La demande d’apprentissage pratique de la cybersécurité est une tendance de fond, pas un feu de paille.
Ce que ce baromètre CTF nous apprend concrètement
Au-delà des chiffres, trois leçons se dégagent, utiles autant pour les apprenants que pour ceux qui forment :
- Le vrai défi, c’est la persévérance, pas l’entrée. Débuter le hacking est à la portée de tous. Ce qui sépare l’amateur du professionnel, c’est la capacité à franchir le palier difficile, où l’on n’applique plus de recette.
- Il faut une première victoire rapide. Les données le confirment : les gens s’accrochent quand ils réussissent vite quelque chose. La pédagogie efficace commence par un déclic accessible.
- Chaque discipline a sa marche. Facilité d’entrée et facilité de maîtrise sont deux choses différentes. Choisir sa spécialité, c’est aussi accepter la pente propre à chaque domaine.
Envie de passer de la théorie à la pratique ?
Nos défis CTF sont gratuits et pensés pour progresser pas à pas, du premier flag jusqu’aux épreuves qui piquent. Et si vous voulez une progression structurée avec un formateur, la formation Cybersécurité de Cyberini vous accompagne du niveau débutant jusqu’à l’autonomie. Tenter les défis CTF ou découvrir la formation.
Méthodologie
Ce baromètre s’appuie sur les données anonymes de notre plateforme CTF, portant sur 11 017 épreuves résolues par 2 937 participants entre avril 2023 et juin 2026. Seules les épreuves effectivement réussies sont comptabilisées : les chiffres reflètent donc la popularité et la progression des participants, et non un taux d’échec. Les épreuves tutorielles et les comptes internes de test ont été exclus. Aucune donnée personnelle n’est utilisée ni publiée : l’analyse est strictement agrégée. Les données sont librement réutilisables en citant Cyberini avec un lien vers cette page.
Questions fréquentes
Qu’est-ce qu’un CTF en cybersécurité ?
Un CTF (Capture The Flag) est un jeu de défis de sécurité informatique. Chaque épreuve consiste à résoudre un problème (casser une protection, trouver une faille, mener une enquête) pour récupérer un “flag”, une preuve de réussite. C’est la façon la plus concrète et ludique d’apprendre le hacking éthique.
Quelle discipline du hacking est la plus accessible pour débuter ?
D’après nos données, l’inforensique (analyse de traces) et le cracking (casser des protections) sont les disciplines qui attirent et retiennent le plus les débutants. Ce sont des domaines “enquête” et “énigme”, gratifiants et accessibles sans bases techniques avancées.
Quelle est la discipline la plus difficile ?
Le pwn (exploitation de programmes et de binaires) est de loin la discipline la moins résolue, avec six fois moins de réussites que l’inforensique à nombre d’épreuves égal. Elle demande de solides bases en programmation et en fonctionnement bas niveau des systèmes.
Faut-il des prérequis pour se lancer dans un CTF ?
Non, pas pour débuter. Les épreuves faciles sont conçues pour être accessibles à des amateurs curieux. Nos données montrent d’ailleurs que la majorité des participants commencent par une poignée d’épreuves d’introduction avant de monter en difficulté à leur rythme.