DevSecOps : métier, outils et salaire

Qu'est-ce qu'un DevSecOps ?

Un DevSecOps fait en sorte que la sécurité avance au même rythme que le code. Il installe des contrôles automatiques là où le logiciel est écrit, testé et déployé, puis il aide les équipes à traiter ce qu'ils remontent.

Le mot colle trois disciplines : développement, sécurité, exploitation. Il désigne d'abord une façon de travailler, puis un poste. Dans une équipe mature, chaque développeur fait un peu de sécurité, et le DevSecOps fournit les outils, les règles et l'arbitrage.

DevSecOps en français

Aucune traduction ne s'est imposée. On lit « ingénieur sécurité DevOps », « ingénieur sécurité applicative » ou simplement DevSecOps. Côté recherche Google, beaucoup tapent « DevOps security » : c'est le même métier vu depuis l'équipe DevOps.

Qui recrute des DevSecOps ?

Les éditeurs SaaS qui vendent à de grands comptes, car leurs clients exigent des preuves de sécurité. Les banques, les assurances et les fintechs, soumises à des audits réguliers. Les opérateurs d'importance vitale, la santé et le secteur public suivent.

Sur nos missions de recrutement en cybersécurité, le titre recouvre deux réalités. Certains postes sont très proches de la sécurité applicative. D'autres sont des postes DevOps avec quelques scanners en plus : nous le clarifions avec le client avant d'approcher les candidats.

Les missions d'un DevSecOps

Shift left, SAST, DAST, SCA : la sécurité dans la chaîne logicielle

C'est le cœur du métier et la partie que les candidats survolent le plus souvent. Voici les notions qui reviennent dans chaque offre, avec ce qu'elles veulent dire en pratique.

Le shift left, expliqué

Représentez le cycle du logiciel sur une ligne : conception à gauche, production à droite. Shift left veut dire déplacer les contrôles vers la gauche, au plus près de l'écriture du code. Le terme vient du test logiciel : Larry Smith l'a employé en 2001 dans un article du Dr. Dobb's Journal.

L'intérêt est simple. Une injection SQL repérée dans l'éditeur se corrige en dix minutes par la personne qui vient d'écrire la ligne. La même faille trouvée par un pentest six mois plus tard demande une analyse, un ticket, un correctif et un redéploiement.

Le shift left ne supprime pas les contrôles de droite. On garde la surveillance en production, souvent appelée « shift right » : détection d'intrusion, analyse des comportements anormaux dans les conteneurs, journaux.

Les quatre familles d'analyse

S'y ajoutent l'analyse des images de conteneurs et des fichiers d'infrastructure, avec des outils comme Trivy ou Checkov. Un exemple concret : Checkov signale un groupe de sécurité ouvert à tout internet sur le port 22 avant même que Terraform ne le crée.

La sécurité de la pipeline elle-même

La CI/CD détient les clés de la production. Un attaquant qui la compromet déploie ce qu'il veut. Le DevSecOps limite donc les droits des runners, remplace les secrets statiques par des jetons temporaires et protège les branches principales.

La supply chain logicielle et le SBOM

Une application moderne embarque des centaines de dépendances écrites par d'autres. L'affaire xz Utils, découverte fin mars 2024, l'a montré. Une porte dérobée avait été glissée dans une bibliothèque de compression présente sur de nombreux systèmes Linux.

Le SBOM (software bill of materials) est l'inventaire de ces composants, comme la liste d'ingrédients d'un plat. Il se génère à chaque build, au format SPDX ou CycloneDX, avec des outils comme Syft ou Trivy. Le jour où une faille sort, on sait en quelques minutes qui est touché.

Le règlement européen Cyber Resilience Act rend ce travail obligatoire pour les produits comportant du logiciel. Le signalement des vulnérabilités activement exploitées s'applique dès septembre 2026. La plupart des autres exigences, dont le SBOM, arrivent en décembre 2027.

Les équipes les plus avancées signent leurs artefacts avec Sigstore et son outil cosign. Elles suivent aussi le cadre SLSA, porté par l'OpenSSF, qui gradue les garanties sur la provenance d'un build.

Les compétences que nous vérifions en recrutement

Un CV de DevSecOps liste souvent une quinzaine d'outils. En entretien, nous regardons surtout si le candidat sait faire accepter la sécurité par des développeurs pressés.

• Code : lire du Python, du Go, du Java ou du JavaScript, et écrire de vrais scripts d'automatisation.
• Sécurité applicative : l'OWASP Top 10 expliqué avec des exemples tirés de son expérience, pas récité.
• CI/CD : GitLab CI, GitHub Actions ou Jenkins, et la manière d'y brancher un scanner sans doubler la durée du build.
• Cloud et conteneurs : IAM sur AWS, Azure ou GCP, durcissement Kubernetes, images minimales.
• Jugement sur le risque : savoir dire qu'une alerte critique peut attendre, et pourquoi, devant un RSSI.
• Pédagogie : un DevSecOps détesté des développeurs échoue, quelle que soit sa technique.

Salaire d'un DevSecOps en 2026

Pour un DevSecOps confirmé basé à Paris, notre baromètre indique 53 à 71 K€ brut par an, hors variable. Avec six à dix ans de métier, on passe entre 70 et 83 K€, et le palier Expert démarre à 84 K€. Ces fourchettes dépendent du secteur, de la taille de l'entreprise, du diplôme et de l'expérience réelle en sécurité.

Paris et régions

Hors Paris, comptez 10 à 15 % de moins. Lyon se situe environ 10 % sous Paris, un poste en télétravail complet environ 8 % sous Paris. Les profils sont rares en région, ce qui pousse beaucoup d'entreprises à accepter le travail à distance.

Le palier junior existe dans la grille, mais il concerne surtout des profils venus du DevOps ou d'une alternance en sécurité. Un vrai débutant démarre rarement avec ce titre.

Primes et variable

Le variable reste modeste. On voit surtout un bonus lié aux objectifs de l'année, de l'intéressement et, chez les jeunes pousses, des BSPCE. Regardez aussi la prise en charge des certifications et l'existence d'une astreinte sécurité.

Et en freelance ?

Des missions DevSecOps existent en indépendant, souvent pour monter une chaîne d'outils ou préparer un audit. Aucun relevé public de TJM ne nous a paru solide, alors cette fiche n'affiche pas de tarif.

Sources : notre baromètre des salaires pour la grille parisienne et la décote appliquée en région. L'échantillon Glassdoor de DevSecOps à Paris est trop petit pour être cité.

Comment devenir DevSecOps

Les formations

Une école d'ingénieurs ou un master en informatique avec une spécialité sécurité forment la base la plus courante. Aucun diplôme ne suffit seul : les recruteurs veulent voir des pipelines réelles et des failles corrigées.

Les passerelles

• DevOps qui a pris en charge les scanners de son équipe : la voie la plus fréquente sur nos missions. La fiche DevOps décrit ce point de départ.
• Développeur back-end passionné par les failles, souvent passé par des CTF ou du bug bounty.
• Pentester ou consultant cyber qui veut construire plutôt qu'auditer, à condition de savoir coder et administrer un cluster.

Les certifications

La CKS (Certified Kubernetes Security Specialist) de la Linux Foundation revient souvent dans les offres. Elle exige d'avoir réussi la CKA avant de s'inscrire. Les certifications sécurité des grands clouds complètent le profil, sans remplacer l'expérience.

Évolutions de carrière

Après quelques années, un DevSecOps connaît la chaîne logicielle et les risques de toute l'entreprise. Trois directions se dessinent.

La voie du management mène vers le poste de RSSI. Le conseil est décrit sur la fiche consultant en cybersécurité. Certains reviennent aussi vers la plateforme, comme Platform Engineer.

DevSecOps, DevOps ou ingénieur sécurité : les différences

Les trois titres se croisent dans les offres. La bonne question à poser : qui est le client principal du poste, et qu'est-ce qui le fait échouer ?

Dans une petite structure, le DevOps porte souvent la casquette sécurité. Le Site Reliability Engineer partage la même culture d'automatisation, avec la fiabilité comme objectif. Notre cabinet de recrutement DevOps traite les deux profils.

Les outils d'un DevSecOps

Sa boîte à outils suit la chaîne logicielle : analyse du code et des dépendances, scan des images, coffre à secrets, surveillance en production. Le choix exact dépend de la forge, GitLab ou GitHub, et du cloud de l'entreprise.

• SnykScanner les dépendances open source et le code, prioriser les CVE
• SonarQubeAnalyse qualité et sécurité du code à chaque commit
• TrivyScanner les images Docker et le filesystem pour les vulnérabilités
• Aqua SecurityProtection runtime des conteneurs et clusters Kubernetes
• HashiCorp VaultStocker et faire tourner les secrets, rotation automatique
• Burp SuiteTester les applis web en boîte noire pour les vulnérabilités
• FalcoDétecter les comportements anormaux sur les conteneurs en production
• OWASP ZAPScan automatisé d'applis web, intégrable en CI