Le métier de DevSecOps
Aussi appelé : Ingénieur DevSecOps·DevSecOps Engineer·Security DevOps·Application Security Engineer·Cloud Security Engineer·Shift-Left Security Engineer
Le DevSecOps intègre la sécurité au cycle DevOps. Il met en place le shift-left security : SAST (SonarQube, Snyk Code), SCA (Snyk, Dependabot), DAST (Burp, OWASP ZAP), scanning d'images Docker (Trivy, Aqua). Il gère les secrets via HashiCorp Vault, durcit les configurations Kubernetes, fait du threat modeling. À Paris en 2026, le fixe va de 60K€ (junior) à 115K€ (senior expert). Glassdoor France donne 75K€ médian. Robert Half Salary Guide 2026 cible 82K€ médian. TJM freelance 700-1000€/jour. Pénurie structurelle forte : NIS2 et DORA poussent la demande sur 2025-2028.
Expertise TECH / CYBERSÉCURITÉ
DevSecOps
Le quotidien d'un DevSecOps
Le DevSecOps joue un rôle fondamental dans la sécurité des infrastructures et des applications au sein de l'entreprise :
- 01
Intégration de la sécurité
Assurer la sécurité dès les premières étapes du développement pour anticiper les risques (approche Shift Left).
- 02
Automatisation des processus
Mettre en place des outils pour automatiser les tests de sécurité et optimiser les flux de développement.
- 03
Audit et évaluation de la sécurité
Effectuer des audits réguliers pour identifier et résoudre les vulnérabilités dans le code et l'infrastructure.
- 04
Collaboration interdisciplinaire
Travailler main dans la main avec les équipes DevOps, développement et sécurité pour diffuser une culture "sec".
- 05
Veille sur les nouvelles menaces
Adapter les pratiques de sécurité aux dernières tendances et menaces cyber pour maintenir un niveau de protection optimal.
À qui reporte un DevSecOps ?
Les rattachements varient selon la maturité sécu de la boîte. Dans une scale-up en structuration, le DevSecOps reporte au CISO ou au Head of Security.
Quand la sécurité n'est pas encore un métier autonome, on le rattache au CTO ou au Head of Platform. Dans les grands comptes, banque, assurance, retail, il appartient à la DSI sécurité avec un line management RSSI et un dotted line infra.
En ESN, le rattachement va vers un manager de practice cybersec. Ce métier vit dans la tension entre vélocité produit et exigence sécurité.
Le rattachement choisi pèse directement sur cet équilibre.
Le scope d'un DevSecOps
Le périmètre couvre l'intégration de la sécurité dans tout le cycle de développement. On parle de shift-left : faire glisser la sécu le plus tôt possible dans le pipeline.
Le DevSecOps configure les scanners SAST, DAST et SCA dans la CI. Il définit les politiques de durcissement des images Docker.
Il met en place la gestion centralisée des secrets via Vault ou AWS Secrets Manager. Il fait du threat modeling sur les nouvelles features.
Il gère les CVE remontées par les scanners, priorise, propose des plans de remédiation. Côté runtime, il configure Falco et surveille les comportements anormaux dans les clusters Kubernetes.
Le scope inclut souvent les audits de conformité ISO 27001 ou SOC 2.
La différence avec un AppSec ou un pentester
On confond souvent DevSecOps, AppSec Engineer et pentester. L'AppSec se concentre sur la sécurité applicative : code, dépendances, architecture sécurité produit.
Le DevSecOps fait de l'AppSec, mais étend sa couverture au runtime, à l'infra et aux pipelines. Le pentester attaque pour trouver les failles.
Le DevSecOps construit les défenses et la détection. Les trois métiers se chevauchent, mais le DevSecOps reste celui qui industrialise.
Il automatise les contrôles, instrumente les outils, transmet la culture sécurité aux équipes produit. C'est moins un métier d'attaque qu'un métier de plomberie défensive.
Sur Paris, beaucoup de DevSecOps viennent du DevOps avec une montée en compétence sécurité de 12 à 18 mois.
Le quotidien type d'un DevSecOps
La journée commence par le triage des alertes de la veille sur Slack ou Jira. Faux positifs à fermer, vraies vulnérabilités à investiguer.
Puis revue des merge requests qui ont déclenché des alertes Snyk ou SonarQube. Vers 11h, sync avec un Tech Lead pour un threat modeling sur une nouvelle feature de paiement.
L'après-midi, configuration d'un nouveau policy bundle OPA pour Kubernetes. Un déploiement Vault à mettre à jour, des rôles IAM à revoir.
Vers 16h, atelier avec une équipe produit pour intégrer le scan DAST dans leur pipeline. En fin de journée, lecture des CVE publiées dans la journée.
Une fois par mois, exercice de réponse à incident sécurité.
Ce qu'un DevSecOps performant maîtrise.
Pour exceller en tant que DevSecOps, certaines compétences techniques et analytiques sont essentielles :
Connaissances en cybersécurité
Maîtrise des protocoles de sécurité, des standards de conformité et des méthodes de défense cyber.
Automatisation et Scripting
Compétences en scripting (Python, Bash) pour automatiser les tests de sécurité et les flux de travail.
Analyse des risques
Capacité à identifier et évaluer les risques potentiels de sécurité à chaque étape du cycle de développement.
Outils de sécurité et CI/CD
Maîtrise des outils comme Jenkins pour le CI/CD et SonarQube ou OWASP ZAP pour l'analyse de code.
Conteneurisation et Cloud
Expertise sur Docker et Kubernetes pour sécuriser les déploiements dans des environnements cloud.
Sécurité applicative et OWASP
Le DevSecOps maîtrise l'OWASP Top 10 sur le bout des doigts. Injections SQL, XSS, désérialisations dangereuses, gestion défaillante des authentifications, expositions de données.
Il sait reconnaître ces patterns dans du code Java, Python, Go ou Node. Il configure les outils SAST pour les détecter automatiquement.
Il forme les développeurs à éviter ces classes de bugs. La connaissance théorique ne suffit pas.
Il faut savoir lire un rapport Snyk de 200 lignes et identifier les trois vulnérabilités vraiment exploitables, pas les 47 que l'outil remonte. Distinguer la criticité réelle de la criticité affichée.
Les profils qui savent faire ça gagnent vite la confiance des équipes produit. Les autres deviennent des bloqueurs qu'on contourne.
Maîtrise du cloud et de Kubernetes
Le DevSecOps doit comprendre le cloud à un niveau opérationnel. IAM, VPC, network policies, security groups, KMS.
Il sait écrire des politiques IAM least privilege sans casser les applis en production. Il connaît Kubernetes pour configurer des PodSecurityPolicies, des Network Policies Calico, des admission controllers.
Il sait pourquoi un container qui tourne en root pose problème et comment forcer le non-root via Pod Security Standards. La sécurité cloud sans connaissance opérationnelle produit des recommandations qui ne tiennent pas en prod.
Les ingénieurs qui ont fait trois à cinq ans de DevOps avant de basculer sur la sécurité ont un avantage réel sur ce terrain.
Outillage et automatisation
Le métier vit par les outils. SAST : SonarQube, Semgrep.
SCA : Snyk, Dependabot. DAST : ZAP, Burp Suite.
Container scanning : Trivy, Aqua. Runtime security : Falco.
Secrets management : Vault. SIEM : Wazuh, Elastic Security.
Le DevSecOps ne maîtrise pas tout, mais il doit savoir choisir, intégrer et calibrer. Calibrer signifie ajuster les seuils pour ne pas noyer les équipes sous les faux positifs.
Un outil mal configuré crée plus de friction qu'il n'en résout. Le DevSecOps senior construit une stack cohérente avec quatre ou cinq outils bien intégrés.
Pas une collection de quinze outils qui se chevauchent et dont personne ne lit les alertes.
Communication et pédagogie sécurité
La sécurité fait peur. Les équipes produit voient souvent le DevSecOps comme celui qui bloque les releases.
Le métier exige une vraie capacité à expliquer, convaincre, transmettre. Un bon DevSecOps anime des ateliers OWASP pour les devs.
Il rédige des guidelines lisibles, pas des documents de vingt pages façon politique d'entreprise. Il écrit des post-mortems clairs après un incident.
Il sait dire non quand il le faut, mais cherche d'abord à dire oui sous conditions. On a recruté des profils qui arrivaient en gendarme de la sécurité : ils se font marginaliser en six mois.
Ceux qui se positionnent en facilitateur finissent par influencer les choix d'architecture en amont.
Sa capacité à intégrer la sécurité sans ralentir les flux de production est le garant de l'agilité sécurisée.
Comment devenir DevSecOps
Plusieurs parcours mènent à ce métier, voici les plus reconnus.
Diplôme en informatique
Un cursus Bac+5 en ingénierie réseau ou sécurité des systèmes d'information constitue une excellente base.
Spécialisation Cybersécurité
Un Master spécialisé en cybersécurité ou en Cloud computing pour approfondir les enjeux de défense.
Certifications spécifiques
Des certifications comme CISSP, CompTIA Security+ ou des certifications Cloud (AWS/Azure Security) sont très valorisées.
Les parcours classiques
Pas de voie unique vers le DevSecOps. Les plus fréquentes passent par une école d'ingénieurs avec spécialité cybersécurité.
Telecom Paris, ENSIBS Vannes, ESIEA, EPITA majeure SRS, INSA Lyon. Les masters spécialisés donnent une bonne base : CSI à Limoges, M2 SSI à Rennes 1, Cryptis.
Les certifications complètent le tableau. OSCP pour la partie offensive, CKS pour Kubernetes security, AWS Security Specialty pour le cloud.
Les autodidactes existent mais doivent prouver par leurs projets. Un compte GitHub avec des contributions à des outils de sécurité open source pèse plus qu'un diplôme dans les entretiens techniques de scale-up.
Combien d'années avant d'y prétendre ?
Le marché ne recrute pas de DevSecOps junior pur, pas à Paris. Il demande quatre à six ans minimum de pratique, dont au moins deux ans en infra ou en dev avec une coloration sécurité.
Pour un titre de confirmé, comptez cinq à sept ans. Pour le senior, huit ans et plus.
La pénurie se sent à l'embauche : les bons candidats reçoivent trois à cinq offres en parallèle. Les délais de recrutement s'étalent sur trois à six mois côté employeur.
Le ticket d'entrée s'est durci. Un dev qui se dit DevSecOps après une formation en ligne de trois mois ne passe plus les premiers entretiens techniques.
Les passerelles depuis le DevOps
C'est la passerelle la plus naturelle. Un DevOps confirmé avec trois à cinq ans d'expérience bascule DevSecOps en 12 à 18 mois de montée en compétence.
Le chemin classique : ajouter la dimension sécurité à un poste existant. Intégrer des scans Snyk dans la CI déjà en place.
Mettre en place Vault à la place des secrets stockés dans GitLab. Configurer Falco sur le cluster Kubernetes.
Lire les guides OWASP DevSecOps et passer un CKS. Au bout d'un an de pratique réelle, le positionnement DevSecOps est légitime.
Le salaire monte de 15 à 25% sur ce changement de titre. C'est une des trajectoires les plus rentables du marché tech français en ce moment.
Reconversion possible ?
La reconversion vers DevSecOps est possible, mais elle prend du temps. Un pentester ou un consultant cybersec bascule en six à douze mois s'il maîtrise déjà le code et le cloud.
Un développeur web met un à deux ans, sécurité et infra à apprendre en parallèle. Un analyste SOC qui veut sortir de l'opérationnel peut viser DevSecOps avec un an de bootcamp et une alternance.
Pour les profils non IT, comptez trois ans minimum. Les bootcamps spécialisés existent : Hack Academy, Cyber University, Oteria proposent des cursus orientés défense.
Ils ouvrent une porte. Ils ne forment pas un DevSecOps autonome dès la sortie.
Le salaire d'un DevSecOps
Fourchette annuelle brute, marché 2026. Données issues des placements Lity.
Junior
0-2 ans
45-55K€
Confirmé
3-6 ans
60-75K€
Senior
7+ ans
80-100K€+
● Médiane marché : 68K€
Le salaire d'un DevSecOps est supérieur à celui d'un DevOps classique en raison de la double expertise requise.
Combien gagne un DevSecOps à Paris en 2026 ?
À Paris, le fixe se situe entre 60K€ (junior) et 115K€ (senior expert). Glassdoor France mai 2026 donne 75K€ médian.
Robert Half Salary Guide 2026 cible 82K€ médian pour un confirmé. APEC baromètre cadres 2025 situe la médiane à 78K€.
Numeum Référentiel SI 2026 confirme la tendance haussière, portée par NIS2 et DORA. Le variable représente 5-12% du fixe.
Le DevSecOps paie 10-15% au-dessus du DevOps standard à expérience égale.
Salaire par niveau d'expérience
Un junior 2-4 ans (bascule depuis DevOps) démarre entre 60K€ et 72K€. Un confirmé 4-6 ans touche 72-88K€ fixe en scale-up.
Un senior 6-8 ans atteint 85-105K€, particulièrement sur des profils CKS + Vault + AWS Security. Au-delà de 8 ans, la bascule vers Lead DevSecOps, Security Architect ou Principal Security Engineer débloque 100-140K€.
Le marché reste très tendu.
Variations par taille d'entreprise
Dans une scale-up de 30 à 150 personnes, le fixe d'un DevSecOps confirmé démarre à 68K€ et atteint 88K€, avec une part en BSPCE possible. Dans une scale-up plus mature ou unicorn (Doctolib, Qonto, Back Market), la fourchette monte à 80-105K€.
Dans une filiale française de scale-up US tech (Snyk France, HashiCorp France, CrowdStrike), on atteint 100-150K€ avec RSU. Les grands groupes français (BNP, AXA, TotalEnergies) paient 75-105K€.
Les ESN cyber premium (Wavestone, Devoteam Cyber) paient 65-90K€ + variable conséquent.
Freelance et TJM
Le freelance attire dès 5-7 ans d'expérience. Tarif moyen 2026 : 700 à 1000€/jour.
Les profils DevSecOps CKS + AWS Security facturent 850-1000€/jour. Les seniors avec expertise verticale (banque ACPR, santé HDS, énergie OIV) atteignent 950-1100€/jour.
Les missions de mise en conformité NIS2 ou DORA payent au-dessus (1000-1200€/jour). Le marché freelance reste très tendu.
Variations régionales
Hors Île-de-France, la décote moyenne tourne autour de 10-15%. Lyon (Crédit Agricole CASA, EDF Hydro), Toulouse (Airbus Defense, Thales) et Rennes (Orange, ANSSI) maintiennent des grilles proches de Paris.
Le remote complet attire de plus en plus, particulièrement sur les profils freelance.
Sources marché
Données croisées : Glassdoor France mai 2026 (75K€ médian), Robert Half Salary Guide 2026 (82K€ médian), APEC baromètre cadres 2025 (78K€ médian), Numeum Référentiel SI 2026, Malt baromètre tech 2026 (700-1000€/jour confirmé), Clusif Panorama Cybersécurité 2025 (tension croissante sur les profils DevSecOps).
Outil gratuit · Baromètre Lity 2026
Combien devriez-vous gagner comme DevSecOps ?
Affinez votre fourchette selon votre stack, votre expérience et votre localisation. Estimation en 30 secondes, basée sur nos données propriétaires Lity.
Et après DevSecOps ?
Les passerelles naturelles vers le management ou l'expertise.
Lead DevSecOps
Encadrer une équipe dédiée à la sécurité des opérations et piloter la stratégie technique globale.
Architecte Sécurité Cloud
Concevoir des infrastructures cloud complexes en garantissant une étanchéité totale face aux menaces.
CISO (Chief Information Security Officer)
Évoluer vers la direction de la sécurité des systèmes d'information pour porter la vision cyber au Comex.
Évoluer vers Security Architect
C'est la transition la plus naturelle après six à huit ans en DevSecOps. Le Security Architect conçoit les architectures sécurisées en amont.
Il ne fait plus de configuration au quotidien. Il rédige les standards, valide les choix tech, intervient en revue d'architecture pour les nouveaux produits.
Le métier demande de la hauteur de vue et la capacité à dialoguer avec les CTO, les CISO et les chefs de produit. Un Security Architect confirmé à Paris navigue entre 95 et 130K.
Le senior tape 120 à 160K dans les grands comptes. La transition se fait souvent dans la même boîte, après avoir prouvé sa valeur sur plusieurs projets transverses.
Bifurquer vers CISO ou Head of Security
Le track manager attire une partie des DevSecOps après huit à dix ans de pratique. Head of Security, Director of Security, CISO.
On y manage cinq à vingt personnes, on porte la roadmap sécurité, on défend le budget face au COMEX. On présente la posture sécurité aux auditeurs, aux clients en due diligence, parfois aux régulateurs.
Ce track demande des compétences managériales et politiques au moins autant que techniques. Les rémunérations grimpent fort.
Un Head of Security en scale-up tape 130 à 180K. Un CISO en grand groupe peut dépasser 200K avec bonus et long-term incentives.
Beaucoup repassent en IC après trois ans, le métier use.
Se spécialiser Cloud Security ou Container Security
Deux spécialisations gagnent du terrain. Le Cloud Security Engineer maîtrise à fond les services sécurité d'AWS, GCP ou Azure : Security Hub, GuardDuty, Macie, KMS côté AWS, Security Command Center côté GCP, Sentinel côté Azure.
Le marché paie bien : 80 à 110K pour un confirmé. Le Container Security Engineer se concentre sur Kubernetes, les images Docker et le runtime, avec des outils comme Aqua, Sysdig, Falco ou Tetragon.
Les profils sont rares, surtout sur Kubernetes en production sous contrainte forte de conformité. Un Container Security senior peut taper 100 à 130K en banque ou chez un grand SaaS B2B.
Les deux spécialisations s'acquièrent souvent en restant sur le même poste, avec une orientation projet ciblée pendant un ou deux ans.
Devenir consultant indépendant ou monter son cabinet
Une partie des DevSecOps seniors finit par sortir du salariat. Le marché du conseil cybersec en France reste porteur.
Un consultant indépendant DevSecOps à 850 euros par jour facture 180 à 200K par an, à charge de remplir 220 jours. Certains montent leur cabinet à deux ou trois associés.
Ils captent des clients ETI ou grands comptes qui ne veulent pas dépendre de Wavestone ou Deloitte. Le marché récompense les consultants qui savent allier expertise technique, capacité commerciale et compréhension du métier client.
Des structures à deux associés qui dépassent 400K de chiffre d'affaires après deux ans d'existence, on en voit régulièrement.
Les outils du DevSecOps
Le quotidien numérique d'un devsecops repose sur ces logiciels, à connaître avant un entretien.
Snyk
SCA / SASTScanner les dépendances open source et le code, prioriser les CVE
SonarQube
SASTAnalyse qualité et sécurité du code à chaque commit
Trivy
Scan d'imageScanner les images Docker et le filesystem pour les vulnérabilités
Aqua Security
Container securityProtection runtime des conteneurs et clusters Kubernetes
HashiCorp Vault
Secrets managementStocker et faire tourner les secrets, rotation automatique
Burp Suite
DAST / pentestTester les applis web en boîte noire pour les vulnérabilités
Falco
Runtime securityDétecter les comportements anormaux sur les conteneurs en production
OWASP ZAP
DASTScan automatisé d'applis web, intégrable en CI
On répond à vos questions sur DevSecOps.
Combien gagne un DevSecOps à Paris en 2026 ?
À Paris, le fixe se situe entre 60K€ et 115K€. Glassdoor France mai 2026 donne 75K€ médian. Robert Half Salary Guide 2026 cible 82K€ médian pour un confirmé. APEC baromètre cadres 2025 situe la médiane à 78K€. Le DevSecOps paie 10-15% au-dessus du DevOps standard grâce à la pénurie sécurité. TJM freelance 700 à 1000€/jour, avec quelques profils seniors qui dépassent 1100€/jour.
DevSecOps vs DevOps : quelle différence ?
Le DevOps couvre CI/CD et déploiement applicatif. Le DevSecOps ajoute la dimension sécurité native : SAST/DAST/SCA dans les pipelines, scanning d'images, gestion des secrets, threat modeling. Le DevSecOps paie 10-15% au-dessus du DevOps grâce à la rareté. La frontière s'efface en 2026 : beaucoup de scale-up attendent du DevOps confirmé qu'il porte aussi la dimension sécurité.
DevSecOps vs AppSec : quelle différence ?
L'AppSec (Application Security Engineer) focus sur le code et l'audit sécurité applicatif. Le DevSecOps couvre le pipeline complet : code + infra + secrets + runtime. L'AppSec est plus proche du pentest. Le DevSecOps est plus opérationnel et infra. Les deux profils paient comparable, avec un léger avantage DevSecOps (5%) sur les scale-up cloud-native.
Quelles certifications pour un DevSecOps ?
Plusieurs certifications valorisées. CKS (Certified Kubernetes Security Specialist) est très demandée en 2026. OSCP (Offensive Security Certified Professional) pour la dimension offensive. AWS Certified Security Specialty ou Azure Security Engineer. ISC2 CCSP pour le cloud. Les certifications HashiCorp Vault Associate ajoutent une prime. Un DevSecOps avec CKS + AWS Security facture 5-10% au-dessus de la moyenne.
Quelle formation pour devenir DevSecOps ?
Trois cursus dominent. Écoles d'ingénieurs (Telecom Paris, Centrale, Mines, EPITA SRS, Epitech orientation cyber). Masters en cybersécurité (Paris-Saclay, Telecom SudParis). Reconversion depuis DevOps confirmé + formation cybersécurité ANSSI ou SANS. Quelques bootcamps cybersécurité (CyberSchool, OpenClassrooms) forment 6-9 mois mais restent moins reconnus que les cursus longs.
Combien d'années pour devenir DevSecOps senior ?
La trajectoire type prend 7-10 ans. Le parcours combine 2-3 ans en DevOps ou Développeur, 2-3 ans en DevSecOps junior/confirmé. La maîtrise complète SAST/DAST/SCA + Vault + Kubernetes hardening prend 3-4 ans. Au-delà de 8 ans, la bascule vers Lead DevSecOps, Security Architect ou Head of Security débloque 100-140K€.
Quel TJM pour un DevSecOps freelance ?
Le freelance attire dès 5-7 ans d'expérience. Tarif moyen 2026 : 700 à 1000€/jour. Les profils DevSecOps CKS + AWS Security facturent 850-1000€/jour. Les seniors avec NIS2/DORA et expertise verticale (banque, santé, énergie) atteignent 950-1100€/jour. Les missions de mise en conformité NIS2 ou DORA payent au-dessus (1000-1200€/jour). Le marché reste très tendu.
Quelles évolutions de carrière après DevSecOps ?
Trois voies. Track IC : Senior DevSecOps, Security Architect, Principal Security Engineer (100-140K€). Bascule vers RSSI ou Adjoint RSSI dans une scale-up (110-160K€). Track éditeur : Solutions Architect chez Snyk, Aqua, HashiCorp, CrowdStrike (110-180K€ + RSU). Freelance ou conseil indépendant après 6-8 ans (TJM 850-1100€).
Les métiers proches en DevOps
AI Engineer
AI Engineer, l'ingénieur qui construit les produits IA
Lire la ficheTECHAdministrateur Systèmes et Réseaux
Le métier de Administrateur Systèmes et Réseaux
Lire la ficheTECH / CLOUDArchitecte AWS
Le métier de Architecte AWS
Lire la ficheTECHArchitecte SI
Le métier de Architecte SI
Lire la fichePour aller plus loin sur le métier DevSecOps
Recruter des profils tech en France : les bonnes pratiques en 2026
Le marché tech français de 2026 ne ressemble plus à celui de 2021. Offres en chute de 80% sur 3 ans, mais tension forte sur ML Engineer, Platform et SecOps. Ce guide pose les bonnes pratiques 2026 : grille salariale à jour, sourcing GitHub + LinkedIn, pair-programming live, contre-offres et impact de l'IA générative.
Lire l'article
Stockly lève 26 millions d’euros pour transformer la gestion des stocks grâce à l’IA
Stockly boucle une Série B de 26 millions d'euros menée par 83North et Eurazeo pour scaler sa plateforme de mutualisation des stocks e-commerce. 30 recrutements Tech, Data, Product et Sales prévus sur 2025. Décryptage Lity et angle marché sur les profils que la scale-up va chasser.
Lire l'article
Mistral AI x CMA CGM : Un partenariat stratégique à 100 millions d’euros
Lire l'articleConfiez-nous le recrutement de votre DevSecOps.
Une approche de terrain pour des recrutements qui durent.
Échange (30 min)
Une visio pour cerner vos enjeux et vous présenter notre approche.
Immersion
Une rencontre sur place pour qualifier, en profondeur, votre culture et vos projets de recrutement.
Chasse ciblée
Lancement de la mission. Nous vous présentons uniquement les profils en parfaite adéquation avec vos attentes.