Recruter un administrateur systèmes et réseaux en 2026, ce n'est plus chercher un profil qui sait câbler un switch et patcher Windows Server. Le métier a basculé sur le cloud hybride, le zero trust et l'automatisation. Le mauvais brief sort un profil legacy qui galère 6 mois sur l'environnement réel.
Ce guide pose la méthode Lity sur les missions Infra. Sans habillage. Repères salariaux 2026, scorecard chiffrée, sourcing efficace, test technique qui filtre vraiment, et onboarding 30 jours pour un sysadmin opérationnel sur du run et du build.
Définir le périmètre exact avant la fiche de poste
Le métier a éclaté en 4 spécialisations distinctes. Si vous mettez tout dans une seule fiche, vous attirez des juniors généralistes ou personne.
Sysadmin, ingé réseau, cloudOps, secOps : 4 métiers en 2026
Le sysadmin pur gère le run Windows/Linux, l'AD, la sauvegarde, les VMs et le support N3. C'est le pilier opérationnel. L'ingé réseau pilote la couche transport : firewalls, VPN, SD-WAN, segmentation, monitoring trafic. Le CloudOps administre AWS, Azure ou GCP : IAM, VPC, gestion des coûts, automatisation Terraform et Ansible. Le SecOps couvre la sécurité opérationnelle : EDR, SIEM, durcissement, gestion des CVE et réponse à incident.
L'environnement à formaliser avant d'écrire la fiche
Périmètre infrastructure (parc serveurs, taille du SI, nombre de sites). Cloud provider et part on-premise dans l'architecture cible. Outils d'automatisation déjà en place (Ansible, Terraform, Puppet, Chef). Niveau de sécurité visé : zero trust, ISO 27001, HDS, NIS2. Astreintes et organisation du run (24/7, plages ouvrées, équipe N1/N2/N3).
Notre guide pour formaliser tout ça : créer une fiche de poste qui attire les bons profils.
Piège classique
Demander un sysadmin qui gère AD, Linux, AWS, firewalls Fortinet, Kubernetes, Terraform, SIEM et astreintes 24/7. Ce mouton à 5 pattes n'existe pas sous 75 K€. Soit vous segmentez, soit vous prenez un confirmé sur 2-3 piliers et un consultant freelance sur le reste.
Le marché sysadmin en 2026 : tension réelle et géographie
Le marché tourne à 1,3 offre active par profil confirmé sur Paris. Le cloud n'a pas tué le sysadmin, il a juste fait monter le ticket d'entrée. Un profil purement on-premise sans aucune notion cloud vaut 15% de moins qu'en 2022.
Repères salariaux administrateur systèmes et réseaux 2026
| Séniorité | Paris | Régions / Remote | Avec certifs cloud (+10-20%) |
|---|---|---|---|
| Junior (0-2 ans) | 34-40 K€ | 30-36 K€ | 38-44 K€ |
| Confirmé (3-5 ans) | 42-52 K€ | 38-46 K€ | 48-58 K€ |
| Senior (6-10 ans) | 54-65 K€ | 48-58 K€ | 60-72 K€ |
| Expert cloud / hybride | 62-78 K€ | 55-70 K€ | 70-85 K€ |
| Lead Infra / Responsable Production | 70-90 K€ | 60-80 K€ | 80-100 K€ |
Sources croisées : baromètres APEC, Welcome to the Jungle, France Travail et Stack Overflow Developer Survey 2026 sur les fonctions Infra & Cloud.
Les certifs qui valent vraiment quelque chose
AZ-104 (Azure Administrator) et AWS Solutions Architect Associate restent les deux références qui font monter le package de 10 à 20%. CKA (Certified Kubernetes Administrator) ajoute 8-12% sur les boîtes qui font tourner du k8s en prod. Les certifs Cisco (CCNA, CCNP) gardent du poids sur les environnements réseau classiques. Inversement, MCSA Windows n'est plus un signal différenciant depuis 2023.
La scorecard sysadmin : 5 indicateurs chiffrés à 12 mois
Sur une mission Lity, on ne dépose pas l'annonce sans scorecard validée par le DSI ou le RSSI. Cinq indicateurs concrets, mesurables sur la première année.
| Indicateur | Cible 12 mois | Comment on mesure |
|---|---|---|
| Taux de disponibilité prod | 99,9% sur services critiques | Monitoring (Datadog, Zabbix, Prometheus) |
| MTTR sur incidents N2/N3 | < 45 min en heures ouvrées | Ticketing (Jira, ServiceNow) |
| Couverture patch management | > 90% serveurs à jour J+15 | Outil de patch (WSUS, Ansible, Tanium) |
| Automatisation runbooks | 5 procédures Ansible/Terraform livrées | Repo Git interne |
| Audit sécurité zero trust | Plan de segmentation rendu à M+9 | Validation RSSI |
Sourcer un sysadmin en 2026 : où ils sont vraiment
Les canaux qui marchent par profil
Sur les confirmés cloud hybride : LinkedIn Recruiter + Welcome to the Jungle. Sur les juniors et confirmés on-premise : France Travail, Indeed et HelloWork font le job. Sur les experts SecOps et CloudOps : chasse pure et communautés.
Les communautés où circulent les bons profils
Meetups locaux DevOps Paris, Lyon, Nantes (anciennement Paris DevOps Meetup). Communauté Stack Overflow sur les tags Linux, Ansible, Terraform. Discord et Slack de la communauté française : DevOps France, French Sysadmin Network. Conférences sectorielles : Devoxx, AWS re:Invent, FIC sur la sécurité.
Trier les CV : les signaux concrets
Ce qui prédit un sysadmin solide
Parcours qui montre une vraie production : taille du parc géré, nombre d'utilisateurs supportés, taux de dispo atteint. Trace d'automatisation : repos Git publics, scripts Ansible ou Terraform partagés, articles techniques. Certifications récentes en cloud ou sécurité (moins de 3 ans). Participation à des post-mortems documentés. Le sysadmin qui n'a jamais rédigé de post-mortem n'a jamais géré d'incident critique.
Les drapeaux rouges qu'on voit vite
Stack identique depuis 8 ans, aucune trace de cloud ou d'automatisation. Refus de parler du dernier incident géré (le candidat le minimise ou l'esquive). Discours fataliste sur la sécurité : 'de toute façon on est tous piratables un jour'. Aucune notion de runbook, IaC ou gestion des secrets.
Méfiez-vous du 'sysadmin tout-puissant'
Le profil qui prétend tout savoir, tout maîtriser, et qui dénigre les outils en place est presque toujours un junior senior. Le bon sysadmin parle de ses limites, des outils qu'il ne connaît pas encore, et des choix d'équipe qu'il a su défendre ou abandonner. Cherchez la maturité, pas l'arrogance technique.
Le test technique qui filtre vraiment
Cas pratique 90 minutes : sans piège, sur le réel
On donne un scénario concret : 'tu prends la suite du sysadmin précédent, voici l'archi cible, voici l'incident en cours, comment tu attaques ?'. On évalue la méthode : diagnostic, priorisation, communication avec les autres équipes. Pas un quiz sur les commandes Linux. Un sysadmin qui ne se souvient pas d'un flag grep mais sait poser un diagnostic structuré vaut mieux qu'un par-cœur qui sèche en crise.
Ce qu'on mesure dans le test
La capacité à poser les bonnes questions de cadrage avant d'agir. La hiérarchisation entre run urgent et build planifié. La lecture des logs et la formulation d'hypothèses argumentées. La gestion des secrets, des accès, du principe de moindre privilège.
L'entretien DSI + RSSI : 3 questions qui révèlent le niveau
Question 1. Raconte-moi ton dernier incident de sécurité ou opérationnel critique. Qu'est-ce qui a été fait, qu'est-ce que tu aurais fait autrement ? Si le candidat n'a rien à raconter ou minimise l'incident, on n'est pas sur un profil prod-grade.
Question 2. Comment tu poses les bases d'un zero trust sur un SI hybride existant ? Réponse attendue : cartographie des flux, segmentation par criticité, authentification forte partout, IAM cloud, surveillance trafic est-ouest. Si le candidat parle juste de VPN ou de firewall périmétrique, on est en 2018.
Question 3. Quels outils tu utilises pour automatiser une création d'environnement complet ? Réponse attendue : Terraform pour l'IaC, Ansible pour la configuration, GitLab CI ou GitHub Actions pour le pipeline, gestion des secrets (Vault, AWS Secrets Manager). Si le candidat répond 'des scripts bash', on est sur du junior maquillé.
Un sysadmin senior qu'on a placé chez un industriel a réduit le MTTR de 4h à 35 min en 60 jours. Il a juste automatisé les 12 procédures qui revenaient en boucle dans le ticketing. La DSI cherchait à recruter 3 personnes. Au final, un seul profil bien choisi a suffi.
Formuler l'offre et négocier le closing
Le package qui ferme un sysadmin confirmé
Fixe au marché, à ± 5%. Budget formation et certifications annuel écrit dans le contrat : 1500 à 4000 € pour AZ-104, AWS, CKA. Astreintes formalisées : forfait mensuel ou paiement à l'intervention, jamais flou. Télétravail 2 à 3 jours minimum. Sur les profils confirmés cloud, le full remote est devenu un argument standard.
La contre-offre, on la prévoit
Sur les confirmés en poste, 6 candidats sur 10 reçoivent une contre-offre. On l'anticipe dès le call qualif : 'qu'est-ce qui te ferait rester chez ton employeur actuel ?'. Si la réponse est uniquement financière, le risque de contre-offre gagnante est élevé.
L'onboarding 30 jours : un sysadmin opérationnel rapidement
Semaine 1 : cartographie et accès
Accès complets ouverts dès le jour 1 (le pire signal d'une DSI immature, c'est un sysadmin qui attend ses droits 5 jours). Lecture de la documentation d'architecture, des derniers post-mortems, des runbooks existants. Shadow d'un sysadmin senior sur du support N2/N3 pendant 3 jours.
Semaines 2 à 4 : premiers tickets en autonomie
Prise en charge de tickets N2 avec relecture par un senior. Premier runbook automatisé en semaine 3 (Ansible ou script). À J30, le sysadmin doit avoir contribué à au moins une procédure documentée et géré un incident N2 de bout en bout.
Avant tout : votre SI attire-t-il vraiment les bons sysadmins ?
Un sysadmin confirmé évalue 3 choses avant d'accepter. L'état de la dette technique (combien d'années de legacy à éponger). La maturité de l'automatisation (IaC en place ou tout en manuel). La culture sécurité (RSSI présent et écouté, ou alibi conformité).
Profil rare et cher
SecOps expérimenté + appétence cloud. Package +15 à 20% marché. 50 à 75 jours via cabinet expert.
Le rêve infra
CloudOps senior avec sensibilité sécurité. Package marché ± 5%. 30 à 45 jours via LinkedIn + WTTJ.
Mission ingrate
Sysadmin classique + RSSI externe en appui. Package marché. Risque de turnover élevé à 18 mois.
Cible idéale PME
Confirmé hybride avec une certif cloud récente. Package marché. 25 à 40 jours via WTTJ + LinkedIn.
Règle d'or
Sans cloud, sans automatisation et sans culture sécurité, vous n'attirerez que des juniors ou des profils en fin de carrière. Compensez par un cabinet, un package +15% et un plan de transformation crédible à 24 mois.
Quand passer par un cabinet de recrutement tech comme Lity
Trois situations le justifient. Vous démarrez votre fonction infra (premier sysadmin senior, premier Lead Infra). Vous chassez un profil rare (SecOps confirmé, expert Kubernetes prod, archi cloud hybride). Vous avez déjà raté un recrutement et le coût d'erreur dépasse celui du cabinet.
Pour un sysadmin confirmé chassé en moins de 35 jours sur une stack moderne, parler à un headhunter Tech chez Lity évite 4 mois de sourcing infructueux et un SI qui prend du retard.
Récap : la check-list pour signer un bon sysadmin
- Trancher sysadmin, ingé réseau, CloudOps ou SecOps dès le brief
- Formaliser environnement, cloud provider et niveau de sécurité visé
- Construire une scorecard 5 indicateurs validée par DSI ou RSSI
- Caler le package au marché 2026 avec budget certifs et astreintes claires
- Mixer LinkedIn Recruiter + WTTJ + communautés DevOps + cooptation
- Imposer un cas pratique 90 min sur scénario réel, pas un quiz commandes
- Faire intervenir le RSSI sur l'entretien final
- Bâtir un onboarding 30 jours avec premier runbook automatisé à J30
