Plan cyber / bug bounty — routine adaptée TDAH
Créé le 20/09/2026, à la demande de Yohann. Objectif déclaré : apprendre et faire du bug bounty d’ici 2 à 3 mois. Contexte : ce créneau remplace le trading pendant les moments de creux au travail (cf.
memory/2026-09-18.mdetnotes-a-retenir.md).
1. Le principe directeur
L’échec précédent (TryHackMe abandonné) ne venait pas de la volonté mais de la conception du parcours : récompense différée, démarrage à friction élevée, nouveauté qui s’épuise avant le premier vrai succès.
La routine ci-dessous est construite sur quatre règles, dans cet ordre d’importance :
- Un créneau = une unité terminée. Jamais de tâche à reprendre plus tard.
- Zéro friction au démarrage. Un favori, une session déjà ouverte, un clic. Pas de VPN, pas de VM à lancer au bureau.
- Récompense immédiate et visible. Un lab validé = un compteur qui monte, le jour même.
- Un enjeu externe. Une date d’examen payée, et un point hebdomadaire avec Jarvis.
2. Le choix d’outil : PortSwigger Web Security Academy
C’est la pièce maîtresse, et elle remplace TryHackMe pour cet objectif.
| Critère | PortSwigger Academy | TryHackMe / HTB |
|---|---|---|
| Coût | Gratuit, illimité | Gratuit limité, puis abonnement |
| Démarrage | Navigateur, 1 clic, aucune VM | VPN ou machine cloud à lancer |
| Durée d’une unité | 10–25 min (1 lab) | 45–90 min (1 room / 1 box) |
| Rapport au bug bounty | Direct — les vulnérabilités web réelles | Indirect — beaucoup de CTF |
| Feedback | « Solved » instantané | Flag à soumettre |
Les labs sont classés Apprentice (guidés), Practitioner (autonomes), Expert. Le format colle exactement aux créneaux de 20 minutes au bureau, sans rien installer sur le poste.
La VM Kali reste utile le soir et le week-end (Burp, recon, outils), mais elle n’est plus un prérequis pour commencer. Ne pas attendre qu’elle tourne pour démarrer le premier lab.
3. La routine hebdomadaire
Au bureau, pendant les creux (le créneau à réoccuper)
- 1 lab PortSwigger par créneau. Objectif : 3 à 5 labs par semaine.
- Onglet favori unique, compte déjà connecté.
- Si le lab n’est pas fini en 25 min : lire la solution, la refaire une fois, passer au suivant. Ne jamais reporter.
- Rien d’autre dans ce créneau. Pas de veille, pas de lecture, pas de « je regarde juste ».
Le soir ou le week-end, 1 session de 1 h à 2 h
- Burp Suite dans la VM Kali sur les labs Practitioner.
- Ou une box HTB/THM en mode navigateur, pour le plaisir et la variété.
Le point hebdomadaire (dimanche soir)
- Nombre de labs validés, ce qui a bloqué, l’objectif de la semaine suivante.
- Tenu avec Jarvis.
4. Le déroulé sur 12 semaines
Semaines 1 à 4 — les fondamentaux web Thèmes, dans l’ordre : SQL injection → XSS → authentification → contrôle d’accès (IDOR) → CSRF → SSRF. Tous les labs Apprentice de ces six thèmes. Fin de période : Burp Suite installé et pris en main dans la VM Kali. Cible : ~40 labs.
Semaines 5 à 8 — l’autonomie
Labs Practitioner sur les mêmes thèmes, puis path traversal, file upload, XXE, race conditions.
Première lecture de rapports publics : hackerone.com/hacktivity — 15 min par semaine, pour voir à quoi ressemble un vrai rapport.
Cible : ~40 labs.
Semaines 9 à 12 — le terrain, sans argent en jeu
- Uniquement des VDP (Vulnerability Disclosure Programs) : pas de prime, donc pas de course, pas de doublon qui fait mal, pas de variable-ratio.
- Choisir un seul programme et y rester 4 semaines. Le scope large est un piège à dispersion.
- Méthode : recon → cartographie des fonctionnalités → test systématique des thèmes appris.
- Objectif de la période : un rapport soumis, même refusé. Le but est d’apprendre le format, pas d’encaisser.
Après la semaine 12 — seulement si les 3 phases ont tenu Passage aux programmes rémunérés, avec horaire fixe.
5. Les règles de sécurité (addiction)
Le bug bounty est la partie de l’écosystème dont la forme est la plus proche du trading : gain incertain, montant variable, compétition, et le « encore une heure et je trouve ».
Garde-fous non négociables :
- VDP d’abord, argent ensuite. 3 mois minimum sans prime en jeu.
- Horaire fixe. Une session se termine à l’heure prévue, pas quand on a trouvé.
- Jamais la nuit. C’est l’horaire des rechutes de juin et de septembre.
- Aucune dépense d’outil payant tant que le premier rapport n’est pas soumis.
- Si une session se transforme en « je dois me refaire », c’est le même mécanisme : arrêt immédiat, on en parle.
6. L’enjeu externe
Burp Suite Certified Practitioner (BSCP) — environ 99 $, examen en ligne, sans date imposée. Il valide exactement le contenu de l’Academy, et c’est un certificat opposable dans une collectivité. → Ne le payer qu’à la fin de la semaine 8, une fois les 80 labs faits. Payer trop tôt crée de la culpabilité, pas de la motivation. → À vérifier avant achat : si une licence Burp Suite Professional est fournie pour la durée de l’examen.
Alternative si l’objectif dérive vers le pentest plutôt que le web : eJPT, ~200 €.
7. Règles de prudence professionnelle
- Rien depuis le réseau ni le poste de l’employeur : pas de scan, pas de VPN CTF, pas de recon. Les labs PortSwigger sont du HTTPS vers un site public — c’est la seule chose qui passe sans discussion. Le travail offensif (Burp, nmap, recon sur un programme) se fait uniquement depuis la maison.
- Ne tester que des cibles explicitement dans le scope d’un programme public.
- Ce virage est un atout pour son poste de référent technique : la montée en compétence cyber se justifie d’elle-même.
8. Suivi
| Semaine | Labs validés | Thème | Note |
|---|---|---|---|
| S1 (22–28/09) | SQLi |
(à compléter chaque dimanche)