Se former à la cybersécurité au Maroc : la feuille de route pour débuter

Pour se former à la cybersécurité au Maroc, il faut d'abord poser des bases solides (réseaux, Linux, web et un langage de script comme Python), puis pratiquer dans des labs et des CTF, et seulement ensuite choisir une spécialité. Les ressources de départ sont surtout gratuites et en ligne, accessibles de Tiznit comme de Casablanca. La différence se fait au clavier, pas devant des vidéos.

Ce guide s'adresse aux lycéens, aux étudiants et aux adultes en reconversion. Il ne promet pas un emploi en six semaines, mais un ordre logique, des ressources fiables, les règles légales marocaines et un plan de trois mois.

Les métiers de la cybersécurité, expliqués simplement

"Cybersécurité" recouvre des métiers très différents. Certains surveillent des alertes, d'autres rédigent des politiques de sécurité, d'autres cherchent des failles pour un client.

Le SOC (Security Operations Center, l'équipe qui surveille la sécurité en continu) est souvent une porte d'entrée : on y apprend vite à lire des journaux et à reconnaître une attaque. Le pentest attire, mais il demande des bases très solides en système et en réseau. La GRC (gouvernance, risques et conformité) est plus accessible aux profils venant du droit, de la gestion ou de l'audit. Inutile de choisir le premier jour : les bases sont communes à tous ces métiers.

Se former à la cybersécurité au Maroc : un domaine encadré

Au Maroc, des institutions et des textes structurent le domaine. Les connaître aide à comprendre ce que les employeurs attendent.

• La DGSSI (Direction Générale de la Sécurité des Systèmes d'Information), créée en 2011 et rattachée à l'Administration de la Défense nationale, est l'autorité nationale de la cybersécurité. Son site officiel publie des bulletins de sécurité, très utiles pour apprendre le vocabulaire.
• Le maCERT, l'une des directions de la DGSSI, est le centre national de veille, de détection et de réponse aux attaques informatiques.
• La loi n° 05-20 relative à la cybersécurité (2020) et son décret d'application (2021) fixent des règles pour les administrations, les établissements publics et les infrastructures d'importance vitale. Le décret prévoit notamment des audits de sécurité, qui peuvent inclure des tests d'intrusion, et la qualification des prestataires.
• La loi n° 09-08 encadre la protection des données personnelles depuis 2009, sous le contrôle de la CNDP. Un profil GRC doit connaître les deux lois.

En juillet 2024, la DGSSI a aussi présenté une Stratégie nationale de cybersécurité 2030, dont l'un des quatre piliers porte sur le développement des capacités : sensibilisation, formation, certification.

Aucun chiffre sur les salaires ou les postes ici, faute de source fiable : lisez plutôt de vraies offres d'emploi au Maroc et notez les compétences qui reviennent.

Les fondations à poser avant tout

La tentation est grande d'installer tout de suite des outils de "hacking". Sans bases, on appuie sur des boutons sans comprendre, et on bloque au premier imprévu.

Les réseaux

Adresses IP, ports, TCP et UDP, DNS, HTTP : c'est le terrain de jeu de toutes les attaques. Capturez votre propre trafic avec Wireshark et essayez d'y reconnaître une requête DNS.

Linux et la ligne de commande

La plupart des serveurs et des outils de sécurité tournent sous Linux. Il faut savoir naviguer, gérer les droits sur les fichiers, lire des journaux, lancer et arrêter des services. Le jeu Bandit d'OverTheWire est fait exactement pour ça, niveau par niveau.

Le web

Comprenez ce qu'est une requête HTTP, un cookie, une session, et comment un formulaire parle à une base de données. Les failles web connues (injection SQL, XSS) deviennent alors logiques.

Un langage de script : Python

Pas besoin de devenir développeur : il suffit d'écrire de petits scripts qui lisent un fichier de journaux ou automatisent une tâche. Python est le choix le plus courant, avec un peu de Bash. Si l'IA vous attire aussi, notre guide pour apprendre l'IA en partant de zéro s'appuie sur les mêmes bases.

L'anglais technique

L'essentiel de la documentation, des outils, des alertes de vulnérabilités et des write-ups est en anglais. Pas besoin de le parler parfaitement, mais il faut le lire sans peur. Lisez un peu chaque jour et tenez un glossaire personnel (vulnerability, privilege escalation, payload...).

Pratiquer : labs, CTF et choix d'une spécialité

Une fois les bases en route, la pratique doit prendre l'essentiel de votre temps, sur des systèmes prévus pour être attaqués.

Les CTF pour débutants

Un CTF (Capture The Flag) est un défi où il faut trouver un "drapeau", une chaîne de caractères cachée dans un système vulnérable ou un fichier. Pour débuter, le format "Jeopardy" est le plus adapté : des épreuves indépendantes classées par catégorie (web, cryptographie, investigation numérique...) et par difficulté. Par où commencer :

• picoCTF, créé par l'université Carnegie Mellon pour les débutants (sa plateforme d'entraînement s'appelle désormais CyLab Security Academy).
• La Web Security Academy de PortSwigger, gratuite, avec des labs sur les grandes failles web.
• OverTheWire, pour Linux puis des sujets plus avancés.
• TryHackMe et Hack The Box, avec des parcours guidés en partie gratuits.

Une règle simple : cherchez seul 30 à 45 minutes avant de lire un indice, et refaites sans aide, quelques jours plus tard, un défi dont vous avez lu la solution. C'est la pratique de récupération (Roediger et Karpicke, 2006) : on retient mieux ce qu'on a dû retrouver soi-même. Ensuite, le site CTFtime recense les compétitions en ligne, et rejoindre une équipe fait progresser très vite.

Choisir une spécialité

Après quelques mois, vos préférences apparaissent. Les journaux et l'enquête ? SOC et réponse à incident. Les défis web ? Le pentest web. L'infrastructure ? La sécurité cloud. Organiser et expliquer ? La GRC.

Et les certifications ?

Une certification donne un cadre de révision et un signal sur un CV. La plus connue pour débuter est la CompTIA Security+, généraliste et indépendante des éditeurs, qui couvre les notions de base de la sécurité. Son contenu évolue (CompTIA annonce une nouvelle version vers novembre 2026) : vérifiez la version en cours et le tarif sur le site officiel. Mais elle ne remplace pas la pratique : en entretien, on vous demandera ce que vous avez fait.

Légalité : ne testez que ce que vous avez le droit de tester

C'est la règle numéro un. Au Maroc, les articles 607-3 à 607-11 du Code pénal, introduits par la loi n° 07-03 de 2003, punissent notamment l'accès ou le maintien frauduleux dans un système de traitement automatisé de données, l'entrave à son fonctionnement et la modification de données. La tentative est punie comme l'infraction elle-même, et le texte vise aussi les outils conçus ou spécialement adaptés pour commettre ces infractions.

En pratique :

• Entraînez-vous uniquement sur vos propres machines, dans des labs prévus pour ça et dans des CTF.
• Aucun test sur le Wi-Fi du voisin, le site de votre école ou le compte d'un ami, même "pour voir".
• Un vrai test d'intrusion exige une autorisation écrite, un périmètre et des dates. Un programme de bug bounty exige le respect strict de ses règles.
• Si vous tombez par hasard sur une faille, n'allez pas plus loin et ne récupérez aucune donnée.

Ce rappel ne remplace pas un avis juridique. En cas de doute, ne testez pas.

Un plan de 3 mois pour démarrer

Comptez environ 5 à 8 heures par semaine. Un ordinateur avec 8 Go de RAM fait tourner une machine virtuelle, sinon les labs dans le navigateur suffisent. Adaptez le rythme, gardez l'ordre.

Au bout de trois mois, vous ne serez pas encore employable, c'est normal, mais vous saurez si le domaine vous plaît et vers quel métier vous tourner. Pour la suite (licence, école d'ingénieurs, formation professionnelle), notre guide de l'orientation après le bac aide à comparer les voies.

Montrer ce que vous savez faire

Un recruteur en cybersécurité veut voir comment vous raisonnez.

• Des write-ups : expliquez comment vous avez résolu un défi, erreurs comprises. Publiez-les seulement si la plateforme le permet, car beaucoup interdisent de diffuser la solution d'un défi encore actif.
• Un GitHub propre : vos scripts, vos notes, la configuration de votre lab.
• Vos résultats de CTF : le classement de votre équipe et vos catégories fortes.
• Un lab maison documenté : quelques machines virtuelles et ce que vous y avez appris.

Écrivez une partie de ces contenus en anglais : c'est un double entraînement. Pour les plus jeunes de la famille, la porte d'entrée est plutôt le code et la robotique : voyez la robotique et le code selon l'âge.

Si vous préférez être accompagné, le programme ApexTech d'ApexTiz, à Tiznit, s'appuie sur CyberStand, une plateforme avec de vrais labs Docker dans le navigateur. Son parcours cybersécurité compte 45 labs (pentest réseau, sécurité web, élévation de privilèges) et des défis de type CTF. Le contenu est en anglais, les formateurs expliquent en darija ou en français, à 10 maximum par salle avec un poste chacun, sur place ou à distance. L'attestation de fin de parcours est délivrée par le centre, ce n'est pas un diplôme d'État. Et si vous êtes autonome, les ressources gratuites de ce guide suffisent pour démarrer.

Questions fréquentes

Peut-on apprendre la cybersécurité sans diplôme en informatique ?

Oui pour débuter : les bases et la pratique sont accessibles à tous, en ligne. Pour un premier poste, beaucoup d'offres demandent un diplôme ou une expérience en informatique, donc un portfolio solide et une formation reconnue restent de vrais atouts.

Combien de temps faut-il pour débuter en cybersécurité ?

Comptez quelques mois de travail régulier pour maîtriser les bases et vos premiers CTF. Devenir employable prend nettement plus longtemps : méfiez-vous des promesses de métier en quelques semaines.

Faut-il être fort en maths pour la cybersécurité ?

Pas pour la plupart des métiers d'entrée : la logique, la rigueur et la curiosité comptent davantage. Les maths deviennent importantes si vous visez la cryptographie.

Le hacking éthique est-il légal au Maroc ?

Oui, quand il est autorisé : sur vos machines, dans des labs, des CTF ou une mission avec accord écrit. Accéder à un système sans autorisation est puni par les articles 607-3 et suivants du Code pénal, même en cas de simple tentative.