---
title: "Devenir freelance en cybersécurité : trouver des missions, définir ses tarifs et bien démarrer"
description: "Définir une spécialité pour devenir freelance en cybersécurité Le freelance en cybersécurité vend une expertise à plusieurs organisations, plutôt que de travailler pour un seul employeur. Ses missions ... Lire plus"
url: "https://fouineteau.fr/freelance-cybersecurite/"
author: "Jérôme Fouineteau"
date: "2026-11-13T11:02:04+00:00"
lang: "fr_FR"
categories: ["Actualités"]
---

# Devenir freelance en cybersécurité : trouver des missions, définir ses tarifs et bien démarrer

## Définir une spécialité pour devenir freelance en cybersécurité

Le freelance en cybersécurité vend une expertise à plusieurs organisations, plutôt que de travailler pour un seul employeur. Ses missions peuvent porter sur un test d’intrusion, un audit de configuration, la conformité, la réponse à un incident, la formation ou un accompagnement de direction à temps partagé. Cette diversité ouvre des possibilités, mais elle ne signifie pas qu’un débutant doit tout proposer. Une offre lisible permet au client de comprendre rapidement le problème traité, le résultat attendu et les limites de l’intervention.

Une spécialité se choisit à partir de trois éléments : les compétences déjà maîtrisées, les besoins des clients accessibles et le type de livrable que le professionnel peut produire avec régularité. Un administrateur systèmes et réseaux peut, par exemple, se concentrer sur la sécurisation des environnements cloud. Une personne issue de l’audit peut viser la conformité et la cartographie des écarts. Le choix doit rester assez précis pour être mémorisable, tout en couvrant un marché suffisant pour soutenir l’activité.

### Transformer un besoin client en offre concrète

Une PME ne formule pas toujours sa difficulté en termes techniques. Son dirigeant peut craindre que des données clients soient exposées, que les accès d’anciens salariés soient encore actifs ou que les sauvegardes ne permettent pas une reprise après incident. La première étape consiste à traduire cette inquiétude en une mission définie, avec un périmètre, une durée et des livrables. « Diagnostic de sécurité d’une PME en trois jours » est plus facile à évaluer que « conseil cyber polyvalent ».

Imaginons que la société fictive Atelier Lumen, une petite entreprise de commerce en ligne, confie ses outils à plusieurs prestataires. Une offre de diagnostic peut prévoir un entretien avec la direction, l’examen des accès administrateurs, une revue des sauvegardes et une restitution avec des actions classées par priorité. Le client achète alors une décision exploitable, pas seulement une série de constats techniques. La qualité du cadrage réduit aussi le risque de désaccord sur ce qui était inclus.

Les prestations de test d’intrusion doivent être délimitées avec une attention particulière. Un rapport utile expose les vulnérabilités constatées, les preuves nécessaires à leur compréhension et les mesures de correction recommandées. Il distingue les risques immédiats des améliorations qui peuvent être planifiées. Pour un dirigeant, savoir qu’un compte administrateur est accessible avec un mot de passe faible prend tout son sens lorsqu’il comprend quelles données ou quels services pourraient être concernés.

### Choisir des preuves adaptées à sa spécialité

Le métier n’étant pas réglementé, le client cherche des éléments concrets pour réduire son incertitude. Un diplôme peut contribuer à la crédibilité, mais il ne remplace pas la démonstration d’une méthode de travail. Un laboratoire personnel, des exercices documentés, des contributions techniques et des exemples de rapports anonymisés permettent de montrer comment une analyse devient une recommandation. Les données d’un véritable client ne doivent jamais apparaître dans un portfolio sans autorisation explicite.

Les certifications servent de repères lorsqu’elles correspondent aux missions proposées. Pour le pentest, l’OSCP est souvent associée à une pratique offensive. Pour l’audit et la conformité, ISO 27001 Lead Auditor ou CISA peuvent être cohérentes. Une orientation cloud peut s’appuyer sur AWS Security Specialty, tandis que CISSP ou CISM correspondent davantage aux fonctions de management de la sécurité. **Security+** et **CEH** sont également des certifications connues pour établir un premier socle, selon le parcours et les attentes du client.

La certification ne doit pas devenir une collection de sigles sans lien avec une offre. Un professionnel qui vend des audits cloud a intérêt à approfondir les environnements concernés et à expliquer ses limites, plutôt qu’à accumuler des titres éloignés de sa pratique. Pour Atelier Lumen, une démonstration claire de la revue des accès et des sauvegardes sera souvent plus convaincante qu’une liste de formations sans exemple associé.

La rédaction fait partie du service. « Un port d’administration est exposé » décrit un fait technique ; « cette exposition peut permettre la prise de contrôle du serveur, la fermeture de cet accès réduit le risque » aide à décider. Un freelance qui rend ses conclusions compréhensibles facilite l’arbitrage entre coût, urgence et impact. Une spécialité bien choisie devient donc plus vendable lorsqu’elle s’accompagne d’une explication accessible.

**Le premier actif commercial d’un consultant indépendant est une offre précise, soutenue par des preuves vérifiables et des recommandations que le client peut mettre en œuvre.**

## Choisir son statut et préparer le démarrage de son activité

Le statut détermine le cadre administratif, les cotisations et la façon de gérer les revenus. En France, les options fréquemment envisagées sont la micro entreprise, la SASU et le portage salarial. Le choix dépend du chiffre d’affaires attendu, des dépenses professionnelles, du besoin de protection sociale et de la tolérance à la gestion administrative. Il ne se réduit pas à comparer un pourcentage de cotisations : le temps consacré à la comptabilité et la capacité à investir dans du matériel doivent aussi entrer dans la décision.

### Comparer micro entreprise, SASU et portage salarial

La micro entreprise facilite le lancement grâce à des formalités limitées et à une gestion relativement simple. En 2026, le plafond de chiffre d’affaires indiqué pour les prestations de services est de 83 600 euros, à vérifier auprès de l’**Urssaf** selon la situation précise de l’activité. Avec un tarif journalier de 760 euros, ce seuil représente environ 110 jours facturés. Un indépendant qui travaille régulièrement avec plusieurs clients peut donc devoir anticiper rapidement un changement de régime.

La SASU n’est pas soumise à ce plafond de chiffre d’affaires. Elle implique une structure juridique et une gestion plus formelle, ce qui peut convenir lorsque le volume d’activité, les frais ou les projets de développement le justifient. Le portage salarial permet de réaliser des missions avec un cadre de salarié, en passant par une société de portage. Cette formule peut aider à tester le marché sans créer immédiatement sa propre structure, en contrepartie de frais de gestion et de règles spécifiques.

Pour choisir, un indépendant peut établir trois simulations avec le même chiffre d’affaires prévisionnel. Il y inscrit les cotisations, les dépenses de laboratoire, les assurances, la rémunération nette visée et les périodes sans mission. Une consultation auprès d’un expert comptable ou des organismes compétents permet de vérifier les hypothèses, surtout avant un dépassement de plafond ou une évolution de structure. Les résultats dépendent de la situation personnelle et ne se déduisent pas du seul tarif journalier.

La responsabilité civile professionnelle mérite également une place dans le budget initial. Une erreur de manipulation lors d’un test peut interrompre un service, endommager des données ou occasionner une réclamation financière. L’assurance doit être choisie à partir des activités réellement exercées et des exclusions prévues au contrat. Un consultant qui réalise des tests techniques doit vérifier que cette pratique est bien couverte, au lieu de supposer qu’une formule générale suffit.

### Installer des pratiques de gestion dès les premières missions

Les outils de gestion ne sont pas un sujet secondaire. Un compte bancaire adapté, une procédure de facturation, un calendrier de relance et un suivi des encaissements aident à distinguer chiffre d’affaires et revenu disponible. Par exemple, une mission facturée en fin de mois peut être réglée plusieurs semaines plus tard. Une trésorerie prévisionnelle évite de confondre la somme inscrite sur une facture avec l’argent immédiatement utilisable.

Les contrats et devis doivent préciser le périmètre, les dates, les livrables, les responsabilités, les modalités de paiement et le traitement des informations confidentielles. Si la mission concerne des données sensibles, le consultant doit convenir de règles de stockage et de suppression des éléments recueillis. Atelier Lumen peut ainsi savoir quelles informations seront examinées, qui recevra le rapport et combien de temps les preuves techniques seront conservées.

Le temps non facturé doit aussi être planifié. La prospection, l’administration, la veille, la formation et la préparation des environnements de test occupent une part réelle de l’activité. Un indépendant qui ne comptabilise que ses journées en mission risque de fixer un tarif qui ne couvre pas ses coûts. Réserver chaque semaine des plages à la gestion commerciale et à la formation permet de ne pas les repousser jusqu’à une période de creux.

La diversification commence au démarrage, même si le premier contrat prend une place importante. Une mission longue peut apporter de la visibilité, mais elle ne garantit pas la suite de l’activité. Maintenir des échanges avec plusieurs prospects et clients permet de limiter la dépendance économique. **Hiscox** souligne les risques liés à une concentration excessive du chiffre d’affaires auprès d’un seul donneur d’ordre, notamment lorsque celui ci représente plus de 50 à 60 % des revenus.

**Un statut pertinent et une gestion régulière donnent au freelance le temps et la trésorerie nécessaires pour construire une activité qui ne dépend pas d’un seul contrat.**

## Définir ses tarifs de freelance en cybersécurité

Le tarif journalier moyen, ou TJM, ne représente pas un salaire net. Il correspond au prix facturé pour une journée de prestation, avant les cotisations, les frais, les impôts et les périodes sans mission. En France, la médiane rapportée par **TJMètre** atteint 760 euros par jour pour un consultant en cybersécurité, à partir de 176 réponses. La moitié centrale des tarifs mesurés se situe entre 650 et 880 euros, ce qui donne un repère de marché, pas un prix automatique applicable à chaque profil.

Les écarts s’expliquent par l’expérience, la spécialité, le niveau de responsabilité, la localisation et le type de client. Un junior ne vend pas nécessairement les mêmes livrables qu’un expert chargé d’une réponse à incident ou d’un accompagnement de direction. Les entreprises peuvent aussi rémunérer différemment une intervention ponctuelle, une mission de longue durée ou une expertise difficile à trouver. Comparer des tarifs n’a donc de valeur que si les périmètres sont proches.

| Profil ou contexte | Repère de TJM | Point à examiner |
|---|---|---|
| Junior, de zéro à trois ans | 350 à 480 euros | Capacité à réaliser un périmètre encadré |
| Confirmé, de trois à sept ans | 480 à 680 euros | Autonomie et qualité des recommandations |
| Senior ou expert | 680 à 950 euros | Spécialité rare et niveau de responsabilité |
| Consultant, médiane relevée par TJMètre | 760 euros | Repère issu d’un ensemble de réponses |

### Calculer un tarif à partir de ses coûts réels

Le calcul commence par le revenu net souhaité, puis intègre les cotisations, l’assurance, le matériel, les abonnements professionnels, les frais de déplacement et la formation. Le total est divisé par un nombre réaliste de jours facturés, qui est souvent inférieur à 220. Les journées consacrées à la vente, à la veille et à l’administration ne produisent pas toujours une facture, même si elles contribuent à la qualité du service.

Supposons qu’un consultant prévoit 120 jours facturés et qu’il souhaite couvrir 60 000 euros de rémunération et de dépenses annuelles, avant ajustement selon son statut. Le calcul de départ donne 500 euros par jour. Il faudra ensuite intégrer les cotisations et les périodes de trésorerie, puis confronter le résultat aux prix observés pour les missions visées. L’exercice ne fixe pas une vérité fiscale, mais révèle si l’objectif de revenus est cohérent avec le volume de travail prévu.

Un tarif inférieur au marché peut aider à obtenir une première mission, mais il ne doit pas devenir une stratégie permanente. Un prix trop bas peut laisser penser que le périmètre est incomplet ou que l’expérience manque. À l’inverse, un tarif élevé doit être justifié par une spécialité, une méthodologie, des références ou une responsabilité particulière. La négociation gagne en précision lorsque le consultant explique les livrables et les risques couverts, plutôt que de défendre un chiffre isolé.

### Vendre un forfait lorsque le périmètre est défini

Le forfait facilite la décision d’un client qui souhaite connaître son budget à l’avance. Des repères publiés pour les offres de démarrage situent un diagnostic de deux à trois jours entre 1 500 et 2 500 euros, un audit de configuration cloud entre 2 000 et 4 000 euros, et un atelier de sensibilisation au phishing entre 600 et 1 200 euros. Ces montants varient selon le nombre de systèmes, les interlocuteurs, la profondeur de l’analyse et les délais.

Un forfait n’est pas une journée facturée dissimulée. Il rémunère un résultat défini, ce qui oblige à expliciter les exclusions et les conditions d’extension. Pour Atelier Lumen, un diagnostic peut inclure un nombre déterminé de comptes, de services et d’entretiens. Si l’entreprise ajoute ensuite un site ou une infrastructure distincte, un avenant permet de traiter ce besoin sans transformer une petite mission en engagement illimité.

Les tarifs de Paris et de l’Île de France sont souvent indiqués comme supérieurs à ceux d’autres régions, tandis que les grands groupes et les sociétés de services peuvent disposer de budgets différents des petites entreprises. Ces écarts ne dispensent pas d’analyser les coûts de vente et de réalisation. Le tarif doit refléter la valeur livrée et permettre au consultant de maintenir sa qualité, pas seulement suivre une grille générale.

**Un bon tarif finance le travail visible comme le travail invisible, tout en restant cohérent avec le périmètre et les bénéfices promis au client.**

## Trouver ses premières missions de cybersécurité freelance

La prospection commence par une offre que les clients savent reconnaître. Un profil qui se présente comme généraliste risque d’être difficile à recommander, même s’il possède de nombreuses compétences. Une promesse cadrée, comme la revue des accès cloud d’une PME ou un diagnostic de sécurité pour une agence web, donne au prospect une raison concrète de prendre contact. Elle aide aussi les intermédiaires à associer un besoin à un professionnel identifiable.

### Activer le réseau et les canaux adaptés

Les anciens collègues, les partenaires informatiques et les dirigeants déjà rencontrés constituent souvent les premiers relais. Il ne s’agit pas de leur envoyer un message vague annonçant une disponibilité, mais d’expliquer le problème traité, le type d’organisation concerné et le livrable proposé. Une ancienne relation peut alors faire le lien avec une entreprise qui vient de migrer ses outils ou qui souhaite mieux encadrer ses accès.

Les sociétés de services numériques, les cabinets de protection des données, les PME locales et les plateformes de mise en relation peuvent compléter cette démarche. Les agences web représentent une piste particulière : elles administrent des sites, des comptes clients et des accès parfois partagés, sans toujours disposer d’un spécialiste sécurité en interne. Un atelier court sur la gestion des identifiants ou un audit des accès peut devenir une première collaboration, à condition de définir clairement le périmètre.

Un portfolio peut présenter des travaux réalisés dans un laboratoire, des analyses de vulnérabilités sur des environnements autorisés et des exemples de rapports anonymisés. Chaque cas doit préciser la situation, la méthode employée et les résultats, sans exposer une entreprise ni des données confidentielles. Un client potentiel cherche surtout à voir comment le consultant raisonne et communique, pas à recevoir une liste de logiciels utilisés.

La publication régulière de conseils pratiques soutient la visibilité lorsqu’elle répond à des questions réelles. Une courte analyse expliquant comment vérifier les accès d’un ancien prestataire peut être plus utile qu’un texte général sur les dangers informatiques. Une publication peut aussi présenter un exemple pédagogique, comme la différence entre un risque technique et son effet opérationnel. Cette manière de communiquer met en évidence la capacité à traduire la sécurité en décisions compréhensibles.

### Utiliser des offres d’entrée faciles à acheter

Un forfait de diagnostic peut inclure un entretien, l’examen d’un périmètre restreint et une restitution orale accompagnée d’un document de priorités. Il faut annoncer à l’avance les systèmes inclus, le nombre d’entretiens et les tâches exclues. Pour une petite structure, un livrable court, hiérarchisé et directement exploitable a souvent plus de valeur qu’un document volumineux dont les recommandations sont difficiles à ordonner.

Un atelier de sensibilisation peut être construit autour de situations vécues par les équipes : réception d’un courriel suspect, demande urgente de changement de coordonnées bancaires ou partage d’un mot de passe. Les participants analysent les indices et apprennent à suivre une procédure de signalement. Le prestataire mesure ensuite la compréhension avec des questions ou des exercices. L’objectif est de rendre les bons réflexes utilisables dans le travail quotidien, plutôt que de réciter des règles abstraites.

- Définir la spécialité, le type de client et le problème traité.
- Présenter un livrable concret, un délai et un prix ou une méthode de chiffrage.
- Préparer une démonstration ou un exemple de rapport sans donnée confidentielle.
- Contacter son réseau, des sociétés de services et des partenaires locaux.
- Demander une autorisation écrite et délimiter les tests avant toute intervention.
- Maintenir plusieurs relations commerciales même pendant une mission longue.

Chaque échange commercial doit chercher à comprendre les conséquences du problème pour l’entreprise. Si le prospect parle de sauvegardes, le consultant peut demander quand elles ont été testées et combien de temps une reprise est acceptable. Ces questions permettent de proposer un périmètre pertinent, plutôt qu’une prestation standard qui ne correspond pas à la situation. Elles évitent aussi de promettre un résultat qui dépend d’éléments hors du contrôle du prestataire.

**Les premières missions se gagnent plus facilement lorsque la spécialité, le périmètre et la preuve de compétence tiennent dans une explication claire.**

La prospection ouvre la porte à une mission, mais seul un cadre d’intervention précis permet de travailler sans exposer le client ni le consultant à des risques mal compris.

## Cadrer les missions et sécuriser son activité de consultant cyber

Un test technique ne commence jamais par la simple remise d’une adresse IP ou d’un identifiant. Il faut une autorisation écrite qui désigne les systèmes concernés, les horaires, les méthodes acceptées et les personnes à prévenir en cas d’incident. Sans accord explicite, une opération conçue comme un contrôle de sécurité peut être interprétée comme une tentative d’accès non autorisée. Le contrat donne donc un cadre juridique et opérationnel aux deux parties.

### Formaliser le périmètre et les responsabilités

Le document de cadrage doit distinguer les environnements autorisés des systèmes exclus. Il précise les dates, les plages horaires et les techniques permises, en signalant notamment si les tests de charge ou les exercices d’ingénierie sociale sont interdits. Il décrit les livrables, leur calendrier, les règles de confidentialité, la conservation des preuves et le contact à joindre si un service devient instable.

Pour Atelier Lumen, le client peut autoriser l’évaluation d’un site de préproduction tout en excluant la plateforme de paiement en activité. Si le consultant découvre un risque qui exige d’élargir le test, il suspend l’action concernée et demande une validation écrite. Cette discipline évite qu’une initiative techniquement pertinente dépasse le mandat accepté ou provoque une interruption imprévue.

La restitution doit distinguer les faits vérifiés, les hypothèses et les recommandations. Une vulnérabilité détectée ne prouve pas toujours qu’un attaquant a exploité le système. Le rapport peut expliquer les conditions nécessaires à l’exploitation, l’impact potentiel et les mesures de correction. Le client peut ainsi prioriser les actions selon le risque et ses contraintes, sans confondre une possibilité théorique et un incident confirmé.

Le consultant conseille et documente ; le client décide des investissements et des changements à réaliser. Cette répartition doit rester visible dans les échanges et les livrables. Si une recommandation n’est pas retenue, le rapport peut consigner la décision et les risques associés, sans prétendre que le professionnel contrôle les choix budgétaires de l’entreprise. La clarté des responsabilités protège la relation commerciale autant que la qualité technique.

### S’inspirer des référentiels et maintenir ses compétences

L’**ANSSI** qualifie des prestataires d’audit selon le référentiel **PASSI**, qui établit des exigences concernant les structures, le personnel et le déroulement des évaluations. Cette qualification concerne des prestataires répondant à un cadre déterminé ; elle n’est pas une autorisation générale nécessaire à toute activité freelance. Un indépendant peut néanmoins s’en inspirer pour formaliser ses procédures, la protection des preuves et la qualité de ses rapports.

La veille doit porter sur les environnements réellement couverts par l’offre. Un spécialiste cloud suit les changements de configuration et d’identité dans les services qu’il audite. Un consultant en conformité entretient sa connaissance des exigences appliquées à ses missions. Un professionnel du test d’intrusion réserve du temps à la pratique dans des environnements autorisés. Cette régularité réduit l’écart entre les outils affichés dans une offre et les compétences effectivement disponibles.

La sécurité des usages de l’intelligence artificielle représente un champ de travail possible. Une enquête de **Fortinet**, rapportée par **Le Monde Informatique** auprès de plus de 2 750 décideurs dans 32 pays et régions, indique que 91 % des organisations interrogées utilisent ou expérimentent des outils de cybersécurité associés à l’IA. Dans cette enquête, 60 % des répondants voient le recrutement de profils cyber ayant une expérience en IA comme une difficulté, et 63 % anticipent davantage de rôles de supervision et de gouvernance de l’IA. Ces résultats décrivent les réponses des organisations interrogées, pas une garantie de missions pour chaque freelance.

Un consultant peut se former à l’évaluation des accès aux outils d’IA, à la protection des informations transmises et à la gouvernance des usages. Pour une PME, la question pratique peut être de savoir quelles données les salariés peuvent fournir à un service externe et qui valide les outils utilisés. Une offre de diagnostic ciblée aide à traiter ces sujets sans se présenter comme expert de tous les risques émergents.

La stabilité commerciale nécessite enfin de surveiller la concentration des revenus. Une mission longue peut occuper une grande part du calendrier, mais un pipeline actif préserve la capacité de négociation lorsque le contrat s’arrête. Des formations, des audits ponctuels et des prestations récurrentes peuvent répartir le chiffre d’affaires entre plusieurs clients, si les compétences et les conditions contractuelles le permettent.

**Une activité durable repose autant sur le cadre d’autorisation, la qualité des rapports et la diversification commerciale que sur l’expertise technique elle même.**

---

*Source : [fouineteau.fr](https://fouineteau.fr/freelance-cybersecurite/)*