La relève cyber : ce qu'un lycéen de 16 ans apprend des CTF et du bug bounty

À 16 ans, je suis lycéen à Kénitra et je consacre une partie de mon temps libre à la cybersécurité. Au départ, c’était surtout une curiosité : comprendre comment fonctionnent les sites et les applications, et comment on peut mieux les protéger. Avec le temps, cette curiosité m’a conduit vers les compétitions CTF et la recherche de vulnérabilités dans des programmes autorisés.

La première leçon que j’ai retenue n’est pas liée à un outil : avant de tester un système, il faut savoir si l’on a le droit de le faire, et dans quelles limites. En cybersécurité, la curiosité est utile lorsqu’elle s’accompagne de méthode et de responsabilité.

Apprendre dans un environnement prévu pour tester

Les compétitions CTF, ou « Capture The Flag », proposent des défis conçus pour l’entraînement. On y analyse des fichiers, des programmes ou des scénarios simulés afin de trouver une solution. L’environnement est prévu pour être testé. On peut essayer, se tromper, relire les indices et comparer son raisonnement avec celui de son équipe.

Je participe à des compétitions avec CYBERDUNE CLUB, une équipe étudiante dont la fiche publique sur CTFtime présente les activités et résultats en CTF.1 Travailler avec d’autres participants m’apprend à expliquer une idée, à écouter une autre approche et à vérifier une conclusion. Une bonne réponse n’est pas seulement celle qui fonctionne : il faut comprendre pourquoi elle fonctionne.

Un système réel est différent d’un défi d’entraînement. Une page accessible sur Internet n’est pas automatiquement une cible autorisée. Même avec une intention positive, tester sans permission peut exposer des données, perturber un service ou sortir du cadre légal. Pour moi, la frontière entre l’exercice et la recherche responsable commence par une autorisation claire.

Ce que change un programme encadré

Un programme de bug bounty ou de divulgation de vulnérabilités précise les systèmes concernés, les tests permis et la manière de transmettre un rapport. Le chercheur doit lire ces règles avant de commencer et s’y tenir. Une récompense n’est jamais garantie : elle dépend des critères du programme et de l’évaluation du rapport.

J’ai récemment signalé à Upfort, par l’intermédiaire de Federacy, une vulnérabilité que l’entreprise a classée comme critique. Après son évaluation, j’ai reçu une récompense. Je ne peux pas publier les détails techniques, qui doivent rester confidentiels. J’ai raconté cette expérience dans une première tribune publiée par UnderNews; je peux aussi fournir à la rédaction, sur demande, un justificatif expurgé des informations personnelles et sensibles.2

Cette expérience m’a surtout montré que trouver un problème n’est qu’une partie du travail. Un rapport doit décrire clairement ce qui a été observé, dans quelles conditions et avec quelles limites, sans exagérer l’impact. Il doit permettre à l’organisation de comprendre le problème et de le corriger, tout en évitant l’accès aux données d’autres personnes ou toute action qui perturberait le service.

La divulgation coordonnée repose sur cette collaboration entre chercheurs et organisations. Aux États-Unis, la CISA impose aux agences fédérales civiles de l’exécutif concernées de publier une politique de divulgation des vulnérabilités et de mettre en place un processus pour recevoir ces signalements.3 Cette démarche rappelle qu’un canal clair et des règles compréhensibles peuvent aider les deux côtés à traiter un problème de sécurité.

Une progression qui se construit

Être lycéen signifie aussi trouver un équilibre entre les cours, l’entraînement et le repos. Je continue à apprendre par des exercices, des ressources de formation et les compétitions, sans prétendre tout maîtriser. Quand un défi résiste, revenir aux bases ou demander l’avis d’un coéquipier fait partie du travail.

J’aimerais que davantage de jeunes au Maroc puissent découvrir la cybersécurité dans des cadres accessibles et légaux : clubs, ateliers, compétitions et environnements d’entraînement. Il n’est pas nécessaire de commencer par tout connaître. On peut progresser pas à pas, apprendre à documenter ses résultats et, surtout, respecter les règles avant d’intervenir sur un système réel.

Mon parcours est encore en construction. Cette récompense est une étape, pas une preuve que je sais tout faire. Ce que je veux poursuivre, c’est un apprentissage sérieux : développer mes compétences, continuer mes études et contribuer à la sécurité numérique sans oublier que chaque test concerne des services utilisés par de vraies personnes.

Mohamed Reda Mejhed — redeex
Lycéen à Kénitra, Maroc

Les informations relatives à la récompense Upfort sont rapportées à la première personne et peuvent être vérifiées auprès de l’auteur. Aucun détail technique confidentiel n’est divulgué.