OSWE
OffSec Web Expert · OffSec
L’OSWE valide le test d’applications web en boîte blanche : lire le code source pour trouver des vulnérabilités complexes (désérialisation, contournement d’authentification, injection SQL à l’aveugle, détournement de session) et les enchaîner en un exploit fonctionnel. C’est l’une des certifications les plus respectées en sécurité applicative, et elle fait partie du trio OSCE³. Son atout : prouver de vraies compétences de revue de code et d’écriture d’exploits. Sa limite : un examen long et exigeant, qui suppose de lire couramment plusieurs langages.
- Examen
- Examen pratique surveillé de 47 h 45 sur des applications web dont vous pouvez lire le code source, seuil 85/100, puis 24 h pour rendre le rapport.
- Prix de l’examen
- Vendu avec la formationExamen non vendu seul : pack cours + certification (90 jours de WEB-300, une tentative) à 1 749 $, ou abonnement Learn One à 2 749 $ par an (deux tentatives). Reprise : 249 $.
- Expérience exigée
- Aucune officiellement. En pratique : une solide expérience du pentest web et la capacité à lire plusieurs langages (PHP, Java, .NET, JavaScript, Python).
- Validité et maintien
- Valable à vie : pas de date d’expiration ni de frais de maintien. Compte pour l’OSCE³ et permet de renouveler un OSCP+.
- Format
- Pratique
Pour qui ?
Pentesters web confirmés, ingénieurs AppSec, auditeurs de code et développeurs qui veulent prouver qu’ils savent trouver et exploiter des failles dans le code source.
Domaines couverts
- Analyse du code source et revue de code manuelle
- Analyse statique et dynamique, fuzzing
- Contournement d’authentification
- Injection SQL à l’aveugle
- XSS stockées et détournement de session
- SSRF avancées
- Failles de désérialisation (.NET et autres) menant à l’exécution de code
- Développement d’exploits sur mesure enchaînant plusieurs failles
L’avis de Nestor
Informations vérifiées le 2 octobre 2026 sur le site officiel. Prix hors taxes et hors formation, susceptibles d’évoluer.
Les noms de certifications cités sont des marques de leurs titulaires respectifs. KrakenShield n’est affilié à aucun organisme de certification et ne reproduit aucune question d’examen.
