QCM de 4 heures ou examen pratique de près de 24 heures : comparaison du CEH v13 et de l'OSCP+ pour choisir, ou combiner, vos certifications pentest.
Le CEH et l'OSCP+ ne mesurent pas la même chose : le CEH v13 valide une connaissance large des techniques d'attaque au moyen d'un QCM, avec une épreuve pratique optionnelle, tandis que l'OSCP+ repose entièrement sur un examen pratique de près de 24 heures suivi d'un rapport. Le CEH convient souvent comme première certification offensive, l'OSCP+ comme preuve de savoir-faire opérationnel. Beaucoup de pentesteurs finissent par combiner les deux.
Le CEH (Certified Ethical Hacker) d'EC-Council est conçu pour donner une vision d'ensemble de la sécurité offensive : reconnaissance, analyse de vulnérabilités, attaques système, réseau, web, sans fil, mobile, IoT et cloud. La version 13 intègre en plus l'usage d'outils d'intelligence artificielle tout au long du cursus. L'accent est mis sur la compréhension des techniques et de la méthodologie.
L'OSCP+ d'OffSec, associé au cours PEN-200, adopte une approche centrée sur la pratique. Le candidat doit trouver lui-même comment compromettre des machines, adapter des exploits publics, élever ses privilèges et documenter sa démarche. La devise implicite est l'autonomie face à un environnement inconnu.
Ces deux logiques ne s'opposent pas : l'une construit la culture générale du pentest, l'autre la met à l'épreuve.
L'examen de connaissances du CEH porte le code 312-50. Selon EC-Council, il comprend :
EC-Council propose aussi un examen pratique optionnel, le CEH Practical : 20 défis à résoudre en 6 heures dans un environnement de type cyber range. Le candidat qui réussit les deux examens obtient la mention CEH Master.
Pour être éligible, vous pouvez suivre une formation officielle auprès d'un partenaire EC-Council, ou justifier d'au moins deux ans d'expérience en sécurité informatique et déposer une demande d'éligibilité. Les certifications EC-Council sont valables trois ans et se maintiennent dans le cadre du programme de formation continue ECE.
L'examen OSCP+ est surveillé et dure 23 heures et 45 minutes. Il se déroule dans un réseau privé accessible par VPN. Selon le guide d'examen d'OffSec, il se compose de :
Après l'examen, vous disposez de 24 heures supplémentaires pour déposer un rapport professionnel. Un rapport incomplet peut faire échouer un candidat qui a pourtant obtenu assez de points techniques.
Depuis le 1er novembre 2024, la réussite de l'examen donne deux titres : l'OSCP, qui n'expire pas, et l'OSCP+, valable trois ans. L'OSCP+ se renouvelle en repassant un examen de recertification, en réussissant un autre examen OffSec éligible, ou via le programme de formation continue (CPE) d'OffSec, qui demande 120 crédits sur un cycle de trois ans ainsi qu'une adhésion ou des frais annuels.
Les deux certifications couvrent des thèmes communs, mais avec une profondeur différente.
Le CEH demande une bonne compréhension des réseaux, des systèmes et des notions de sécurité. Un administrateur système ou réseau avec quelques années de pratique peut s'y préparer dans un délai raisonnable. La difficulté principale tient au volume de notions à mémoriser et à comprendre.
L'OSCP+ n'impose aucun prérequis formel, mais OffSec recommande des bases solides en réseau et une familiarité avec Linux et Windows. En pratique, la préparation demande de nombreuses heures de laboratoire. La difficulté tient à l'endurance, à la méthode et à la capacité à sortir d'une impasse technique sous contrainte de temps.
En résumé, le CEH est accessible plus tôt dans une carrière, alors que l'OSCP+ récompense une pratique régulière et déjà avancée.
Le CEH est connu des services RH et des acheteurs, notamment dans les appels d'offres et les grilles de compétences. L'examen de connaissances est accrédité ANAB selon la norme ISO/IEC 17024, ce qui compte pour certaines organisations.
L'OSCP+ est reconnu par les équipes techniques de pentest, qui y voient une preuve de capacité à mener une intrusion réelle et à la documenter. Il est fréquemment cité dans les offres de postes de pentesteur.
Les deux certifications n'occupent donc pas la même place : l'une ouvre des portes administratives et commerciales, l'autre rassure un responsable technique.
Plusieurs parcours sont cohérents selon votre situation.
Pour replacer ces certifications dans un parcours global, consultez notre article sur le parcours de certifications en cybersécurité en 2026.
Securevalley Training est revendeur agréé EC-Council : la formation CEH v13 suit le cursus officiel. Pour l'OSCP+, nous proposons une préparation à la certification, sans lien de partenariat avec OffSec.
Non. Aucune certification n'est exigée pour passer l'OSCP+. Le CEH peut cependant aider à structurer les notions avant d'aborder un examen entièrement pratique.
Le titre OSCP+ expire au bout de trois ans, mais vous conservez l'OSCP, qui n'a pas de date d'expiration.
L'examen principal est un QCM. Le CEH Practical, optionnel, ajoute 20 défis en 6 heures ; la réussite des deux donne la mention CEH Master.
Cela dépend fortement de votre niveau de départ et de votre temps de laboratoire. Évaluez-vous sur des machines d'entraînement avant de fixer une date d'examen.
Le CEH et l'OSCP+ répondent à des besoins distincts : le premier structure et atteste une connaissance étendue, le second prouve une capacité d'intrusion autonome. Choisissez d'abord celui qui correspond à votre niveau actuel et à votre objectif professionnel, puis envisagez l'autre comme complément.