HTB Certified Web Exploitation Specialist
Préparer la CWES
Trouver et exploiter les vulnérabilités d'applications web en boîte noire, puis les documenter dans un rapport professionnel. Anciennement CBBH (Certified Bug Bounty Hunter).
Offensif · WebIntermédiaireParcours Web Penetration Tester
L'examen en bref
Durée7 joursLe compte à rebours ne s'arrête pas
Prérequis20 modulesParcours Web Penetration Tester terminé à 100 %
RéussitePoints + rapportSeuil de points et rapport professionnel
RapportEn anglaisDéposé une seule fois, non modifiable
À savoirHTB a renommé la CBBH en CWES et le parcours Bug Bounty Hunter en Web Penetration Tester le 1er octobre 2025. Les titulaires de la CBBH ont été basculés automatiquement.
Règles valables pour tous les examens (tentatives, délais, IA, Pwnbox) : règles communes.
Page mise à jour le 13 novembre 2026. Les conditions d'examen évoluent : vérifie-les sur le centre d'aide HTB avant de réserver.
Réviser
Fiches de cours, flashcards et quiz. Les cartes maîtrisées et ton meilleur score sont enregistrés dans ce navigateur.
Suivi des modules
Les 20 modules du parcours Web Penetration Tester, regroupés par thème. Coche au fur et à mesure : la progression est enregistrée dans ce navigateur.
Bases du web
- Web Requests
- Introduction to Web Applications
- Using Web Proxies
- Information Gathering - Web Edition
- Web Fuzzing
- JavaScript Deobfuscation
Injections et vulnérabilités côté client
- Cross-Site Scripting (XSS)
- SQL Injection Fundamentals
- SQLMap Essentials
- Command Injections
- File Upload Attacks
- Server-side Attacks
Authentification et logique
- Login Brute Forcing
- Broken Authentication
- Web Attacks
- File Inclusion
API, applications et processus
- Attacking GraphQL
- API Attacks
- Attacking Common Applications
- Bug Bounty Hunting Process
Ce que l'examen évalue
- Cartographier une application : sous-domaines, vhosts, contenus cachés, paramètres.
- Maîtriser un proxy (Burp ou ZAP) pour intercepter, rejouer et automatiser.
- Exploiter injections SQL, de commandes, XSS, inclusion de fichiers, upload, SSRF et SSTI.
- Contourner des mécanismes d'authentification et de contrôle d'accès (IDOR, logique métier).
- Tester des API REST et GraphQL.
- Rédiger chaque constat de façon reproductible, avec impact et remédiation.
Planning de révision
Un exemple à adapter à ton rythme. Alterne toujours modules et pratique.
- Sem. 1–2Bases : requêtes HTTP, proxies, collecte d'informations web, fuzzing.
- Sem. 3–5Injections, XSS, upload, attaques côté serveur.
- Sem. 6–7Authentification, contrôle d'accès, inclusion de fichiers, API et GraphQL.
- Sem. 8Machines web HTB et un rapport complet rédigé en conditions réelles.
Conseils pour l'examen
Spécifiques à la CWES
- Note chaque requête intéressante dans le proxy : l'historique est ta meilleure preuve.
- Teste chaque paramètre avec méthode plutôt que d'enchaîner les outils automatiques.
- Un constat faible peut devenir critique s'il s'enchaîne avec un autre : cherche les combinaisons.
Valables pour tous les examens HTB
- Découpe la durée : garde au moins un tiers du temps pour le rapport.
- Capture d'écran à chaque étape clé, notes horodatées.
- Bloqué depuis deux heures ? Note la piste et passe à autre chose.
- Utilise le modèle officiel ou celui de SysReptor dès l'entraînement.
Réviser sur ce site
Prêt à réserver ?
- Parcours Web Penetration Tester terminé à 100 %
- Voucher d'examen disponible
- Notes personnelles organisées et faciles à consulter
- Modèle de rapport prêt, déjà utilisé au moins une fois
- Au moins un entraînement complet en conditions réelles
- Période de 7 jours bloquée dans l'agenda