Accueil · Guides de révision · PCNSA

Guide complet PCNSA — Palo Alto Networks

Palo Alto Networks Certified Network Security Administrator · Programme, plan de révision, ressources, examen blanc gratuit.

TL;DR — Le guide en 1 minute

Le PCNSA (Palo Alto Networks Certified Network Security Administrator) valide les competences d'administration des pare-feu nouvelle generation Palo Alto. Destinee aux administrateurs reseau et securite avec 6 mois d'experience PAN-OS, la certification se passe en 80 minutes via Pearson VUE (QCM, 70% requis, 155 USD). Aucun prerequis officiel. Debouches : administrateur securite, ingenieur firewall, analyste SOC. Premiere etape avant PCNSE, elle ouvre des postes a 45-60k EUR en France.

Pourquoi passer la certification PCNSA ?

En 2026, les pare-feu nouvelle generation Palo Alto dominent le marche entreprise avec plus de 30% de parts dans le segment NGFW selon Gartner. Le PCNSA est devenu un sesame incontournable pour tout professionnel touchant a la securite reseau dans les grandes entreprises et ESN. Avec la generalisation du Zero Trust, la migration cloud (Prisma) et l'explosion des cyberattaques (ransomware, supply chain), la demande pour des administrateurs PAN-OS qualifies depasse largement l'offre. Une recherche LinkedIn France affiche plus de 1200 offres mentionnant Palo Alto chaque mois. Le PCNSA valorise concretement votre CV face a des recruteurs qui filtrent sur certifications editeur. Le ROI est rapide : pour 155 USD d'investissement examen plus 40-60h de preparation, vous decrochez en moyenne une augmentation de 8 a 15% sur votre salaire ou un changement de poste accelere. La cert demontre votre capacite a configurer des policies App-ID, User-ID, Content-ID, gerer des zones de securite, deployer du SSL Decryption et utiliser Panorama. Elle prepare egalement aux niveaux superieurs PCNSE et PCDRA, ouvrant la voie a une specialisation cybersecurite tres recherchee, notamment dans les secteurs banque, defense, sante et industrie critique.

Caractéristiques de l'examen

Format	QCM, environ 50-60 questions
Duree	80 minutes
Score requis	70% (score variable, scaled)
Prix officiel	155 USD (environ 145 EUR)
Langues	Anglais, Japonais (pas de francais)
Validite	2 ans
Prerequis	Aucun officiel, 6 mois d'experience PAN-OS recommandee

Programme détaillé par domaine

Domain 1 : Palo Alto Networks Portfolio and Architecture 16%

Objectifs: Ce domaine couvre la comprehension globale de l'ecosysteme Palo Alto Networks et l'architecture Single-Pass Parallel Processing (SP3). Le candidat doit identifier les composants de la Security Operating Platform, comprendre les differences entre les modeles physiques PA-Series, virtuels VM-Series et conteneurises CN-Series. Il faut maitriser les concepts de Strata (network security), Prisma (cloud security) et Cortex (SOC). La connaissance des plans de gestion (control plane) et de donnees (data plane) est essentielle pour anticiper les questions sur la performance, la haute disponibilite et le dimensionnement des appliances en entreprise.
Concepts clés: Single-Pass Parallel Processing (SP3), separation control plane / data plane, App-ID, User-ID, Content-ID comme piliers technologiques, architecture Zero Trust, modeles PA-220 a PA-7000, VM-Series sur AWS/Azure/GCP, Panorama pour la gestion centralisee. Comprendre la chaine de traitement des paquets : ingress, session lookup, security policy, NAT, forwarding. Connaitre les licences (Threat Prevention, WildFire, URL Filtering, GlobalProtect, DNS Security) et leur impact sur les fonctionnalites disponibles. Distinguer flow-based vs proxy-based inspection.
Services / outils: PAN-OS 10.x/11.x, Panorama, WildFire (sandbox cloud), AutoFocus, MineMeld, GlobalProtect, Prisma Access, Cortex XDR. Connaitre les ports de management (MGT) et les interfaces data (ethernet1/x). Comprendre l'utilisation de Expedition pour migration depuis Cisco ASA, Check Point ou Fortinet.
Temps estimé: 8-10h

Domain 2 : Manage Firewall Configurations 20%

Objectifs: Maitriser l'interface de gestion WebUI et CLI du firewall PAN-OS. Le candidat doit savoir naviguer dans les onglets Dashboard, ACC, Monitor, Policies, Objects, Network, Device. Configurer les interfaces (Layer 3, Layer 2, Virtual Wire, Tap), les zones de securite, les Virtual Routers et le routage statique/dynamique (OSPF, BGP basique). Gerer les profils de management, les administrateurs locaux et externes (RADIUS, TACACS+, SAML), les commits et les revisions de configuration. La sauvegarde, le rollback et l'export/import de configuration XML sont frequemment evalues.
Concepts clés: Security zones (trust, untrust, DMZ), interfaces virtuelles (loopback, tunnel, VLAN), Virtual Router et tables de routage, sessions et flow logic, commits partiels et candidate configuration vs running configuration. Gestion des templates et device groups dans Panorama. Comprendre la difference entre intrazone et interzone traffic. Notion de Security Policy Rule order (top-down evaluation). Configuration des services DNS, NTP, SNMP, syslog.
Services / outils: WebUI HTTPS sur port 443/MGT, SSH CLI, API XML/REST, Panorama templates, Dynamic Updates (Applications, Threats, Antivirus, WildFire), Software upgrades PAN-OS. Outils CLI : show, debug, less mp-log, tcpdump.
Temps estimé: 12-15h

Domain 3 : Manage and Configure Security and NAT Policies 23%

Objectifs: Coeur de l'examen, ce domaine evalue la creation et l'optimisation des regles de securite. Le candidat doit savoir definir des policies basees sur source/destination zone, IP, user, application, service et URL category. Maitriser le concept App-ID qui identifie l'application reelle au-dela du port, et User-ID qui associe IP a identite Active Directory. Configurer le NAT source (dynamic IP and port DIPP), destination (port forwarding) et bi-directionnel. Comprendre l'ordre d'evaluation NAT puis Security Policy et les implications pour les regles de zone post-NAT mais IP pre-NAT.
Concepts clés: App-ID, User-ID (agent, agentless, captive portal, GlobalProtect), Service vs Application, intrazone-default et interzone-default rules, Security Policy actions (allow, deny, drop, reset-client, reset-server, reset-both). NAT types : SNAT, DNAT, U-Turn NAT, hairpin NAT. Address Objects, Address Groups statiques et dynamiques (DAG), Tag-based policies, Application Filters et Application Groups. Logging at session start/end.
Services / outils: App-ID database (plus de 3000 applications), URL Filtering categories PAN-DB, External Dynamic Lists (EDL), AD/LDAP integration via User-ID agent, Terminal Services agent, syslog parsing pour User-ID.
Temps estimé: 15-18h

Domain 4 : Configure Security Profiles and Decryption 18%

Objectifs: Ce domaine porte sur la prevention des menaces via Security Profiles attaches aux regles allow. Le candidat doit configurer Antivirus, Anti-Spyware (avec DNS sinkhole), Vulnerability Protection, URL Filtering, File Blocking, WildFire Analysis et Data Filtering. Comprendre les actions par severite (critical, high, medium, low, informational) et les exceptions. Le SSL/TLS Decryption (forward proxy et inbound inspection) est crucial : generation et deploiement de certificats CA, gestion des exclusions pour les categories sensibles (finance, sante), troubleshooting des erreurs de decryption.
Concepts clés: Security Profile Groups, default profiles strict vs alert-only, Threat ID et signatures, DNS Security service, WildFire verdicts (benign, grayware, malicious, phishing), SSL Forward Proxy, SSL Inbound Inspection, SSH Proxy, certificate management, PKI et trust chain, decryption exclusions par hostname ou category, decryption mirroring.
Services / outils: WildFire cloud public et privee (WF-500), PAN-DB URL filtering, DNS Security, Threat Prevention license, certificats X.509, importation CA root, Hardware Security Module (HSM) integration.
Temps estimé: 10-12h

Domain 5 : Deploy and Manage Logs, Reports and HA 23%

Objectifs: Le candidat doit maitriser l'analyse des logs (Traffic, Threat, URL Filtering, WildFire, Data Filtering, HIP Match, GlobalProtect, System, Configuration). Savoir filtrer via syntaxe PAN-OS (operateurs eq, neq, in, contains), creer des rapports personnalises et utiliser Application Command Center (ACC). Configurer l'envoi vers syslog, SNMP, email, HTTP via Log Forwarding profiles. La haute disponibilite Active/Passive et Active/Active doit etre comprise : HA1 (control), HA2 (data), HA3 (packet forwarding), preemption, monitoring de path et link.
Concepts clés: Log types et retention, log forwarding profile attache aux security rules, Panorama log collector, Cortex Data Lake, ACC widgets et global filters, scheduled reports vs custom reports, PDF Summary Reports, HA states (active, passive, initial, suspended, non-functional), HA sync, session sync, virtual MAC.
Services / outils: Syslog TCP/UDP/SSL, SNMP v2c/v3, Email server profiles, HTTP server profiles, Panorama M-Series, Cortex Data Lake (CDL), Strata Logging Service.
Temps estimé: 10-12h

Plan de révision hebdomadaire

Semaine 1 - Fondations : Lire le PCNSA Study Guide officiel (disponible sur beacon.paloaltonetworks.com) chapitres 1 a 3. Installer une VM-Series gratuite via la Cloud NGFW trial ou utiliser le PAN-OS Essentials lab. Objectif : comprendre l'architecture, naviguer dans la WebUI, configurer zones et interfaces. 10h. Semaine 2 - Policies et NAT : Approfondir le domaine 3 (le plus lourd). Pratiquer 20 scenarios de regles de securite avec App-ID et User-ID. Configurer SNAT, DNAT, U-Turn NAT dans le lab. Visionner les videos EDU-210 sur Beacon. 12h. Semaine 3 - Security Profiles et Decryption : Implementer tous les profils de securite, generer une CA, deployer SSL Forward Proxy, tester avec un site HTTPS et analyser les logs de decryption. Etudier WildFire et DNS Security. 10h. Semaine 4 - Logs, Reporting et HA : Configurer log forwarding vers syslog, creer 5 rapports personnalises, simuler une HA Active/Passive entre deux VM-Series. Explorer ACC en profondeur. 8h. Semaine 5 - Examens blancs : Realiser 3 examens blancs (Boson ExSim, Whizlabs ou MeasureUp). Analyser chaque erreur, revenir a la doc. Objectif : 80% constant sur examens blancs. 8h. Semaine 6 - Revision finale : Revoir les flashcards, refaire les labs faibles, relire l'admin guide PAN-OS sur les points incertains. Reservation examen Pearson VUE 3 jours avant. Repos la veille. 6h. Total estime : 50-55 heures pour un candidat avec experience reseau de base.

Besoin d'un planning sur mesure ? 30 jours · 60 jours · 90 jours

Ressources recommandées

Documentation officielle PAN-OS Administrator Guide

Reference complete PAN-OS 11.x, indispensable pour les concepts techniques precis et les procedures officielles.

Beacon Learning Platform - cours EDU-210

Formation officielle Firewall Essentials gratuite avec videos, labs et quiz alignes sur PCNSA.

Palo Alto Networks Test Drive

Labs pratiques gratuits dans un environnement preconfigure pour s'exercer sans investir dans une licence.

LIVEcommunity Palo Alto Networks

Forum officiel, articles de troubleshooting, discussions techniques entre certifies et ingenieurs PAN.

5 erreurs classiques à éviter

Erreur 1 : Confondre Service et Application dans une regle de securite. Les candidats cochent 'application-default' sans comprendre qu'App-ID requiert que la session s'etablisse pour identifier l'app, ce qui peut bloquer du trafic legitime. Toujours tester en lab.
Erreur 2 : Oublier que l'ordre NAT/Security est : NAT evalue d'abord mais Security Policy utilise les zones post-NAT et les IP pre-NAT. Beaucoup ratent des questions sur DNAT entrant pour cette raison.
Erreur 3 : Negliger les regles intrazone-default et interzone-default. Par defaut, intrazone autorise tout et interzone bloque tout. Modifier ces regles sans logging cause des trous de visibilite.
Erreur 4 : Ne pas pratiquer en lab reel. Le PCNSA est tres pratique : repondre aux questions sans avoir manipule la WebUI mene a l'echec, meme avec une bonne theorie. Minimum 30h de hands-on.
Erreur 5 : Sous-estimer le domaine Logs et HA (23% combine avec domaine 5). Les candidats focalisent sur les policies et perdent des points sur la syntaxe de filtre de logs et les etats HA.

5 questions types corrigées

Q1. Un administrateur configure une regle de securite pour autoriser le trafic HTTPS vers un serveur web interne via un DNAT. Quelles zones et adresses doit-il utiliser dans la Security Policy ?

Réponse : B

Dans PAN-OS, le NAT est evalue avant la Security Policy mais celle-ci utilise la zone post-NAT (donc DMZ ou se trouve reellement le serveur) et l'IP pre-NAT (l'adresse publique vue par l'utilisateur externe). C'est un piege classique du PCNSA. La regle doit donc cibler source untrust vers destination DMZ avec l'IP publique en destination, le NAT translatant ensuite vers l'IP privee interne.

Q2. Quel composant PAN-OS identifie l'application reelle dans une session TCP, independamment du port utilise ?

Réponse : C

App-ID est la technologie proprietaire Palo Alto qui identifie plus de 3000 applications via une combinaison de signatures protocolaires, decodeurs, heuristique et analyse comportementale. Elle fonctionne meme si l'application utilise un port non standard (SSH sur 443 par exemple). Content-ID gere la prevention des menaces, User-ID associe IP a identite, URL Filtering categorise les sites web. App-ID est le pilier fondamental de la Security Policy moderne.

Q3. Dans une configuration HA Active/Passive, quel lien synchronise les sessions entre les deux firewalls ?

Réponse : B

HA1 est le lien de control plane (sync de configuration, heartbeats, election). HA2 est le lien de data plane qui synchronise les tables de sessions, ARP, IPSec SA et autres etats forwarding pour permettre un failover transparent. HA3 est utilise uniquement en Active/Active pour le packet forwarding entre les deux peers. HA4 n'existe pas officiellement comme lien standard PCNSA. Maitriser ces distinctions est essentiel car plusieurs questions HA tombent a chaque examen.

Voir plus de questions gratuites →

Carrière & salaire après PCNSA

En France en 2026, un administrateur securite junior certifie PCNSA debute autour de 42-48k EUR brut, avec 2-3 ans d'experience le salaire grimpe a 52-62k EUR. Les ingenieurs securite reseau confirmes avec PCNSA plus PCNSE atteignent 65-80k EUR, voire 90k+ en region parisienne ou dans le conseil (Capgemini, Orange Cyberdefense, Wavestone). Les debouches : administrateur firewall, ingenieur securite reseau, consultant cybersecurite, analyste SOC niveau 2, architecte securite junior. Secteurs porteurs : banque-finance, defense, sante, energie, ESN. Evolution naturelle : PCNSE (expert), puis PCNSC (consultant) ou specialisation cloud avec Prisma Certified Cloud Security Engineer. Certifications complementaires recommandees : CCNA Security, Fortinet NSE 4, AWS Security Specialty, CompTIA Security+.

Détail des salaires PCNSA en 2026 →

FAQ — PCNSA

Combien de temps faut-il pour preparer PCNSA ?

Comptez 40 a 60 heures sur 4 a 6 semaines pour un candidat avec experience reseau de base (CCNA equivalent). Sans experience prealable, prevoir 80 a 100 heures sur 2 a 3 mois en incluant les fondamentaux TCP/IP et routage.

Cette certification est-elle reconnue en France ?

Oui, Palo Alto Networks est leader du marche NGFW en France. Le PCNSA figure dans les criteres de selection de nombreuses offres d'emploi en cybersecurite, particulierement chez les ESN, banques et grands comptes industriels.

Quel est le taux de reussite a PCNSA ?

Palo Alto ne publie pas de taux officiel. Les communautes estiment un taux de reussite autour de 65-75% au premier essai pour les candidats bien prepares avec experience hands-on, et 35-45% pour ceux qui revisent uniquement la theorie.

Quel est le salaire apres PCNSA ?

En France 2026, un profil certifie PCNSA gagne entre 42k et 62k EUR selon experience. Avec PCNSE en complement, le salaire monte a 65-85k EUR. Freelances factuent 500-750 EUR/jour.

Faut-il une experience prealable ?

Aucun prerequis officiel mais Palo Alto recommande 6 mois minimum d'experience PAN-OS. En pratique, une base solide en TCP/IP, routage, NAT et concepts firewall est indispensable pour reussir.

PCNSA ou cert concurrente : laquelle choisir ?

PCNSA si votre entreprise utilise Palo Alto (forte demande). Fortinet NSE 4 si environnement FortiGate. CCNP Security pour ecosysteme Cisco. Le PCNSA est le plus valorise en grands comptes francais sur le NGFW haut de gamme.

Combien coute l'examen PCNSA ?

L'examen coute 155 USD (environ 145 EUR) chez Pearson VUE. Ajouter eventuellement 300-500 EUR pour des examens blancs (Boson, Whizlabs) et 0 EUR si vous utilisez les ressources gratuites Beacon.

Combien de fois peut-on repasser PCNSA ?

En cas d'echec, il faut attendre 14 jours avant un second passage. Apres 3 echecs, le delai passe a 6 mois. Chaque tentative coute 155 USD. Aucune limite totale de tentatives n'est imposee.

Prêt à passer à la pratique ?

Lancez votre examen blanc gratuit ou faites le test d'orientation pour valider votre choix.

Démarrer l'examen blanc PCNSA → Test d'orientation