Logiciel de sensibilisation phishing : 10 critères pour choisir

Le marché de la sensibilisation au phishing compte plus de 40 éditeurs en 2026, des grands acteurs américains comme KnowBe4 aux éditeurs européens, sans oublier les modules intégrés aux suites de sécurité. Pour un responsable IT de PME, la difficulté n’est pas de trouver un outil. C’est d’éviter celui qui coûtera deux fois le prix affiché ou que personne n’utilisera au bout de six mois.

Trois erreurs reviennent souvent. Choisir sur le prix d’entrée, alors que les modules payants peuvent doubler la facture. Négliger le reporting, qui est pourtant ce que liront la direction et l’auditeur. Sous-estimer le déploiement : un outil qui demande trois semaines de configuration finit rarement en programme continu.

Ce guide propose dix critères pour évaluer n’importe quel logiciel de sensibilisation au phishing, une grille de notation pour votre shortlist et un panorama des principaux acteurs. Pour une comparaison éditeur par éditeur, avec les prix publics, voyez notre comparatif des 10 logiciels de simulation de phishing en France.

Pourquoi s’équiper d’une plateforme dédiée

La réglementation demande des preuves

La directive européenne NIS2 impose aux entités essentielles et importantes des mesures de gestion des risques cyber, dont « les pratiques de base en matière de cyberhygiène et la formation à la cybersécurité » (article 21, paragraphe 2(g)). La norme ISO 27001 (contrôle A.6.3) demande un programme de sensibilisation. Ni l’une ni l’autre n’impose la simulation de phishing en tant que telle, mais lors d’un audit, il faut montrer ce qui a été fait et avec quels résultats. Un historique de campagnes et un rapport exportable facilitent ce travail. Pour le détail des obligations, lisez notre guide NIS2 pour les PME.

Le résultat se mesure

Selon le Phishing by Industry Benchmarking Report 2025 de KnowBe4, le taux de clic moyen des collaborateurs non formés est de 33,1 %, et il tombe à 4,1 % après 12 mois de simulations et de formation. Ce sont les chiffres de KnowBe4, mesurés sur sa propre base de clients. Côté risque, 55 % des cyberattaques significatives en France ont commencé par du phishing (baromètre CESIN 2026), et 57 % des PME ont été attaquées au cours des 12 derniers mois (Hiscox 2025).

Les alternatives ont leurs limites

La formation interne (présentations, ateliers ponctuels) demande du temps et se mesure mal. Gartner note que ses effets s’estompent en quatre à six semaines (Security Awareness Program Best Practices, 2025). Ne rien faire laisse le taux de clic à son niveau de départ, autour d’un tiers des collaborateurs selon la mesure KnowBe4 citée plus haut. Pour construire un programme complet, voyez notre guide de la formation cybersécurité pour les PME, et pour l’argumentaire financier, notre article sur le ROI de la sensibilisation.

Les 10 critères d’évaluation

Pour chaque critère : ce qu’il faut regarder, les questions à poser en démo et les signaux d’alerte.

1. Personnalisation des simulations

Une simulation utile ressemble aux emails que vos équipes reçoivent vraiment : vos fournisseurs, vos outils, votre façon d’écrire. Des modèles génériques envoyés depuis un domaine partagé testent surtout la capacité à reconnaître un email de test.

Questions à poser :

• Peut-on modifier les modèles fournis et écrire les nôtres ?
• Quels domaines d’envoi sont utilisés, et peut-on les choisir ?
• Peut-on personnaliser le nom d’expéditeur, le logo et les variables (nom du destinataire, service) ?

Signal d’alerte : des modèles figés, ou un seul domaine d’envoi partagé entre tous les clients. Sur G2, le manque de personnalisation revient souvent dans les avis négatifs des outils de simulation.

2. Reporting et analytics

C’est ce que la direction et l’auditeur liront. Sans rapport exploitable, impossible de montrer une progression ou de justifier le budget.

Questions à poser :

• Le rapport s’exporte-t-il en PDF lisible par un dirigeant ?
• Y a-t-il une vue par service et par personne ?
• Le taux de signalement est-il suivi en plus du taux de clic ?
• Voit-on les récidivistes et les collaborateurs jamais testés ?

Signal d’alerte : un tableau de bord sans export, ou des indicateurs limités au taux de clic. Certains éditeurs proposent des comparaisons sectorielles, d’autres non : demandez d’où viennent les données.

3. Analyse des emails suspects signalés

La plupart des plateformes se limitent aux faux emails de test. Or vos collaborateurs reçoivent aussi de vrais emails douteux et ne savent pas toujours à qui les montrer. Certaines plateformes analysent les emails qu’ils transfèrent et leur répondent. Cette analyse ne remplace pas le filtre de messagerie : elle ne bloque rien, elle aide la personne à décider et prévient l’équipe sécurité.

Questions à poser :

• Comment un collaborateur signale-t-il un email (bouton, transfert à une adresse) ?
• Reçoit-il une réponse, et sous quel délai ?
• Qui est alerté quand un email signalé est malveillant ?

Signal d’alerte : un bouton de signalement qui envoie les emails dans une boîte que personne ne lit. Chez nophi.sh, le collaborateur transfère l’email suspect (ou utilise le bouton « Signaler » intégré à Microsoft 365) et reçoit un verdict motivé, en général en moins d’une minute ; les contacts sécurité sont alertés.

4. Formation déclenchée après un échec

Une simulation sans formation est un diagnostic sans suite. Quand un collaborateur clique, il doit comprendre tout de suite ce qu’il a manqué, puis suivre un module court.

Questions à poser :

• La formation est-elle assignée automatiquement après un clic ou une saisie d’identifiants ?
• Le contenu dépend-il du type de scénario ?
• Y a-t-il des relances, et une escalade au manager ?
• Les modules durent-ils quelques minutes ou une demi-heure ?

Signal d’alerte : une page générique identique quel que soit le scénario, ou des modules si longs que personne ne les termine. Notre guide de la campagne de simulation détaille le déroulé d’un programme.

5. Preuves pour l’audit

Pour NIS2 ou ISO 27001, la plateforme doit conserver l’historique des campagnes et des formations et vous permettre de l’exporter. Méfiez-vous des promesses de « conformité en un clic » : NIS2 exige bien plus que la sensibilisation (gestion des risques, incidents, continuité, chaîne d’approvisionnement), et aucun outil de simulation ne couvre tout.

Questions à poser :

• Que contient le rapport exporté, et sous quel format ?
• Combien de temps l’historique est-il conservé ?
• Un DPA (accord de traitement des données) est-il fourni ?

Signal d’alerte : un historique limité à quelques mois, ou aucun export des données brutes. Notre page conformité détaille ce que l’on peut prouver avec une plateforme de simulation.

6. Intégrations avec votre messagerie

La plateforme doit fonctionner avec votre messagerie sans friction. Deux points comptent : l’import des utilisateurs (fichier CSV ou synchronisation avec l’annuaire) et la délivrabilité des simulations (liste blanche dans Microsoft 365 ou Google Workspace).

Questions à poser :

• Quelle synchronisation d’annuaire est proposée (Entra ID, Google, LDAP) ?
• Quelle procédure de liste blanche pour notre messagerie ?
• Les intégrations sont-elles incluses dans le prix ?

Signal d’alerte : des intégrations facturées en supplément. Certains éditeurs vendent les connecteurs Slack ou Teams en option, ce qui alourdit la facture annuelle.

7. Langue et contexte français

Pour une entreprise française, les simulations et les formations doivent être en français, et pas seulement l’interface. Les scénarios doivent sonner juste : administrations, transporteurs, banques et usages français.

Questions à poser :

• Combien de langues pour les simulations, et pour les formations ?
• Les scénarios français sont-ils écrits en français ou traduits ?

Signal d’alerte : une interface en français, mais des scénarios traduits mot à mot depuis l’anglais.

8. Déploiement

Une PME n’a pas besoin d’un projet d’intégration de trois semaines. Le déploiement doit tenir en quelques heures, sans consultant.

Questions à poser :

• Combien de temps entre l’inscription et la première campagne ?
• Quels accès techniques faut-il (administrateur de messagerie, DNS) ?
• Le SSO est-il disponible, et à quel prix ?

Signal d’alerte : un déploiement annoncé « en quelques semaines », ou un accompagnement payant obligatoire.

9. Tarification

C’est le critère des mauvaises surprises. Un prix d’entrée attractif peut cacher des modules payants : intégrations, formations avancées, rapports, support.

Questions à poser :

• Le prix est-il public ?
• Qu’est-ce qui est inclus, et qu’est-ce qui ne l’est pas ?
• Le prix est-il par utilisateur ou forfaitaire ?

Signal d’alerte : un prix communiqué seulement après un appel commercial. Notre guide des prix de la simulation de phishing compare les grilles publiques ; à titre d’exemple, les tarifs de nophi.sh sont forfaitaires par palier.

10. Support

Le support compte surtout au démarrage et lors des premières campagnes. Pour une PME française, un interlocuteur qui répond en français fait gagner du temps.

Questions à poser :

• Le support répond-il en français ?
• Quel délai de réponse, et est-il contractuel ?
• Le support est-il inclus dans le prix ?

Signal d’alerte : un chatbot sans accès à un humain, ou un support premium facturé à part.

Grille de notation pour votre shortlist

Notez chaque solution après la démo ou l’essai.

Critère	Poids	Solution A	Solution B	Solution C
Personnalisation des simulations	/10
Reporting et analytics	/10
Analyse des emails signalés	/10
Formation après un échec	/10
Preuves pour l’audit	/10
Intégrations	/8
Langue et contexte français	/7
Déploiement	/8
Tarification	/8
Support	/7
Total	/88

Au-dessus de 70/88, la solution couvre l’essentiel : vérifiez le contrat et lancez-vous. Entre 55 et 70, elle a des lacunes ; demandez-vous si elles comptent dans votre contexte. En dessous de 55, continuez à chercher.

Adaptez les poids. Si un audit NIS2 approche, donnez plus de poids aux preuves pour l’audit. Si vos équipes travaillent en plusieurs langues, montez le critère langue à 10.

Vous pouvez appliquer cette grille à nophi.sh pendant l’essai gratuit de 14 jours, sans carte bancaire. Créer un compte

Panorama du marché en 2026

Deux familles dominent : les plateformes internationales, souvent conçues pour les grandes entreprises, et les éditeurs européens, souvent plus proches des PME et des exigences européennes. Voici les acteurs les plus visibles. Notre comparatif des logiciels de simulation de phishing les classe sur les prix publics, l’hébergement et la formation.

Plateformes internationales

KnowBe4 est le leader mondial en parts de marché. Sa bibliothèque compte plusieurs milliers de modèles de simulation et de contenus de formation. Cette richesse a un coût : une interface dense, une tarification par utilisateur qui monte vite pour une PME, et un catalogue français moins fourni que le catalogue anglais.

Proofpoint Security Awareness (ex-Wombat) complète la suite de filtrage email de Proofpoint. Pour les clients Proofpoint, l’intégration est naturelle. Le positionnement reste celui des grands comptes, en prix comme en déploiement.

Cofense (ex-PhishMe) est reconnu pour la simulation et le signalement : son bouton Reporter est très répandu, et l’analyse des emails signalés est son point fort. La formation après échec est moins développée que chez les spécialistes de la sensibilisation.

Éditeurs européens

Riot est un éditeur français qui mise sur une formation conversationnelle et ludique, appréciée des utilisateurs finaux. Certains avis G2 jugent son reporting limité ; vérifiez-le en démo avec vos propres critères. Pour une comparaison détaillée, lisez notre comparatif KnowBe4 et solutions françaises.

nophi.sh est notre plateforme. Elle réunit la simulation de phishing par email (80 scénarios en français et en anglais), la formation assignée automatiquement après un échec et l’analyse par IA des emails que les collaborateurs transfèrent. Les données sont hébergées en France. Elle ne fait ni filtrage de messagerie, ni simulation par SMS ou QR code pour l’instant. Voir la plateforme de simulation et les tarifs.

SoSafe est un éditeur allemand bien financé, avec une formation ludique de qualité et un contenu multilingue (allemand, anglais, français). Son positionnement tarifaire vise plutôt les entreprises de taille moyenne et grande.

Deux tendances

Les plateformes rapprochent simulation, formation et traitement des emails signalés ; les outils qui ne font que de la simulation perdent du terrain.

L’hébergement européen et le support en langue locale pèsent davantage dans les appels d’offres, sous l’effet du RGPD et de NIS2.

Cinq questions à poser en démo

1. « Pouvez-vous me montrer un rapport complet exporté en PDF ? »

Demandez le document tel que vous le présenteriez à votre direction : taux de clic, taux de signalement, vue par service, tendance sur plusieurs campagnes. Si le vendeur ne peut pas le produire pendant la démo, il ne sera pas meilleur en production.

2. « Que voit un collaborateur qui clique ? »

Faites-vous montrer le parcours complet après le clic. La page est-elle personnalisable ? Le module dépend-il du scénario ? Que se passe-t-il pour un récidiviste ? Un bon parcours est court et bienveillant.

3. « Combien de temps pour lancer la première campagne chez nous ? »

Pour une PME de 50 à 200 personnes, la réponse devrait se compter en heures. Demandez la liste des accès techniques nécessaires (administration de la messagerie, DNS) pour estimer la charge côté IT.

4. « Qu’est-ce qui n’est pas inclus dans le prix affiché ? »

Posez la question telle quelle. Les options les plus courantes : intégrations, formations avancées, rapports, support premium, SSO. Demandez un devis annuel complet et comparez le coût total, pas le prix d’entrée.

5. « Qu’est-ce que votre outil me permet de prouver pour NIS2 ? »

Une réponse honnête parle d’historique des campagnes, de complétion des formations et d’un rapport exportable, et rappelle que NIS2 va bien au-delà de la sensibilisation. Méfiez-vous d’un vendeur qui promet « la conformité NIS2 » avec un outil de simulation.

Questions fréquentes

Faut-il choisir une solution française ou internationale ?

Trois points pèsent. L’hébergement : le RGPD n’interdit pas un hébergement hors d’Europe, sous conditions, mais un hébergement en France simplifie le dossier de votre DPO. Le contenu : une solution conçue en français propose en général des scénarios plus crédibles qu’une traduction. Le support : un interlocuteur francophone aux heures françaises fait gagner du temps. Pour une PME sans équipe cybersécurité, une solution française ou européenne est souvent la plus simple.

Quel budget prévoir pour une plateforme de simulation phishing ?

Les prix publics vont de quelques euros par utilisateur et par an en entrée de gamme à plus de 30 euros pour les offres grands comptes. Certains éditeurs facturent au forfait plutôt qu’à l’utilisateur, ce qui rend le coût plus prévisible quand l’effectif grandit. Comparez toujours le coût total, options comprises. Notre guide des prix détaille les grilles publiques.

Peut-on utiliser une solution de simulation ET garder son filtre email existant ?

Oui. Une plateforme de simulation ne remplace pas votre filtre (Microsoft Defender, Proofpoint, Barracuda…). Le filtre bloque une partie des menaces ; la simulation entraîne les collaborateurs à repérer celles qui passent. Il faut en général mettre en liste blanche les adresses d’envoi de la plateforme pour que les simulations arrivent en boîte de réception. Certaines plateformes, dont nophi.sh, analysent aussi les emails suspects que les collaborateurs leur transfèrent, sans toucher au filtrage.

Comment convaincre ma direction d’investir dans un outil de simulation ?

Présentez trois éléments. Le risque : 57 % des PME ont subi une cyberattaque sur 12 mois (Hiscox 2025), et le coût moyen d’une violation de données en France atteint 3,59 millions d’euros (IBM, Cost of a Data Breach 2025), un chiffre tiré surtout par les grandes organisations. L’obligation : NIS2 impose la formation du personnel aux entités concernées. La mesure : le taux de clic avant et après, suivi campagne après campagne. Proposez un pilote de trois mois avant un engagement annuel. Pour situer vos résultats, consultez nos taux de clic phishing par secteur.

Quelle est la différence entre simulation de phishing et pentest ?

Le pentest cherche les failles techniques de l’infrastructure (serveurs, applications, réseau), en général une à deux fois par an, avec des spécialistes de la sécurité offensive. La simulation de phishing mesure la vigilance des collaborateurs, en continu, et déclenche une formation après un échec. Un pentest peut inclure un envoi de phishing, mais c’est alors un constat ponctuel, sans suivi pédagogique.

Par où commencer cette semaine

Retenez trois critères si vous manquez de temps : le reporting, parce que c’est ce que liront la direction et l’auditeur ; la personnalisation, parce que des simulations génériques n’entraînent à rien ; la formation après échec, parce que c’est elle qui fait baisser le taux de clic.

Concrètement : listez trois solutions, demandez à chacune un rapport PDF réel et un devis annuel complet, puis remplissez la grille ci-dessus après chaque démo. Ne vous fiez ni aux pages marketing, ni aux classements sponsorisés, le nôtre compris : fiez-vous à ce que vous voyez pendant l’essai.

Essayer nophi.sh 14 jours sans carte bancaire | Comparatif KnowBe4 et solutions françaises