Arsen et nophi.sh sont deux solutions françaises de simulation de phishing, avec deux visions différentes. Elles ont un socle commun : toutes deux sont nées en France et protègent les entreprises contre le phishing, à l’origine de 55 % des attaques significatives subies par les entreprises françaises selon le baromètre du CESIN 2026.
Au-delà de ce socle, les trajectoires divergent. Arsen a construit une plateforme orientée intelligence artificielle et accompagnement, pour les ETI qui disposent d’un RSSI ou d’une équipe sécurité. nophi.sh a choisi le self-service et les prix publics, avec un produit dimensionné pour les PME de 50 à 500 collaborateurs qui veulent agir vite, sans cycle commercial.
Ce comparatif présente les deux approches et vous aide à voir laquelle correspond à votre organisation, votre budget et vos contraintes.
À retenir
- Ce sont deux solutions françaises avec deux cibles. Arsen, startup parisienne, simule l’email, le SMS, l’appel vocal assisté par IA et les deepfakes, avec un accompagnement au lancement, et vise surtout les organisations dotées d’un responsable sécurité (arsen.co, octobre 2026). nophi.sh est conçu en self-service pour les PME de 50 à 500 collaborateurs sans équipe sécurité.
- Les deux hébergent les données en Europe. Arsen utilise Google Cloud à Paris et à Francfort, selon ses conditions générales ; nophi.sh héberge en France, chez Nextmap. Le choix se joue surtout sur le modèle.
- Arsen fonctionne sur devis, après démonstration commerciale. nophi.sh coûte 99 € HT par mois jusqu’à 50 utilisateurs et 249 € HT jusqu’à 200, en facturation mensuelle sans engagement : vous connaissez le budget avant tout contact.
- Arsen passe par un cycle commercial et un onboarding accompagné. nophi.sh demande environ 15 minutes de configuration (hors liste blanche chez votre messagerie), avec un essai gratuit de 14 jours sur le produit complet.
- Dans les informations publiques (octobre 2026), nous n’avons pas trouvé chez Arsen d’équivalent à la vérification d’email par IA de nophi.sh, qui renvoie au collaborateur un verdict motivé, en général en une à deux minutes. nophi.sh ajoute un débrief de 3 minutes après chaque clic et un rapport d’audit PDF utilisable pour vos audits NIS2.
Arsen en bref
Arsen est une startup française de cybersécurité, fondée autour de 2020 et basée à Paris. Elle s’est spécialisée dans la simulation de phishing et la sensibilisation à la sécurité, avec un angle distinctif : l’intelligence artificielle génère et adapte les scénarios de simulation au profil de chaque collaborateur.
Selon le site d’Arsen, la plateforme personnalise automatiquement les campagnes en fonction du rôle du collaborateur, de son département et de ses réponses aux simulations précédentes. L’objectif affiché est de dépasser la campagne ponctuelle pour construire un programme continu d’évaluation et de réduction du risque humain.
Au-delà de la simulation par email, Arsen propose des évaluations d’ingénierie sociale plus larges. Ce positionnement vise des organisations mûres sur le plan de la sécurité, capables d’intégrer ces évaluations dans une stratégie globale de gestion des risques.
Le modèle commercial d’Arsen repose sur l’accompagnement : démonstration, évaluation des besoins, devis personnalisé et onboarding structuré. Chaque client est suivi pour construire et piloter son programme de sensibilisation. Ce modèle convient aux ETI et grandes entreprises qui ont un budget formalisé et cherchent un partenaire autant qu’un logiciel.
L’équipe d’Arsen vient du milieu de la cybersécurité française. La startup s’est fait une place sur un marché longtemps dominé par des acteurs américains comme KnowBe4 et Proofpoint.
Arsen est donc un acteur sérieux du marché français, avec un produit ambitieux sur le plan technique et un modèle commercial adapté aux organisations de taille intermédiaire et aux grands comptes.
Ce qu’Arsen fait bien
Arsen a des atouts réels, et ils méritent d’être posés clairement.
Une solution française sur un marché dominé par les Américains
Le marché de la simulation de phishing est dominé par des acteurs anglo-saxons : KnowBe4, Proofpoint, Cofense, Mimecast. La plupart de ces plateformes sont conçues pour le marché nord-américain, puis traduites. Un éditeur français qui pense ses scénarios, ses interfaces et ses contenus pour des collaborateurs francophones se distingue.
Arsen connaît le contexte français. Ses scénarios de spear phishing simulé reproduisent des situations que les collaborateurs français reconnaissent : faux emails de fournisseurs, fraude au changement de RIB, usurpation d’identité de la direction. Les campagnes gagnent en réalisme : un collaborateur piégé par un scénario crédible apprend davantage que celui qui repère tout de suite un modèle américain mal traduit.
L’IA au service de la personnalisation
Selon les informations publiées sur son site, la plateforme adapte automatiquement la difficulté, le type de scénario et le moment d’envoi au profil de chaque collaborateur.
Un comptable ne reçoit pas le même phishing simulé qu’un développeur. Un collaborateur qui a repéré trois campagnes de suite reçoit un scénario plus sophistiqué. Dans une organisation de 500 personnes ou plus, où la personnalisation manuelle serait irréaliste, cette automatisation a une valeur concrète.
L’expertise en ingénierie sociale
Arsen va au-delà de l’email : SMS, appels vocaux générés par IA et deepfakes (arsen.co, octobre 2026). Ces tests s’adressent aux organisations qui veulent éprouver leurs équipes face à l’usurpation d’identité et à la manipulation ciblée, au téléphone comme en vidéo.
Pour les entreprises qui ont déjà un programme de sensibilisation par email et veulent aller plus loin, peu de concurrents proposent cette capacité sur le marché français.
Un hébergement européen
Selon ses conditions générales, Arsen héberge sa plateforme chez Google Cloud, dans des centres situés à Paris et à Francfort, et se présente comme un éditeur français soumis au droit européen des données. C’est un hébergement européen, comme chez beaucoup de concurrents. Pour les organisations qui exigent un hébergement uniquement en France, ou chez un opérateur européen, la question est à poser avant de signer.
L’accompagnement structuré
Pour une organisation qui découvre la simulation de phishing ou n’a pas l’expertise interne pour piloter un programme de sensibilisation, l’accompagnement d’Arsen a de la valeur : aide à la construction du programme, analyse des résultats, recommandations. Une ETI de 500 collaborateurs avec un budget de sensibilisation à cinq chiffres, qui veut un retour mesurable, gagne à avoir un interlocuteur pour guider sa stratégie.
Les limites d’Arsen pour les PME
Arsen est une bonne solution pour le segment qu’elle vise. Vu depuis le bureau d’un dirigeant de PME de 60, 80 ou 150 collaborateurs, plusieurs points méritent d’être posés.
Des tarifs non publics
Arsen ne publie pas de grille tarifaire. Pour connaître le prix, il faut contacter l’équipe commerciale, planifier une démonstration, décrire son besoin et attendre un devis. C’est standard dans le logiciel B2B pour grands comptes.
Pour un dirigeant de PME qui compare des solutions entre deux réunions, l’absence de prix en ligne est un frein concret : sans référence publique, difficile de savoir si le devis reçu est dans le marché. Une PME qui surveille chaque dépense tient compte de cette incertitude.
Un processus commercial conçu pour les grands comptes
Chez Arsen, l’achat passe par une démonstration, une évaluation des besoins, un devis, puis un onboarding accompagné. Une PME de 80 personnes qui vient de recevoir un email de spear phishing visant son directeur financier veut réagir dans la semaine, et un cycle commercial de plusieurs semaines la ralentit.
Un dimensionnement ETI, souvent trop large pour une PME
Les fonctionnalités, les processus et les niveaux de service d’Arsen sont conçus pour des organisations dotées d’un RSSI ou d’une équipe sécurité structurée. Les rapports détaillés, les évaluations d’ingénierie sociale avancées et l’analyse comportementale par IA ont de la valeur quand quelqu’un exploite ces données au quotidien.
Dans une PME de 60 collaborateurs, le « responsable IT » gère aussi le réseau, les postes, le support et les achats. Il lui faut un outil qui tourne seul après un quart d’heure de configuration, plutôt qu’un programme sophistiqué à piloter. Payer des capacités que personne n’a le temps d’exploiter ne produit pas de résultat visible.
L’accompagnement a un coût intégré
L’accompagnement personnalisé a de la valeur, et cette valeur se retrouve dans le prix. Une PME de 40 collaborateurs a un besoin plus simple : des scénarios de phishing réalistes, une formation quand quelqu’un se fait piéger, un rapport pour la direction. Son responsable IT veut un outil qu’il prend en main seul et qui tourne tout seul.
Pas d’avis sur les emails suspects identifié
Dans les informations publiques consultées en octobre 2026, nous n’avons pas trouvé chez Arsen d’outil qui permette à un collaborateur de faire vérifier un email suspect au moment où il le reçoit ; posez la question en démonstration. La plateforme se concentre sur la simulation et la formation, son cœur de métier. Une question reste alors sans réponse : entre deux campagnes, que fait un collaborateur devant un email douteux ?
La simulation entraîne les réflexes. Sans outil pour agir quand le doute survient en conditions réelles, le collaborateur hésite, demande à un collègue ou prend le risque de cliquer.
Ce que nophi.sh fait différemment
nophi.sh et Arsen sont deux solutions françaises. Leurs différences tiennent aux choix de conception, dictés par des clients cibles différents.
Le self-service plutôt que l’accompagnement
nophi.sh s’utilise sans intermédiaire. Créez un compte, importez vos collaborateurs par fichier CSV ou par synchronisation Microsoft 365 (Entra ID), puis lancez votre première campagne. Comptez environ 15 minutes de configuration (hors liste blanche chez votre messagerie), et la première campagne part le jour même, sans rendez-vous commercial, sans consultant et sans semaines d’attente.
Le responsable IT d’une PME de 100 personnes gère déjà le réseau, le helpdesk, les fournisseurs et dix autres sujets. L’outil doit fonctionner dès la première connexion.
Des tarifs publics et prévisibles
Les tarifs de nophi.sh sont affichés sur le site, sans formulaire de contact :
- Starter : 99 € HT par mois, jusqu’à 50 utilisateurs
- Pro : 249 € HT par mois, jusqu’à 200 utilisateurs
- Enterprise : sur mesure
La facturation est mensuelle, sans engagement annuel obligatoire ni négociation. Un dirigeant de PME peut comparer les prix, calculer son budget annuel et valider la dépense en 10 minutes. Pour 50 collaborateurs, nophi.sh coûte 1 188 euros par an. Pour 200 collaborateurs, nophi.sh coûte 2 988 euros par an.
Toutes les fonctionnalités sont incluses dans chaque plan, sans module complémentaire ni niveau de service premium. Le rapport d’audit et la formation après un clic ne coûtent rien de plus.
La vérification d’email par IA
Dans ce comparatif, nophi.sh est le seul à proposer cette fonction. Quand un collaborateur reçoit un vrai email suspect, il le transfère à nophi.sh (ou utilise le bouton « Signaler » de Microsoft 365, configuré vers l’adresse nophi.sh). Il reçoit un verdict, en général en une à deux minutes : phishing ou légitime, avec le détail des éléments vérifiés (en-têtes, authentification SPF/DKIM/DMARC, liens, expéditeur, contenu).
C’est une aide à la décision pour le collaborateur, au moment où il en a besoin, et les contacts sécurité de l’entreprise sont prévenus. La simulation entraîne le réflexe du doute, et la vérification donne une réponse à ce doute.
Testez le principe avec le test de sécurité email.
La formation après un clic
Quand un collaborateur clique sur un lien de phishing simulé, il voit tout de suite un débrief de 3 minutes sur le piège dans lequel il est tombé. Un module court lui est ensuite assigné automatiquement, selon des règles par catégorie de scénario et par action : un collaborateur piégé par un faux email de livraison ne reçoit pas la même formation que celui qui est tombé sur une fraude au RIB. Des relances partent avant l’échéance, puis le manager est prévenu. Le mode pilote automatique reteste plus souvent les personnes les plus à risque (tous les 7, 14 ou 30 jours), y compris avec des scénarios de spear phishing.
Ce format court arrive au moment de l’erreur, plutôt qu’un module de 45 minutes suivi une fois par an.
Un rapport d’audit prêt à l’emploi
NIS2 demande aux entreprises concernées de documenter leur programme de sensibilisation. nophi.sh génère un rapport d’audit PDF (synthèse, tendances, répartition du risque, départements, suivi des formations) et un export CSV. Vous pouvez les utiliser comme preuve pour vos audits NIS2, ISO 27001 (A.6.3) ou DORA, sur la partie sensibilisation.
C’est inclus dans chaque plan. NIS2 exige bien plus que de la formation (gestion des risques, notification d’incidents, continuité d’activité) : ce rapport documente la sensibilisation, pas le reste. Pour une PME sans équipe conformité, il évite d’assembler ces preuves à la main.
80 scénarios pensés pour les PME françaises
nophi.sh propose 80 scénarios prêts à l’emploi, en français et en anglais, sur 16 catégories, et vous pouvez écrire les vôtres. Ils couvrent le phishing, le spear phishing et la fraude au président (BEC) par email.
Les scénarios reproduisent des situations réelles : faux avis de livraison, faux message des impôts ou d’un organisme public, fraude au changement de RIB, faux email de la direction demandant un virement, fausse page de connexion Microsoft 365. Pour une PME, 80 scénarios pertinents et prêts à l’emploi servent davantage que des milliers de modèles à trier.
Pour qui choisir Arsen ou nophi.sh
Les deux outils conviennent à des contextes différents. Voici de quoi décider.
Arsen est un bon choix si :
- vous êtes une ETI de plus de 500 collaborateurs avec un budget de cybersécurité structuré et un RSSI ou une équipe sécurité capable de piloter un programme de sensibilisation dans la durée ;
- vous cherchez un partenaire en plus d’un outil : l’accompagnement d’Arsen a de la valeur pour un programme ambitieux, avec des objectifs de réduction du risque humain mesurés sur 12 à 24 mois ;
- la personnalisation des scénarios par IA est une priorité, parce que vos collaborateurs ont des profils très variés (technique, commercial, direction, terrain, production) ;
- vous voulez aller au-delà du phishing par email avec des évaluations d’ingénierie sociale avancées ;
- vous êtes prêt à passer par un cycle commercial pour obtenir une solution calibrée pour votre organisation.
nophi.sh est un bon choix si :
- vous êtes une PME de 50 à 500 collaborateurs et cherchez une solution à votre taille, sans payer un accompagnement dont vous n’avez pas l’usage ;
- vous voulez des tarifs publics, sans négociation, et démarrer le jour même. nophi.sh coûte 99 € HT par mois jusqu’à 50 collaborateurs et 249 € HT jusqu’à 200.
Le cas des PME en croissance
Les PME de 200 à 500 collaborateurs en forte croissance sont parfois à la frontière entre les deux segments. nophi.sh leur permet de lancer un programme le jour même et d’obtenir des premiers résultats dès la première semaine. Si l’entreprise dépasse 500 collaborateurs et recrute un RSSI, elle pourra réévaluer ses besoins : la facturation mensuelle sans engagement le permet.
Migrer d’Arsen vers nophi.sh
Si vous utilisez Arsen et envisagez nophi.sh, la transition peut se faire sans interrompre votre programme de sensibilisation.
Étape 1 : créez votre compte nophi.sh
L’essai gratuit de 14 jours donne accès au produit complet, sans carte bancaire. Vous testez avec vos vrais collaborateurs, dans vos conditions réelles.
Étape 2 : importez votre liste de collaborateurs
Exportez un CSV depuis votre source (fichier RH ou outil actuel) et importez-le dans nophi.sh, ou activez la synchronisation Microsoft 365 (Entra ID). Les départements sont repris du fichier. Comptez 5 minutes.
Étape 3 : lancez une campagne de référence
La première campagne établit votre taux de clic de référence, point de départ pour mesurer la progression. Les métriques de campagnes Arsen ne sont pas transférables (formats et méthodes de calcul différents), mais ce nouveau point de départ vous donne une base propre.
Étape 4 : faites tourner les deux en parallèle si besoin
Rien ne vous oblige à couper Arsen tout de suite. Pendant l’essai de nophi.sh, comparez les résultats des deux plateformes sur les mêmes équipes, puis basculez si les résultats vous convainquent.
Étape 5 : activez la vérification d’email
Communiquez l’adresse de transfert à vos collaborateurs. Dès qu’un email leur paraît suspect, ils le transfèrent et reçoivent un verdict, en général en une à deux minutes.
Comptez environ 15 minutes de configuration (hors liste blanche chez votre messagerie) : la première campagne peut partir le jour même.
Pour comparer par vous-même, essayez nophi.sh gratuitement pendant 14 jours. Comptez environ 15 minutes de configuration (hors liste blanche chez votre messagerie) et lancez votre première campagne de simulation de phishing le jour même, sans engagement ni rendez-vous commercial.
Sources : arsen.co (produit et positionnement), Arsen, tarifs (devis, remises pluriannuelles, canaux simulés) et conditions générales (hébergement chez Google Cloud à Paris et à Francfort), consultés le 13 octobre 2026 ; baromètre du CESIN 2026. Tous les tarifs nophi.sh sont consultables sur la page tarifs. Ce comparatif ne constitue pas un engagement contractuel et les fonctionnalités mentionnées peuvent avoir évolué depuis la date de rédaction.
Questions fréquentes
Arsen est-il adapté aux PME ?
Arsen cible surtout les ETI et les grandes entreprises. La plateforme est conçue pour des organisations dotées d'une équipe sécurité ou d'un RSSI. Pour une PME de 50 à 200 collaborateurs sans RSSI, le parcours commercial d'Arsen (démonstration, devis, onboarding accompagné) peut freiner par rapport à une solution en libre-service. nophi.sh est conçu pour ce profil : environ 15 minutes de configuration (hors liste blanche chez votre messagerie), tarifs affichés, sans intermédiaire commercial.
Quel est le prix d'Arsen ?
Arsen ne publie pas de grille tarifaire. Les prix sont communiqués sur devis après une démonstration commerciale, un modèle courant chez les éditeurs qui ciblent les ETI et les grandes entreprises. nophi.sh affiche ses tarifs : 99 € HT par mois jusqu'à 50 utilisateurs et 249 € HT jusqu'à 200, sans engagement.
Arsen ou nophi.sh : lequel choisir ?
Si vous êtes une ETI de plus de 500 collaborateurs avec un RSSI et un budget de sensibilisation conséquent, Arsen propose des simulations avancées et un accompagnement personnalisé. Si vous êtes une PME de 50 à 300 personnes qui cherche une solution rapide, autonome et à budget maîtrisé, nophi.sh est dimensionné pour vous.
Les deux solutions sont-elles hébergées en France ?
Pas tout à fait. Selon ses conditions générales, Arsen héberge sa plateforme chez Google Cloud, dans des centres situés à Paris et à Francfort : les données restent dans l'Union européenne, chez un fournisseur américain. Les données nophi.sh sont hébergées en France par Nextmap, opérateur français. Si votre politique impose un hébergement uniquement en France, demandez à Arsen ce que prévoit votre contrat.
Peut-on migrer d'Arsen vers nophi.sh ?
Oui. Les utilisateurs s'importent par fichier CSV ou par synchronisation Microsoft 365 (Entra ID). Les données historiques de campagnes ne sont pas transférables entre plateformes, mais la première campagne nophi.sh établit un nouveau taux de clic de référence.