nophi.sh vs GoPhish

Vous faites tourner GoPhish, ou vous hésitez à l’installer : vous avez déjà décidé de tester vos collaborateurs, et vous avez choisi la voie gratuite. Cette page chiffre ce que coûte vraiment cette voie et montre ce qu’une plateforme hébergée apporte en plus, sans enjoliver ni l’un ni l’autre.

GoPhish est l’un des outils open source de simulation de phishing les plus connus : plus de 14 000 étoiles sur GitHub, une API documentée, et une place de choix chez les pentesters. Nous lui consacrons d’ailleurs un guide d’installation complet. Les faits ci-dessous ont été vérifiés le 13 octobre 2026 sur le dépôt GitHub du projet.

À retenir

• Le logiciel est gratuit et sous licence MIT. Le coût réel est le temps : notre estimation pour 100 collaborateurs va de 76 à 172 heures la première année, dont près de la moitié pour écrire des modèles en français et préparer les campagnes.
• Le projet tourne au ralenti : dernière version v0.12.1 le 14 septembre 2022, dernier commit sur la branche principale le 23 septembre 2024, 678 issues ouvertes (github.com/gophish/gophish, octobre 2026). Aucune entreprise ne garantit les correctifs.
• GoPhish mesure mais ne forme pas : après un clic, le collaborateur arrive sur une page statique. Rien n’explique le piège, rien n’est assigné ensuite.
• nophi.sh coûte 99 € HT par mois jusqu’à 50 utilisateurs et 249 € HT jusqu’à 200 (tarifs), avec 80 scénarios prêts à l’emploi, la formation assignée après un clic, la vérification des vrais emails suspects et un rapport d’audit PDF. Les données restent en France.
• Vous gardez GoPhish pour vos pentests ? C’est un bon usage. Pour un programme de sensibilisation continu, la comparaison se fait en heures plus qu’en euros.

GoPhish en bref

GoPhish est un framework open source de simulation de phishing écrit en Go par Jordan Wright et publié sous licence MIT (dépôt GitHub). Vous l’installez sur votre serveur, vous configurez un profil d’envoi, vous écrivez vos modèles d’email et vos pages d’atterrissage, puis vous lancez des campagnes. L’interface affiche, par campagne, les emails envoyés, ouverts, les liens cliqués et les identifiants saisis.

Trois choses à savoir avant de bâtir un programme dessus :

• aucune entreprise ne porte GoPhish : ni support commercial, ni engagement de correctifs, ni feuille de route ;
• il n’existe qu’en auto-hébergement, sans version hébergée officielle ;
• aucune nouvelle version n’est sortie depuis septembre 2022. Les clients email, les navigateurs et les filtres ont changé depuis, et une faille découverte demain n’aurait pas de correctif garanti. Notre article sur GoPhish en entreprise détaille ces risques.

Ce que GoPhish fait bien

GoPhish fait très bien ce pour quoi il a été conçu : le test de phishing ponctuel mené par une équipe technique.

Il est gratuit et sans limite d’usage. La licence MIT autorise l’usage commercial, sans tarif par utilisateur ni licence à renouveler.

Vous gardez la main sur les données. En auto-hébergement, les adresses de vos collaborateurs et les résultats restent sur votre infrastructure.

Son API REST est documentée. Vous pouvez automatiser la création de campagnes, l’import des destinataires et la récupération des résultats.

C’est l’outil de référence des pentesters. Pour une campagne ciblée lors d’un audit, avec un rapport livré au client la semaine suivante, GoPhish est souvent le bon choix.

Les limites de GoPhish pour un programme de sensibilisation

L’envoi et la délivrabilité restent à votre charge

Avant la première campagne, il faut un serveur, un domaine dédié, un certificat, un service d’envoi authentifié (SPF, DKIM, DMARC) et des règles de pare-feu. Vient ensuite la partie la plus longue : faire arriver les emails dans les boîtes Microsoft 365 sans qu’ils soient filtrés. Notre guide sur la délivrabilité de GoPhish vers Microsoft 365 décrit les réglages nécessaires. Toute plateforme de simulation demande une liste blanche chez votre messagerie, nophi.sh comprise ; avec GoPhish, vous gérez en plus le domaine et l’infrastructure d’envoi.

Aucune bibliothèque de modèles

GoPhish est livré sans modèle. Chaque email et chaque page d’atterrissage s’écrit à la main en HTML, se teste dans Outlook et Gmail, puis se met à jour quand l’arnaque imitée évolue. Les modèles partagés en ligne sont presque tous en anglais, et ceux qui imitent les fraudes françaises (faux RIB fournisseur, fausse notification des impôts, faux colis) sont à écrire vous-même.

Aucune formation après un clic

C’est la limite qui pèse le plus. Le collaborateur qui clique voit la page que vous avez préparée, et le suivi s’arrête là. Selon le KnowBe4 Phishing by Industry Benchmarking Report 2025, le taux de clic moyen passe de 33,1 % à 4,1 % après 12 mois de formation : la baisse vient de la formation, que GoPhish ne fournit pas. L’élément humain intervient dans 62 % des compromissions selon le Verizon DBIR 2026.

Des résultats par campagne, sans suivi du risque

GoPhish donne quatre chiffres par campagne. Il ne calcule ni score de risque par collaborateur, ni comparaison entre départements, ni évolution sur douze mois, et ne repère ni les récidivistes ni les personnes jamais testées. Pour montrer un progrès à votre direction, il faut exporter les résultats et construire les tableaux vous-même.

Aucun rapport d’audit

La directive NIS2 demande aux entités concernées des pratiques de cyberhygiène et la formation du personnel (article 21). GoPhish ne produit aucun rapport à verser à un dossier d’audit : chaque campagne demande une mise en forme manuelle.

La responsabilité des données

En auto-hébergement, vous êtes responsable de traitement au sens du RGPD pour les adresses, les clics et les saisies, et vous assurez seul la sécurité du serveur, les sauvegardes et la notification en cas de violation. Avec une plateforme hébergée, vous restez responsable de traitement, mais le prestataire s’engage par contrat (DPA, article 28 du RGPD) sur la sécurité de l’hébergement.

Le vrai coût de GoPhish

Le serveur coûte peu : un VPS d’entrée de gamme démarre à 3,81 € HT par mois chez OVHcloud (ovhcloud.com, octobre 2026), auxquels s’ajoutent un domaine dédié et des sauvegardes. Comptez moins de 150 € par an d’infrastructure. Le vrai poste est le temps passé.

Voici notre estimation pour une PME de 100 collaborateurs, avec deux campagnes par mois. Ce sont des hypothèses à ajuster à votre situation, pas des mesures.

Poste	Hypothèse	Heures la première année
Installation : serveur, GoPhish, certificat, domaine, SPF, DKIM, DMARC, tests de délivrabilité	2 à 5 jours	16 à 40 h
Modèles en français (email et page d’atterrissage)	24 modèles, 1 à 2 h chacun	24 à 48 h
Préparation et lancement des campagnes	24 envois, 30 min à 1 h chacun	12 à 24 h
Rapports pour la direction	12 par an, 1 à 2 h chacun	12 à 24 h
Maintenance : mises à jour, sauvegardes, surveillance	1 à 3 h par mois	12 à 36 h
Total		76 à 172 h

À 50 € de l’heure (coût interne ou prestataire, à remplacer par le vôtre), cela fait 3 800 à 8 600 € la première année, puis 3 000 à 6 600 € par an sans l’installation. Ces heures ne comprennent ni formation des collaborateurs, ni vérification des emails suspects, ni rapport d’audit, que GoPhish ne fait pas. Si vous gardez GoPhish, le kit de conception de campagnes vous donne 18 thèmes de départ, avec les signaux à placer et le débrief de chacun.

Pour 100 collaborateurs, nophi.sh coûte 249 € HT par mois (formule Pro, jusqu’à 200 utilisateurs), soit 2 988 € HT par an, ou 2 390,40 € HT en paiement annuel. Jusqu’à 50 utilisateurs, la formule Starter revient à 1 188 € HT par an. Le prix comprend les 80 scénarios, le pilote automatique des campagnes, la formation, les tableaux de bord, le rapport d’audit et l’hébergement en France.

GoPhish, Microsoft Attack Simulator ou nophi.sh ?

Beaucoup d’équipes qui envisagent GoPhish ont aussi Microsoft 365. Microsoft propose son propre outil, Attack simulation training, réservé aux licences Microsoft 365 E5 ou Defender for Office 365 Plan 2 (Microsoft Learn, octobre 2026). Les clients E3 n’en ont qu’une version d’essai limitée à un type d’attaque.

Critère	GoPhish	Microsoft Attack Simulator	nophi.sh
Déploiement	Votre serveur Linux	Inclus dans le portail Defender	Plateforme hébergée en France
Licence nécessaire	Aucune	Microsoft 365 E5 ou Defender for Office 365 Plan 2	Abonnement nophi.sh, de 99 à 249 € HT/mois selon la taille
Scénarios en français prêts à l’emploi	Aucun	Charges utiles intégrées, à vérifier en français	80, en français et en anglais
Formation après un clic	Aucune	Modules Microsoft assignables	Module court assigné automatiquement, relances avant l’échéance
Techniques simulées	Email, pièces jointes et QR code à construire vous-même	Vol d’identifiants, pièce jointe, lien vers un logiciel malveillant, consentement OAuth, QR code	Email avec fausses pages de connexion Microsoft 365 et Google Workspace
Vérification des vrais emails suspects	Non	Non	Oui, verdict motivé par IA
Rapport d’audit	Mise en forme manuelle	Rapports dans le portail Microsoft	PDF et CSV
Maintenance	À votre charge	Administration Microsoft 365	Aucune

Si vous avez déjà E5, commencez par l’outil de Microsoft : il est payé. Notre comparatif Microsoft Attack Simulator détaille ce qu’il fait bien et ce qui lui manque pour une PME française. Si vous n’avez pas E5, le Plan 2 se paie par utilisateur et inclut d’autres protections que la simulation : si seule la simulation vous intéresse, comparez son prix à celui d’une plateforme dédiée.

Ce que nophi.sh fait différemment

nophi.sh fait ce que GoPhish laisse à votre charge, pour qu’une PME mène un programme continu sans mobiliser son équipe informatique.

Une première campagne le jour même. Vous importez vos collaborateurs par CSV ou par synchronisation Microsoft 365 (Entra ID), vous choisissez vos scénarios et vous lancez. Comptez environ 15 minutes de configuration, hors liste blanche chez votre messagerie, sans serveur, domaine ni service d’envoi à gérer.

80 scénarios prêts à l’emploi. En français et en anglais, sur trois niveaux de difficulté et 16 catégories : fraude au président, changement de RIB fournisseur, fausses factures, Microsoft 365, DocuSign, faux support informatique, livraison, impôts et administrations… Vous pouvez aussi écrire vos propres modèles. Les fausses pages de connexion imitent Microsoft 365 ou Google Workspace, et les mots de passe saisis ne sont jamais enregistrés.

Un pilote automatique. Les tests se relancent à 7, 14 ou 30 jours selon le niveau de risque de chaque personne, pendant les heures de bureau, avec des envois étalés.

Une formation après chaque clic. Le collaborateur voit un débrief de 3 minutes, puis un module court lui est assigné automatiquement. Sans suite, des relances partent avant l’échéance, puis son manager est prévenu en cas de retard.

La vérification des vrais emails suspects. Le collaborateur transfère le message à nophi.sh, ou utilise le bouton Signaler de Microsoft 365 configuré vers l’adresse nophi.sh. Il reçoit un verdict motivé par IA, en général en une à deux minutes, et vos contacts sécurité sont alertés.

Des preuves pour l’audit. Le rapport d’audit PDF (synthèse, tendances, répartition du risque, départements, suivi des formations) et l’export CSV documentent le volet sensibilisation de vos audits NIS2, ISO 27001 (A.6.3) ou DORA. Ce rapport documente le volet formation, l’une des mesures que demande NIS2.

Un hébergement en France, chez Nextmap, opérateur français.

Pour qui choisir GoPhish, pour qui choisir nophi.sh ?

GoPhish est un bon choix si :

• vous êtes pentester ou red teamer et vous menez des tests ponctuels pour des clients ;
• un administrateur peut assurer l’installation, la délivrabilité, les modèles et la veille de sécurité d’un outil sans nouvelle version depuis 2022 ;
• vous voulez modifier le code source ou garder toutes les données sur votre infrastructure ;
• vous faites un audit ponctuel de résilience au phishing, sans programme de suivi.

nophi.sh est un bon choix si :

• vous voulez un programme continu, avec des campagnes régulières et un suivi dans le temps ;
• votre responsable informatique a mieux à faire que maintenir un serveur et coder des modèles en HTML ;
• chaque clic doit déboucher sur une formation, et chaque email douteux sur un avis rapide ;
• vous devez produire des preuves pour un audit NIS2 ou ISO 27001 ;
• l’hébergement en France compte pour vous ou pour vos clients.

Migrer de GoPhish vers nophi.sh

1. Récupérez le fichier CSV de destinataires que vous aviez importé dans « Users & Groups » : GoPhish 0.12.1 ne sait pas exporter ses groupes en CSV, et son API ne les renvoie qu’en JSON, à convertir. Gardez les colonnes email, prénom et nom, et ajoutez une colonne département si vous voulez comparer vos services : la colonne Position de GoPhish n’est pas reprise.
2. Ouvrez un essai gratuit de 14 jours, sans carte bancaire et sans prélèvement automatique à la fin.
3. Importez le fichier, ou synchronisez Microsoft 365 avec Entra ID. Les départements sont repris.
4. Ajoutez nophi.sh à la liste blanche de votre messagerie, comme vous l’aviez fait pour GoPhish.
5. Lancez une première campagne avec des scénarios que vos équipes n’ont jamais vus, puis recréez vos modèles maison comme modèles personnalisés si vous y tenez.

Gardez votre serveur GoPhish en lecture seule le temps d’archiver vos résultats (l’API les exporte en JSON), puis éteignez-le : un serveur et une veille de sécurité en moins.

Verdict

GoPhish a rendu la simulation de phishing accessible à toute équipe capable d’administrer un serveur Linux, et il reste un excellent outil de test ponctuel. Les faits d’octobre 2026 invitent pourtant à la prudence pour un usage de long terme : aucune version depuis septembre 2022, aucun commit depuis septembre 2024, aucune entreprise pour garantir les correctifs.

Pour une PME qui veut réduire son risque humain dans la durée, le calcul se fait en heures. Une instance bien tenue demande en général plus de temps qu’un abonnement nophi.sh ne coûte, et elle ne forme personne. Lancez l’essai en parallèle de votre instance GoPhish et comparez sur vos propres collaborateurs.

Pour comparer chiffres en main, ouvrez un essai nophi.sh de 14 jours : environ 15 minutes de configuration, première campagne le jour même, sans carte bancaire.

---

Sources : github.com/gophish/gophish (licence MIT, plus de 14 000 étoiles, 678 issues ouvertes, dernier commit le 23 septembre 2024, consulté le 13 octobre 2026), github.com/gophish/gophish/releases (v0.12.1 du 14 septembre 2022), getgophish.com (site officiel), OVHcloud, VPS (VPS-1 dès 3,81 € HT par mois, octobre 2026), Microsoft Learn, Attack simulation training (licences et techniques, octobre 2026), Verizon DBIR 2026 (élément humain dans 62 % des compromissions), KnowBe4 Phishing by Industry Benchmarking Report 2025 (taux de clic de 33,1 % à 4,1 % après 12 mois de formation). Les estimations de temps sont des hypothèses nophi.sh, à ajuster à votre contexte. Tarifs nophi.sh : page tarifs. Ce comparatif ne constitue pas un engagement contractuel.