nophi.sh vs KnowBe4

KnowBe4 est le leader mondial de la sensibilisation au phishing. Plus de 65 000 clients, une bibliothèque de 6 000 templates, une reconnaissance unanime des analystes Gartner et Forrester. C’est une plateforme pensée pour les grandes organisations internationales, et elle excelle dans ce rôle.

Mais quand vous dirigez une PME française de 50 à 300 collaborateurs, la question n’est pas « KnowBe4 est-il bon ? ». La question est : « KnowBe4 est-il le bon outil pour mon contexte ? ». Contexte réglementaire français, collaborateurs francophones, budget de PME, équipe IT réduite, exigences de souveraineté des données.

Ce comparatif pose les faits sur la table. KnowBe4 fait certaines choses mieux que quiconque. nophi.sh fait d’autres choses que KnowBe4 ne fait pas, ou pas bien, pour les PME françaises. L’objectif : vous aider à choisir l’outil adapté à votre situation.

KnowBe4 en bref

KnowBe4 a été fondé en 2010 par Stu Sjouwerman à Clearwater, en Floride. L’entreprise s’est construite autour d’une idée simple : le maillon faible de la cybersécurité, c’est l’humain. La plateforme propose des simulations de phishing, de la formation à la cybersécurité, un module de triage des emails suspects (PhishER) et un gestionnaire de conformité.

L’entreprise a connu une croissance rapide. Introduction en bourse sur le Nasdaq en 2021, puis rachat par le fonds de private equity Vista Equity Partners en février 2023 pour 4,6 milliards de dollars (source : communiqué KnowBe4, février 2023). KnowBe4 est redevenu une entreprise privée.

En chiffres : plus de 65 000 clients dans le monde, environ 1 500 employés, une présence dans 35 langues. La plateforme revendique la plus grande bibliothèque de contenus de sensibilisation au phishing du marché : plus de 6 000 templates de simulation de phishing et plus de 1 000 modules de formation.

Kevin Mitnick, ancien hacker devenu consultant en sécurité, était l’ambassadeur et directeur du hacking de KnowBe4 jusqu’à son décès en juillet 2023. Son nom reste associé au programme de formation phare de la plateforme, le « Kevin Mitnick Security Awareness Training ».

KnowBe4 est reconnu par les principaux analystes du marché. Gartner l’a nommé Leader dans son Magic Quadrant pour les plateformes de sensibilisation à la sécurité. Forrester le positionne également parmi les leaders dans sa Wave Security Awareness and Training Solutions. Ce sont des reconnaissances méritées : sur le marché mondial, KnowBe4 est la référence.

Ce que KnowBe4 fait bien

Soyons clairs : KnowBe4 n’est pas devenu le numéro un mondial par hasard. Plusieurs points forts justifient sa position.

La profondeur du catalogue. Avec plus de 6 000 templates de phishing et 1 000 modules de formation, KnowBe4 dispose du catalogue le plus vaste du marché. Pour une entreprise multinationale qui opère dans 35 langues et doit former des équipes sur cinq continents, cette profondeur est un avantage réel. Les templates couvrent tous les vecteurs : email, SMS (smishing), QR code (quishing), appels téléphoniques (vishing), clés USB.

PhishER, le triage des emails suspects. PhishER est le module de gestion des emails signalés par les collaborateurs. Quand un employé clique sur « Signaler comme phishing » dans sa messagerie, l’email arrive dans PhishER, où un classifieur IA (PhishML) le trie automatiquement en trois catégories : menace, spam ou légitime. Pour les équipes SOC qui gèrent des centaines de signalements par jour, c’est un gain de temps considérable.

L’automatisation avancée. KnowBe4 a investi dans l’automatisation des campagnes avec son système AIDA (Artificial Intelligence Driven Agent). Au niveau Diamond, huit agents IA génèrent des templates personnalisés, calculent un score de risque par collaborateur (SmartRisk) et orchestrent les campagnes sans intervention manuelle. C’est le système d’orchestration le plus avancé du marché de la sensibilisation.

Les rapports et benchmarks sectoriels. L’équipe de recherche de KnowBe4 publie régulièrement des rapports sur les tendances du phishing et des benchmarks par secteur d’activité. Le « Phishing by Industry Benchmarking Report » est devenu une référence citée par les RSSI pour justifier leurs budgets de sensibilisation auprès de la direction. Ces données agrégées, basées sur des millions de simulations, ont une valeur statistique que peu de concurrents peuvent égaler.

La conformité réglementaire. Le module Compliance Manager de KnowBe4 permet de suivre la conformité des collaborateurs sur différentes réglementations (RGPD, HIPAA, PCI-DSS, SOX). C’est un outil utile pour les entreprises soumises à plusieurs cadres réglementaires simultanément.

La notation analystes. Sur G2, KnowBe4 obtient 4,6/5 avec près de 3 000 avis. Sur Gartner Peer Insights, même note : 4,6/5. Ces notes reflètent la satisfaction des administrateurs et des responsables sécurité qui utilisent la plateforme au quotidien.

Les limites de KnowBe4 pour les PME françaises

KnowBe4 est conçu pour le marché américain et les grandes organisations. Quand on le regarde depuis une PME française de 80 collaborateurs, plusieurs décalages apparaissent.

Langue et culture : traduit ne veut pas dire adapté

L’interface de KnowBe4 est disponible en français. Une partie des modules de formation est traduite ou doublée. Environ 500 contenus sont disponibles en français sur les 6 000+ que compte le catalogue. C’est loin d’être négligeable, mais cela représente moins de 10 % de la bibliothèque totale.

Le problème n’est pas seulement la quantité. C’est la pertinence culturelle. Les scénarios de phishing de KnowBe4 reproduisent majoritairement des contextes américains : faux avis de l’IRS (l’administration fiscale américaine), faux relevés de compte 401(k) (épargne retraite), faux colis UPS ou FedEx. Pour un collaborateur français, ces scénarios sont immédiatement identifiables comme artificiels. Personne en France ne reçoit de notification de l’IRS.

Ce qui fonctionne en France, c’est un faux avis de passage Chronopost, un faux remboursement Ameli, une fausse contravention ANTAI, une fausse relance Engie ou une fraude au changement de RIB imitant un fournisseur réel. Ces scénarios existent dans le catalogue KnowBe4, mais ils représentent une fraction du contenu disponible. Un responsable sécurité doit passer du temps à filtrer et sélectionner les scénarios pertinents parmi des milliers de templates inadaptés.

Selon le baromètre du CESIN 2024, le phishing reste le premier vecteur d’attaque pour 60 % des entreprises françaises. Les campagnes de sensibilisation les plus efficaces sont celles qui reproduisent les menaces réelles auxquelles les collaborateurs sont exposés, et ces menaces sont culturellement situées.

Opacité tarifaire et coûts cachés

KnowBe4 ne publie pas de grille tarifaire publique standard. Les prix varient selon le nombre d’utilisateurs, le niveau de service (Silver, Gold, Platinum, Diamond) et la durée d’engagement. Les estimations du marché situent le coût entre 18 et 25 dollars par utilisateur et par an, mais le prix réel dépend de la négociation commerciale.

Pour une PME de 100 collaborateurs, cela représente entre 1 800 et 2 500 dollars par an au minimum. Mais le niveau Silver (entrée de gamme) ne donne accès qu’aux modules de formation de base. Pour le micro-learning (modules courts de 5 minutes, les plus efficaces pour les PME), il faut passer au Gold. Pour le scoring de risque avancé, au Platinum. Pour l’automatisation IA, au Diamond. Ajoutez PhishER et le Compliance Manager en modules supplémentaires, et la facture peut doubler.

Plusieurs sources sur G2 et Reddit documentent des augmentations de 20 à 40 % au renouvellement, un schéma fréquent après le rachat par un fonds de private equity. Pour une PME qui planifie son budget sur 3 ans, cette imprévisibilité est un problème.

Trop de fonctionnalités pour une PME

KnowBe4 est une plateforme conçue pour des équipes de sécurité dédiées. 6 000 templates, 1 000 modules de formation, des dizaines d’options de configuration, des intégrations SIEM, des API, des rapports avancés. Pour un RSSI à temps plein dans une entreprise de 2 000 personnes, c’est un terrain de jeu.

Pour le responsable IT d’une PME de 80 personnes, qui gère aussi le réseau, le helpdesk et les achats de matériel, c’est du bruit. Ce dont il a besoin : 50 bons scénarios français, un programme de formation qui tourne tout seul, un tableau de bord lisible, et un rapport pour la direction. Pas 6 000 templates à trier.

Sur G2, les avis mentionnent régulièrement un « setup initial écrasant ». La plateforme G2 elle-même recommande d’autres solutions pour les petites équipes. C’est un signal : KnowBe4 est surdimensionné pour la plupart des PME.

Déploiement : des semaines vs des minutes

Le déploiement de KnowBe4 passe par un processus commercial : démonstration, devis, négociation, signature, puis onboarding avec un account manager. Comptez 2 à 4 semaines entre la décision d’achat et le lancement de la première campagne.

Pour une PME qui vient de subir une tentative de spear phishing et veut réagir vite, ce délai est un frein. Le temps que le contrat soit signé, l’urgence est passée et le sujet est retombé dans la liste des « sujets à traiter un jour ».

Souveraineté des données : Europe, mais pas France

KnowBe4 héberge les données de ses clients européens sur AWS, avec des centres de données en Irlande et à Francfort. C’est conforme au RGPD. Mais pour les entreprises françaises soumises à des exigences de souveraineté numérique, ou celles qui traitent des données sensibles (santé, défense, secteur public), l’hébergement sur des infrastructures américaines (même situées en Europe) peut poser question.

Le Cloud Act américain permet théoriquement aux autorités américaines d’accéder aux données hébergées par des entreprises américaines, quel que soit le pays d’hébergement. Pour certaines PME françaises, notamment celles qui travaillent avec le secteur public ou la défense, c’est un point de vigilance.

Conformité NIS2 : un module en plus, pas un standard

La directive NIS2, qui renforce les obligations de cybersécurité pour des milliers d’entreprises européennes depuis 2024, impose notamment des mesures de sensibilisation des collaborateurs. KnowBe4 propose un module Compliance Manager qui couvre NIS2, mais c’est un add-on facturé en supplément. Pour une PME qui découvre NIS2 et cherche une solution simple pour se mettre en conformité, devoir assembler plusieurs modules payants n’est pas l’approche la plus directe.

Ce que nophi.sh fait différemment

nophi.sh n’essaie pas d’être KnowBe4. La plateforme est conçue pour un contexte précis : les PME françaises de 50 à 500 collaborateurs qui veulent une simulation de phishing efficace sans la complexité d’une solution enterprise.

Français natif, pas traduit. Chaque scénario de simulation, chaque module de formation, chaque rapport, chaque email est écrit en français par des francophones. Les scénarios reproduisent des situations que vos collaborateurs rencontrent réellement : faux avis Chronopost, faux remboursement Ameli, fraude au RIB imitant un fournisseur, fausse convocation ANTAI. Pas de traduction depuis l’anglais, pas de décalage culturel.

90+ scénarios ciblés plutôt que 6 000 à trier. Moins de templates, mais chaque template est pertinent pour le contexte français. Un responsable IT ne perd pas une heure à filtrer des milliers de scénarios américains pour trouver les 10 qui fonctionnent en France. Il lance une campagne avec des scénarios prêts à l’emploi, adaptés à son secteur d’activité.

Tarifs publics, facturation mensuelle, sans engagement long. Le tarif est affiché sur le site : 99 euros par mois pour un maximum de 50 utilisateurs, 249 euros par mois pour un maximum de 200 utilisateurs. Facturation mensuelle, pas d’engagement annuel obligatoire, pas de négociation commerciale. Le prix que vous voyez est le prix que vous payez, sans surprises au renouvellement.

Déploiement en 15 minutes, en autonomie. Créez votre compte, importez votre liste d’utilisateurs, lancez votre première campagne de simulation. Pas de démonstration commerciale obligatoire, pas d’account manager, pas de délai de 4 semaines. Si vous décidez de tester un lundi matin, votre première campagne part avant le déjeuner.

Vérification d’email par IA, côté collaborateur. Quand un collaborateur reçoit un email suspect, il le transfère à nophi.sh et reçoit un verdict en 30 secondes : légitime ou suspect, avec une explication. Ce n’est pas la même approche que PhishER de KnowBe4, qui est un outil de triage pour les administrateurs. nophi.sh met l’outil de vérification dans les mains du collaborateur, au moment où il en a besoin. Testez le principe avec notre test de sécurité email.

Données hébergées en France. Toutes les données sont stockées sur des infrastructures françaises, en France. Pas sur AWS Irlande, pas sur AWS Francfort. En France. Pour les entreprises soumises à des contraintes de souveraineté ou celles qui préfèrent simplement savoir où sont leurs données, c’est une garantie claire.

Conformité NIS2 intégrée. Les rapports de conformité NIS2 sont inclus dans chaque plan, pas facturés en supplément. La plateforme génère automatiquement les preuves de sensibilisation demandées par la directive : historique des campagnes, taux de participation, résultats des formations, progression dans le temps. Un export PDF pour l’audit, et c’est fait.

Micro-learning adaptatif. Quand un collaborateur clique sur un lien de phishing simulé, il est redirigé vers un module de formation de 3 à 5 minutes, adapté au type de piège dans lequel il est tombé. Pas une formation générique de 45 minutes en salle. Un parcours court, contextualisé, qui corrige le comportement au moment où l’erreur se produit.

Pour qui choisir KnowBe4 vs nophi.sh ?

Il n’y a pas de mauvais outil. Il y a des outils plus ou moins adaptés à un contexte donné. Voici une grille de lecture pour orienter votre choix.

KnowBe4 est le bon choix si :

• Vous êtes une grande entreprise (500+ collaborateurs) avec une équipe sécurité dédiée qui a le temps d’exploiter une plateforme riche en fonctionnalités.
• Vous opérez à l’international et avez besoin de former des équipes dans 10, 20 ou 35 langues différentes. Le catalogue multilingue de KnowBe4 est inégalé.
• Vous avez une équipe SOC qui peut tirer parti de PhishER pour traiter des centaines de signalements d’emails suspects par jour.
• Vous cherchez la bibliothèque la plus vaste possible pour varier les scénarios sur plusieurs années auprès de milliers de collaborateurs.
• Vous êtes déjà client KnowBe4 et la plateforme fonctionne bien dans votre contexte. Changer de solution a un coût, et si votre programme de sensibilisation donne des résultats, il n’y a pas de raison de migrer.

nophi.sh est le bon choix si :

• Vous êtes une PME française de 50 à 500 collaborateurs et vous cherchez une solution dimensionnée pour votre taille.
• Vos collaborateurs sont francophones et vous voulez des scénarios de phishing et des formations qui reflètent leur quotidien professionnel en France.
• Vous voulez un tarif transparent sans négociation commerciale, avec une facturation mensuelle et sans engagement pluriannuel.
• Votre équipe IT est réduite et vous avez besoin d’un outil qui fonctionne en autonomie, sans semaines d’onboarding.
• La souveraineté des données est un enjeu pour votre organisation, que ce soit par obligation réglementaire ou par choix.
• Vous devez vous conformer à NIS2 et vous cherchez une solution qui intègre les rapports de conformité sans modules supplémentaires.
• Vous voulez tester avant de vous engager : l’essai gratuit de 14 jours donne accès au plan Pro complet, pas à une version bridée.

Migrer de KnowBe4 vers nophi.sh

Si votre contrat KnowBe4 arrive à expiration et que vous envisagez nophi.sh, voici comment la transition se passe concrètement.

Étape 1 : Exportez votre liste d’utilisateurs depuis KnowBe4. L’export CSV standard inclut les noms, emails, départements et groupes. C’est la seule donnée dont vous avez besoin pour démarrer.

Étape 2 : Importez la liste dans nophi.sh. L’import CSV prend quelques minutes. La plateforme crée automatiquement les groupes et les départements. Aucune configuration manuelle n’est nécessaire.

Étape 3 : Lancez votre première campagne de baseline. nophi.sh lance une première campagne de simulation pour établir votre taux de clic de référence. Ce baseline permet de mesurer la progression de vos équipes dans le temps. Les données historiques de KnowBe4 ne sont pas transférables (les formats et métriques diffèrent), mais une nouvelle baseline est établie dès la première campagne.

Étape 4 : Activez le programme de formation. Les parcours de micro-learning se déclenchent automatiquement en fonction des résultats de chaque collaborateur. Ceux qui cliquent sur les simulations reçoivent une formation immédiate et adaptée. Ceux qui identifient correctement les tentatives progressent vers des scénarios plus avancés.

Délai total : 15 minutes entre l’import des utilisateurs et le lancement de la première campagne. Pas de période de transition de plusieurs semaines, pas de session d’onboarding obligatoire.

Et si votre contrat KnowBe4 est encore en cours ? Vous pouvez tester nophi.sh gratuitement pendant 14 jours pour comparer les deux plateformes en parallèle, et préparer la migration pour la date de renouvellement de votre contrat.

---

Sources : KnowBe4.com pour les données produit et le nombre de clients. Rachat Vista Equity Partners : communiqué KnowBe4 de février 2023 (4,6 milliards de dollars). Reconnaissance analystes : Gartner Magic Quadrant for Security Awareness Computer-Based Training, Forrester Wave Security Awareness and Training Solutions. Statistiques phishing France : baromètre CESIN 2024, ANSSI — Panorama de la cybermenace 2024. Tous les tarifs nophi.sh sont consultables sur la page tarifs.