nophi.sh vs Riot

Voici un comparatif entre deux réussites françaises qui ont pris des chemins opposés. Riot, fondée à Paris en 2020 et passée par Y Combinator, a levé 45 millions de dollars pour construire une plateforme de « gestion de la posture de sécurité des employés » : coach IA conversationnel, simulation, hotline, surveillance de fuites de données, le tout dans Slack et Teams. nophi.sh a choisi la direction inverse : un produit resserré sur la simulation de phishing, la formation et la conformité, dimensionné pour les PME françaises — face à un phishing que l’ANSSI décrit comme l’un des tout premiers vecteurs d’attaque dans son Panorama de la cybermenace.

Précision importante pour éviter toute confusion : Riot (tryriot.com) n’a rien à voir avec Riot.im, l’ancien nom du client de messagerie Element, ni avec Riot Games. Il s’agit de la société française de cybersécurité fondée par Benjamin Netter, connue pour son assistant « Albert ».

Ce comparatif s’appuie sur les informations publiques de septembre 2026 : le site de Riot, sa page tarifs, sa page sécurité, la presse (TechCrunch) et les avis G2. Les deux produits sont bons ; ils ne sont simplement pas conçus pour les mêmes organisations. L’objectif est de vous aider à déterminer lequel correspond à la vôtre.

À retenir

• Riot et nophi.sh sont deux solutions françaises, mais avec des cibles différentes : Riot équipe des scale-ups et entreprises internationales (clients revendiqués : Mistral AI, L’Occitane, Le Monde, Deel — tryriot.com, septembre 2026) ; nophi.sh est dimensionné pour les PME françaises de 50 à 500 collaborateurs.
• Les deux affichent des tarifs publics — un point que peu d’acteurs du marché partagent. Riot : 6,89 $/employé/mois facturé annuellement (tryriot.com/pricing, septembre 2026), soit environ 4 134 $/an pour 50 personnes. nophi.sh : 99 €/mois jusqu’à 50 utilisateurs (1 188 €/an) et 249 €/mois jusqu’à 200 (2 988 €/an), en mensuel sans engagement.
• La signature de Riot, c’est Albert : un coach IA conversationnel qui forme les collaborateurs directement dans Slack, Microsoft Teams ou Google Chat, en 33 langues (tryriot.com/awareness et tryriot.com/pricing, septembre 2026). La signature de nophi.sh, c’est la boucle simulation → micro-learning automatique post-clic → vérification d’email par IA avec verdict en 30 secondes.
• Hébergement : l’UE pour Riot, la France pour nophi.sh. Riot héberge sur AWS en Irlande et Azure en France, avec conformité RGPD et certification SOC 2 Type II (tryriot.com/security, septembre 2026). nophi.sh héberge 100 % des données en France.
• Riot monte en gamme : levée de 30 M$ en série B (février 2025, Left Lane Capital), valorisation supérieure à 170 M$ et élargissement vers la gestion de posture de sécurité, selon TechCrunch. nophi.sh reste focalisé sur la simulation, la formation et les rapports NIS2 pour les PME.
• Pour une PME de 50 à 200 personnes, l’écart de budget est de l’ordre de 3 à 5 fois en faveur de nophi.sh à périmètre simulation + formation, et nophi.sh ajoute les rapports de conformité NIS2 inclus — mais Riot offre en contrepartie un périmètre plus large (hotline 24/7, surveillance de fuites, posture de sécurité).

Riot en bref

Riot est une entreprise française de cybersécurité fondée en 2020 par Benjamin Netter, passée par l’accélérateur américain Y Combinator (batch hiver 2020, source : ycombinator.com/companies/riot) et basée à Paris. Selon TechCrunch (février 2025), l’entreprise a levé 30 millions de dollars en série B menée par Left Lane Capital, portant le total levé à 45 millions de dollars (chiffre confirmé sur la page About de Riot) pour une valorisation supérieure à 170 millions de dollars. TechCrunch évoquait alors environ 10 millions de dollars de revenus annuels en 2024 et quelque 1 500 organisations clientes ; la page Y Combinator indique environ 160 collaborateurs (septembre 2026).

Le produit a beaucoup évolué depuis les débuts. Parti de la sensibilisation au phishing, Riot se présente aujourd’hui comme une plateforme de « gestion de la posture de sécurité des employés » articulée autour de sept modules — Awareness, Simulation, Studio, Sonar, Inbox, Slash et Breaches — qui couvrent, selon son site (septembre 2026), la sensibilisation continue, le phishing simulé, la création de parcours, une hotline cybersécurité 24/7 assistée par IA et la détection de fuites de données.

Le fil conducteur de tout cela s’appelle Albert : un coach IA conversationnel qui vit dans Slack, Microsoft Teams, Google Chat ou le navigateur, et qui délivre les formations sous forme de conversations courtes, adaptées à la langue de chaque collaborateur (33 langues annoncées). Pas de LMS, pas de plateforme de e-learning où se connecter : la formation vient à l’employé, dans l’outil qu’il utilise déjà.

Côté marché, Riot affiche des références comme Mistral AI, L’Occitane, Le Monde, Deel ou Intercom, et revendique plus de deux millions d’employés protégés (chiffres auto-déclarés sur son site, septembre 2026). La trajectoire décrite par TechCrunch est claire : élargissement du périmètre produit, croissance internationale, montée en gamme vers des organisations plus grandes. C’est l’une des belles trajectoires de la cybersécurité française — et un concurrent que nous respectons.

Ce que Riot fait bien

Un comparatif honnête commence par reconnaître les forces du concurrent. Riot en a de sérieuses.

Albert : la formation là où travaillent les collaborateurs

C’est l’idée la plus forte de Riot. Plutôt que d’envoyer les collaborateurs vers une plateforme de formation, Albert engage des conversations courtes directement dans Slack, Teams ou Google Chat (tryriot.com/awareness, septembre 2026). Le collaborateur n’a rien à installer ni aucun mot de passe supplémentaire à retenir ; la sensibilisation s’insère dans son flux de travail. Pour des équipes qui vivent dans Slack — typiquement les scale-ups tech —, ce format conversationnel supprime la friction principale de la formation sécurité : l’abandon. Les avis publiés sur G2 mettent d’ailleurs la simplicité d’utilisation en tête des points forts de Riot (note globale de 4,7/5 sur environ 136 avis, G2, septembre 2026).

Un périmètre qui dépasse la simulation

Riot ne se limite pas au phishing simulé. Le forfait inclut également la détection de fuites de données et une hotline cybersécurité disponible 24/7, portées par les modules Sonar, Inbox, Slash et Breaches, selon son site et sa page tarifs (septembre 2026). Pour une organisation qui veut consolider plusieurs briques de « risque humain » chez un seul éditeur — sensibilisation, hotline, veille sur les données exposées —, cette largeur est un vrai argument. C’est un périmètre que nophi.sh ne cherche pas à couvrir.

Des tarifs publics et un vrai self-service

Sur un marché où la norme reste le « contactez-nous », Riot affiche son prix : 6,89 $ par employé et par mois, facturation annuelle, jusqu’à 200 employés en self-service, démarrage gratuit sans carte bancaire (tryriot.com/pricing, septembre 2026). La synchronisation automatique d’annuaire (Google, Microsoft, Slack, Okta) rend le déploiement rapide. C’est une transparence que nous saluons d’autant plus volontiers qu’elle est au cœur de notre propre modèle.

33 langues et une dimension internationale

Les contenus de Riot s’adaptent automatiquement à la langue de chaque collaborateur, avec 33 langues annoncées (site et page tarifs, septembre 2026). Pour un groupe dont les équipes sont réparties entre Paris, Berlin, Lisbonne et Singapour, cette couverture linguistique automatique est un avantage concret que peu d’acteurs offrent — et que nophi.sh, centré sur le français, ne propose pas.

Une exécution reconnue

Certification SOC 2 Type II, conformité RGPD, chiffrement AES-256, pentest annuel et bug bounty documentés sur une page sécurité publique (tryriot.com/security) ; note de 4,7/5 sur environ 136 avis G2 ; références clients de premier plan. Riot exécute bien, et le marché le reconnaît.

Les limites de Riot pour les PME françaises

Riot est une bonne plateforme. Mais évaluée depuis une PME française de 50 à 300 collaborateurs, plusieurs points méritent d’être posés. Toutes les observations qui suivent reposent sur les informations publiques (septembre 2026).

Un budget par utilisateur élevé pour une PME

À 6,89 $ par employé et par mois, le calcul est vite fait : environ 4 134 $ par an pour 50 collaborateurs, environ 16 536 $ par an pour 200 (tryriot.com/pricing, septembre 2026). À périmètre comparable (simulation + formation), nophi.sh coûte 1 188 €/an pour 50 utilisateurs et 2 988 €/an pour 200 — un écart de l’ordre de 3 à 5 fois. Le prix de Riot rémunère un périmètre plus large (hotline, surveillance de fuites, posture) ; la question pour une PME est de savoir si elle exploitera ce périmètre, ou si elle paiera pour des modules qui ne serviront pas.

La facturation annuelle

Le tarif public de Riot s’entend avec facturation annuelle (tryriot.com/pricing, septembre 2026). Pour une PME qui découvre la sensibilisation au phishing, s’engager douze mois d’avance sur un budget à quatre chiffres est une décision plus lourde qu’un abonnement mensuel résiliable. nophi.sh facture au mois, sans engagement — si l’outil ne produit pas de résultats, vous partez.

Un hébergement européen, pas exclusivement français

Selon la page sécurité de Riot (septembre 2026), les données sont hébergées sur AWS en Irlande et Azure en France. C’est un hébergement européen conforme au RGPD, et pour beaucoup d’organisations cela suffit. Mais pour les entreprises dont la politique interne, les clients ou le secteur imposent un hébergement exclusivement français — collectivités, santé, défense, sous-traitants d’OIV —, la nuance compte. nophi.sh héberge 100 % des données en France.

Une plateforme qui monte en gamme

La trajectoire décrite par TechCrunch est celle d’un élargissement : de la sensibilisation vers la gestion de posture de sécurité, avec un « Karma Score » global et des modules qui s’adressent à des organisations structurées. Sur G2, plus des trois quarts des avis proviennent d’entreprises mid-market (septembre 2026). Rien de critiquable — mais pour une PME de 60 collaborateurs dont le responsable IT gère aussi le réseau et le support, une suite de posture de sécurité est un outil de plus à administrer, pas un besoin. Le risque est de payer un périmètre pensé pour le client d’au-dessus.

Des simulations moins personnalisables, selon les avis publics

Les points faibles relevés dans les avis G2 (septembre 2026) concernent principalement la personnalisation limitée des simulations de phishing et le reporting. C’est le revers cohérent d’un produit qui privilégie la simplicité conversationnelle. Pour une PME française qui veut des scénarios collant finement à son contexte — fraude au RIB avec le nom de son vrai fournisseur, faux email de sa direction —, cette limite mérite d’être vérifiée en essai.

Pas de rapports de conformité NIS2 identifiés

Riot propose des exports CSV (tryriot.com/pricing, septembre 2026) et des intégrations avec des outils de conformité comme Vanta ou Thoropass, orientées SOC 2 (vanta.com, septembre 2026). Mais selon les informations publiques, nous n’avons pas identifié de rapport de conformité NIS2 prêt pour l’audit, généré nativement. Pour les PME françaises entrant dans le champ de la directive, cela signifie compiler soi-même les preuves de son programme de sensibilisation.

Ce que nophi.sh fait différemment

Riot et nophi.sh sont deux éditeurs français nés à peu près au même moment. Les différences tiennent aux choix de conception — et au client pour lequel chaque produit est optimisé.

Un focus assumé : la PME française

Là où Riot élargit son périmètre et s’internationalise, nophi.sh optimise tout pour un seul profil : la PME française de 50 à 500 collaborateurs, sans RSSI, dont le responsable IT a quinze minutes à consacrer au déploiement. Pas de suite de posture de sécurité, pas de modules à évaluer : la simulation de phishing, la formation, la vérification d’email et la conformité. Ce focus se retrouve partout — dans les scénarios, dans les rapports, dans le prix.

Des scénarios conçus pour la France

Plus de 90 scénarios construits sur ce que reçoivent réellement les boîtes mail françaises : faux avis Chronopost, faux remboursement Ameli, fausse contravention ANTAI, fraude au changement de RIB, usurpation de la direction, smishing et quishing. Avec variables dynamiques (nom, département, manager, entreprise) pour un réalisme maximal. Riot traduit et adapte en 33 langues ; nophi.sh écrit d’abord en français, pour des PME françaises.

Le micro-learning automatique post-échec

Quand un collaborateur clique sur un lien simulé, il est immédiatement redirigé vers un module de 3 à 5 minutes adapté au piège précis dans lequel il est tombé, avec un parcours progressif (contenus renforcés pour les récidivistes, scénarios de spear phishing plus fins pour les vigilants). Le format conversationnel d’Albert est excellent pour la sensibilisation continue ; le micro-learning nophi.sh est optimisé pour l’instant précis de l’erreur, celui où la rétention pédagogique est la plus forte.

La vérification d’email par IA

Quand un vrai email douteux arrive, le collaborateur le transfère à nophi.sh et reçoit en 30 secondes un verdict motivé : en-têtes, authentification SPF/DKIM/DMARC, liens, expéditeur. Riot propose une hotline cybersécurité 24/7 où l’on peut poser ses questions ; nophi.sh automatise la réponse à la question la plus fréquente — « cet email est-il légitime ? » — avec un verdict immédiat et vérifiable. Testez le principe avec le test de sécurité email.

Les rapports NIS2 inclus

nophi.sh génère automatiquement les rapports de conformité attendus dans le cadre de NIS2 : historique des campagnes, taux de participation aux formations, progression par département, export PDF prêt pour l’auditeur. Inclus dans chaque plan, sans surcoût. Pour une PME française concernée par la directive, c’est une charge de travail entière qui disparaît.

Un prix pensé par paliers, pas par tête

99 €/mois jusqu’à 50 utilisateurs, 249 €/mois jusqu’à 200 (tarifs publics), facturation mensuelle, sans engagement, toutes fonctionnalités incluses. Le modèle par paliers évite l’effet compteur du prix par utilisateur : embaucher dix personnes ne change pas votre facture tant que vous restez dans votre palier. Et l’essai gratuit de 14 jours porte sur le plan Pro complet, avec vos vrais collaborateurs.

Pour qui choisir Riot, pour qui choisir nophi.sh ?

Deux bonnes solutions françaises, deux profils d’acheteurs.

Riot est un bon choix si :

• Vos équipes vivent dans Slack, Teams ou Google Chat et vous voulez que la sensibilisation s’insère dans ces outils, sans plateforme de formation séparée.
• Vous êtes une scale-up ou une entreprise internationale avec des collaborateurs dans plusieurs langues : les 33 langues et l’adaptation automatique sont faites pour vous.
• Vous cherchez plus que de la simulation : hotline cybersécurité 24/7, surveillance des fuites de données, détection de dérive des permissions — une consolidation du « risque humain » chez un seul éditeur.
• Un budget de 6,89 $/employé/mois en engagement annuel est acceptable au regard du périmètre couvert.
• Un hébergement européen (Irlande + France) vous suffit au regard de vos contraintes de souveraineté.

nophi.sh est un bon choix si :

• Vous êtes une PME française de 50 à 500 collaborateurs, sans RSSI, et vous voulez un outil qui tourne seul après 15 minutes de configuration.
• Votre budget est compté : à 50 utilisateurs, 1 188 €/an contre environ 4 134 $/an chez Riot ; à 200 utilisateurs, 2 988 €/an contre environ 16 536 $/an (tarifs publics respectifs, septembre 2026).
• Vous refusez l’engagement annuel : facturation mensuelle, résiliable, essai gratuit de 14 jours sur le plan Pro.
• Vos collaborateurs sont francophones et vous voulez des scénarios écrits pour le contexte français, pas traduits.
• L’hébergement 100 % France est un critère imposé par votre secteur, vos clients ou votre politique interne.
• La conformité NIS2 est un sujet : rapports d’audit automatiques inclus, sans compilation manuelle.

Migrer de Riot vers nophi.sh

Si vous utilisez Riot et souhaitez évaluer nophi.sh — par exemple à l’approche de l’échéance de votre engagement annuel —, la transition est simple.

Étape 1 : Créez votre compte nophi.sh. L’essai gratuit de 14 jours donne accès au plan Pro complet. Vous pouvez le faire tourner en parallèle de Riot pendant l’essai, sur les mêmes équipes, pour comparer.

Étape 2 : Importez vos collaborateurs. Export CSV depuis votre annuaire (Google Workspace, Microsoft 365) et import dans nophi.sh — les groupes et départements sont créés automatiquement. Comptez 5 minutes.

Étape 3 : Lancez une campagne de baseline. Les métriques Riot (dont le Karma Score) sont propriétaires et non transférables. La première campagne nophi.sh établit votre taux de clic de référence, avec des scénarios français que vos équipes n’ont jamais vus — un test plus réaliste que des templates déjà rencontrés.

Étape 4 : Activez le micro-learning et la vérification d’email. Le micro-learning post-clic fonctionne sans configuration. Communiquez l’adresse de transfert à vos collaborateurs pour la vérification d’email : c’est le remplaçant automatisé de la hotline.

Étape 5 : Basculez à l’échéance. Quand les résultats de l’essai vous convainquent, planifiez la bascule à la date de renouvellement de votre contrat annuel Riot pour ne rien payer en double.

Délai total : 15 minutes entre la création du compte et le lancement de la première campagne.

Verdict

Riot est l’une des belles réussites de la cybersécurité française : un produit conversationnel original, une exécution reconnue (4,7/5 sur G2, SOC 2 Type II, références comme Mistral AI ou Le Monde), des tarifs publics et une ambition internationale financée par 45 millions de dollars. Pour une scale-up multilingue qui vit dans Slack et veut consolider sensibilisation, hotline et surveillance des fuites chez un seul éditeur, c’est un excellent choix — probablement le meilleur du marché français sur ce créneau.

nophi.sh joue un autre match : celui de la PME française de 50 à 500 collaborateurs qui n’a ni RSSI, ni équipes multilingues, ni besoin d’une suite de posture de sécurité — mais qui a besoin, cette semaine, de scénarios de phishing crédibles en français, d’une formation automatique quand quelqu’un clique, d’un verdict fiable sur les emails suspects et d’un rapport NIS2 pour l’auditeur, le tout hébergé en France pour un budget 3 à 5 fois inférieur. Si vous vous reconnaissez dans le premier profil, prenez Riot. Si vous vous reconnaissez dans le second, nophi.sh est dimensionné exactement pour vous — et l’essai gratuit permet de le vérifier sans risque.

Prêt à comparer par vous-même ? Essayez nophi.sh gratuitement pendant 14 jours et lancez votre première campagne de simulation de phishing en 15 minutes — sans engagement, sans rendez-vous commercial.

---

Sources : tryriot.com (accueil, septembre 2026), tryriot.com/pricing (tarifs, septembre 2026), tryriot.com/about (levées de fonds, septembre 2026), tryriot.com/awareness (Albert, septembre 2026), tryriot.com/security (hébergement et certifications, septembre 2026), TechCrunch — Riot raises $30 million (février 2025), Y Combinator — Riot (septembre 2026), G2 — avis Riot (septembre 2026), Vanta — intégration Riot (septembre 2026), ANSSI — Panorama de la cybermenace. Tarifs nophi.sh : page tarifs. Informations sur Riot basées sur les données publiquement disponibles en septembre 2026 ; les chiffres de clients et de couverture sont auto-déclarés par l’éditeur. Ce comparatif ne constitue pas un engagement contractuel et les fonctionnalités mentionnées peuvent avoir évolué depuis la date de rédaction.