nophi.sh vs Riot

Ce comparatif oppose deux éditeurs français qui ont pris des chemins opposés. Riot, fondée à Paris en 2020 et passée par Y Combinator, a levé 45 millions de dollars pour construire une plateforme de « gestion de la posture de sécurité des employés » : coach IA conversationnel, simulation, hotline, surveillance des fuites de données, le tout dans Slack et Teams. nophi.sh a choisi un périmètre étroit : la simulation de phishing, la formation et le rapport d’audit, dimensionnés pour les PME françaises. L’ANSSI décrit le phishing comme l’un des tout premiers vecteurs d’attaque dans son Panorama de la cybermenace.

Pour éviter toute confusion : Riot (tryriot.com) n’a rien à voir avec Riot.im, l’ancien nom du client de messagerie Element, ni avec Riot Games. Il s’agit de la société française de cybersécurité fondée par Benjamin Netter, connue pour son assistant « Albert ».

Ce comparatif s’appuie sur les informations publiques de septembre 2026 : le site de Riot, sa page tarifs, sa page sécurité, la presse (TechCrunch) et les avis G2. Les deux produits sont bons et ne visent pas les mêmes organisations. Ce guide vous aide à voir lequel correspond à la vôtre.

À retenir

• Riot et nophi.sh sont deux éditeurs français aux cibles différentes. Riot équipe des scale-ups et des entreprises internationales (clients revendiqués : Mistral AI, L’Occitane, Le Monde, Deel, tryriot.com, septembre 2026). nophi.sh est dimensionné pour les PME françaises de 50 à 500 collaborateurs.
• Les deux affichent des tarifs publics, ce qui reste rare sur ce marché. Riot : 6,89 $/employé/mois facturé annuellement (tryriot.com/pricing, octobre 2026), soit environ 4 134 $/an pour 50 personnes. nophi.sh : 99 € HT/mois jusqu’à 50 utilisateurs (1 188 € HT/an) et 249 € HT/mois jusqu’à 200 (2 988 € HT/an), en mensuel sans engagement.
• Le produit phare de Riot est Albert, un coach IA conversationnel qui forme les collaborateurs dans Slack, Microsoft Teams ou Google Chat, en 33 langues (tryriot.com/awareness et tryriot.com/pricing, octobre 2026). nophi.sh mise sur une boucle courte : simulation, formation assignée automatiquement après un clic, et vérification des vrais emails suspects par IA.
• Riot héberge dans l’UE, sur AWS en Irlande et Azure en France, avec conformité RGPD et certification SOC 2 Type II (tryriot.com/security, septembre 2026). Les données nophi.sh sont hébergées en France par Nextmap, un opérateur français.
• Riot monte en gamme : série B de 30 M$ en février 2025 (Left Lane Capital), valorisation supérieure à 170 M$ et élargissement vers la gestion de posture de sécurité, selon TechCrunch. nophi.sh reste concentré sur la simulation, la formation et les preuves de sensibilisation pour vos audits NIS2.
• Pour une PME de 50 à 200 personnes, l’écart de budget est de l’ordre de 3 à 5 fois en faveur de nophi.sh à périmètre simulation et formation. Riot couvre en contrepartie un périmètre plus large (hotline 24/7, surveillance des fuites, posture de sécurité).

Riot en bref

Riot est une entreprise française de cybersécurité fondée en 2020 par Benjamin Netter, passée par l’accélérateur américain Y Combinator (batch hiver 2020, ycombinator.com/companies/riot) et basée à Paris. Selon TechCrunch (février 2025), elle a levé 30 millions de dollars en série B menée par Left Lane Capital, pour un total levé de 45 millions de dollars (chiffre confirmé sur la page About de Riot) et une valorisation supérieure à 170 millions de dollars. TechCrunch évoquait alors environ 10 millions de dollars de revenus annuels en 2024 et quelque 1 500 organisations clientes. La page Y Combinator indique environ 160 collaborateurs (septembre 2026).

Parti de la sensibilisation au phishing, Riot se présente aujourd’hui comme une plateforme de « gestion de la posture de sécurité des employés ». Elle compte sept modules : Awareness, Simulation, Studio, Sonar, Inbox, Slash et Breaches. Selon son site (septembre 2026), ils couvrent la sensibilisation continue, le phishing simulé, la création de parcours, une hotline cybersécurité 24/7 assistée par IA et la détection de fuites de données.

Le fil conducteur s’appelle Albert, un coach IA conversationnel qui vit dans Slack, Microsoft Teams, Google Chat ou le navigateur. Il délivre les formations sous forme de conversations courtes, dans la langue de chaque collaborateur (33 langues annoncées). Il n’y a pas de LMS où se connecter : la formation vient à l’employé, dans l’outil qu’il utilise déjà.

Riot cite des références comme Mistral AI, L’Occitane, Le Monde, Deel ou Intercom, et revendique plus de deux millions d’employés protégés (chiffres auto-déclarés, septembre 2026). TechCrunch décrit une trajectoire d’élargissement du produit, de croissance internationale et de montée vers des organisations plus grandes. C’est l’une des belles trajectoires de la cybersécurité française.

Ce que Riot fait bien

Riot a des forces sérieuses.

Albert : la formation là où travaillent les collaborateurs

C’est l’idée la plus forte de Riot. Au lieu d’envoyer les collaborateurs vers une plateforme de formation, Albert engage des conversations courtes dans Slack, Teams ou Google Chat (tryriot.com/awareness, septembre 2026). Le collaborateur n’a rien à installer ni de mot de passe supplémentaire à retenir. Pour des équipes qui passent leur journée dans Slack, typiquement dans les scale-ups tech, ce format réduit l’abandon, le principal problème de la formation sécurité. Les avis G2 placent la simplicité d’utilisation en tête des points forts, avec une note de 4,7/5 sur environ 136 avis (G2, septembre 2026).

Un périmètre qui dépasse la simulation

Le forfait Riot inclut aussi la détection de fuites de données et une hotline cybersécurité 24/7, portées par les modules Sonar, Inbox, Slash et Breaches (site et page tarifs, septembre 2026). Une organisation qui veut regrouper plusieurs briques de risque humain chez un seul éditeur (sensibilisation, hotline, veille sur les données exposées) a là un vrai argument.

Des tarifs publics et un vrai libre-service

Riot affiche son prix : 6,89 $ par employé et par mois, facturation annuelle, jusqu’à 200 employés en libre-service, démarrage gratuit sans carte bancaire (tryriot.com/pricing, octobre 2026). La synchronisation automatique d’annuaire (Google, Microsoft, Slack, Okta) accélère le déploiement. Sur un marché où la norme reste le « contactez-nous », c’est une transparence que nous partageons.

33 langues et une dimension internationale

Les contenus de Riot s’adaptent automatiquement à la langue de chaque collaborateur, avec 33 langues annoncées (site et page tarifs, septembre 2026). Pour un groupe réparti entre Paris, Berlin, Lisbonne et Singapour, c’est un avantage concret que peu d’acteurs offrent. nophi.sh propose le français et l’anglais.

Une exécution reconnue

Riot documente sur une page sécurité publique sa certification SOC 2 Type II, sa conformité RGPD, le chiffrement AES-256, un pentest annuel et un bug bounty (tryriot.com/security). Ajoutez une note de 4,7/5 sur environ 136 avis G2 et des références clients de premier plan : Riot exécute bien.

Les limites de Riot pour les PME françaises

Vu depuis une PME française de 50 à 300 collaborateurs, plusieurs points méritent d’être posés. Les observations qui suivent reposent sur les informations publiques de septembre 2026.

Un budget par utilisateur élevé pour une PME

À 6,89 $ par employé et par mois, Riot coûte environ 4 134 $ par an pour 50 collaborateurs et environ 16 536 $ par an pour 200 (tryriot.com/pricing, octobre 2026). À périmètre comparable (simulation et formation), nophi.sh coûte 1 188 € HT/an pour 50 utilisateurs et 2 988 € HT/an pour 200. L’écart est de l’ordre de 3 à 5 fois. Le prix de Riot couvre un périmètre plus large (hotline, surveillance des fuites, posture). La question pour une PME est de savoir si elle utilisera ce périmètre.

La facturation annuelle

Le tarif public de Riot s’entend en facturation annuelle (tryriot.com/pricing, octobre 2026). Pour une PME qui découvre la sensibilisation au phishing, payer douze mois d’avance un budget à quatre chiffres engage plus qu’un abonnement mensuel résiliable. nophi.sh facture au mois, sans engagement : si l’outil ne vous convient pas, vous arrêtez.

Un hébergement européen, pas uniquement français

Selon la page sécurité de Riot (septembre 2026), les données sont hébergées sur AWS en Irlande et Azure en France. C’est un hébergement européen conforme au RGPD, et pour beaucoup d’organisations cela suffit. Si votre politique interne, vos clients ou votre secteur imposent un hébergement uniquement en France (collectivités, santé, défense, sous-traitants d’OIV), la nuance compte. Les données nophi.sh sont hébergées en France.

Une plateforme qui monte en gamme

TechCrunch décrit un élargissement de la sensibilisation vers la gestion de posture de sécurité, avec un « Karma Score » global et des modules pour des organisations structurées. Sur G2, plus des trois quarts des avis viennent d’entreprises mid-market (septembre 2026). C’est cohérent avec la stratégie de Riot. Pour une PME de 60 collaborateurs dont le responsable IT gère aussi le réseau et le support, une suite de posture de sécurité ajoute un outil à administrer, et une partie du prix paie un périmètre pensé pour des clients plus grands.

Des simulations moins personnalisables, selon les avis publics

Les points faibles relevés dans les avis G2 (septembre 2026) portent surtout sur la personnalisation limitée des simulations de phishing et sur le reporting. C’est la contrepartie d’un produit qui privilégie la simplicité conversationnelle. Si vous voulez des scénarios collés à votre contexte (fraude au RIB avec le nom de votre vrai fournisseur, faux email de votre direction), vérifiez ce point pendant l’essai.

Pas de rapport NIS2 identifié

Riot propose des exports CSV (tryriot.com/pricing, octobre 2026) et des intégrations avec des outils de conformité comme Vanta ou Thoropass, orientées SOC 2 (vanta.com, septembre 2026). Dans les informations publiques, nous n’avons pas trouvé de rapport d’audit orienté NIS2 généré par la plateforme. Une PME concernée par la directive devra alors rassembler elle-même les preuves de son programme de sensibilisation.

Ce que nophi.sh fait différemment

Riot et nophi.sh sont deux éditeurs français nés à peu près au même moment. Les différences tiennent aux choix de conception et au client visé.

Un seul profil : la PME française

Riot élargit son périmètre et s’internationalise. nophi.sh est construit pour la PME française de 50 à 500 collaborateurs, sans RSSI, dont le responsable IT a peu de temps à consacrer au déploiement. Le produit couvre la simulation de phishing, la formation, la vérification d’email et le rapport d’audit, sans suite de posture de sécurité ni modules à évaluer.

Des scénarios écrits pour le contexte d’attaque français

nophi.sh propose 80 scénarios prêts à l’emploi, en français et en anglais, répartis en 16 catégories : faux avis de livraison, faux remboursement de l’administration, fraude au changement de RIB, usurpation de la direction, fausses notifications Microsoft 365 ou DocuSign. Vous pouvez aussi écrire vos propres modèles. Riot traduit et adapte en 33 langues ; nophi.sh écrit pour les attaques qui visent les PME françaises.

Une formation assignée automatiquement après l’erreur

Un collaborateur qui clique sur un lien simulé voit une explication d’environ 3 minutes sur le piège qu’il vient de manquer. Un module court lui est ensuite assigné automatiquement, selon des règles par catégorie de scénario et par action. Il reçoit des relances avant l’échéance, puis son manager est prévenu en cas de retard. Le format conversationnel d’Albert sert la sensibilisation continue ; nophi.sh réagit au moment de l’erreur.

La vérification d’email par IA

Quand un vrai email douteux arrive, le collaborateur le transfère à nophi.sh (ou utilise le bouton « Signaler » de Microsoft 365 configuré vers l’adresse nophi.sh). Il reçoit un verdict motivé, en général en une à deux minutes, et vos contacts sécurité sont alertés. Riot propose une hotline cybersécurité 24/7 pour poser toutes ses questions ; nophi.sh répond automatiquement à la plus fréquente, « cet email est-il légitime ? ». Vous pouvez tester le principe avec le test de sécurité email.

Un rapport d’audit PDF inclus

nophi.sh produit un rapport d’audit PDF (synthèse, tendances, répartition du risque, résultats par département, suivi des formations) et des exports CSV, inclus dans chaque plan. Ils servent de preuve pour la partie sensibilisation de vos audits NIS2, ISO 27001 (A.6.3) ou DORA. NIS2 exige beaucoup plus que la formation des équipes : ce rapport documente un volet, pas l’ensemble.

Un prix par palier plutôt que par tête

99 € HT/mois jusqu’à 50 utilisateurs, 249 € HT/mois jusqu’à 200 (tarifs publics), facturation mensuelle, sans engagement, toutes fonctionnalités incluses. Avec un prix par palier, embaucher dix personnes ne change pas votre facture tant que vous restez dans le palier. L’essai gratuit de 14 jours porte sur le produit complet, avec vos vrais collaborateurs.

Pour qui choisir Riot, pour qui choisir nophi.sh ?

Riot est un bon choix si :

• vos équipes travaillent dans Slack, Teams ou Google Chat et vous voulez que la sensibilisation s’y intègre, sans plateforme de formation séparée ;
• vous êtes une scale-up ou une entreprise internationale avec des collaborateurs de plusieurs langues, et les 33 langues avec adaptation automatique vous servent ;
• vous cherchez plus que de la simulation (hotline cybersécurité 24/7, surveillance des fuites de données, détection de dérive des permissions) chez un seul éditeur ;
• un budget de 6,89 $/employé/mois en engagement annuel est acceptable au regard du périmètre couvert ;
• un hébergement européen (Irlande et France) suffit au regard de vos contraintes.

nophi.sh est un bon choix si :

• vous êtes une PME française de 50 à 500 collaborateurs, sans RSSI, et vous voulez un outil qui tourne seul après environ 15 minutes de configuration ;
• votre budget est serré : à 50 utilisateurs, 1 188 € HT/an contre environ 4 134 $/an chez Riot ; à 200 utilisateurs, 2 988 € HT/an contre environ 16 536 $/an (tarifs publics respectifs, septembre 2026) ;
• vous ne voulez pas d’engagement annuel : facturation mensuelle, résiliable, essai gratuit de 14 jours ;
• vos collaborateurs sont francophones et vous voulez des scénarios écrits pour le contexte français ;
• un hébergement documenté en France est exigé par votre secteur, vos clients ou votre politique interne ;
• vous devez fournir des preuves de sensibilisation pour un audit NIS2 sans les assembler à la main.

Migrer de Riot vers nophi.sh

Si vous utilisez Riot et voulez évaluer nophi.sh, par exemple avant l’échéance de votre engagement annuel, voici la démarche.

1. Créez votre compte. L’essai gratuit de 14 jours donne accès au produit complet, sans carte bancaire et sans prélèvement automatique à la fin. Vous pouvez le faire tourner en parallèle de Riot, sur les mêmes équipes.
2. Importez vos collaborateurs par fichier CSV ou par synchronisation Microsoft 365 (Entra ID). Les départements sont repris du fichier ou de l’annuaire.
3. Lancez une campagne de référence. Les métriques Riot, dont le Karma Score, ne sont pas transférables. La première campagne nophi.sh mesure votre taux de clic avec des scénarios français que vos équipes n’ont jamais vus.
4. Activez la formation automatique et communiquez à vos collaborateurs l’adresse de transfert pour la vérification d’email par IA.
5. Basculez à la date de renouvellement de votre contrat annuel Riot pour ne rien payer en double.

Comptez environ 15 minutes de configuration, hors liste blanche chez votre messagerie. La première campagne peut partir le jour même.

Verdict

Riot est l’une des belles réussites de la cybersécurité française : un produit conversationnel original, une exécution reconnue (4,7/5 sur G2, SOC 2 Type II, références comme Mistral AI ou Le Monde), des tarifs publics et une ambition internationale financée par 45 millions de dollars. Pour une scale-up multilingue qui travaille dans Slack et veut regrouper sensibilisation, hotline et surveillance des fuites chez un seul éditeur, c’est un excellent choix, probablement le meilleur du marché français sur ce créneau.

nophi.sh s’adresse à la PME française de 50 à 500 collaborateurs qui n’a ni RSSI, ni équipes multilingues, ni besoin d’une suite de posture de sécurité. Vous y trouvez des scénarios de phishing crédibles en français, une formation assignée automatiquement quand quelqu’un clique, une vérification d’email par IA, un rapport d’audit PDF et des données hébergées en France, pour un budget 3 à 5 fois inférieur. Si vous vous reconnaissez dans le premier profil, prenez Riot. Dans le second, essayez nophi.sh.

Pour comparer sur vos propres équipes, ouvrez un essai nophi.sh de 14 jours : environ 15 minutes de configuration, première campagne le jour même, sans carte bancaire ni rendez-vous commercial.

---

Sources : tryriot.com (accueil, septembre 2026), tryriot.com/pricing (tarifs, septembre 2026), tryriot.com/about (levées de fonds, septembre 2026), tryriot.com/awareness (Albert, septembre 2026), tryriot.com/security (hébergement et certifications, septembre 2026), TechCrunch, Riot raises $30 million (février 2025), Y Combinator, Riot (septembre 2026), G2, avis Riot (septembre 2026), Vanta, intégration Riot (septembre 2026), ANSSI, Panorama de la cybermenace. Tarifs nophi.sh : page tarifs. Informations sur Riot basées sur les données publiques de septembre 2026 ; les chiffres de clients et de couverture sont auto-déclarés par l’éditeur. Ce comparatif ne constitue pas un engagement contractuel et les fonctionnalités mentionnées peuvent avoir évolué depuis la date de rédaction.