SoSafe est l’un des acteurs de la sensibilisation à la cybersécurité les plus visibles en Europe. Fondée en Allemagne et financée à hauteur de plus de 100 millions de dollars, la plateforme combine sciences comportementales, gamification et simulations de phishing dans plus de 30 langues. C’est un produit solide, pensé pour les grandes organisations européennes.
Pour une PME française de 50 à 300 collaborateurs, la bonne question est de savoir si SoSafe est dimensionné pour votre entreprise : contexte français, équipe IT réduite, budget mesuré, besoin de résultats rapides.
Ce comparatif examine les deux solutions. SoSafe a des forces réelles, et nophi.sh vise un segment différent. L’objectif est de vous donner les faits pour choisir.
À retenir
- SoSafe est l’un des principaux acteurs européens de la sensibilisation : fondée à Cologne en 2018, plus de 450 salariés, une plateforme en 32 langues (sosafe-awareness.com, octobre 2026), une approche fondée sur les sciences comportementales et la gamification. nophi.sh vise les PME françaises sans équipe sécurité.
- SoSafe affiche un prix de départ de 625 € par mois avec 50 sièges inclus, facturé à l’année, soit 7 500 € par an (sosafe-awareness.com/pricing, octobre 2026). nophi.sh affiche 99 € HT par mois jusqu’à 50 utilisateurs et 249 € HT jusqu’à 200, en facturation mensuelle sans engagement.
- SoSafe propose 32 langues ; vérifiez la part de scénarios écrits pour le contexte français. nophi.sh propose 80 scénarios en français et en anglais, dont la fraude au changement de RIB fournisseur et les faux messages d’administrations.
- SoSafe stocke les données sur des serveurs allemands et/ou de l’Union européenne, selon son livre blanc sur la confidentialité. nophi.sh héberge ses données en France, ce qui compte pour le secteur public, la santé, la défense et les donneurs d’ordre qui exigent un hébergement français.
- SoSafe passe par un processus commercial et un onboarding accompagné par un CSM attitré. nophi.sh demande environ 15 minutes de configuration en autonomie (hors liste blanche chez votre messagerie), avec un essai gratuit de 14 jours sur le produit complet.
- nophi.sh inclut dans chaque plan un rapport d’audit PDF utilisable comme preuve pour vos audits NIS2 ; demandez à SoSafe ce que son offre fournit pour le même usage, et à quel niveau de formule.
SoSafe en bref
SoSafe a été fondée en 2018 à Cologne par Niklas Hellemann, Lukas Schaefer et Felix Schürholz. Niklas Hellemann est docteur en psychologie, et ce parcours a façonné le positionnement de l’entreprise : appliquer les sciences comportementales à la sensibilisation cyber. L’idée fondatrice est que les formations classiques (diaporamas annuels, quiz génériques) ne changent pas durablement les comportements. SoSafe s’appuie donc sur la psychologie de l’apprentissage, les nudges et le renforcement positif.
Devenue société européenne (SE) en janvier 2025, l’entreprise revendique plus de 450 salariés et 5,4 millions d’utilisateurs de sa plateforme (page À propos, octobre 2026).
La plateforme couvre un périmètre large : simulations de phishing personnalisées par intelligence artificielle, modules d’e-learning gamifiés avec des parcours narratifs, un bouton de signalement des emails suspects, un indice de sécurité humaine (Human Security Index), des comparaisons avec d’autres entreprises du secteur et des rapports que l’éditeur présente comme prêts pour NIS2, DORA et ISO 27001. Le tout existe en 32 langues, dont le français.
SoSafe s’adresse d’abord aux organisations structurées, et a lancé une plateforme pour les prestataires informatiques qui servent les PME (communiqué SoSafe). Forrester l’a classée Strong Performer de sa première Wave Human Risk Management, en 2024.
Ce que SoSafe fait bien
L’approche par les sciences comportementales
C’est le positionnement fondateur de SoSafe, et il a de la substance. La plateforme structure ses parcours autour de principes de psychologie comportementale : nudges, renforcement positif, apprentissage espacé, rappels contextuels. Avec un fondateur docteur en psychologie, l’approche s’appuie sur des bases académiques. Pour les organisations qui veulent aller au-delà des campagnes de simulation de phishing et changer les habitudes de leurs équipes, c’est un angle distinctif.
La gamification de l’e-learning
Les modules de SoSafe sont conçus pour maintenir l’engagement dans la durée : points d’expérience, badges, classements d’équipe, parcours narratifs interactifs. Pour les grandes organisations qui forment des milliers de collaborateurs et luttent contre la lassitude des programmes de sensibilisation, ces mécaniques de jeu aident à maintenir la participation.
Un indice de risque et des comparaisons sectorielles
SoSafe calcule un indice de sécurité humaine par collaborateur et par équipe, à partir des simulations, des formations et des signalements. Les RSSI visualisent ainsi le risque humain dans leur organisation. Des benchmarks sectoriels permettent de se comparer à des entreprises de taille et de secteur similaires, ce qui aide dans les échanges avec la direction.
La couverture multilingue
La plateforme existe en 32 langues. Une entreprise qui a des bureaux à Paris, Berlin et Madrid peut déployer un programme unifié sans gérer plusieurs fournisseurs.
La conformité multi-cadres
Selon l’éditeur, la plateforme génère automatiquement des rapports pour la direction et des rapports prêts pour NIS2, DORA et ISO 27001, qui montrent que le programme de sensibilisation est en place et que les collaborateurs ont été formés. Pour une organisation soumise à plusieurs cadres réglementaires, cette centralisation simplifie la documentation.
Un bouton de signalement avec retour
Le bouton de signalement de SoSafe, un complément Outlook déployé par l’informatique ou une intégration Gmail, permet de signaler un email suspect en un clic. Le collaborateur reçoit ensuite un email qui lui dit s’il s’agissait d’une simulation, d’une vraie tentative ou d’un message inoffensif, et l’équipe sécurité voit les signalements dans un tableau de bord (SoSafe, mai 2024).
Les limites de SoSafe pour une PME française
SoSafe est conçu pour les ETI et les grands comptes européens. Vue depuis une PME française de 80 collaborateurs, la plateforme présente plusieurs limites.
Un budget d’entrée élevé pour une petite structure
SoSafe affiche un prix de départ : 625 € par mois, facturés à l’année, avec 50 sièges inclus, puis un prix par utilisateur dégressif (sosafe-awareness.com/pricing, octobre 2026). Une PME de 50 personnes engage donc 7 500 € sur l’année, et au-delà de 50 sièges le prix passe par un devis.
Pour une PME de 80 collaborateurs, le prix exact demande donc un échange commercial avant de pouvoir entrer dans le comparatif présenté à la direction.
Des contenus conçus pour le marché germanophone
SoSafe est une entreprise allemande qui sert toute l’Europe, et sa plateforme existe en 32 langues, dont le français. Pour une PME française, la question est la part de scénarios écrits pour la France plutôt que traduits : faux messages d’organismes publics français, fraude au RIB imitant un fournisseur français, faux avis d’un transporteur français. Demandez à les voir pendant la démonstration.
Selon le baromètre du CESIN 2026, 55 % des attaques significatives subies par les entreprises françaises passent par le phishing. Une simulation n’est utile que si elle est vraisemblable. Un faux email de la Deutsche Post ne trompe personne en France. Un faux avis de passage La Poste, si.
Un format pensé pour des organisations structurées
La formule de départ de SoSafe comprend 50 sièges pour 625 € par mois, facturés à l’année. Une entreprise de 20 ou 30 personnes paie donc des sièges dont elle n’a pas l’usage, et une PME de 150 personnes passe par un devis. Pour les plus petites structures, SoSafe mise plutôt sur les prestataires informatiques, avec sa plateforme dédiée aux MSP.
Un déploiement qui passe par un CSM
Le modèle SoSafe repose sur un accompagnement structuré avec un Customer Success Manager attitré. C’est un atout pour une grande entreprise qui déploie un programme sur des milliers de collaborateurs, et un facteur de lenteur pour une petite structure.
Le cycle d’achat comprend une démonstration, une proposition commerciale, une phase de configuration avec le CSM, puis le déploiement progressif des campagnes. Pour un responsable IT de PME qui voit se multiplier les tentatives de spear phishing et veut réagir vite, ce processus est un frein concret.
Une gamification qui demande de l’administration
La plateforme e-learning de SoSafe est vaste : dizaines de modules, parcours narratifs, badges, classements, quiz interactifs. C’est impressionnant en démonstration. Pour une PME de 60 personnes, cette richesse peut devenir une charge.
Qui va choisir les bons modules parmi les dizaines disponibles, configurer les parcours par département et suivre la progression de chacun ? Dans une entreprise de 2 000 personnes avec un responsable formation à temps plein, ce travail a du sens. Dans une PME où le responsable IT cumule trois fonctions, il risque de ne jamais être fait.
Après une simulation ratée, une PME a surtout besoin d’un module court, assigné automatiquement, que personne n’a à sélectionner dans un catalogue.
Un hébergement européen, mais pas français
SoSafe stocke les données sur des serveurs allemands et/ou de l’Union européenne, selon son livre blanc sur la confidentialité. C’est conforme au RGPD et c’est un avantage net par rapport aux solutions hébergées aux États-Unis. Mais pour les entreprises françaises soumises à des exigences de souveraineté (secteur public, sous-traitants de la défense, santé), « Europe » et « France » ne sont pas synonymes.
Pour la plupart des PME, ce n’est pas un problème. Pour celles dont les donneurs d’ordre exigent un hébergement français, c’est un point à vérifier avant de s’engager.
Ce que nophi.sh fait différemment
nophi.sh n’est pas un concurrent frontal de SoSafe : les deux visent des segments différents. nophi.sh est conçu pour les PME françaises de 50 à 500 collaborateurs qui veulent des simulations de phishing utiles sans la complexité d’une plateforme enterprise.
Des scénarios prêts à l’emploi en français
Le catalogue compte 80 scénarios email prêts à l’emploi, en français et en anglais, sur 16 catégories : fraude au président, fraude au changement de RIB fournisseur, fausses factures, Microsoft 365, DocuSign, faux support informatique, RH, livraison, administrations et impôts, opérateurs télécoms, entre autres. Vous pouvez aussi écrire les vôtres. Un collaborateur qui reçoit une simulation nophi.sh doit hésiter comme devant un vrai phishing, et c’est cette hésitation qui rend l’exercice utile.
Des tarifs publics
Les tarifs sont affichés sur le site : 99 € HT par mois jusqu’à 50 utilisateurs, 249 € HT jusqu’à 200. Vous n’avez ni devis à attendre ni négociation à mener, et la facturation est mensuelle, sans engagement annuel. Pour une PME de 100 collaborateurs, la formule Pro coûte 2 988 € HT par an, un chiffre qui peut aller directement dans le comparatif présenté à votre direction.
Une mise en route en autonomie
Créez votre compte, importez vos utilisateurs par CSV ou synchronisation Microsoft 365 (Entra ID), lancez votre première campagne. Comptez environ 15 minutes de configuration (hors liste blanche chez votre messagerie) et une première campagne le jour même. L’essai gratuit de 14 jours donne accès au produit complet : vous testez avec vos vrais collaborateurs plutôt que dans une démonstration guidée.
La vérification d’email par IA
Quand un collaborateur reçoit un email suspect, il le transfère à nophi.sh ou utilise le bouton « Signaler » de Microsoft 365 configuré vers l’adresse nophi.sh. Il reçoit un verdict de l’IA avec ses raisons, en général en une à deux minutes, et vos contacts sécurité sont alertés. Phish Assist de SoSafe donne aussi un retour au collaborateur, via un bouton à déployer dans les clients email. Chez nophi.sh, aucun complément à installer : le transfert d’email ou le bouton natif de Microsoft 365 suffit. Pour voir comment votre domaine est protégé, lancez notre test de sécurité email.
Une formation assignée après l’échec
Quand un collaborateur clique sur un lien simulé, il voit un débrief de 3 minutes, puis un module court lui est assigné automatiquement selon des règles par catégorie de scénario et par action : spear phishing, fraude au RIB (BEC), faux site de connexion, entre autres. Sans suivi, des relances partent avant l’échéance, puis le manager est prévenu en cas de retard. Le cours intégré « Sensibilisation au phishing : les fondamentaux » compte 5 leçons et un quiz de 10 questions (80 % pour réussir), en français et en anglais.
Les parcours gamifiés de SoSafe (badges, classements) ont du mérite dans les grandes organisations. La formation assignée après l’échec de nophi.sh est pensée pour les PME où le temps de formation est compté.
Des données hébergées en France
Les données de nophi.sh sont hébergées en France par Nextmap (opérateur français, réseau AS35426). Les données restent en France. Pour une PME soumise à des contraintes de souveraineté, ou qui veut simplement savoir où sont les données de ses collaborateurs, c’est une garantie plus précise que l’hébergement européen de SoSafe.
Un rapport d’audit inclus dans chaque plan
nophi.sh produit un rapport d’audit PDF (synthèse, tendances, répartition du risque, départements, suivi des formations) et un export CSV, inclus dans chaque plan. Ce rapport sert de preuve pour vos audits NIS2, ISO 27001 (A.6.3) ou DORA (conformité). NIS2 exige bien plus que de la formation : le rapport ne couvre que le volet sensibilisation. SoSafe annonce aussi des rapports prêts pour NIS2, DORA et ISO 27001 : demandez lesquels sont inclus dans la formule de départ.
Pour qui choisir SoSafe, pour qui choisir nophi.sh ?
Le choix dépend de votre taille, de votre budget, de votre implantation géographique et de vos besoins.
SoSafe est le bon choix si :
- Vous êtes une ETI ou un grand compte (500+ collaborateurs) avec un budget de sensibilisation dédié et un responsable formation capable d’exploiter une plateforme riche.
- Vous opérez dans plusieurs pays européens et avez besoin d’un programme multilingue unifié, en 30+ langues, avec un tableau de bord consolidé.
- Les sciences comportementales et la gamification sont des critères de choix, avec des parcours narratifs, des badges et des classements.
- Vous cherchez une plateforme e-learning complète qui combine phishing, cybersécurité au sens large et conformité multi-cadres (ISO 27001, NIS2, DORA).
- Vous avez le budget et le temps pour un processus commercial structuré et un déploiement accompagné, planifié sur le trimestre.
- Vous êtes déjà client SoSafe et la plateforme fonctionne pour vous. Changer d’outil a un coût : si les résultats sont là et le budget validé, rien ne presse.
nophi.sh est le bon choix si :
- Vous êtes une PME française de 50 à 500 collaborateurs et vous cherchez une solution à votre taille.
- Vos collaborateurs travaillent en français ou en anglais et vous voulez des scénarios qui ressemblent à leur quotidien professionnel en France.
- Vous voulez un tarif affiché, une facturation mensuelle et un engagement flexible.
- Votre équipe IT est réduite et vous voulez un outil prêt après environ 15 minutes de configuration, sans accompagnement obligatoire.
- L’hébergement en France est un prérequis, par obligation contractuelle, réglementaire ou par choix.
- Vous voulez que vos collaborateurs puissent faire vérifier un email suspect par IA sans installer de complément dans leur messagerie.
- Vous voulez commencer maintenant. L’essai gratuit de 14 jours donne accès au produit complet, sans démonstration à planifier ni devis à attendre.
Migrer de SoSafe vers nophi.sh
Si votre contrat SoSafe arrive à échéance, ou si la plateforme est surdimensionnée pour votre PME, la transition se fait en quelques étapes.
- Exportez depuis SoSafe la liste de vos collaborateurs au format CSV : noms, adresses email, départements. C’est la seule donnée nécessaire pour démarrer.
- Importez le fichier dans nophi.sh, ou utilisez la synchronisation Microsoft 365 (Entra ID). Les départements sont repris du fichier.
- Lancez une campagne de référence pour établir votre taux de clic de départ. Les données historiques de SoSafe ne sont pas transférables.
- Définissez les règles de formation : un module court est assigné automatiquement après chaque test échoué, avec relances avant l’échéance. Aucun catalogue à parcourir.
Comptez environ 15 minutes de configuration (hors liste blanche chez votre messagerie) et une première campagne le jour même.
Votre contrat SoSafe court encore ? Testez nophi.sh gratuitement pendant 14 jours en parallèle : les deux outils cohabitent sans conflit technique. Comparez les résultats et préparez la bascule pour la date de renouvellement.
Sources : SoSafe, tarifs, À propos, livre blanc sur la confidentialité et Human Risk OS, mai 2024, consultés le 13 octobre 2026. Statistiques phishing France : baromètre CESIN 2026, ANSSI, Panorama de la cybermenace 2024. Tous les tarifs nophi.sh sont consultables sur la page tarifs.
Questions fréquentes
SoSafe est-il adapté aux PME françaises ?
La plateforme existe en français, et SoSafe propose aussi une offre destinée aux prestataires informatiques qui servent les PME. Pour une PME de 50 à 200 personnes, deux points pèsent : le prix de départ de 625 € par mois avec 50 sièges inclus, facturé à l'année, et un parcours commercial avec démonstration et devis au-delà de 50 sièges. nophi.sh est conçu pour ce segment : prix publics, mensuels, et environ 15 minutes de configuration hors liste blanche.
Quel est le prix de SoSafe ?
SoSafe affiche un prix de départ : « les formules démarrent à 625 € par mois, facturés à l'année, avec 50 sièges inclus », puis un prix par utilisateur dégressif communiqué sur devis (sosafe-awareness.com/pricing, octobre 2026). Pour 50 personnes, cela représente 7 500 € par an. nophi.sh coûte 99 € HT par mois jusqu'à 50 utilisateurs (1 188 € HT par an) et 249 € HT jusqu'à 200 (2 988 € HT par an), en mensuel sans engagement.
SoSafe ou nophi.sh : lequel choisir ?
SoSafe convient à une ETI internationale présente dans plusieurs pays et langues, avec un budget de sensibilisation supérieur à 10 000 €/an, qui cherche une approche gamifiée avec des parcours de formation narratifs. nophi.sh convient à une PME française qui veut des scénarios réalistes en français, une mise en route rapide et un tarif affiché.
Les données sont-elles hébergées en Europe avec SoSafe ?
Oui. SoSafe est une entreprise allemande qui héberge les données en Europe (Allemagne), conformément au RGPD. Les données ne sont pas hébergées en France. nophi.sh héberge ses données en France, chez Nextmap (opérateur français, réseau AS35426). Pour les organisations soumises à des exigences d'hébergement français (secteur public, défense), la distinction compte.
SoSafe propose-t-il du contenu en français ?
Oui. SoSafe est disponible dans plus de 30 langues, dont le français. Les modules de formation et les scénarios de phishing sont traduits et localisés. La localisation française est de bonne qualité, mais le contenu part d'une base conçue pour le marché germanophone, puis adaptée.