SoSafe est l’un des acteurs de la sensibilisation à la cybersécurité les plus visibles en Europe. Fondée en Allemagne, financée à hauteur de plus de 100 millions de dollars, la plateforme combine sciences comportementales, gamification et simulations de phishing dans plus de 30 langues. C’est un produit solide, pensé pour les grandes organisations européennes.
Mais quand vous êtes une PME française de 50 à 300 collaborateurs, la question n’est pas de savoir si SoSafe est une bonne plateforme. La question est de savoir si SoSafe est dimensionné pour votre entreprise, votre budget et votre contexte. Contexte français, équipe IT réduite, budget mesuré, besoin de résultats rapides.
Ce comparatif examine les deux solutions avec honnêteté. SoSafe a des forces réelles. nophi.sh a été construit pour un segment de marché différent. L’objectif : vous donner les éléments factuels pour choisir en connaissance de cause.
SoSafe en bref
SoSafe a été fondée en 2018 à Cologne, en Allemagne, par Niklas Hellemann, Lukas Schaefer et Felix Schürholz. Niklas Hellemann est docteur en psychologie, et ce parcours académique a façonné le positionnement de l’entreprise : appliquer les sciences comportementales à la sensibilisation cyber. L’idée fondatrice est que les formations classiques (diaporamas annuels, quiz génériques) ne changent pas durablement les comportements. SoSafe veut aller plus loin en s’appuyant sur la psychologie de l’apprentissage, les nudges et le renforcement positif.
L’entreprise a levé des fonds conséquents. Selon Crunchbase, SoSafe a réalisé une série B de 73 millions d’euros en 2023, portant le total levé à plus de 100 millions de dollars. Parmi les investisseurs : Highland Europe, Global Founders Capital et SAP Ventures. C’est l’une des startups de cybersécurité les mieux financées d’Europe.
La plateforme couvre un périmètre large : simulations de phishing personnalisées par intelligence artificielle, modules d’e-learning gamifiés avec des parcours narratifs, un bouton de signalement des emails suspects (Phish Assist), un score de risque humain (Human Risk Score) et des outils de reporting pour la conformité réglementaire (ISO 27001, NIS2, DORA). Le tout est disponible en plus de 30 langues, dont le français.
En termes de cible commerciale, SoSafe vise les organisations de 500 collaborateurs et plus. L’entreprise revendique plus de 4 000 clients, principalement dans la zone DACH (Allemagne, Autriche, Suisse), avec une présence croissante en France, au Royaume-Uni et dans les pays nordiques. Sur G2, la plateforme obtient environ 4,5/5, ce qui la place parmi les mieux notées de sa catégorie en Europe.
Ce que SoSafe fait bien
SoSafe n’a pas levé plus de 100 millions de dollars sur un malentendu. Plusieurs aspects de la plateforme méritent d’être reconnus sans réserve.
L’approche par les sciences comportementales
C’est le positionnement fondateur de SoSafe, et c’est plus qu’un argument marketing. La plateforme structure ses parcours autour de principes issus de la psychologie comportementale : nudges, renforcement positif, apprentissage espacé, rappels contextuels. Le fondateur étant docteur en psychologie, l’approche repose sur des bases académiques documentées, pas sur des intuitions produit. Pour les organisations qui veulent dépasser les simples campagnes de simulation de phishing et transformer les habitudes de leurs équipes, c’est un angle différenciant.
La gamification de l’e-learning
Les modules de formation SoSafe sont conçus pour maintenir l’engagement dans la durée. Points d’expérience, badges, classements d’équipe, parcours narratifs interactifs — la plateforme emprunte les mécaniques du jeu vidéo pour rendre la formation moins fastidieuse. Pour les grandes organisations qui doivent former des milliers de collaborateurs et qui font face à la lassitude classique des programmes de sensibilisation, la gamification aide à maintenir la participation et à réduire le taux d’abandon.
Le Human Risk Score et les benchmarks
SoSafe propose un score de risque par collaborateur et par équipe, calculé à partir des interactions avec les simulations et les modules de formation. Ce score agrégé permet aux RSSI de visualiser le risque humain dans leur organisation. Les benchmarks sectoriels permettent de se comparer à des entreprises de taille et de secteur similaires. C’est un outil de reporting précieux pour les échanges avec la direction.
La couverture multilingue
Plus de 30 langues prises en charge, avec des contenus localisés. Pour une ETI qui opère dans plusieurs pays européens, c’est un avantage concret. Une entreprise avec des bureaux à Paris, Berlin et Madrid peut déployer un programme unifié sans gérer plusieurs fournisseurs.
La conformité automatisée
SoSafe a développé des modules de conformité couvrant ISO 27001, NIS2 et DORA. La plateforme génère des rapports prouvant que les programmes de sensibilisation sont en place et que les collaborateurs ont été formés. Pour les organisations soumises à plusieurs cadres réglementaires simultanément, cette centralisation simplifie le travail de documentation.
Phish Assist
Le bouton de signalement intégré aux clients email (Outlook, Gmail) permet aux collaborateurs de signaler un email suspect en un clic. L’email signalé est classifié automatiquement, et le collaborateur reçoit un retour immédiat : était-ce une vraie tentative de phishing ou un email légitime ? Ce feedback en temps réel crée une boucle d’apprentissage continue qui complète les campagnes de simulation.
Les limites de SoSafe pour les PME françaises
SoSafe est conçu pour les ETI et les grands comptes européens. Quand on examine la plateforme depuis une PME française de 80 collaborateurs, plusieurs limites apparaissent.
Un positionnement tarifaire enterprise
SoSafe ne publie pas de tarifs en ligne. Les prix sont communiqués sur devis, après un processus commercial qui inclut une démonstration, une évaluation des besoins et une proposition personnalisée. C’est un modèle classique pour les solutions visant les grandes entreprises, mais c’est un frein pour les PME qui comparent trois solutions avant un comité de direction.
Plusieurs avis sur G2 mentionnent un positionnement tarifaire élevé. Des évaluateurs notent que la plateforme est « mieux adaptée aux moyennes et grandes entreprises » en raison des coûts (informations publiquement disponibles, avril 2026).
Pour une PME de 80 collaborateurs avec un budget cybersécurité limité, devoir passer par un processus de vente de plusieurs semaines pour obtenir un prix n’est pas pratique. Et sans grille tarifaire publique, le responsable IT ne peut pas intégrer le coût dans un comparatif pour sa direction sans avoir d’abord passé du temps au téléphone.
German-first : traduit en français, conçu en Allemagne
SoSafe est une entreprise allemande, et cela se reflète dans le produit. La plateforme est disponible en français, mais les contenus sont d’abord pensés pour le marché DACH (Allemagne, Autriche, Suisse), puis traduits et adaptés pour d’autres marchés.
Concrètement, les scénarios de simulation de phishing reflètent des contextes allemands et européens génériques plutôt que des situations spécifiquement françaises. Les faux emails imitant Ameli, les fausses amendes ANTAI, les fausses notifications Chronopost, les fraudes au RIB imitant un fournisseur français — ces scénarios qui fonctionnent en France parce qu’ils reproduisent des situations vécues par vos collaborateurs — ne sont pas la priorité d’un éditeur dont le marché principal est l’Allemagne.
D’après le baromètre du CESIN 2024, le phishing reste le premier vecteur d’attaque pour 60 % des entreprises françaises. L’efficacité d’une simulation dépend directement de sa vraisemblance. Un faux email de la Deutsche Post ne trompe personne en France. Un faux avis de passage La Poste, si.
Un seuil de taille qui exclut les petites PME
SoSafe cible les organisations de 500 collaborateurs et plus. Ce n’est pas un seuil technique, c’est un seuil commercial : en dessous d’un certain nombre d’utilisateurs, le revenu par client ne justifie pas le coût d’acquisition et l’accompagnement structuré. C’est une logique économique compréhensible pour une startup financée par du capital-risque, mais elle exclut de fait la majorité des PME françaises.
En France, 97 % des entreprises comptent moins de 50 salariés, et les PME de 50 à 250 collaborateurs représentent le tissu économique de plus en plus ciblé par les cyberattaques. L’ANSSI constate dans son panorama de la cybermenace 2024 que les PME et les collectivités sont devenues des cibles privilégiées, précisément parce qu’elles sont moins bien protégées que les grandes structures. SoSafe ne répond pas à ce segment.
Un déploiement qui passe par un CSM
Le modèle SoSafe repose sur un accompagnement client structuré avec un Customer Success Manager attitré. C’est un avantage pour les grandes entreprises qui déploient un programme de sensibilisation à l’échelle de milliers de collaborateurs. Mais c’est aussi un facteur de lenteur pour les structures plus petites.
Le cycle d’achat inclut une démonstration, une proposition commerciale, une phase de configuration avec le CSM, puis le déploiement progressif des campagnes. Pour un responsable IT de PME qui constate une recrudescence de tentatives de spear phishing et veut réagir rapidement, ce processus de plusieurs semaines est un frein concret.
La gamification : un avantage ou une surcharge ?
La plateforme e-learning de SoSafe est vaste : dizaines de modules, parcours narratifs, badges, classements, quiz interactifs. C’est impressionnant dans une démonstration. Mais pour une PME de 60 personnes, cette richesse peut devenir une charge de gestion.
Qui va sélectionner les bons modules parmi les dizaines disponibles ? Qui va configurer les parcours par département ? Qui va suivre la progression de chaque collaborateur dans les classements ? Dans une entreprise de 2 000 personnes avec un responsable formation à temps plein, ce travail a du sens. Dans une PME où le responsable IT cumule trois fonctions, la gamification peut ressembler à de la complexité inutile.
Ce dont une PME a besoin après une simulation ratée, c’est un module court (3 à 5 minutes), contextualisé, qui s’affiche automatiquement au bon moment. Pas un catalogue de parcours gamifiés à administrer.
Hébergement européen, mais pas français
SoSafe héberge ses données en Europe, principalement en Allemagne. C’est conforme au RGPD et c’est un avantage clair par rapport aux solutions hébergées aux États-Unis. Mais pour les entreprises françaises soumises à des exigences de souveraineté numérique — secteur public, sous-traitants de la défense, secteur de la santé — « Europe » et « France » ne sont pas synonymes.
Pour la plupart des PME, ce n’est pas un problème. Mais pour celles qui travaillent avec des donneurs d’ordre exigeant un hébergement strictement français, c’est un point de vigilance à vérifier avant de s’engager.
Ce que nophi.sh fait différemment
nophi.sh n’est pas un concurrent frontal de SoSafe. Les deux solutions visent des segments de marché différents. nophi.sh est conçu pour un contexte précis : les PME françaises de 50 à 500 collaborateurs qui veulent des simulations de phishing efficaces sans la complexité d’une plateforme enterprise.
Français natif, pas traduit depuis l’allemand
Chaque scénario de simulation est écrit en français, par des francophones, pour des situations françaises. Les faux emails imitent Chronopost, Ameli, la DGFIP, Engie, l’ANTAI, des fournisseurs français réels. Un collaborateur qui reçoit une simulation nophi.sh ne se dit pas « c’est bizarre, je ne connais pas ce service ». Il hésite, exactement comme devant un vrai phishing. C’est cette hésitation qui rend la formation efficace.
Plus de 90 scénarios couvrent les vecteurs d’attaque les plus courants dans le paysage français : email classique, spear phishing ciblé, smishing (SMS), quishing (QR code). Chaque scénario est testé et mesuré en fonction des taux de clic observés sur le marché français.
Des tarifs publics, pas un tunnel de vente
Le tarif est affiché sur le site : 99 euros par mois (jusqu’à 50 utilisateurs), 249 euros par mois (jusqu’à 200 utilisateurs). Pas de devis, pas de négociation. Facturation mensuelle, sans engagement annuel. Pour une PME de 100 collaborateurs, le plan Pro coûte 2 988 euros par an — un chiffre qui peut aller directement dans le tableau comparatif pour votre direction.
Déploiement en 15 minutes, sans intermédiaire
Créez votre compte, importez vos utilisateurs par CSV ou synchronisation annuaire, lancez votre première campagne. L’essai gratuit de 14 jours donne accès au plan Pro complet. Vous testez l’outil avec vos vrais collaborateurs et vos vrais scénarios, pas une démonstration guidée.
Vérification d’email par IA, côté collaborateur
Quand un collaborateur reçoit un email suspect, il le transfère à nophi.sh et obtient un verdict en 30 secondes : légitime ou suspect, avec une explication des signaux détectés. Ce n’est pas un outil de triage pour les équipes SOC. C’est un outil qui donne à chaque collaborateur un réflexe de vérification autonome. SoSafe propose Phish Assist (bouton de signalement qui alerte l’administrateur) ; nophi.sh donne une réponse immédiate au collaborateur lui-même. Testez le principe avec notre outil de test de sécurité email.
Micro-learning contextuel au lieu de parcours gamifiés
Quand un collaborateur clique sur un lien de phishing simulé, il est immédiatement redirigé vers un module de micro-learning de 3 à 5 minutes. Ce module est adapté au type de piège : spear phishing ciblé, fraude au RIB (BEC), faux site de connexion (credential stuffing), smishing. Pas une formation générique, pas un catalogue de cours gamifiés à administrer. Une correction immédiate, ciblée, au moment précis où l’erreur s’est produite.
L’approche de SoSafe (parcours gamifiés avec badges et classements) a du mérite pour les grandes organisations. Celle de nophi.sh (micro-learning au moment de l’échec) est pensée pour les PME où le temps de formation disponible est limité et où chaque minute compte.
Données hébergées en France, à 100 %
Toutes les données sont stockées sur des infrastructures françaises, en France. Pas en Allemagne, pas en Irlande. Pour les PME soumises à des contraintes de souveraineté, ou celles qui préfèrent simplement savoir où sont les données de leurs collaborateurs, c’est une certitude que l’hébergement européen de SoSafe ne fournit pas au même degré.
Conformité NIS2 incluse, pas en module séparé
Les rapports de conformité sont inclus dans chaque plan nophi.sh. La directive NIS2 impose des mesures de sensibilisation des collaborateurs. nophi.sh génère automatiquement les preuves requises : historique des campagnes, taux de participation, résultats de formation, progression dans le temps. Un export PDF pour l’audit, et c’est réglé. SoSafe couvre aussi NIS2 (ainsi que ISO 27001 et DORA), mais dans le cadre d’un module de conformité intégré à une offre enterprise dont le prix n’est pas public.
Pour qui choisir SoSafe vs nophi.sh ?
Les deux solutions ne ciblent pas le même segment. Le choix dépend de votre taille, de votre budget, de votre contexte géographique et de vos besoins fonctionnels.
SoSafe est le bon choix si :
- Vous êtes une ETI ou un grand compte (500+ collaborateurs) avec un budget sensibilisation réservé et un responsable formation qui peut exploiter une plateforme riche en fonctionnalités et en données.
- Vous opérez dans plusieurs pays européens et avez besoin d’un programme de sensibilisation multilingue unifié, en 30+ langues, avec un tableau de bord consolidé.
- Les sciences comportementales et la gamification sont des critères de choix et vous voulez une approche de formation qui va au-delà de la simulation, avec des parcours narratifs, des badges et des classements.
- Vous cherchez une plateforme e-learning complète qui combine sensibilisation au phishing, formation à la cybersécurité au sens large, et conformité réglementaire multi-cadres (ISO 27001, NIS2, DORA).
- Vous avez le budget et le temps pour un processus commercial structuré et un déploiement accompagné par un CSM attitré. Votre calendrier n’est pas une urgence de ce mois-ci, mais un projet planifié sur le trimestre.
- Vous êtes déjà client SoSafe et la plateforme fonctionne pour votre organisation. Changer d’outil a un coût. Si les résultats sont là et que le budget est validé, il n’y a pas de raison de migrer.
nophi.sh est le bon choix si :
- Vous êtes une PME française de 50 à 500 collaborateurs et vous cherchez une solution à la taille de votre entreprise, pas une plateforme enterprise redimensionnée.
- Vos collaborateurs sont francophones et vous voulez des scénarios de phishing qui reproduisent leur quotidien professionnel en France, pas des situations européennes génériques traduites depuis l’allemand.
- Vous voulez un tarif clair sans entrer dans un tunnel de vente. Le prix est sur le site, la facturation est mensuelle, l’engagement est flexible.
- Votre équipe IT est réduite et vous avez besoin d’un outil opérationnel en 15 minutes, sans accompagnement obligatoire et sans formation préalable sur la plateforme.
- L’hébergement en France est un prérequis pour votre organisation, par obligation contractuelle, réglementaire ou par choix.
- Vous voulez un outil de vérification d’email par IA qui aide vos collaborateurs à identifier les menaces en temps réel, pas seulement un bouton de signalement.
- Vous voulez commencer maintenant. L’essai gratuit de 14 jours donne accès au plan Pro complet. Pas de démonstration à planifier, pas de devis à attendre. Vous testez, vous mesurez, vous décidez.
Migrer de SoSafe vers nophi.sh
Si votre contrat SoSafe arrive à expiration, ou si vous constatez que la plateforme est surdimensionnée pour votre PME, la transition vers nophi.sh se fait en quelques étapes.
Étape 1 : Exportez votre liste d’utilisateurs. Depuis SoSafe, exportez la liste de vos collaborateurs au format CSV : noms, adresses email, départements, groupes. C’est la seule donnée nécessaire pour démarrer.
Étape 2 : Importez dans nophi.sh. L’import CSV prend quelques minutes. La plateforme crée automatiquement les groupes et les départements. Si vous utilisez Active Directory, Google Workspace ou Azure AD, la synchronisation d’annuaire est également disponible.
Étape 3 : Lancez une campagne de baseline. nophi.sh lance une première campagne de simulation pour établir votre taux de clic de référence. Les données historiques de SoSafe ne sont pas transférables (les formats diffèrent), mais une nouvelle baseline est établie dès la première campagne.
Étape 4 : Activez la formation automatique. Les parcours de micro-learning se déclenchent automatiquement en fonction des résultats de chaque collaborateur. Pas de configuration manuelle des parcours, pas de sélection de modules dans un catalogue. Le programme s’adapte seul au niveau de chaque utilisateur.
Délai total : 15 minutes entre l’import des utilisateurs et le lancement de la première campagne.
Votre contrat SoSafe est encore en cours ? Testez nophi.sh gratuitement pendant 14 jours en parallèle. Les deux outils fonctionnent sans conflit technique. Vous comparez les résultats et préparez la transition pour la date de renouvellement.
Sources : SoSafe — sosafe-awareness.com pour les données produit et le positionnement. Levées de fonds : Crunchbase (73 M€ série B, 2023, total 100 M$+). Avis utilisateurs : G2 — SoSafe (~4,5/5, avril 2026). Statistiques entreprises françaises : INSEE. Statistiques phishing France : baromètre CESIN 2024, ANSSI — Panorama de la cybermenace 2024. Tous les tarifs nophi.sh sont consultables sur la page tarifs.
Questions fréquentes
SoSafe est-il adapté aux PME françaises ?
SoSafe cible les ETI et grandes entreprises. La plateforme est disponible en français, mais elle est conçue pour des organisations de 500+ collaborateurs avec un budget de sensibilisation conséquent et une équipe sécurité en place. Pour une PME de 50 à 200 personnes, le processus commercial (démonstration, devis, onboarding) et les tarifs enterprise ne sont généralement pas adaptés.
Quel est le prix de SoSafe ?
SoSafe ne publie pas de grille tarifaire. Les prix sont communiqués après démonstration et évaluation des besoins. Ce modèle de tarification sur devis est caractéristique des solutions enterprise. nophi.sh affiche ses tarifs : 99 €/mois pour 50 utilisateurs, 249 €/mois pour 200 utilisateurs (2 988 €/an), sans engagement.
SoSafe ou nophi.sh : lequel choisir ?
SoSafe est le bon choix pour une ETI internationale qui opère dans plusieurs pays et langues, dispose d'un budget de sensibilisation supérieur à 10 000 €/an, et recherche une approche gamifiée avec des parcours de formation longs. nophi.sh est le bon choix pour une PME française qui veut des scénarios réalistes en français, un déploiement rapide, et un tarif maîtrisé.
Les données sont-elles hébergées en Europe avec SoSafe ?
Oui. SoSafe est une entreprise allemande qui héberge les données en Europe (Allemagne), conforme au RGPD. Les données ne sont pas hébergées en France, contrairement à nophi.sh. Pour les entreprises avec des exigences de souveraineté française (secteur public, défense), c'est une distinction à prendre en compte.
SoSafe propose-t-il du contenu en français ?
Oui. SoSafe est disponible en 30+ langues, dont le français. Les modules de formation et les scénarios de phishing sont traduits et localisés. La qualité de la localisation française est bonne pour un éditeur allemand, mais le contenu est d'abord conçu en anglais/allemand puis adapté, pas créé nativement en français.