Skip to content
Retour aux guides
Guide

Cahier des charges solution anti-phishing : critères et grille

Modèle de cahier des charges pour choisir une solution de sensibilisation au phishing : 10 critères pondérés, grille de notation, questions de démo et signaux d'alerte.

Thomas Ferreira 13 min de lecture

Un responsable informatique de PME reçoit trois démonstrations en deux semaines. Chaque éditeur montre des diapositives soignées et de grands clients. Aucune démonstration n’a couvert les mêmes points, les prix sont formulés différemment, et personne n’a parlé de l’hébergement des données ni des scénarios en français. Il choisit la solution la plus connue. Six mois plus tard, ses collaborateurs reçoivent des simulations traduites de l’anglais qui les font sourire, et les rapports ne contiennent pas ce que demande son auditeur.

Un cahier des charges écrit avant le premier rendez-vous évite ce scénario. Ce guide en donne la structure : vos contraintes, 10 critères, une grille de notation pondérée, les questions à poser en démonstration et les signaux qui doivent vous faire reculer.

Pourquoi formaliser la sélection

Pour comparer sur les mêmes bases. Sans critères définis à l’avance, chaque éditeur est jugé sur ce qu’il a choisi de montrer : l’interface pour l’un, la taille de la bibliothèque pour l’autre. La grille vous fait poser les mêmes questions à tous.

Pour résister au discours commercial. Les démonstrations mettent en avant les points forts et passent vite sur le reste, et les offres « valables cette semaine » poussent à décider trop tôt. Des critères écrits à froid fixent le cadre.

Pour justifier et protéger la décision. La direction, le DAF ou l’auditeur peuvent demander pourquoi vous avez retenu un éditeur. Une grille documentée répond. Transmis à l’éditeur avant la signature, le cahier des charges devient aussi une pièce du dossier : si le produit livré diffère de ce qui a été évalué, vous avez une base pour demander des corrections.

Pour produire des preuves. La directive NIS2 demande aux entités concernées des pratiques de cyberhygiène et la formation à la cybersécurité (article 21), et la formation des dirigeants (article 20). Le dossier de sélection fait partie de ce que vous pourrez montrer.

Vos contraintes non négociables

Avant les critères, écrivez ce qui élimine d’office une solution :

  • le lieu d’hébergement des données exigé par votre politique, vos clients ou votre secteur ;
  • la langue de vos collaborateurs, et la part de contenus qui doit être écrite pour le contexte français ;
  • votre messagerie : Microsoft 365 ou Google Workspace, et la façon dont l’outil s’y intègre ;
  • votre budget annuel et la durée d’engagement que vous acceptez ;
  • le temps que votre équipe informatique peut consacrer à l’outil chaque mois.

Les 10 critères à évaluer

Pour chaque critère : ce qu’il faut vérifier et ce qui doit vous alerter.

Critère 1 : la bibliothèque de scénarios

La variété des scénarios détermine la qualité de vos campagnes sur douze mois. Une bibliothèque trop petite oblige à répéter les mêmes modèles, que les collaborateurs finissent par reconnaître.

À vérifier : le nombre de scénarios réellement disponibles dans votre langue, les niveaux de difficulté, la possibilité d’écrire vos propres modèles (fournisseur réel, outil interne, direction) et les canaux couverts (email, SMS, QR code, appel).

Alerte : une bibliothèque montrée par extraits choisis, sans accès à la liste complète.

Critère 2 : le contexte français

C’est l’un des critères qui séparent le plus les éditeurs. Un scénario traduit de l’anglais imite des services et des usages que vos collaborateurs ne connaissent pas, et se repère trop facilement.

À vérifier : combien de scénarios sont écrits pour la France ; s’ils imitent les fraudes qui visent les entreprises françaises (faux avis des impôts, faux colis d’un transporteur français, changement de RIB fournisseur, fraude au président) ; s’ils respectent les codes d’un email professionnel français.

Alerte : l’éditeur ne peut pas montrer d’exemple français rédigé naturellement.

Critère 3 : la formation après un clic

Une simulation sans formation est un diagnostic sans suite. Le moment le plus utile est celui où le collaborateur vient de se faire piéger.

À vérifier : la formation est-elle assignée automatiquement après un clic ou une saisie d’identifiants ? Son contenu dépend-il du scénario ? Y a-t-il des relances, puis une alerte au manager ? Les modules durent-ils quelques minutes ou une demi-heure ? Peut-on ajouter vos propres contenus ?

Alerte : une page générique identique quel que soit le piège, ou des modules si longs que personne ne les termine.

Critère 4 : le signalement et l’analyse des emails suspects

Vos collaborateurs reçoivent aussi de vrais emails douteux, et ne savent pas toujours à qui les montrer. Certaines plateformes analysent les emails qu’ils transfèrent et leur répondent. Cette analyse complète le filtre de messagerie : elle aide la personne à décider et prévient l’équipe sécurité.

À vérifier : comment le collaborateur signale un email (bouton de la messagerie, transfert à une adresse) ; s’il reçoit une réponse, et en combien de temps ; qui est alerté quand l’email est malveillant ; si les signalements apparaissent dans les rapports.

Alerte : un bouton de signalement qui dépose les emails dans une boîte que personne ne lit.

Critère 5 : le reporting et les preuves d’audit

Les rapports sont ce que vous montrerez à la direction et à l’auditeur.

À vérifier : les indicateurs disponibles (taux de clic, taux de signalement, saisies d’identifiants, formations terminées, évolution dans le temps) ; le suivi par personne et par département ; la liste des récidivistes et des collaborateurs jamais testés ; l’export d’un rapport PDF complet et des données en CSV ; ce que ce rapport permet de prouver pour NIS2, ISO 27001 (mesure A.6.3) ou DORA, et ce qu’il ne prouve pas.

Alerte : des rapports qu’il faut reconstruire à la main à chaque campagne.

Critère 6 : le déploiement et l’administration

Le temps d’administration est un coût réel, surtout dans une PME où l’informatique gère aussi le réseau et le support.

À vérifier : le délai entre la signature et la première campagne ; la documentation pour mettre l’outil en liste blanche dans votre messagerie ; la synchronisation des utilisateurs ; la possibilité de laisser les campagnes tourner seules ; le temps mensuel nécessaire une fois le programme lancé.

Alerte : une intervention de l’éditeur nécessaire pour chaque campagne.

Critère 7 : les intégrations

À vérifier : la synchronisation avec votre annuaire (Microsoft Entra ID, Google Workspace, Active Directory), la connexion unique (SSO), le provisionnement automatique (SCIM) et une API si vous voulez alimenter d’autres outils.

Alerte : des intégrations annoncées en démonstration mais facturées en option ou réservées à l’offre la plus chère.

Critère 8 : l’hébergement et les sous-traitants

Les données de simulation sont des données personnelles : noms, adresses, clics, formations suivies.

À vérifier : le pays de stockage, la liste des sous-traitants et leur localisation, les éventuels traitements hors de l’Union européenne, le DPA (article 28 du RGPD), la durée de conservation après la fin du contrat.

Alerte : un éditeur qui ne fournit ni DPA ni liste de sous-traitants avant la signature.

Critère 9 : le prix et l’engagement

Le coût total dépasse souvent le prix affiché : options, modules de formation supplémentaires, support prioritaire, utilisateurs au-delà d’un palier.

À vérifier : le modèle (prix par utilisateur ou forfait par palier), la liste écrite de ce qui est inclus, la durée d’engagement minimale, les conditions de renouvellement et le prix la deuxième année.

Alerte : un prix communiqué seulement après un rendez-vous, ou un engagement de trois ans imposé dès le premier contrat.

Critère 10 : le support

À vérifier : la langue du support, les canaux (email, chat, téléphone), les délais de réponse prévus au contrat, la documentation en libre accès.

Alerte : un support uniquement en anglais avec des délais de plusieurs jours, pour une équipe qui démarre sans spécialiste sécurité.

Grille de notation pondérée

Notez chaque critère de 1 (inacceptable) à 5 (excellent), multipliez par le coefficient, puis additionnez. Ajustez les coefficients à votre contexte : une entité soumise à NIS2 augmentera ceux des critères 5 et 8, une PME sans équipe informatique celui du critère 6.

CritèreCoefficientSolution ASolution BSolution C
1. Bibliothèque de scénarios×2/5/5/5
2. Contexte français×4/5/5/5
3. Formation après un clic×3/5/5/5
4. Signalement et analyse des emails suspects×2/5/5/5
5. Reporting et preuves d’audit×3/5/5/5
6. Déploiement et administration×3/5/5/5
7. Intégrations×2/5/5/5
8. Hébergement et sous-traitants×3/5/5/5
9. Prix et engagement×3/5/5/5
10. Support×2/5/5/5
Totalsur 135

Lecture du score :

  • 115 à 135 : solution très bien adaptée à votre contexte ;
  • 85 à 114 : solution correcte, avec des points à négocier dans le contrat ;
  • 55 à 84 : solution partielle, qui demande des compromis importants ;
  • moins de 55 : solution à écarter.

Questions à poser en démonstration

Envoyez-les par écrit une semaine avant. Les réponses écrites se comparent facilement.

Sur le produit :

  • Montrez-moi la bibliothèque complète : combien de scénarios sont écrits pour la France ?
  • Que voit exactement un collaborateur qui clique ? Et celui qui saisit ses identifiants ?
  • Combien de temps faut-il, chez nous, pour lancer la première campagne ?
  • Comment un collaborateur signale-t-il un email douteux, et que reçoit-il en retour ?
  • Pouvez-vous exporter devant moi un rapport complet en PDF ?

Sur les données et la conformité :

  • Où sont stockées les données, et quels sous-traitants y accèdent ?
  • Fournissez-vous un DPA conforme à l’article 28 du RGPD ?
  • Que me permet de prouver votre rapport pour NIS2 ou ISO 27001, et que ne prouve-t-il pas ?

Sur le contrat :

  • Qu’est-ce qui n’est pas inclus dans le prix proposé ?
  • Quelle est la durée d’engagement minimale, et quelles sont les conditions de résiliation ?
  • Comment récupère-t-on nos données à la fin du contrat, et quand sont-elles supprimées ?

Signaux d’alerte

Ces situations doivent vous rendre prudent, quel que soit le score final.

  • Un engagement de trois ans exigé dès le premier contrat, avant que vous ayez pu juger le produit.
  • Un prix communiqué seulement après un rendez-vous commercial : deux clients comparables peuvent payer des prix très différents.
  • Une bibliothèque sans contenu écrit en français, quelle que soit sa taille.
  • Ni DPA, ni liste de sous-traitants, ni lieu d’hébergement précis.
  • Une démonstration uniquement sur diapositives, sans accès à la plateforme.
  • Aucun moyen simple de signaler un email suspect : sans signalement, vous ne mesurerez pas l’un des indicateurs de maturité les plus utiles.

Où trouver vos candidats

Pour constituer la liste à évaluer, partez de notre sélection des 10 meilleurs logiciels de simulation de phishing, classée par profil d’entreprise, puis du tableau de 16 autres solutions avec leurs prix, leur hébergement et leurs langues. Chaque éditeur principal a son comparatif détaillé sur la page des comparatifs.

Comment nophi.sh se positionne sur ces critères

Nous éditons nophi.sh. Voici notre propre notation, avec les points où d’autres solutions font mieux.

CritèreNoteCommentaire
1. Bibliothèque3/580 scénarios prêts à l’emploi en français et en anglais, 16 catégories, trois niveaux de difficulté, et vos propres modèles. Moins de volume que les grands éditeurs américains, et l’email seulement : ni SMS, ni QR code, ni appel.
2. Contexte français4/5Scénarios écrits pour les fraudes françaises : impôts et administrations, livraison, changement de RIB fournisseur, fraude au président.
3. Formation après un clic4/5Débrief de 3 minutes, module court assigné automatiquement, relances à J3 et J6, puis alerte au manager. Un cours intégré en français et en anglais (5 leçons, quiz de 10 questions), un outil pour créer vos cours et 40 articles de base de connaissances. Catalogue plus restreint que celui des plateformes généralistes.
4. Signalement et analyse5/5Le collaborateur transfère l’email, ou utilise le bouton Signaler de Microsoft 365 configuré vers nophi.sh, et reçoit un verdict motivé par IA, en général en une à deux minutes ; les contacts sécurité sont alertés. nophi.sh vient en complément de votre filtre de messagerie.
5. Reporting et preuves4/5Score de posture, risque par personne, comparaison par département et par équipe de manager, récidivistes, collaborateurs jamais testés, formations en retard. Rapport d’audit PDF et export CSV, utilisables comme preuve pour vos audits NIS2, ISO 27001 (A.6.3) ou DORA, sans correspondance article par article.
6. Déploiement5/5Environ 15 minutes de configuration, hors liste blanche chez votre messagerie, et une première campagne le jour même. Le pilote automatique relance les tests à 7, 14 ou 30 jours selon le risque de chaque personne.
7. Intégrations2/5Synchronisation Microsoft 365 (Entra ID) ou import CSV. Ni synchronisation Google Workspace, ni Active Directory local, ni SCIM. SSO avec votre fournisseur d’identité sur demande, dans l’offre Enterprise.
8. Hébergement5/5Données hébergées en France par Nextmap, opérateur français. Après résiliation, données conservées 30 jours puis supprimées.
9. Prix et engagement5/5Tarifs publics : 99 € HT par mois jusqu’à 50 utilisateurs, 249 € HT jusqu’à 200, en mensuel sans engagement. Essai de 14 jours sur le produit complet, sans carte bancaire.
10. Support3/5Support en français par email ; les questions techniques vont à Thomas, notre ingénieur cyber. Engagement de niveau de service sur demande, dans l’offre Enterprise.

Avant de choisir, vous pouvez tester la configuration email de votre domaine (SPF, DKIM, DMARC) pour connaître votre point de départ.

Par où commencer cette semaine

Si le temps manque, gardez quatre critères : le contexte français, parce qu’une simulation qui ne ressemble à rien de connu n’entraîne à rien ; la formation après un clic, parce que c’est elle qui fait baisser le taux de clic ; le reporting, parce que c’est ce que liront la direction et l’auditeur ; le prix sur la durée, parce que le renouvellement coûte parfois plus que la première année.

Concrètement : retenez trois solutions, demandez à chacune un rapport PDF réel et un devis annuel complet, puis remplissez la grille après chaque démonstration. Fiez-vous à ce que vous voyez pendant l’essai, pas aux pages marketing ni aux classements, le nôtre compris.

Questions fréquentes

Faut-il passer par un appel d’offres formel pour choisir une solution anti-phishing ?

Pour les acheteurs publics soumis au code de la commande publique, oui dès que les seuils sont atteints. Pour une PME privée, aucune obligation, mais un processus écrit reste utile à tout budget : il protège contre une décision prise sous influence commerciale et documente le choix pour la direction ou l’auditeur.

Quelle durée d’engagement accepter ?

Les offres vont de l’abonnement mensuel sans engagement à des contrats de 3 ans, comme ceux sur lesquels KnowBe4 base ses prix publics. Pour un premier programme, privilégiez un engagement court : la solution qui convient aujourd’hui ne sera peut-être pas la bonne dans trois ans, et vous gardez de quoi négocier au renouvellement.

Comment juger la qualité des scénarios avant de signer ?

Demandez la bibliothèque complète, pas un extrait choisi. Comptez les scénarios écrits pour la France (impôts, transporteurs, changement de RIB fournisseur, fraude au président) et pas seulement traduits. Envoyez-en quelques-uns à une équipe pilote pendant l’essai : leur réaction vaut toutes les fiches produit.

Le lieu d’hébergement des données compte-t-il pour une PME ?

Oui. Une plateforme de simulation traite des noms, des adresses email et des comportements de vos collaborateurs : ce sont des données personnelles. Le RGPD encadre leurs transferts hors de l’Union européenne, et vos clients ou votre secteur peuvent exiger un hébergement en France ou dans l’UE. Demandez le lieu de stockage, la liste des sous-traitants et le DPA.

Peut-on tester la plateforme avant de signer ?

Oui, et c’est recommandé. Insistez pour un essai ou une démonstration sur la vraie plateforme : création d’un scénario, envoi d’une campagne de test, consultation d’un rapport. Un éditeur qui refuse tout accès avant la signature envoie un signal sur son produit ou sa transparence.

Comment justifier le choix devant la direction ?

Avec la grille de notation pondérée : des critères définis avant les démonstrations, des notes attribuées de la même façon pour chaque éditeur et un résultat chiffré. Une page avec la grille complète, le coût annuel de chaque finaliste et une courte note de synthèse suffit à la plupart des directions de PME.

Simulation de phishing ou solution anti-phishing complète : quelle différence ?

La simulation envoie de faux emails pour mesurer la réaction des collaborateurs et déclencher des formations : c’est un outil de sensibilisation. Une solution anti-phishing complète ajoute la protection technique, comme le filtrage des emails entrants. Ce guide porte sur la sensibilisation ; si votre périmètre inclut le filtrage, ajoutez des critères sur l’intégration avec votre passerelle de messagerie.

Reprenez la grille et les questions de ce guide dans votre propre document. Pour tester nophi.sh sur ces critères, l’essai gratuit de 14 jours donne accès au produit complet, sans carte bancaire et sans prélèvement automatique à la fin.

Sources