GoPhish est l'un des outils de simulation de phishing les plus utilisés, et pour de bonnes raisons. À grande échelle, son modèle auto-hébergé reporte pourtant le coût réel sur vos équipes : infrastructure d'attaque, conception des scénarios et reporting. Ce guide compare les alternatives open source et les solutions gérées, avec les cas d'usage de chacune.
Points clés
- GoPhish est gratuit et performant, mais vous construisez et maintenez vous-même l'infrastructure d'attaque, y compris les redirecteurs qui résistent à Google Safe Browsing.
- Social Engineering Toolkit (SET) reste l'alternative open source maintenue. King Phisher n'est plus maintenu et ne doit pas être déployé en production.
- GoPhish simule uniquement l'email. Les attaques par voix et par deepfake, parmi les techniques d'intrusion les plus efficaces aujourd'hui, restent sans test.
- Une plateforme gérée remplace la licence gratuite par un abonnement, mais supprime le travail d'infrastructure et apporte des scénarios prêts à l'emploi et un reporting dans la durée.
Les outils de simulation de phishing sont devenus un élément clé de la formation en cybersécurité. En reproduisant des attaques de phishing réalistes, ces outils permettent d'évaluer les vulnérabilités humaines dans les environnements numériques et de renforcer les défenses des organisations.
L'un des outils de simulation de phishing les plus utilisés est GoPhish. Cependant, à mesure que les menaces évoluent, les outils que nous utilisons doivent également s'adapter. Pour les experts en cybersécurité et les entreprises réalisant des simulations de phishing à grande échelle, il est essentiel d'explorer des alternatives offrant plus de flexibilité, d'automatisation et d’évolutivité.
Cet article examine plusieurs alternatives notables à GoPhish afin d’aider les organisations à choisir la solution la plus adaptée à leurs besoins en matière de test de sécurité.
L'importance des simulations de phishing
À une époque où la technologie est au cœur des entreprises, l'erreur humaine reste le maillon faible en matière de cybersécurité.
Les simulations de phishing jouent un rôle crucial en :
- Sensibilisant les utilisateurs : elles apprennent aux employés à identifier et à réagir aux tentatives de phishing.
- Révélant les failles de sécurité : elles permettent de repérer les vulnérabilités techniques et humaines.
- Assurant la conformité : elles aident les organisations à se conformer aux réglementations tout en améliorant continuellement leur résilience face aux cyberattaques.
Pour rester efficaces, ces tests doivent être réalisés régulièrement et adaptés aux nouvelles menaces.
Les limites de GoPhish
Bien que GoPhish ait établi une référence en matière de simulation de phishing, il présente certaines limitations, notamment pour les grandes entreprises et les agences de cybersécurité.
💡 Pour être clair, nous apprécions GoPhish et l'avons utilisé de manière intensive. Cependant, après avoir mené de nombreuses simulations de phishing, nous avons rencontré certaines difficultés qui nous ont poussés à chercher des alternatives.
Gestion de l'infrastructure : une tâche chronophage
GoPhish est une excellente plateforme de phishing, mais elle ne prend pas en charge l’infrastructure d’attaque nécessaire à la gestion et à l’exécution des simulations.
Elle inclut un petit serveur web et des connecteurs SMTP pour exécuter des campagnes, mais à grande échelle, des étapes supplémentaires sont requises :
- Pour éviter les alertes de Google Safe Browsing, il est nécessaire de mettre en place des redirections avant d’envoyer le trafic vers GoPhish.
- Si votre domaine ou votre infrastructure est signalé comme phishing, vous devrez tout reconstruire ou attendre une validation manuelle.
💡 Pour les experts cyber menant des campagnes de grande envergure, ces étapes supplémentaires sont longues et coûteuses en ressources.
Absence de scénarios de phishing préconfigurés
Contrairement à certains outils commerciaux, GoPhish ne propose pas de modèles de phishing prêts à l'emploi.
Bien que quelques modèles open source soient disponibles sur GitHub, ils nécessitent souvent une personnalisation importante. De plus, comme l’infrastructure n’est pas gérée automatiquement, chaque campagne doit être configurée manuellement.
Si vous souhaitez utiliser plusieurs noms de domaine pour vos tests, vous devrez créer des campagnes distinctes avec des profils d’expéditeur différents, ce qui complexifie la gestion.
Manque de reporting et de suivi des performances
Les entreprises qui effectuent des simulations de phishing répétées doivent suivre l’évolution des comportements au fil du temps.
Cependant, GoPhish ne propose pas de fonctionnalités de reporting intégrées :
- Il est nécessaire de stocker, organiser et analyser les données manuellement.
- Maintenir un historique complet des tests devient une tâche administrative lourde et fastidieuse.
Encore une fois, cela représente une perte de temps précieuse pour les équipes de cybersécurité.
Aucune couverture au-delà de l'email
La limite qui compte le plus en 2026 tient au périmètre plus qu'à la technique. GoPhish simule l'email. Il ne passe pas d'appels vocaux et ne lance pas d'appel vidéo deepfake.
Or l'écart se situe précisément là où se concentrent les attaques. Google attribue 23 % des compromissions cloud à des appels de vishing, CrowdStrike mesure une hausse de 134 % des intrusions par vishing entre 2024 et 2025, et Microsoft place les leurres ClickFix en tête des techniques d'accès initial à 47 %, devant le phishing à 35 %. Un programme de simulation limité à l'email laisse chacune de ces techniques sans test.
En savoir plus sur le vishing →
Alternatives open source à GoPhish
Pour ceux qui recherchent une alternative à GoPhish, plusieurs outils puissants existent, chacun ayant ses propres forces et cas d'utilisation.
Social Engineering Toolkit (SET)
Contexte : SET, faisant partie de la suite TrustedSec, se distingue comme un outil multifonctionnel conçu pour des tests de pénétration avancés.
Fonctionnalités : Sa technologie unique Attack Vector aide à concevoir des e-mails de phishing crédibles et des serveurs malveillants.
Pour et Contre : SET se vante d'une gamme de fonctionnalités avancées, mais peut présenter une courbe d'apprentissage plus abrupte pour les débutants.
Recommandations : Idéal pour les experts désireux de personnaliser leurs attaques.
King Phisher
⚠️ Le projet King Phisher n'est plus maintenu.
Contexte : Cet outil offre une plateforme pour créer, gérer et lancer des campagnes de phishing avancées.
Fonctionnalités : La surveillance des campagnes en temps réel, les configurations adaptables du serveur web et l'authentification à deux facteurs sont notables.
Pour et Contre : King Phisher offre une granularité dans les campagnes, mais pourrait submerger ceux qui recherchent des solutions plus simples.
Recommandations : Adapté aux organisations de moyenne à grande échelle avec un accent sur le suivi détaillé. Le projet n'étant plus maintenu, considérez-le comme une référence plutôt que comme un candidat au déploiement.
Comparatif : que proposent réellement ces options ?
| Critère | GoPhish | SET / King Phisher | Arsen |
|---|---|---|---|
| Licence et coût | Gratuit, auto-hébergé | Gratuit, auto-hébergé | Commercial, estimation lors d'une démo |
| Infrastructure d'attaque | À construire et à maintenir | À construire et à maintenir | Gérée, domaines et redirecteurs compris |
| Résistance à Google Safe Browsing | Redirecteurs à configurer manuellement | Redirecteurs à configurer manuellement | Prise en charge par la plateforme |
| Scénarios prêts à l'emploi | Aucun fourni | Aucun fourni | Bibliothèque et construction de campagne clé en main |
| Canaux couverts | Email, un peu de web | Email, voix, QR code, appel vidéo deepfake | |
| Reporting longitudinal | Agrégation manuelle | Agrégation manuelle | Intégré, export prêt pour l'audit |
| Public visé | Équipes techniques qui testent ponctuellement | Red teams et pentesters | Équipes sécurité qui mènent un programme continu |
Voir le comparatif complet Arsen vs GoPhish →
Quels critères retenir pour choisir une alternative à GoPhish ?
La plupart des évaluations se trompent en comparant des listes de fonctionnalités. La bonne question est plutôt : que fera encore votre équipe à la main dans douze mois ? Quatre critères permettent de départager les options :
- Qui gère l'infrastructure. Les outils auto-hébergés sont gratuits à l'achat et coûteux à exploiter. Chiffrez les heures d'ingénierie consacrées aux domaines, aux redirecteurs et aux blocages Safe Browsing avant de comparer les prix affichés.
- Quels canaux vous pouvez tester. Si votre programme ne peut ni passer d'appel vocal ni lancer d'appel vidéo deepfake, il ne couvre pas les techniques actuellement employées contre les help desks et les équipes financières.
- Si les résultats s'accumulent. La conformité et le reporting au comité de direction demandent des tendances sur plusieurs campagnes, pas un tableur par campagne.
- Qui construit la campagne. La vraie contrainte d'un programme n'est pas l'outil, mais le temps nécessaire pour concevoir les scénarios. Un modèle clé en main supprime cette charge : Arsen conçoit et pilote le calendrier, votre équipe valide.
Arsen : une alternative évolutive
Face aux défis des simulations de phishing à grande échelle, nous avons développé Arsen : une plateforme optimisée pour l'efficacité, l'automatisation et la facilité d'utilisation.
En faisant des simulations de phishing à grande échelle, nous avions besoin d'accélérer la gestion de l'infrastructure, la création de campagnes et les rapports pour être en mesure de fournir des évaluations des risques et des formations de haute qualité pour nos clients.
Nous avons construit une plateforme qui vous permet de :
- Réduire le temps de gestion de l'infrastructure
- Simplifier la création de campagnes
- Automatiser les rapports et l’analyse des résultats
- Étendre les tests au-delà de l'email : voix, QR code et appels vidéo deepfake sur Microsoft Teams, Zoom et Google Meet
Comment choisir le bon outil de simulation ?
SET et King Phisher sont gratuits et, à condition d'avoir le temps et les compétences, sont de très bonnes alternatives à GoPhish.
Si vous cherchez à réaliser des campagnes de phishing à grande échelle, que ce soit pour une grande entreprise ou plusieurs plus petites, nous serions ravis de vous présenter notre plateforme.
Conclusion
Si GoPhish reste une référence, l'évolution des cybermenaces impose des solutions plus flexibles et évolutives.
Que vous optiez pour un outil open source comme SET, une solution avancée comme King Phisher, ou une plateforme clé en main comme Arsen, l’important est d’intégrer formation continue, automatisation et adaptation dans votre stratégie de cybersécurité.
Ressources supplémentaires
Questions fréquentes
-
Oui. Social Engineering Toolkit est maintenu et gratuit. King Phisher est gratuit lui aussi, mais n'est plus maintenu : il ne doit pas être déployé en production. Les deux sont auto-hébergés, donc la licence ne coûte rien, mais le travail d'infrastructure vous revient.
-
Pour trois raisons en pratique : maintenir une infrastructure d'attaque qui résiste à Google Safe Browsing, l'absence de scénarios prêts à l'emploi et le manque de reporting dans la durée pour la conformité. Aucune n'est un défaut de GoPhish. Ce sont les coûts de l'auto-hébergement.
-
Non. GoPhish simule uniquement l'email. Le vishing, les leurres par QR code et les appels vidéo deepfake demandent une plateforme conçue pour ces canaux. Google attribuant 23 % des compromissions cloud à des appels de vishing, c'est l'écart le plus large d'un programme limité à l'email.
-
Le tarif est établi par collaborateur et évolue avec les effectifs. Demandez une démo pour obtenir une estimation adaptée à votre organisation. Face à un outil gratuit auto-hébergé, comptez aussi le temps d'ingénierie consacré à l'infrastructure, à la conception des scénarios et au reporting.
Arrêtez de maintenir votre infrastructure de phishing
Gardez le contrôle qu'offre GoPhish sans les domaines, les redirecteurs et les réinscriptions après un blocage Safe Browsing. Arsen construit la campagne, gère le calendrier et produit le reporting. Vous validez et vous lancez. Découvrez la simulation de phishing ou le comparatif Arsen vs GoPhish.
