Simulation de phishing gratuite : quelles options en 2026 ?

Tester gratuitement la vigilance de vos équipes face au phishing est possible : logiciel libre à installer soi-même, tests gratuits ponctuels, essais d'éditeurs, offres gratuites pour les petites équipes et ressources publiques. Chaque option a ses limites, de l'infrastructure à monter au nombre d'utilisateurs couverts. Voici ce qui existe au 3 novembre 2026.

L'essentiel en un tableau

GoPhish : gratuit, mais à construire soi-même

GoPhish est un logiciel libre de simulation de phishing. Publié sous licence MIT, il se télécharge pour Windows, macOS ou Linux, ou s'installe avec Docker. Une fois lancé, il ouvre une console d'administration et un serveur qui affiche les pages de simulation.

Tout le reste est à votre charge :

• un serveur joignable par vos collaborateurs, et sa sécurité ;
• un relais d'envoi d'e-mails (SMTP), à déclarer dans un profil d'envoi ;
• des noms de domaine crédibles et leur configuration, pour que les e-mails arrivent en boîte de réception ;
• les modèles d'e-mails, les pages de destination et les listes de destinataires, que la documentation ne fournit pas prêts à l'emploi ;
• la sensibilisation après le clic : à vous de créer la page pédagogique et le suivi.

Deux points de vigilance. La dernière version publiée, la 0.12.1, date du 14 septembre 2022, et le dépôt officiel n'a plus été modifié depuis septembre 2024. Et si l'option de capture des mots de passe est activée, ceux que saisissent les collaborateurs sont enregistrés en clair : des données sensibles à protéger.

GoPhish convient donc aux équipes techniques qui ont du temps à y consacrer. Le logiciel est gratuit, mais le temps passé, les domaines et le serveur ont un coût.

Les tests gratuits ponctuels

KnowBe4 propose un Attack Simulation Test gratuit : jusqu'à 100 utilisateurs, une simulation par e-mail, par réponse à un message, via les réseaux sociaux ou par QR code (un seul vecteur par test), dans plus de 20 langues. Un rapport PDF arrive 24 heures après le lancement, avec le pourcentage d'utilisateurs piégeables et une comparaison sectorielle. La liste de ceux qui ont cliqué n'y figure pas : il faut la demander à un commercial ou à un revendeur.

Mantra, désormais intégrée au groupe LibraCyber, propose une campagne de simulation gratuite, sur demande et après un appel de configuration ; le nombre d'utilisateurs et la durée ne sont pas précisés.

Ces tests donnent une photographie à un instant donné. Ils sont utiles pour convaincre une direction, moins pour faire progresser les équipes, qui ont besoin d'exercices réguliers.

Si vous avez Microsoft 365

Attack Simulation Training, l'outil de simulation de Microsoft, demande une licence Microsoft 365 E5 ou Defender for Office 365 Plan 2. Deux portes d'entrée gratuites existent toutefois :

• les clients E3 ont accès à un sous-ensemble en essai : une charge utile de collecte d'identifiants et deux formations au choix, sans aucune autre fonctionnalité ;
• un essai de 90 jours de Defender for Office 365 Plan 2, qui inclut l'outil complet, est ouvert notamment aux organisations Microsoft 365 E3, deux fois au maximum, avec 30 jours d'attente entre deux essais.

Le détail des licences et des prix est dans notre comparatif LePhish ou Microsoft Attack Simulation Training.

Les offres gratuites et les essais des éditeurs

• LePhish est gratuit jusqu'à 10 utilisateurs, sans limite de durée. Au-delà, l'essai de 30 jours inclut toutes les fonctionnalités, sans engagement ni carte bancaire.
• nophi.sh propose 14 jours d'essai sans carte bancaire.
• Phosforea propose 15 jours d'essai.
• Riot permet de démarrer gratuitement, sans carte bancaire ; la durée n'est pas précisée.
• SoSafe propose une démonstration. Arsen n'offre pas d'essai de sa plateforme, mais met en ligne des outils gratuits, dont un test de phishing par QR code.

Les ressources publiques gratuites

• Le kit de sensibilisation de Cybermalveillance.gouv.fr : fiches pratiques, mémos, affiche, bande dessinée, vidéos et quiz sur neuf thèmes, sous licence ouverte Etalab 2.0. Vous pouvez y ajouter votre logo, en citant la source.
• SensCyber, du même dispositif public : un programme de sensibilisation en ligne entièrement gratuit, en trois modules de 25 à 45 minutes, avec une attestation de suivi, ouvert aux salariés de TPE et de PME, aux agents publics et aux particuliers.
• Le MOOC SecNumacadémie de l'ANSSI est fermé pour refonte depuis février 2026 ; ses contenus restent disponibles sur demande pour les organisations équipées d'une plateforme de formation.
• Des quiz en ligne, comme le quiz de Google sur l'hameçonnage ou notre quiz Phishing ou légitime, permettent à chacun de tester ses réflexes sur des exemples.

Ces ressources sensibilisent, mais elles ne mesurent pas la réaction des collaborateurs face à un vrai message dans leur boîte de réception.

Gratuit ou payant : ce qui change

Une simulation isolée donne un chiffre. Ce qui fait baisser le risque, c'est la répétition : des scénarios variés tout au long de l'année, une explication au moment du clic, des rapports par équipe pour suivre les progrès et les présenter lors d'un audit ISO 27001 ou NIS2. Les options gratuites couvrent rarement tout cela, et le temps passé à les faire fonctionner a lui aussi un coût.

Gratuit ou payant, les règles sont les mêmes : informer les collaborateurs, protéger les données collectées, vérifier si le CSE doit être consulté. Notre guide Simulation de phishing : RGPD, CSE et information détaille ces points.

Chez LePhish, une équipe de 50 personnes coûte 300 € HT par an, sans engagement, et une équipe de 10 personnes ou moins ne paie rien. Pour comparer avec les autres solutions, voir notre guide Combien coûte une simulation de phishing en 2026 ?