Alternative à Qualys : quel scanner choisir, et comment changer sans trou dans ta couverture

Pourquoi partir sur Tenable. C'est le rival historique de Qualys, avec la même ambition : scanner le réseau, les postes, le cloud et les applis web depuis une seule plateforme. La différence qui compte pour toi : Tenable Vulnerability Management s'achète en ligne, à 3 500 $ par an pour 100 actifs (6 825 $ pour deux ans, 9 975 $ pour trois). Tu connais le prix avant d'appeler un commercial. Son moteur, Nessus, est le scanner que la plupart des administrateurs ont déjà manipulé.

Pour qui. L'équipe qui quitte Qualys pour le prix ou la relation commerciale, mais veut garder une couverture large et des rapports de conformité.

Pour qui ce n'est pas fait. La petite structure sans personne pour lire les résultats : l'outil est puissant, il ne trie pas à ta place.

Sa limite. Le prix public couvre la gestion des vulnérabilités ; les modules voisins (applis web, cloud, exposition) se paient à part, comme chez Qualys. Si tu n'as besoin que d'un scanner à installer, Nessus Professional coûte 4 790 $ par an, avec des analyses illimitées. La version gratuite, Nessus Essentials, s'arrête à 5 adresses IP et interdit tout usage commercial.

Comment basculer. Tenable a ses propres agents : désinstalle l'agent Qualys poste par poste, ou par ton outil de déploiement, et pousse l'agent Tenable dans le même mouvement. Lance d'abord un scan de découverte sur tes plages connues, puis compare le nombre d'actifs trouvés à ton inventaire Qualys : un écart de plus de quelques pour cent signale une plage oubliée.

Pourquoi partir sur Rapid7. InsightVM vise les mêmes organisations que Qualys, avec un argument souvent cité par les équipes : des tableaux de bord vivants, qu'on construit soi-même et qui parlent aux équipes qui corrigent. Rapid7 a regroupé InsightVM dans une offre plus large, Exposure Command, vendue en deux niveaux, Essentials et Ultimate.

Pour qui. L'ETI ou le grand compte qui a une équipe sécurité et veut relier les failles à la détection d'incidents chez le même éditeur (notre classement des SIEM situe cette brique).

Pour qui ce n'est pas fait. Celui qui part de Qualys justement pour avoir un prix public : chez Rapid7, il n'y en a pas non plus.

Sa limite. Le prix dépend des types d'actifs et des usages que tu mets dans le périmètre, et passe par l'équipe commerciale. Tu reproduis donc le même rapport de force qu'avec Qualys au renouvellement. Demande un devis sur trois ans, avec le prix par actif écrit noir sur blanc.

Comment basculer. Rapid7 a son agent et ses moteurs de scan à installer sur ton réseau. Fais tourner les deux outils en parallèle sur un même échantillon de 50 machines pendant un cycle de scan : tu vois tout de suite si les deux trouvent les mêmes failles critiques, et tu as un argument chiffré pour ta direction.

Pourquoi partir sur Defender. Si tes postes ont déjà Defender for Endpoint Plan 2, tu as déjà l'inventaire, l'évaluation des failles, la priorisation par le risque et le suivi des corrections, sans rien installer de plus. L'option Defender Vulnerability Management coûte 2 $ par utilisateur et par mois et ajoute les contrôles de configuration de référence, le blocage des applications vulnérables, l'analyse des extensions de navigateur et des certificats. Un agent de moins sur chaque poste, c'est un vrai gain.

Pour qui. Les entreprises équipées en Microsoft 365, dont l'essentiel du parc est sous Windows et géré par Intune (Defender for Endpoint figure dans notre comparatif des antivirus EDR).

Pour qui ce n'est pas fait. Un parc riche en équipements réseau, imprimantes ou objets connectés : sans agent, l'outil les voit mal. Et l'option n'est pas ouverte aux clients de Defender for Business, l'offre des petites entreprises.

Sa limite. Microsoft a retiré le scan authentifié Windows : tout passe par l'agent. Pour scanner un pare-feu ou un serveur sans agent, il te faut un second outil, par exemple Greenbone en complément. L'essai dure un mois, puis se transforme en abonnement de 12 mois payant : note la date.

Comment basculer. Vérifie d'abord que chaque poste remonte bien dans le portail Defender. Compare cette liste à ton inventaire Qualys : ce qui manque, ce sont les machines sans agent, à couvrir autrement. Désinstalle ensuite l'agent Qualys, par lots.

Pourquoi partir sur Intruder. Qualys suppose quelqu'un pour régler les scans et trier les résultats. Intruder, éditeur britannique, est pensé à l'inverse : tu déclares tes domaines, tes adresses IP et tes comptes cloud, et il lance les analyses seul, avec une interface lisible par un non-spécialiste. Selon la formule, il fait tourner des moteurs connus : Nuclei et OpenVAS, puis Tenable sur les formules payantes.

Pour qui. La PME qui veut savoir chaque semaine ce qu'un attaquant voit de ses serveurs, de ses sites et de ses comptes cloud.

Pour qui ce n'est pas fait. Le grand compte qui a besoin de rapports de conformité fins sur des milliers de postes internes.

Sa limite. Les prix des formules Cloud et Pro ne sont pas affichés en chiffres : un forfait de base plus un coût par cible, à demander. Le scan des serveurs internes et des postes par agent n'arrive qu'avec Pro. Et une licence de cible ne se réaffecte qu'une fois toutes les 4 semaines : ne déclare pas des machines éphémères qui changent chaque jour.

Comment basculer. Commence par la formule gratuite, sans limite de durée : 5 cibles d'infrastructure exposée, un scan externe par semaine, la surveillance des ports 80 et 443, 1 compte cloud et 3 utilisateurs (le scan authentifié des applis web n'y est pas). L'essai de 14 jours ouvre ensuite les fonctions de Cloud avec 5 cibles : mets-y tes 5 serveurs exposés les plus sensibles et compare avec le dernier rapport Qualys.

Pourquoi partir sur ManageEngine. Là où Qualys vend les correctifs dans un module à part, Vulnerability Manager Plus relie la faille trouvée au correctif à poser, dans la même console. Et son prix est public : l'édition Professional coûte 695 $ par an pour 100 postes sur tes serveurs, 895 $ en version cloud. L'édition Enterprise démarre à 1 195 $ pour 100 postes.

Pour qui. L'équipe informatique qui gère un parc de postes Windows et veut fermer les failles sans jongler entre deux outils.

Pour qui ce n'est pas fait. L'entreprise dont le risque est surtout sur ses applis web et son cloud public : ce n'est pas le terrain de l'outil.

Sa limite. Les serveurs se paient dans une grille à part : 1 145 $ par an pour 100 serveurs en Professional sur site. Un technicien est inclus, chaque technicien de plus est facturé. Compte bien tes serveurs avant de comparer à ton devis Qualys.

Comment basculer. L'outil travaille avec ses propres agents. Déploie-les par stratégie de groupe sur une unité d'organisation pilote, vérifie les failles remontées, puis élargis. Profite de la bascule pour activer les correctifs automatiques sur les postes de bureautique, et garde les serveurs en validation manuelle.

Pourquoi partir sur Greenbone. Greenbone est l'éditeur allemand qui développe OpenVAS, le grand scanner open source. Deux mondes : une édition communautaire gratuite, et des offres payantes avec un flux de détection professionnel. Le prix d'entrée est public : OPENVAS BASIC coûte 2 524 € par an pour un réseau de moins de 150 actifs, avec 14 jours d'essai gratuit. Pour un acheteur qui veut un éditeur européen et ses données chez lui, c'est l'argument le plus simple.

Pour qui. L'équipe technique à l'aise avec Linux, ou l'organisation qui veut un scanner sur site, en Europe, avec un prix connu.

Pour qui ce n'est pas fait. L'équipe qui veut une plateforme en ligne qui priorise et suit les corrections pour elle : chez Greenbone, ce travail reste à toi.

Sa limite. Le gratuit a un coût caché : ton temps. Installation, mises à jour du flux, réglage des scans, tout repose sur toi. Au-delà de 150 actifs, l'offre OPENVAS SCAN passe sur devis.

Comment basculer. Pas d'agent à pousser : Greenbone scanne par le réseau. Reprends tes plages d'adresses et tes identifiants de scan authentifié depuis Qualys, crée une cible par plage, et lance un premier scan complet de nuit. Compte plusieurs heures pour une plage chargée.

Pourquoi y penser. Si tu pars pour le prix et que ton parc est petit, regarde d'abord la Community Edition de Qualys. Elle est gratuite, en ligne, sans rien à installer côté serveur, et reprend la découverte des actifs, le scan des failles et celui des applis web. Tu gardes l'interface que ton équipe connaît.

Pour qui. La petite équipe qui veut un deuxième avis sur un périmètre réduit, ou qui garde Qualys le temps de choisir.

Pour qui ce n'est pas fait. Une entreprise qui doit prouver sa couverture à un auditeur : la page officielle n'indique ni le nombre d'actifs couverts, ni les conditions d'usage commercial.

Sa limite. Faute de plafonds publiés, pose la question par écrit à l'éditeur avant de bâtir quoi que ce soit dessus. C'est une passerelle, pas une destination.

Comment faire. Ouvre le compte gratuit avant la fin de ton contrat payant, garde un périmètre restreint (tes serveurs exposés), et exporte ton historique VMDR à côté : la Community Edition ne le reprend pas.