Quel est le meilleur scanner de vulnérabilités en 2026 ?

Nessus, de l'américain Tenable, est un des scanners les plus connus des administrateurs. La version Professional s'installe sur une machine de ton réseau, interroge tes postes, serveurs, imprimantes et équipements, et classe ce qu'elle trouve par gravité. Les avis d'utilisateurs saluent deux choses : la qualité de la détection et une installation sans difficulté.

Le prix est public, ce qui est rare dans ce marché : 4 790 $ pour un an, 9 330,95 $ pour deux ans, 13 637,54 $ pour trois. La page de l'éditeur parle d'analyses illimitées et n'affiche aucun plafond d'adresses IP. Pour notre parc de 110 actifs, la facture reste donc de 4 790 $ par an. Compte 400 $ de plus pour le support avancé 24/7, et 275 $ si tu veux la formation officielle.

Les reproches reviennent souvent. Le prix a fortement augmenté ces dernières années, et plusieurs utilisateurs jugent l'outil très cher face à OpenVAS. Les faux positifs donnent du travail inutile. Les rapports sont peu pratiques à partager avec un dirigeant, et l'interface paraît datée.

Attention à Nessus Essentials, la version gratuite. Elle ne couvre que 5 adresses IP, avec une licence de 30 jours, et l'éditeur la réserve à un usage strictement non commercial : pas de rapport, pas d'export, pas de contrôle de conformité, pas de support. Elle sert à apprendre, pas à protéger une entreprise.

Astuce : si tu dois aussi scanner tes sites web, Tenable vend Nessus Expert à 6 790 $ par an. Compare avec Detectify ou Pentest-Tools avant de monter en gamme.

Intruder, éditeur britannique, est un scanner en ligne : rien à installer, tu déclares tes domaines, tes adresses IP et tes comptes cloud, et il lance les analyses tout seul. Sous le capot, il s'appuie sur deux moteurs connus, OpenVAS et Nuclei, et présente le résultat dans une interface pensée pour quelqu'un qui n'est pas spécialiste.

Son vrai atout, c'est le tri. Les avis sont très positifs, et un point revient : Intruder fait vérifier par ses experts les faux positifs que tu lui signales. C'est exactement l'irritant numéro un des autres scanners.

La formule Free est utile pour démarrer : 5 applications web, 1 compte cloud, 3 utilisateurs, et un scan réseau par mois limité aux ports 80 et 443. Les paliers Cloud et Pro passent à un scan par semaine, Enterprise à un scan par jour. Plusieurs utilisateurs regrettent justement que le scan quotidien soit réservé au palier le plus haut.

Deux limites à connaître avant de signer. Le scan de ton réseau interne n'existe qu'en Pro et Enterprise : en Cloud, tu ne vois que ce qui est exposé sur internet. Et la page de prix n'affiche aucun montant pour Cloud et Pro : seulement un forfait de base plus un petit coût par cible, hors taxes, avec 20 % de remise en annuel.

Astuce : l'essai dure 14 jours. Déclare dès le départ toutes tes adresses publiques, même celles que tu crois éteintes. Un serveur oublié reste une porte ouverte tant qu'il est en ligne.

Vulnerability Manager Plus s'appuie sur des agents installés sur tes postes et tes serveurs. Il vise le parc Windows géré par une petite équipe informatique, et il va plus loin que le constat : il relie la faille trouvée au correctif à poser, dans la même console.

Côté prix, c'est le moins cher des outils payants de ce classement pour des postes. L'édition Professional sur site coûte 695 $ par an pour 100 postes. La page affiche les serveurs dans une grille à part, à 145 $ par an pour 10 serveurs. La version cloud démarre à 895 $ pour 100 postes, et l'édition Enterprise à 1 195 $. Un technicien est inclus ; chaque technicien de plus coûte 195 $ par an. Une licence perpétuelle existe aussi.

Ce qu'il faut savoir : un agent, c'est un logiciel de plus à déployer et à maintenir sur chaque machine. Si ton parc compte des équipements qui n'acceptent pas d'agent, prévois un scan réseau en complément.

Astuce : avant de commander, demande à l'éditeur comment se cumulent la grille des postes et celle des serveurs pour ton parc exact. La page présente les deux séparément, et c'est ce montant total qu'il faut comparer à Nessus.

Greenbone est l'éditeur allemand, installé à Osnabrück, qui développe OpenVAS, le grand scanner open source. Il existe en deux mondes. La Community Edition est gratuite, avec un support par forum, sans engagement. Les offres payantes ajoutent un flux de détection professionnel, distinct du flux communautaire, et des fonctions absentes de la version gratuite, comme l'architecture maître et capteurs ou les mises à jour hors ligne.

Le prix d'entrée payant est public : OPENVAS BASIC coûte 2 524 € par an, pour des réseaux de moins de 150 actifs. Notre parc de 110 actifs y entre. Au-delà de 150, il faut passer à OPENVAS SCAN, sur devis.

Le gratuit a un coût caché : ton temps. Sur les forums, des administrateurs jugent OpenVAS beaucoup trop compliqué à installer et à configurer, et certains concluent que la Community Edition ne vaut pas l'effort. Un retour détaillé sur un petit parc d'une vingtaine de machines raconte une installation par conteneur plus simple mais instable, une installation depuis les sources plus fiable, et environ 30 minutes d'analyse par cible.

Les faux positifs existent aussi. La parade est intégrée : les « overrides », qui permettent de requalifier ou masquer un résultat que tu as vérifié. Et des utilisateurs se demandent si le flux communautaire détecte autant que le flux payant.

Astuce : si tu débutes, prends une machine virtuelle toute prête plutôt qu'une installation à la main, et programme la mise à jour du flux de détection chaque nuit.

Detectify, éditeur suédois, regarde ton entreprise comme un attaquant la voit depuis internet : tes domaines, tes sous-domaines, tes applications web et tes API. Il est pensé pour le web plutôt que pour les postes et les imprimantes du bureau. C'est l'outil le plus pertinent de ce classement si ton chiffre d'affaires passe par un site ou une application.

Ses prix sont publics et en euros, ce qui reste rare. Le principe : un forfait de plateforme annuel, plus les actifs (domaines, plages d'adresses IP) facturés en plus. Starter coûte 0 € avec 5 utilisateurs et le scan d'API. Standard démarre à 2 500 € par an et ajoute le SSO. Professional démarre à 5 000 € et ajoute le scan interne dans ta chaîne de déploiement, pour un environnement. Enterprise commence à 15 000 €.

Deux détails utiles. Si tu prends des paiements par carte, le scan PCI ASV coûte 500 € de plus par an. Et les associations bénéficient de 30 % de remise.

La limite : le prix d'entrée affiché n'est jamais le prix final, puisque chaque actif s'ajoute au forfait. Fais la liste de tes domaines et de tes plages d'adresses avant de demander un chiffrage.

Astuce : commence par Starter, gratuit, pour scanner tes API et juger la lecture des rapports. Tu chiffreras ensuite tes actifs en connaissant déjà l'outil.

Pentest-Tools.com est une plateforme en ligne qui réunit des outils d'analyse du réseau, des applis web et d'exploitation des failles. Tu choisis ce que tu veux scanner, tu lances, tu lis le rapport. Aucune installation, et une offre découpée par usage, ce qui la rend facile à ajuster.

Les prix sont publics et mensuels. NetScan, pour le réseau, démarre à 96 $ par mois pour 16 actifs. AppScan, pour les applis web, démarre à 140 $ par mois pour 5 actifs. Exploit, qui ajoute des outils de test d'intrusion, démarre à 190 $ par mois. En annuel, tu paies 10 mois sur 12 : NetScan revient à 960 $ par an.

La limite se voit avec notre parc type. 16 actifs ne couvrent pas 110 postes et serveurs, et la page n'affiche pas le prix du palier qui les couvrirait. L'outil brille donc surtout sur un petit périmètre : quelques serveurs exposés, un site, un client à auditer.

La formule Free permet 5 actifs par cycle, sans scan authentifié et sans API. C'est assez pour voir la qualité des rapports avant de payer.

Astuce : réserve tes 16 actifs NetScan aux machines exposées sur internet, et laisse le réseau interne à un outil installé chez toi. Tu paies le minimum pour la partie la plus risquée.

Qualys est un des poids lourds du marché, avec une plateforme entièrement en ligne. Son offre complète, VMDR, est vendue sur devis et vise surtout les grands comptes.

Pour une PME, la porte d'entrée est la Community Edition. Elle est gratuite, en ligne, et couvre la découverte des actifs, le scan de ton infrastructure et celui de tes applis web. Le vrai intérêt : voir à quoi ressemble une plateforme de grand compte, sur ton propre réseau, sans engagement.

La prudence s'impose sur deux points. La page officielle n'indique ni le nombre d'actifs couverts ni si l'usage commercial est permis. Ne bâtis pas ta conformité dessus avant d'avoir posé la question à l'éditeur.

La limite de l'offre payante : aucun prix public. Pour savoir ce que coûterait VMDR sur 110 actifs, il faut passer par un devis, ce qui rend la comparaison avec Nessus ou Greenbone plus lente.

Astuce : sers-toi de la Community Edition comme d'un second avis. Lance-la sur quelques machines déjà scannées par ton outil principal, et compare : les écarts te montrent ce que l'un ou l'autre rate.

Cyberwatch est un éditeur français, basé à Paris. Son Vulnerability Manager fait quatre choses : il cartographie ton parc, le scanne, priorise les failles selon le risque technique et le risque métier, et gère les correctifs dans un module dédié. L'idée de la priorisation métier est simple : une faille moyenne sur le serveur de facturation passe avant une faille grave sur un poste de test.

Son point fort, c'est le déploiement. L'outil s'installe sur tes serveurs, avec ou sans agent, et fonctionne en mode déconnecté. C'est rare, et précieux pour un site industriel, un réseau isolé ou une organisation qui ne veut aucune donnée de vulnérabilité hors de chez elle.

La limite : aucun prix public, tout passe par un devis. Pour une PME de 110 actifs, il faut donc engager une démarche commerciale pour savoir si l'outil entre dans le budget.

Un point de prudence : sur ce marché, des éditeurs mettent en avant des labels ou des qualifications. Vérifie toi-même, sur les sites officiels concernés, toute qualification qu'on te présente dans un appel d'offres.

Astuce : prépare ta demande de devis avec ton inventaire (nombre de postes, de serveurs, de sites, réseau isolé ou non). Le chiffrage sera plus rapide et tu pourras le comparer ligne à ligne avec Nessus ou Greenbone.