Scanner de vulnérabilités : 8 outils pour gérer les failles de votre SI

Un scanner de vulnérabilités inspecte vos serveurs, postes, équipements réseau, services cloud et applications web pour y repérer les failles connues, puis aide à les classer et à les corriger. Ce comparatif présente sept outils de gestion des vulnérabilités, de l'édition open source aux plateformes cloud des grands éditeurs, avec leurs offres gratuites et les prix publiés. La surveillance des journaux relève du SIEM, la protection des postes d'un EDR, et l'attaque simulée par des experts du test d'intrusion. Les autres familles figurent parmi les outils Tech.

Scanner de vulnérabilités : définition et place dans la gestion des vulnérabilités

Le scanner compare ce qu'il trouve sur chaque actif (système, version logicielle, port ouvert, configuration) à une base de failles publiées, les CVE, et à des règles de configuration. Les tests se font avec ou sans identifiants : un scan authentifié lit la configuration de la machine, un scan non authentifié voit ce qu'un attaquant verrait depuis le réseau.

La gestion des vulnérabilités englobe ce scan dans un processus continu : inventaire des actifs, détection, priorisation, correction et vérification. Les plateformes du marché ajoutent la surveillance de la surface d'attaque externe, les contrôles du cloud et les tests d'applications web (DAST).

Comment fonctionne un outil : découverte, priorisation et correctifs

• Découverte : l'outil inventorie les actifs par scanners réseau, agents installés sur les machines, capteurs passifs ou connecteurs cloud. Qualys VMDR, par exemple, combine scanners virtuels, agents cloud et capteurs passifs.

• Priorisation : chaque faille reçoit une note. Le score CVSS mesure la gravité, l'EPSS estime la probabilité d'exploitation, et les éditeurs ajoutent leur propre indicateur de risque, comme VPR chez Tenable ou TruRisk chez Qualys.

• Correction : l'outil indique le correctif manquant et, chez certains éditeurs, le déploie. Le déploiement à grande échelle peut aussi passer par un logiciel RMM.

Avantages, limites et différence avec un test d'intrusion

Un scan régulier repère une faille dès qu'elle est publiée et ajoutée aux tests de l'éditeur : OPENVAS met à jour son flux chaque jour, et Intruder lance des scans dès qu'une faille critique devient publique. Il produit aussi les rapports demandés par les audits de conformité.

Le scanner a ses limites : il ne trouve que ce que ses tests connaissent, signale des failles parfois non exploitables dans votre contexte et ne teste pas la logique métier d'une application. Le test d'intrusion, mené par des experts, cherche à exploiter réellement les failles et à les enchaîner. Les deux démarches se complètent.

Sept plateformes de gestion des vulnérabilités comparées

Tenable

Tenable édite Nessus, scanner qui note chaque faille avec les scores CVSS v4, EPSS et VPR et contrôle aussi configurations et conformité, et la plateforme Tenable One. Nessus Essentials est gratuit pour un usage non commercial (5 adresses IP, licence de 30 jours) ; Nessus Professional coûte 4 790 $ pour 1 an et Tenable One Vulnerability Management 3 500 $ par an pour 100 actifs.

Qualys

Le module VMDR de l'Enterprise TruRisk Platform inventorie les actifs, détecte les failles, les priorise avec le score TruRisk et peut déployer les correctifs, avec scanners et agents en nombre illimité. Qualys Community Edition, gratuite et en cloud, couvre l'inventaire, les vulnérabilités et les applications web. VMDR n'a pas de prix public.

Rapid7 Exposure Command

Rapid7 a intégré son scanner InsightVM à Exposure Command. La formule Essentials y ajoute la cartographie de la surface d'attaque, Ultimate ajoute la sécurité du cloud et des applications sur AWS, Azure, GCP et Kubernetes. L'accès passe par une démonstration.

OpenVAS

Développé par Greenbone depuis 2006, OpenVAS réalise des tests authentifiés ou non sur de nombreux protocoles internet et industriels. L'édition communautaire est open source et gratuite, à installer soi-même. OPENVAS BASIC, pour les petites entreprises, coûte 2 524 € par an avec 14 jours d'essai ; les appliances OPENVAS SCAN sont sur devis.

Cyberwatch

Éditeur français, filiale du groupe EDF-Framatome, Cyberwatch gère vulnérabilités et conformité des postes, serveurs, cloud, conteneurs et systèmes industriels (OT), avec patch management intégré. La plateforme s'installe en SaaS, sur site ou en mode air-gap, pour garder les données chez soi. Prix sur démonstration.

Hackuity

Hackuity, créé en 2020, rassemble les résultats des scanners et des autres outils de sécurité déjà en place grâce à plus de 130 intégrations, les regroupe par problème avec un responsable, les hiérarchise par un score de risque explicable et orchestre la remédiation avec une aide de l'IA. L'éditeur met en avant la souveraineté européenne des données et la certification SOC 2 Type II. L'abonnement annuel dépend du nombre d'actifs gérés ; le prix s'obtient sur devis.

Intruder

Intruder réunit scans continus de l'infrastructure, surveillance de la surface d'attaque, sécurité du cloud, DAST bâti sur ZAP et tests d'intrusion par IA. La formule Free scanne chaque semaine l'infrastructure externe pour 3 utilisateurs ; Cloud et Pro se tarifient selon le nombre de cibles, et les tests par IA démarrent à 3 500 $ par test.

Detectify

Detectify cartographie en continu la surface d'attaque externe (domaines, sous-domaines, adresses IP, ports) et teste les applications web et les API REST et GraphQL. La formule Starter est sans frais de plateforme ; Standard démarre à 2 500 € par an, Professional à 5 000 € et Enterprise à 15 000 €, plus un coût par actif.

Tableau des prix et des offres gratuites

Prix relevés en novembre 2026 sur les sites des éditeurs, sans mention HT ou TTC sauf indication contraire.

Choisir un outil selon votre parc : PME, ETI ou grand compte

Une PME qui veut d'abord surveiller ce qui est visible depuis internet peut commencer par une offre gratuite tournée vers l'extérieur, comme celles d'Intruder ou de Detectify. Une équipe technique à l'aise avec Linux peut installer l'édition communautaire d'OpenVAS. Pour un parc interne de serveurs et de postes, regardez la présence d'agents, le scan authentifié et le nombre d'actifs couverts par la licence. Les organisations soumises à des exigences de souveraineté ou isolées du réseau regarderont les déploiements sur site, chez Cyberwatch ou OpenVAS. Enfin, vérifiez les connecteurs vers votre outil de tickets et votre gestion des correctifs : une faille détectée n'a de valeur que si elle est corrigée.