Wazuh : SIEM open source, coûts et limites pour une PME

Wazuh est une plateforme de sécurité open source associant des fonctions SIEM et XDR. Son logiciel peut être auto-hébergé sans acheter une licence commerciale Wazuh ; un service payant, Wazuh Cloud, prend en charge l’hébergement et l’administration des composants centraux. Dans les deux cas, le traitement des alertes doit être organisé.

Pour une PME, la question décisive est donc le temps et la compétence disponibles. L’auto-hébergement peut donner une maîtrise technique intéressante. Il crée aussi une responsabilité durable sur la disponibilité, le stockage et les mises à jour.

Méthode : analyse documentaire des sources officielles revues le 27 septembre 2026. Cette fiche ne repose pas sur un déploiement ni sur un benchmark. Le cas ci-dessous est entièrement hypothétique ; ses chiffres ne constituent pas des performances mesurées de Wazuh.

Wazuh est-il vraiment gratuit ?

La documentation présente Wazuh comme gratuit et open source. Elle précise que ses composants relèvent de la licence GNU GPL version 2 et de la licence Apache version 2.0. Il serait donc inexact d’attribuer indistinctement une licence unique à toute la plateforme. Guide de démarrage officiel Wazuh.

Cette gratuité concerne le logiciel auto-hébergé. Elle ne finance pas les serveurs, le stockage, les sauvegardes ou le temps de l’équipe. Pour une redistribution, une modification ou une intégration particulière, examinez les licences des composants concernés et leurs obligations propres.

Wazuh Cloud est une offre commerciale distincte. L’éditeur décrit la prise en charge des composants centraux, de leur mise à jour et de leur fonctionnement. Le client conserve le travail nécessaire pour définir ses sources et organiser ses opérations de sécurité. Description officielle du service Wazuh Cloud.

Quelles fonctions sont documentées ?

Wazuh utilise des agents et des composants centraux : serveur, indexeur et tableau de bord. Cette architecture collecte, analyse et rend les événements consultables. Architecture présentée dans le démarrage Wazuh.

Ces fonctions sont décrites dans les documentations de collecte des journaux, de surveillance d’intégrité, de détection de vulnérabilités et d’Active Response.

Leur présence ne préjuge pas de leur efficacité sur votre parc. La détection de vulnérabilités rapproche notamment l’inventaire des logiciels des informations de vulnérabilité : recevoir une alerte ne signifie pas qu’un correctif a été installé. Le responsable du système doit qualifier le résultat, organiser la correction puis vérifier son effet.

Auto-hébergement ou Wazuh Cloud ?

La grille Wazuh Cloud distingue notamment le nombre d’agents actifs, la conservation des données indexées, celle des archives et le support. Ces paramètres doivent figurer dans votre comparaison : un historique archivé ne représente pas le même service qu’une recherche immédiatement disponible. Offre officielle Wazuh Cloud.

À la date de consultation, la page affiche un profil Small à partir de 571 dollars par mois, jusqu’à 100 agents, avec un mois de données indexées et trois mois d’archives. Ce prix d’appel ne remplace pas un devis adapté aux volumes et options. Grille commerciale Wazuh Cloud.

Vérifiez les dépassements, l’accès aux archives et les limites d’intégration. Le modèle de responsabilité Wazuh Cloud laisse notamment au client les agents, les règles personnalisées, les habilitations et la réponse aux incidents. Une assistance automatisée à l’analyse ne démontre pas qu’un analyste humain prendra en charge votre alerte de nuit.

Quel budget prévoir au-delà du logiciel ?

Pour une installation auto-hébergée, construisez une estimation annuelle comprenant calcul, mémoire, stockage, sauvegardes, supervision de l’infrastructure et mises à jour. Ajoutez les heures nécessaires à l’adaptation des règles, à la qualification des alertes et au suivi des corrections.

Pour le cloud, partez du devis puis ajoutez les mêmes tâches de sécurité qui restent à votre charge. Demandez qui surveille les interruptions de collecte et qui intervient si un agent cesse de remonter ses événements. Un abonnement ne répond pas à ces questions sans périmètre de service explicite.

Notre analyse : Wazuh mérite d’être étudié lorsqu’une équipe veut maîtriser sa chaîne technique et peut la maintenir. Une PME sans disponibilité doit comparer un projet avec prestataire et une offre opérée de périmètre équivalent. Notre comparatif SIEM fournit les dimensions de coût communes.

Wazuh remplace-t-il un EDR ?

L’éditeur positionne Wazuh sur le SIEM et l’XDR. Cette désignation ne démontre pas une équivalence fonctionnelle avec tous les produits EDR. Comparez les cas d’usage précis : télémétrie disponible, investigation, prévention, actions de réponse et fonctionnement sur chaque système.

Une équipe peut utiliser Wazuh pour centraliser des événements tout en conservant une protection des terminaux distincte. La décision dépend du périmètre réellement couvert et du risque accepté. Notre comparatif EDR aide à préparer cette comparaison sans opposer artificiellement les catégories.

Données personnelles et conformité : garder une maîtrise réelle

Les journaux peuvent contenir des identifiants d’utilisateurs, des adresses ou des informations d’activité. Définissez leur finalité, les habilitations et les durées nécessaires. Dans sa fiche sur la journalisation, la CNIL recommande en principe une conservation glissante de six mois à un an, avec des exceptions à apprécier. Ce repère n’est pas une durée légale uniforme pour tous les événements.

Comparez cette politique à la conservation réellement achetée. Un profil cloud limité à trois mois d’archives ne satisfait pas, à lui seul, un besoin documenté de six mois. Une durée plus longue exige un dispositif adapté ; elle ne justifie pas de collecter davantage de données. Évitez notamment les mots de passe et la duplication du contenu des dossiers dans les traces. Vérifiez également les lieux de stockage, les accès de support, les sous-traitants et les modalités d’effacement avant de confier des journaux à un service.

Un tableau de bord associé à un référentiel ne constitue pas une attestation de conformité de votre organisation. Il contribue à l’analyse d’une partie des mesures techniques ; les décisions et preuves doivent rester contextualisées. Notre guide sur la traçabilité des actions sur les données personnelles détaille cette articulation.

Un pilote avec des critères de sortie

Avant de généraliser, sélectionnez quelques systèmes représentatifs et trois scénarios utiles, par exemple une interruption de collecte, une modification autorisée d’un fichier de test et une activité simulée à analyser. Utilisez des données minimisées et des simulations expressément autorisées.

Mesurez le délai de remontée, la lisibilité des alertes, le temps de qualification et le volume réellement stocké. Faites constater les événements attendus et ceux qui manquent. Réservez les réponses automatiques à un périmètre de test, avec permissions limitées et retour arrière documenté.

Terminez par un exercice de sortie : exporter les données nécessaires, préserver les règles utiles, retirer un agent et vérifier la reprise de la protection prévue. En auto-hébergement, contrôlez aussi la restauration d’une sauvegarde. La décision d’achat ou de déploiement doit inclure un budget d’exploitation et un responsable nommé.

Cas de sélection : une PME de 60 équipements

Une société française fictive utilise 55 postes de travail et cinq serveurs. Son informaticienne, Léa, assure déjà le support et les sauvegardes. La direction veut centraliser les événements de sécurité, mais ne prévoit pas de recrutement. Le premier objectif est de détecter une collecte interrompue et de comprendre les modifications de fichiers sensibles ; aucune réponse automatique sur les serveurs métier n’est autorisée au lancement.

Le dossier retient, à titre d’hypothèse, un besoin de six mois de traces, dont un mois immédiatement interrogeable. Ce choix est documenté pour les besoins du scénario ; il ne constitue pas une recommandation universelle. Léa prépare la fiche suivante avant de demander des offres comparables.

Le profil Small ne convient donc pas tel qu’affiché au besoin de conservation retenu. Léa demande un devis adapté et une démonstration de récupération d’une archive. Elle ne remplace pas discrètement les six mois du dossier par les trois mois inclus pour faire entrer l’offre dans le budget.

En auto-hébergement, la documentation de démarrage indique pour 51 à 100 agents un repère de 8 vCPU, 8 Gio de mémoire et 200 Go de stockage, dans son scénario de 90 jours de données indexées. C’est une indication de départ, pas la capacité garantie du parc de la PME ni un dimensionnement de six mois. Hypothèses du guide Wazuh. Léa doit mesurer le volume de ses sources et prévoir les copies, marges et conditions de disponibilité appropriées.

Chiffrer l’exploitation avant de décider

La PME construit un premier calcul entièrement fictif pour l’auto-hébergement : 240 € par mois d’infrastructure, huit heures mensuelles d’administration et de qualification valorisées à 65 €, puis 1 500 € d’installation. La première année représente ainsi 12 × (240 + 8 × 65) + 1 500, soit 10 620 €. Ce montant sert à rendre le raisonnement visible ; il ne s’agit ni d’un devis ni d’un coût habituel observé chez des utilisateurs.

Ce calcul ne couvre pas une permanence de nuit. Une proposition cloud doit donc être comparée sur un périmètre explicite : abonnement adapté à six mois, intégration, exploitation et éventuelle astreinte. La direction ne compare pas simplement le prix de serveurs en euros au tarif public d’un abonnement en dollars. Elle demande une monnaie, une fiscalité et une période communes, puis fait apparaître les tâches restant à financer.

Traiter un échec pendant le pilote

Dans la suite hypothétique du cas, l’événement attendu sur le serveur de recette n’apparaît pas dans le tableau de bord. L’agent est pourtant connecté. Léa ne conclut pas à l’absence d’incident : elle vérifie successivement la création du journal local, sa collecte, son interprétation et la règle censée produire l’alerte. La fiche conserve l’événement de référence, l’heure, le résultat attendu et le point de rupture identifié.

Le prestataire corrige la configuration de collecte et reprend le même scénario, puis contrôle qu’un redémarrage ne supprime pas le réglage. Une deuxième vérification porte sur l’export : retrouver un fichier ne suffit pas si personne ne peut relire les événements et leurs horodatages. Enfin, Léa fait confirmer qui reçoit les alertes pendant son absence. Tant que cette responsabilité et la conservation ne sont pas réglées, la direction maintient le projet au stade du pilote.

La décision finale du scénario est donc conditionnelle : Wazuh reste dans la présélection, mais aucun déploiement général n’est autorisé sur la seule réussite de l’installation. Cette conclusion permet de distinguer un outil prometteur d’un service de sécurité effectivement organisé.

FAQ

Peut-on utiliser Wazuh sans abonnement payant ?

Le logiciel open source peut être auto-hébergé sans acheter une licence commerciale Wazuh, dans le respect des licences de ses composants. Prévoyez toutefois le coût de l’infrastructure, du stockage, de la maintenance et du traitement des alertes.

Wazuh Cloud dispense-t-il d’organiser une équipe sécurité ?

La prise en charge de l’infrastructure centrale ne permet pas de présumer une surveillance humaine des alertes. Faites préciser les prestations incluses et désignez les personnes qui qualifient les incidents et autorisent les réponses.

Ce qu’il faut retenir

• Distinguez logiciel auto-hébergé, service cloud et exploitation sécurité.
• Comparez le coût complet, y compris le temps humain et la conservation des données.
• Testez la collecte, les alertes, la restauration et les exports sur votre périmètre.

Pour recevoir nos guides pratiques sur la cybersécurité et la conformité numérique, inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit de l’informatique et travaille depuis plus de vingt ans sur la protection des données et la conformité numérique. Cette fiche documentaire ne constitue pas un retour d’expérience de production sur Wazuh.