MDR HarfangLab : MSSP FR sur l'EDR souverain qualifié ANSSI

HarfangLab s'est imposé en quelques années comme la référence française de l'EDR (Endpoint Detection & Response) souverain. Fondée en 2018 à Paris par Renaud Bidou, Romain Gibert et Gauthier Lavernhe, la société édite un agent EDR cross-plateformes (Windows, Linux, macOS) qualifié ANSSI au visa CSPN, ce qui lui ouvre les portes des OIV (opérateurs d'importance vitale), des marchés publics sensibles et de la commande LPM (loi de programmation militaire). Son ancrage capital français — actionnaires fondateurs majoritaires, fonds Elaia/Ace Capital Partners en minoritaires — reste un critère discriminant pour les directions cyber qui veulent réduire leur dépendance aux EDR américains.

Concrètement, l'agent HarfangLab couvre la détection comportementale, la chasse aux malwares, l'isolation à distance et la capture mémoire, avec un moteur YARA personnalisable et une intégration native MITRE ATT&CK. La plateforme s'interface en MSSP via une API ouverte, ce qui permet aux fournisseurs de SOC managé de la piloter depuis leur propre console de supervision. La société revendique plus de 300 clients en France, dont le ministère des Armées, plusieurs ministères régaliens et de grands acteurs énergie/santé.

Les fournisseurs MDR français qui opèrent un service managé sur HarfangLab se répartissent en trois grandes familles : (1) les pure-players cyber et ESN qui proposent HarfangLab en option dans un catalogue BYO multi-EDR (Advens, Intrinsec, Synetis) ; (2) les acteurs souverains qui ont fait de HarfangLab leur stack par défaut, parfois en exclusivité (Axians Solar SOC, Linkt 6e Sens, OWN.security) ; (3) les bundles souverains opérés en partenariat, dont le Pack Cyber Docaposte qui distribue HarfangLab à 20 €/poste/mois aux PME et collectivités, opéré par Formind.

L'écart avec les concurrents américains (CrowdStrike Falcon, SentinelOne Singularity, Microsoft Defender) tient moins à la profondeur technique brute qu'à la trajectoire juridictionnelle : avec HarfangLab, les données de télémétrie restent en France, l'éditeur est joignable, et la stack reste éligible aux qualifications PDIS et à la commande publique régalienne.

HarfangLab est un EDR (Endpoint Detection & Response) français qualifié ANSSI au visa CSPN, déployable on-premise ou en SaaS hébergé en France. L'agent cross-plateformes (Windows, Linux, macOS) couvre détection comportementale, chasse YARA, isolation réseau à distance, capture mémoire et corrélation MITRE ATT&CK. La plateforme est conçue pour s'intégrer dans une stack SOC tierce via API ouverte — la majorité des MSSP français qui la déploient le font dans une logique MDR pilotée depuis leur propre SIEM/XDR.

HarfangLab est l'un des très rares EDR à cocher les trois axes durs de la souveraineté française : capital majoritairement FR, hébergement et opérations en France, et qualification ANSSI (CSPN). Pour une DSI ou un RSSI qui cherche à se mettre en conformité avec NIS2, LPM ou les exigences PDIS, c'est aujourd'hui le seul EDR français qui peut être déployé en pile complète sans dépendre d'un éditeur américain. La contrepartie : un écosystème MSSP encore plus restreint que celui de CrowdStrike ou Microsoft Defender, et une couverture identitaire ou cloud moins profonde qu'un XDR multi-surfaces. La logique est presque toujours « HarfangLab + SIEM/XDR tiers » — typiquement Sekoia.io côté souverain, parfois Microsoft Sentinel pour les SOC mixtes.

L'avantage HarfangLab tient à un alignement rare : capital français, hébergement en France, visa CSPN ANSSI, et une intégration MSSP ouverte qui laisse le choix du SIEM/XDR. Sur le plan strictement comportemental, l'EDR reste plus jeune que CrowdStrike Falcon (lancé en 2013) ou SentinelOne Singularity, avec une couverture endpoint solide mais une intégration identitaire et cloud moins profonde qu'un XDR multi-surfaces. La réserve principale concerne l'écosystème MSSP : moins de 15 fournisseurs FR opèrent un MDR managé sur HarfangLab à mi-2026, contre plusieurs dizaines pour CrowdStrike ou Microsoft Defender. Pour une PME sans contrainte de souveraineté, le rapport surface couverte/coût d'un Sophos Complete ou d'un Bitdefender MDR Plus peut rester plus attractif. À l'inverse, pour une organisation régalienne ou sous LPM, HarfangLab reste aujourd'hui le seul choix qui ne pose pas de question juridictionnelle.

Pour un acheteur public, un OIV ou une ETI sous NIS2 stricte, le triptyque « HarfangLab + Sekoia.io + SOC FR qualifié » constitue aujourd'hui la base la plus défendable juridiquement. Trois profils se dégagent côté MSSP : (1) les grands intégrateurs souverains (Thales, Orange Cyberdefense, Capgemini, Airbus Protect) qui proposent HarfangLab en option dans une stack mixte — pertinents pour un grand compte avec maturité cyber ; (2) les pure-players cyber (Advens, Intrinsec, Synetis, OWN.security, Hexanet) qui opèrent HarfangLab dans une logique BYO ou souveraine assumée — pertinents pour ETI/secteur public ; (3) les bundles packagés (Pack Cyber Docaposte, Axians Solar SOC, Linkt 6e Sens) qui imposent HarfangLab dans une offre clé en main — pertinents pour PME, collectivités et établissements publics.