MDR Sekoia.io : MSSP français sur la plateforme XDR souveraine

Sekoia.io est l'une des rares plateformes XDR (eXtended Detection & Response) éditées en France, avec un positionnement assumé de SOC platform tout-en-un : SIEM (Security Information & Event Management), XDR, SOAR (Security Orchestration, Automation & Response) et Threat Intelligence intégrés dans une même console SaaS hébergée à Paris chez OVHcloud (avec option SecNumCloud). Fondée en 2008 sous le nom SEKOIA (la société s'est scindée en deux en 2017, Sekoia.io reprenant l'activité éditeur), la société est aujourd'hui détenue par ses fondateurs et des fonds français (Wendel notamment), capitalise sur un agrément ANSSI PASSI et a noué des partenariats stratégiques avec Thales et HarfangLab pour pousser une stack souveraine bout-en-bout.

Concrètement, Sekoia.io agrège la télémétrie de plusieurs centaines de sources (cloud, EDR, identity, network, OT) dans un data lake propriétaire, applique un moteur de détection couplé à un flux CTI éditeur, et permet aux analystes SOC de piloter l'investigation et la remédiation depuis une même console. Le modèle commercial est résolument MSSP-first : Sekoia.io ne vend pas de MDR managé en direct mais s'appuie sur un réseau de partenaires français certifiés (programme MSSP) qui opèrent le SOC pour le compte des clients finaux.

Les fournisseurs français qui ont fait de Sekoia.io leur stack de détection principale forment un éventail cohérent : opérateurs télécoms (Linkt 6e Sens), intégrateurs industriels (SPIE ICS), pure-players cyber (OWN.security, Synetis, Hexanet), grands groupes souverains (Thales, Orange Cyberdefense) et ESN spécialisées (Capgemini Sekoia.io MSSP). En pratique, Sekoia.io est presque toujours déployée en combinaison avec un EDR — HarfangLab côté souverain, SentinelOne pour les configurations mixtes.

L'écart vs Microsoft Sentinel ou Splunk se joue sur trois axes : juridictionnel (données et opérations en France, éditeur français joignable), économique (pricing par actif plutôt que par volume de logs ingérés, ce qui limite l'inflation tarifaire) et fonctionnel (CTI éditeur natif, moins riche que la stack Microsoft sur les workloads M365 mais plus pertinent sur les menaces ciblant le tissu économique français).

Sekoia.io est une plateforme SOC tout-en-un (SIEM + XDR + SOAR + CTI) éditée en France et hébergée chez OVHcloud avec option SecNumCloud. Elle agrège la télémétrie de plus de 200 sources (cloud, EDR, identity, network, OT), applique un moteur de détection couplé à un flux CTI propriétaire, et offre une console unifiée d'investigation et de réponse. Modèle commercial 100% MSSP : Sekoia.io ne vend pas de service managé en direct, l'opération est confiée à un réseau de partenaires français certifiés.

Sekoia.io est aujourd'hui la seule plateforme XDR/SIEM française avec un écosystème MSSP industrialisé. Pour une organisation qui veut s'extraire de la dépendance Microsoft Sentinel ou Splunk sans tomber dans le grand écart d'un SIEM open-source à industrialiser elle-même, c'est l'option la plus aboutie sur le marché. La contrepartie : la couverture cloud (notamment M365 et workloads Azure profonds) reste moins riche que celle d'un Microsoft Sentinel natif, et l'écosystème de connecteurs, bien que conséquent, est plus restreint que celui d'un Splunk. La plateforme est nettement plus pertinente pour un SOC souverain mid-market ou ETI/grand compte avec contraintes réglementaires que pour un environnement 100% Microsoft Azure avec un volume de logs très élevé.

Sekoia.io est aujourd'hui la plateforme XDR/SIEM française la plus mature, avec un écosystème MSSP qui couvre la fourchette mid-market → grand compte. Vs Microsoft Sentinel, l'avantage juridictionnel est net (données et opérations en France, éditeur français joignable) et le pricing par actif est plus prévisible — mais la couverture cloud (M365, workloads Azure profonds) reste moins riche, et le réservoir de connecteurs est plus restreint. Vs Splunk, l'écart d'industrialisation s'est largement comblé, et le coût total de possession est généralement inférieur pour un volume de logs équivalent. Le vrai arbitrage tient à la maturité du SOC interne : pour une organisation qui a déjà investi lourdement dans Sentinel ou Splunk et capitalisé sur des dashboards, des règles et des intégrations sur mesure, la migration vers Sekoia.io a un coût de bascule réel. À l'inverse, pour un acheteur qui démarre un SOC ou qui veut le ré-internaliser, Sekoia.io est l'option par défaut côté souverain.

Pour un acheteur souverain, le choix entre les fournisseurs MDR sur Sekoia.io se structure en trois profils : (1) les pure-players cyber souverains (OWN.security, Synetis, Hexanet) qui ont fait de Sekoia.io leur stack par défaut ou principale — pertinents pour ETI/secteur public avec exigence de cohérence souveraine ; (2) les grands intégrateurs (Thales, Orange Cyberdefense, Capgemini) qui proposent Sekoia.io en option dans un catalogue plus large — pertinents pour grand compte avec maturité cyber et besoin d'orchestration multi-stack ; (3) les opérateurs verticalisés (Linkt 6e Sens, SPIE ICS) qui packagent Sekoia.io dans une offre clé en main — pertinents pour collectivité, établissement public et OIV avec besoin d'un SOC managé sans choix de stack à arbitrer. Sekoia.io tend à devenir le standard de facto de la pile souveraine FR en sortie 2026.