King Phisher en 2026 - fork maintenu ou outil hérité à risque ?

King Phisher reste un nom qui parle dans le domaine des simulations d’hameçonnage open source, mais ce n’est pas le choix par défaut idéal pour la plupart des programmes de sensibilisation en 2026. La page officielle du projet indique : « King Phisher n’est plus maintenu. » Un fork communautaire sous CrimsonForge-io/king-phisher affiche une activité récente et plus de 2 500 étoiles GitHub, mais cela ne transforme pas pour autant l’outil en plateforme moderne de sensibilisation à l’hameçonnage, pensée d’abord pour la gouvernance.

La vraie question n’est pas « King Phisher peut-il encore lancer une campagne ? » La meilleure question est plutôt de savoir si votre équipe doit exploiter une boîte à outils de campagne d’hameçonnage, en maintenir les dépendances, sécuriser sa surface d’administration, gérer les données des employés et bâtir autour d’elle la couche de reporting et de politique.

Pour un labo, un engagement de red team ou une revue de migration contrôlée, King Phisher peut encore servir. Pour une formation récurrente à la sensibilisation des employés, la plupart des équipes devraient le considérer comme une infrastructure héritée et le comparer plutôt à des plateformes de simulation d’hameçonnage plus sûres.

Si vous comparez déjà d’anciens outils open source, le guide d’AutoPhish sur les outils de simulation d’hameçonnage open source vs les solutions managées offre un cadre de décision plus large. Cet article resserre ce cadre sur King Phisher en particulier.

Pourquoi King Phisher est toujours recherché

King Phisher a attiré l’attention parce qu’il offrait une boîte à outils complète de campagne d’hameçonnage à une époque où beaucoup d’équipes assemblaient leurs campagnes à la main. Le README public décrit des fonctionnalités comme les campagnes simultanées, les modèles d’e-mail, le contenu des pages de destination, le suivi des visiteurs, les vérifications SPF, la géolocalisation, les invitations de calendrier, les plugins et des flux optionnels à deux facteurs.

Cela explique la demande de recherche. Une équipe sécurité qui tape « king phisher » essaie peut-être de répondre à l’une de plusieurs questions :

King Phisher est-il encore maintenu ?
Existe-t-il une alternative à King Phisher qui demande moins de mise en place ?
King Phisher est-il meilleur que GoPhish ?
Peut-on utiliser un outil de simulation d’hameçonnage open source pour la sensibilisation ?
Que faire d’une ancienne installation de King Phisher ?

Ce sont des intentions différentes. Une bonne réponse doit distinguer l’utilité historique de l’adéquation opérationnelle actuelle.

King Phisher est-il maintenu en 2026 ?

La réponse honnête est nuancée.

Le message du projet original King Phisher est clair : le projet n’est plus maintenu. Cela compte déjà beaucoup, car de nombreux chercheurs associent encore ce nom au projet original securestate/king-phisher, à sa documentation, à son wiki et à ses versions historiques.

Il existe aussi un fork public actif, CrimsonForge-io/king-phisher, avec des commits récents visibles en 2026. Ce fork peut réduire une partie du risque lié à l’abandon, et il vaut la peine d’y jeter un œil avant toute décision finale. Mais un fork n’efface pas les questions d’évaluation plus larges :

Qui maintient le fork, et avec quelle régularité ?
Les mises à jour des dépendances sont-elles systématiques ou ponctuelles ?
Les problèmes de sécurité sont-ils traités rapidement ?
Les chemins d’installation sont-ils sûrs et reproductibles ?
Le projet dispose-t-il des contrôles de confidentialité, de reporting et de gouvernance dont votre organisation a besoin ?
Votre équipe peut-elle soutenir la pile sans devenir, de fait, le mainteneur du produit ?

Pour un programme de sensibilisation classique, « il existe un fork actif » ne suffit pas. L’outil doit aussi être sûr à exploiter, simple à gouverner et adapté à la formation des employés, pas seulement à l’exécution de campagnes.

Le problème des dépendances héritées

Un signal d’alerte fort est le profil de dépendances visible dans le fork actif. Son Pipfile épingle de nombreux paquets Python anciens, y compris des versions plus vieilles de bibliothèques sensibles pour la sécurité et de dépendances web/application. Cela ne veut pas dire automatiquement que le logiciel est exploitable dans votre environnement, mais cela signifie que votre équipe héritera d’un travail d’examen.

C’est d’autant plus important qu’une infrastructure de simulation d’hameçonnage peut toucher des zones sensibles :

identifiants des employés et adresses e-mail
données de participation aux campagnes
interactions sur les pages de destination
événements de suivi
comptes administrateur
domaines d’envoi et infrastructure de messagerie
rapports affichés aux managers ou à la direction

Un vieux wiki interne, c’est une chose. Un système de campagne d’hameçonnage avec des données d’employés et des responsabilités liées à l’envoi des e-mails, c’en est une autre.

Si votre équipe sécurité choisit King Phisher, elle պետք prévoir dès le départ un examen des dépendances, l’isolation, les sauvegardes, le contrôle d’accès, la journalisation, les correctifs et la mise hors service. Cela représente une lourde charge opérationnelle pour un outil choisi surtout parce qu’il est familier ou gratuit.

Exécuter des campagnes n’est pas la même chose que former à la sensibilisation

King Phisher est une boîte à outils de campagne. Un programme mature de sensibilisation à l’hameçonnage est plus large que la seule exécution de campagnes.

Les programmes modernes doivent répondre clairement à des questions telles que :

Qui approuve une simulation avant son lancement ?
Quelles catégories de leurres sont interdites ?
Comment sont traitées les questions du comité d’entreprise, de confidentialité et de RH ?
Combien de temps les résultats individuels sont-ils conservés ?
Qui peut voir les données au niveau employé ?
Que se passe-t-il après qu’une personne clique ou signale ?
Comment gérer les comportements répétés sans humiliation publique ?
La direction peut-elle voir les tendances d’amélioration sans surinterpréter les taux de clics ?
L’organisation peut-elle exporter des preuves pour des audits ou la gouvernance interne ?

Ces contrôles ne sont pas des extras. Ce sont eux qui rendent un programme de simulation défendable.

Le risque avec les anciens outils open source de campagne, c’est qu’ils rendent la partie envoi visible et la partie gouvernance invisible. Un administrateur motivé peut lancer quelque chose de crédible, mais l’organisation peut tout de même manquer de garde-fous de politique, d’approbation, de rétention et de reporting autour de l’ensemble.

King Phisher vs GoPhish : une mauvaise comparaison si la gouvernance compte

Beaucoup d’équipes comparent King Phisher à GoPhish parce que les deux sont des outils d’hameçonnage open source bien connus. Cette comparaison est utile si la seule question est l’exécution de campagnes auto-hébergées.

Mais si l’objectif est une formation récurrente à la sensibilisation, la meilleure comparaison est :

outil de type attaque auto-hébergé vs flux de travail de sensibilisation managé
contrôle brut des campagnes vs paramètres par défaut plus sûrs
propriété de l’infrastructure vs responsabilité de la plateforme
suivi des clics vs apprentissage et reporting
coût de licence nul vs coût opérationnel total

GoPhish peut être plus simple à prendre en main que King Phisher pour beaucoup d’équipes. King Phisher peut offrir une flexibilité différente et un ensemble de fonctionnalités historiques différent. Aucune des deux réponses ne résout à elle seule le problème complet d’un programme de sensibilisation.

Si vous comparez des options open source, incluez le travail opérationnel dans la comparaison. Comptez le temps nécessaire pour sécuriser la pile, maintenir les dépendances, configurer les domaines d’envoi, relire les modèles, gérer la rétention des données, expliquer le programme en interne et produire des rapports auxquels les responsables peuvent faire confiance.

Quand King Phisher peut encore avoir du sens

Il existe des usages étroits et légitimes :

un labo où aucune donnée réelle d’employé n’est stockée
un exercice de red team avec autorisation explicite et opérateurs expérimentés
une revue médico-légale d’anciens flux de campagne
un projet de migration où l’usage historique de King Phisher doit être compris
une preuve de concept de courte durée, isolée des systèmes de production

Dans ces cas, considérez King Phisher comme une infrastructure sensible pour la sécurité. Isolez-le, minimisez les données stockées, évitez de collecter de vrais secrets et définissez un plan de suppression avant le début du test.

Pour un programme de sensibilisation permanent, c’est généralement trop de travail pour un bénéfice programme trop faible.

Ce qu’une alternative à King Phisher devrait offrir

Une alternative solide à King Phisher ne devrait pas se contenter de reproduire la même boîte à outils avec une interface plus propre. Elle devrait réduire les risques qui rendaient l’infrastructure d’hameçonnage héritée difficile à exploiter.

Recherchez :

des validations de campagne avant lancement
des contrôles de confidentialité et de rétention dans les rapports
un contrôle d’accès basé sur les rôles
des expériences de destination centrées sur l’apprentissage
des garde-fous pour la revue des modèles et des scénarios
la planification récurrente des campagnes
des métriques de comportement, pas seulement les clics
des tendances par cohorte et par service
des exports de preuves pour la sécurité, la conformité et la direction
la prise en charge de scénarios modernes comme les QR codes, les outils collaboratifs et les leurres orientés mobile

La meilleure solution de remplacement est celle qui rend le flux de travail responsable plus simple que le raccourci risqué.

Liste de contrôle de migration pour les anciens utilisateurs de King Phisher

Si votre organisation dispose déjà d’une installation King Phisher ou d’une ancienne archive de campagnes, ne vous contentez pas de l’abandonner sur un serveur.

Procédez à une migration contrôlée :

Inventoriez les campagnes, modèles, pages de destination, domaines, utilisateurs et résultats stockés.
Vérifiez si des mots de passe, jetons ou valeurs sensibles de formulaires ont déjà été collectés.
N’exportez que les données historiques dont vous avez réellement besoin.
Supprimez ou anonymisez les données au niveau employé qui n’ont plus de finalité de conservation.
Révoquez les comptes admin inutilisés et les accès API.
Examinez les domaines d’envoi et les enregistrements DNS.
Documentez les catégories de simulation qui doivent rester autorisées à l’avenir.
Lancez la campagne suivante dans un flux de travail plus sûr, avec des validations explicites et des règles de reporting.
Mettez l’ancienne infrastructure hors service une fois la migration terminée.

Ce travail de migration est aussi un bon révélateur. Il montre à quel point l’ancien outil faisait peser une charge opérationnelle en dehors de l’interface visible de campagne.

Comment AutoPhish s’inscrit dans le modèle de remplacement plus sûr

AutoPhish est conçu pour les équipes qui veulent des simulations d’hameçonnage contrôlées sans exploiter une infrastructure héritée de type attaque.

L’approche plateforme compte, parce que la plupart des organisations n’ont pas besoin d’une flexibilité offensive maximale. Elles ont besoin de flux de travail de sensibilisation reproductibles, de limites de simulation sûres, de rapports utiles et d’un moyen de montrer les progrès sans transformer la formation en exercice de blâme.

Par rapport à l’exploitation interne de King Phisher, AutoPhish se concentre sur :

des flux de travail de simulation plus sûrs
des opérations de sensibilisation récurrentes
des rapports pour les publics sécurité et direction
une gestion des résultats attentive à la confidentialité
un suivi pratique après les campagnes
une charge d’infrastructure réduite au quotidien

C’est là le vrai argument de remplacement. L’intérêt n’est pas seulement d’éviter un vieil outil. C’est de passer d’une boîte à outils de campagne à un programme de sensibilisation managé.

FAQ

King Phisher est-il abandonné ?

Le projet original King Phisher indique qu’il n’est plus maintenu. Il existe des forks actifs, dont CrimsonForge-io/king-phisher, mais les équipes devraient évaluer la maintenance du fork, les dépendances, les fonctionnalités de gouvernance et le support opérationnel avant de l’utiliser pour une vraie formation à la sensibilisation.

King Phisher est-il sûr pour des simulations d’hameçonnage ?

Il peut être utilisé dans des environnements contrôlés et autorisés par des opérateurs expérimentés, mais ce n’est pas le choix par défaut le plus sûr pour des programmes récurrents de sensibilisation des employés. Le risque le plus important n’est pas seulement de savoir si l’outil fonctionne ; c’est de savoir si votre équipe peut sécuriser, gouverner, maintenir et expliquer tout le flux de travail.

Quelle est la meilleure alternative à King Phisher ?

Pour la plupart des organisations, la meilleure alternative est une plateforme de simulation d’hameçonnage maintenue, avec validations, reporting, contrôles de confidentialité, suivi de formation et exports de preuves. Si vous voulez moins de propriété de l’infrastructure, AutoPhish correspond mieux qu’une autre boîte à outils de campagne auto-hébergée.

Devons-nous utiliser GoPhish à la place de King Phisher ?

GoPhish peut être plus simple pour certaines campagnes auto-hébergées, mais cela n’élimine pas le besoin de gouvernance, de revue de confidentialité, de reporting sûr et de suivi de formation. Si ce sont les vraies exigences, comparez des plateformes de sensibilisation managées plutôt que de vous limiter à des boîtes à outils open source.

En résumé

King Phisher compte encore comme terme de recherche parce qu’il a été une boîte à outils open source d’hameçonnage bien identifiée. En 2026, cette notoriété devrait lancer une meilleure conversation : voulez-vous faire tourner une infrastructure d’hameçonnage héritée, ou voulez-vous mener un programme de sensibilisation plus sûr ?

Si la réponse est la sensibilisation, choisissez le flux de travail qui vous apporte simulations, reporting, gouvernance et suivi sans obliger votre équipe à maintenir une vieille pile de type attaque.

Inscrivez-vous pour lancer des simulations d’hameçonnage via AutoPhish sans avoir à gérer une infrastructure d’hameçonnage héritée.