Supervision informatique : quel outil choisir ?

Daniel Platteau Support & matériel Cybersécurité

Mis à jour le 7 novembre 2026. Fonctionnalités, licences, prix et versions vérifiés le 7 novembre 2026 sur les sites et documentations des éditeurs.

Pourquoi c'est une décision de dirigeant

Un disque qui se remplit, une sauvegarde qui échoue en silence depuis trois semaines, un service qui s'arrête la nuit, des tentatives de connexion répétées sur le serveur : dans une PME, ces signaux existent presque toujours avant la panne ou l'intrusion. Ils sont simplement invisibles, parce que personne ne les regarde.

Superviser, c'est rendre ces signaux visibles et faire en sorte que quelqu'un soit averti au bon moment. Le choix de l'outil engage l'entreprise pour des années : il détermine ce que vous voyez, qui reçoit les alertes, où partent vos données, et ce que coûte la solution en licences et en temps de maintenance.

Ce comparatif part d'un besoin précis : superviser la santé des ordinateurs et des serveurs, être averti en cas d'anomalie, et analyser les journaux Windows et Linux. Il compare une solution commerciale de référence (NinjaOne), huit outils gratuits ou libres, et l'option « fait maison ».

Trois métiers à ne pas confondre

Avant de comparer des outils, il faut séparer trois besoins, car chaque outil est né pour l'un d'eux.

RMM signifie Remote Monitoring and Management : surveillance et gestion à distance. Un RMM sait installer les mises à jour, lancer un script, prendre la main sur un poste. Un outil de supervision mesure en continu et alerte. Un outil de journaux centralise les événements écrits par Windows et Linux, permet de les rechercher et, pour les plus orientés sécurité (on parle de SIEM, Security Information and Event Management), applique des règles de détection.

Gratuit n'est pas open source : les quatre familles de licences

La question de la licence n'est pas un détail juridique : elle décide de ce que vous avez le droit de faire, de ce qui se passe si l'éditeur change de politique, et de ce que votre prestataire peut vous facturer.

• Open source : la licence répond à la définition de l'Open Source Initiative (OSI). Vous pouvez utiliser, modifier et redistribuer le logiciel, y compris dans un cadre commercial. Exemples ici : Apache 2.0, GPLv2, GPLv3, AGPLv3.
• Source disponible : le code est lisible, souvent utilisable gratuitement, mais la licence impose des restrictions qui l'excluent de la définition open source. C'est le cas de la SSPL (Graylog) et de la licence propre à Tactical RMM.
• Gratuit : le logiciel ne coûte rien, quelle que soit sa licence. Une édition gratuite peut être fermée (propriétaire), ou plafonnée.
• Commercial : licence ou abonnement payant, code fermé, support de l'éditeur. NinjaOne en est l'exemple ici.

Certains outils mélangent les familles : chez Netdata, le moteur de collecte est open source, mais l'interface graphique livrée par défaut est sous une licence propriétaire.

Les neuf outils et l'option maison, un par un

NinjaOne : la référence commerciale

Ce que c'est. Une plateforme de gestion des postes et serveurs en mode SaaS (hébergée par l'éditeur, américain). Elle couvre la supervision, les alertes, les correctifs de Windows, macOS et Linux, plus de 200 applications tierces, la prise en main à distance, l'inventaire, la documentation, et en options la sauvegarde et la gestion des mobiles.

Systèmes pris en charge. Windows, macOS et Linux, plus un module séparé pour les mobiles.

Journaux. NinjaOne sait déclencher une alerte sur un événement Windows précis (identifiant d'événement et source), et propose des conditions « événements critiques ». C'est utile pour réagir, mais ce n'est pas une plateforme de recherche et d'analyse de journaux : il n'y a pas d'équivalent pour explorer l'historique des journaux Linux ou corréler des événements entre machines.

Licence et prix. Commercial, code fermé. L'éditeur affiche un prix par appareil et par mois allant de 3,75 dollars (50 appareils ou moins) à 1,50 dollar (10 000 appareils), variable selon la région et les modules ; le tarif exact se fait sur devis. Pas d'édition gratuite, mais un essai de 14 jours. Mise en route, formation et support sont inclus sans supplément selon l'éditeur.

Changements récents. Rachat de Dropsuite (sauvegarde SaaS et archivage de courriels) finalisé en 2025, gestion des Mac par MDM, module de gestion des vulnérabilités. La société revendique près de 40 000 clients en 2026.

Pour qui. Une PME ou un prestataire qui veut un outil complet, maintenu par d'autres, et accepte un abonnement et un hébergement hors de ses murs.

MeshCentral : la prise en main à distance libre

Ce que c'est. Un serveur web à installer chez vous, qui permet de prendre la main sur des ordinateurs à distance : bureau, terminal, transfert de fichiers, réveil à distance (Wake-on-LAN), journal d'activité des techniciens, enregistrement des sessions. C'est l'équivalent auto-hébergé d'un TeamViewer, avec des fonctions de gestion.

Systèmes pris en charge. Agent pour Windows, Linux (x86 et ARM), macOS et FreeBSD ; serveur en Node.js sur Windows, Linux ou macOS.

Supervision et journaux. Limitées : MeshCentral montre si un appareil est allumé et connecté et affiche des informations sur le système, mais il n'offre pas de supervision avec seuils, historique et alertes, et n'analyse pas les journaux. Ce n'est pas un outil de supervision.

Licence. Open source (Apache 2.0), gratuit. Le projet a été soutenu par Intel jusqu'en 2022 et est aujourd'hui maintenu par la communauté.

Pour qui. Comme brique de prise en main à distance, notamment au sein de Tactical RMM, qui l'intègre.

Tactical RMM : un RMM gratuit, mais pas open source

Ce que c'est. Un RMM auto-hébergé : prise en main (via MeshCentral intégré), terminal, scripts (PowerShell, batch, bash, Python…), correctifs Windows, contrôle des services, consultation des journaux d'événements, contrôles automatiques avec alertes par courriel, SMS ou webhook (processeur, disque, mémoire, services, scripts, journaux d'événements), inventaire matériel et logiciel, installation de logiciels via Chocolatey.

Systèmes pris en charge. Agents Windows 7, 8.1, 10, 11 et Windows Server 2008 R2 à 2025. Agents Linux et macOS, mais seulement pour les sponsors (voir ci-dessous) ; ils offrent moins de fonctions que l'agent Windows.

Licence. Source disponible, pas open source : la licence le dit elle-même. Elle autorise l'hébergement et l'usage pour gérer ses propres systèmes et ceux de ses clients, mais n'autorise pas, sans accord écrit d'AmidaWare, l'offre de services d'installation ou de configuration, l'usage dans un produit SaaS ou un service d'hébergement géré.

Gratuit, mais. Les agents Windows de base sont gratuits. Les agents Windows signés numériquement (moins souvent bloqués par les antivirus), les agents Linux et macOS et l'authentification unique (SSO) demandent un parrainage d'au moins 55 dollars par mois ou 600 dollars par an (palier conseillé sous 200 agents) ; le module de rapports demande le palier suivant (80 dollars par mois).

Prérequis. Une machine virtuelle Debian 11 ou 12, ou Ubuntu 22.04, avec au moins 4 Go de mémoire, un nom de domaine et trois sous-domaines (rmm, api, mesh). Les noms choisis ne peuvent plus être changés ensuite sans migration payante.

Pour qui. Une PME surtout Windows, avec un informaticien à l'aise sous Linux, qui veut un RMM sans abonnement par poste.

Zabbix : la supervision libre la plus complète

Ce que c'est. Une plateforme de supervision distribuée : serveurs, postes, services, bases de données, réseau (SNMP), sites web, avec modèles prêts à l'emploi, déclencheurs (seuils et conditions), alertes et tableaux de bord.

Nouveauté : Zabbix 8.0 LTS, sorti le 5 novembre 2026. Cette version à support long est supportée en complet jusqu'au 30 novembre 2029 et en limité jusqu'au 30 novembre 2031. Elle ajoute notamment la prise en charge d'OpenTelemetry (traces applicatives), un stockage d'historique possible dans ClickHouse, l'import et l'export de tableaux de bord et une interface modernisée. Elle relève aussi les versions minimales des bases de données (PostgreSQL 15, MySQL 8.4, MariaDB 10.11) : à vérifier avant toute mise à jour.

Systèmes pris en charge. Serveur sous Linux ; agents pour Windows, Linux, macOS et d'autres Unix.

Journaux. Zabbix peut surveiller des fichiers de journaux et, sous Windows, le journal d'événements (par exemple les échecs de connexion, événement 4625) et déclencher une alerte. Il réagit à des événements choisis à l'avance ; il ne remplace pas un outil de recherche dans les journaux.

Licence. Open source : AGPLv3 depuis la version 7.0 (GPLv2 auparavant). Gratuit pour un usage commercial ; l'éditeur vend support, formation et services.

Pour qui. Une entreprise avec plusieurs serveurs, du réseau, des services à surveiller, et quelqu'un pour construire et entretenir la configuration.

Checkmk Community : la supervision plus rapide à mettre en place

Ce que c'est. Une plateforme de supervision connue pour sa découverte automatique : on installe l'agent, Checkmk propose lui-même les services à surveiller. Serveurs, réseau, applications, virtualisation, conteneurs.

Changement récent. Avec la version 2.5 (printemps 2026), les éditions ont été renommées : l'ancienne « Raw Edition » s'appelle désormais Checkmk Community, l'édition Enterprise devient Pro, Cloud devient Ultimate.

Ce qui manque à l'édition Community. Elle repose sur le moteur Nagios, moins performant que le moteur propre aux éditions payantes, et n'a pas l'« Agent Bakery » qui fabrique et met à jour automatiquement les agents, ni les rapports avancés. Elle n'a en revanche pas de limite de nombre d'hôtes.

L'alternative gratuite limitée. Depuis la 2.5, Checkmk Pro (comme Ultimate) peut être utilisé gratuitement après l'essai, mais limité à 750 services et un site. Un hôte comptant souvent plusieurs dizaines de services, cela correspond à une petite infrastructure.

Licence. Community : open source (GPLv2). Pro et Ultimate : commerciales.

Pour qui. Une PME qui veut une supervision sérieuse sans passer des semaines à tout configurer à la main.

Netdata : la supervision en temps réel, avec un plafond

Ce que c'est. Un agent léger qui mesure tout à la seconde, détecte des anomalies par apprentissage automatique et génère des tableaux de bord et des alertes sans configuration.

Systèmes pris en charge. Linux et, avec l'agent Windows natif, Windows Server 2012 à 2025, Windows 10 et 11.

Journaux. Netdata propose un explorateur de journaux systemd (Linux) et d'événements Windows, disponible avec un compte gratuit. C'est une visionneuse locale efficace, pas une centralisation de journaux à long terme.

Licence. Mixte : l'agent est open source (GPLv3+), mais l'interface graphique par défaut est sous licence propriétaire (NCUL1).

La limite qui compte. L'offre gratuite (Community) limite à 5 nœuds l'accès aux tableaux de bord, dans Netdata Cloud et sur les tableaux de bord locaux des agents. Au-delà, les nœuds continuent de collecter leurs données, mais apparaissent verrouillés. Les plans payants se comptent par nœud.

Pour qui. Un parc de quelques serveurs Linux à diagnostiquer finement, ou en complément d'un autre outil.

Wazuh : les journaux et la sécurité, en open source

Ce que c'est. Une plateforme de sécurité qui combine SIEM et détection sur les postes : collecte et analyse des journaux avec un vaste jeu de règles de détection, surveillance de l'intégrité des fichiers, contrôle de configuration (référentiels CIS), détection des vulnérabilités, réponse automatique.

Systèmes pris en charge. Agents Linux, Windows, macOS, Solaris, AIX et HP-UX. Par défaut, l'agent Windows collecte les canaux System, Application et Security, et peut en suivre d'autres (PowerShell, bureau à distance…).

Prérequis. Composants centraux sous Linux 64 bits. Pour 1 à 25 agents, l'éditeur recommande 4 processeurs virtuels, 8 Go de mémoire et 50 Go de disque (90 jours d'alertes) ; 8 processeurs virtuels de 26 à 100 agents.

Version. La version stable est la 4.14 (4.14.10 du 5 novembre 2026). La 5.0, une refonte importante, est en phase de test : la documentation de la bêta indique qu'on ne pourra pas mettre à jour une 4.x en place. Mieux vaut démarrer en 4.14 aujourd'hui, en sachant qu'une migration se profile.

Licence. Open source (GPLv2), gratuit. Wazuh vend une offre hébergée (Wazuh Cloud) et du support.

Pour qui. Toute PME qui veut centraliser et surveiller ses journaux sous l'angle sécurité, sans coût de licence.

Graylog : la recherche dans les journaux, en source disponible

Ce que c'est. Une plateforme de centralisation et de recherche de journaux : réception de sources multiples, pipelines de traitement, recherche rapide, tableaux de bord et alertes.

Licence. Source disponible, pas open source : depuis la version 4.0, Graylog Open est sous SSPL, une licence que l'OSI n'a pas approuvée. Pour un usage interne, elle est gratuite et sans limite de volume ; la restriction vise surtout ceux qui proposeraient Graylog comme service à des tiers.

Changements récents. Le programme de licence gratuite pour petites entreprises (version Enterprise jusqu'à 2 Go par jour) a pris fin le 31 décembre 2025 ; Graylog Open inclut désormais une version limitée d'Illuminate, ses contenus d'analyse prêts à l'emploi. Graylog 7.0 exige Java 21 (fourni dans les paquets) et MongoDB 7.0 au minimum, et privilégie son « Data Node » (OpenSearch) ; Elasticsearch est déprécié.

Prérequis. Trois composants (Graylog, MongoDB, Data Node) sur un serveur Linux bien doté : en test, la pile occupe environ 4 Go de mémoire au repos, prévoyez donc au moins 8 Go. Les journaux Windows arrivent par un collecteur à installer sur les machines.

Pour qui. Une équipe qui veut avant tout chercher vite dans de gros volumes de journaux. Les fonctions SIEM avancées sont dans les éditions payantes.

Grafana Loki : les journaux à moindre coût, version « observabilité »

Ce que c'est. Un système de stockage de journaux qui n'indexe que des étiquettes (machine, service, niveau…) et non le texte complet, ce qui le rend économe en stockage. On l'interroge et on le visualise avec Grafana, souvent déjà utilisé pour les métriques.

Collecte. L'ancien collecteur Promtail est en fin de vie depuis le 2 mars 2026 et a été retiré de Loki ; il faut désormais utiliser Grafana Alloy, qui lit aussi le journal d'événements Windows.

Licence. Open source : Loki et Grafana sont sous AGPLv3 depuis 2021 ; les agents, dont Alloy, restent sous Apache 2.0.

Pour qui. Une équipe déjà à l'aise avec Grafana et Prometheus, qui veut des journaux à bas coût à côté de ses métriques. Pour la sécurité, il faut écrire soi-même ses règles d'alerte.

La solution « maison »

Ce que c'est. Assembler des briques fournies par les systèmes eux-mêmes et quelques scripts : transfert d'événements Windows (Windows Event Forwarding, intégré à Windows) vers un serveur collecteur, transfert des journaux Linux (rsyslog ou journald), scripts PowerShell ou shell planifiés qui vérifient disques, services et sauvegardes et envoient un courriel.

Avantages. Aucune licence, aucun agent tiers, contrôle total.

Limites. Pas de tableau de bord, pas d'historique exploitable sans outil de recherche, des alertes à maintenir à la main, et un savoir concentré dans une seule tête. Microsoft le signale lui-même : si le journal d'un poste est écrasé alors qu'il n'est pas connecté au collecteur, aucune notification ne signale les événements perdus.

Pour qui. Un très petit parc, ou un complément ciblé (par exemple une alerte sur une sauvegarde qui échoue) à côté d'un outil du marché.

Le tableau comparatif

Les mêmes outils, côté systèmes, journaux et effort :

Un seul outil ou une combinaison ?

Pour le besoin décrit (santé des machines, alertes, journaux Windows et Linux), une combinaison de deux outils couvre mieux le terrain qu'un outil unique. Les RMM et outils de supervision ne savent pas analyser des journaux ; les outils de journaux ne gèrent pas les correctifs ni la prise en main. Voici trois combinaisons cohérentes, selon votre parc.

Deux règles valent pour toutes les combinaisons. D'abord, un seul canal d'alerte : si chaque outil envoie ses courriels à sa façon, plus personne ne les lit. Ensuite, chaque outil ajouté est un logiciel de plus à mettre à jour et à protéger. Un RMM, en particulier, détient les clés de toutes vos machines : Microsoft a décrit en 2025 des intrusions qui commençaient par l'exploitation de ce type d'outils. Nous en parlions dans notre article sur l'audit des accès externes.

Concrètement : trois options

Pour fixer un ordre de grandeur : à 30 appareils, le tarif public le plus élevé de NinjaOne (3,75 dollars par appareil et par mois) représente environ 1 350 dollars par an, hors options. Le parrainage minimal de Tactical RMM (pour les agents Linux, macOS et signés) coûte 600 dollars par an jusqu'à 200 agents. Les autres outils n'ont pas de coût de licence, mais demandent un serveur et des heures de travail.

Exemple (cas illustratif) : un bureau d'études de 18 personnes, 18 PC Windows, un serveur de fichiers Windows, un petit serveur Linux qui héberge le site et un NAS. Avant : aucune supervision, des sauvegardes vérifiées « quand on y pense ». Après : un RMM sur les PC (correctifs automatiques, alerte quand un disque dépasse 90 %, prise en main à distance), Wazuh sur un petit serveur Linux qui reçoit les journaux du serveur de fichiers et du serveur web, avec alertes sur les connexions échouées en série, la création de comptes administrateurs et l'arrêt du service de sauvegarde, et une seule adresse de destination pour toutes les alertes. Dès la deuxième semaine, les alertes signalent un disque du serveur de fichiers presque plein et une tâche de sauvegarde qui échouait depuis un changement de mot de passe.

Pour votre informaticien

• Versions à date (7 novembre 2026) : Zabbix 8.0.0 LTS (5 novembre 2026), Checkmk 2.5, Wazuh 4.14.10 (5.0 en test, pas de mise à jour en place depuis 4.x), Graylog 7.x, Loki 3.7.x, MeshCentral 1.x.
• Zabbix 8.0 : bases minimales PostgreSQL 15 (TimescaleDB 2.20+), MySQL 8.4, MariaDB 10.11. Journal d'événements Windows en contrôle actif uniquement, par exemple eventlog[Security,,,,4625,,skip], avec un déclencheur find().
• Wazuh : log_format eventchannel pour les canaux Windows modernes (System, Application, Security par défaut ; ajouter Microsoft-Windows-PowerShell/Operational, Microsoft-Windows-TerminalServices-RemoteConnectionManager), filtres XPath par <query>. Désactiver les dépôts après installation, comme l'éditeur le recommande, pour éviter une mise à jour non planifiée.
• Loki : remplacer Promtail par Alloy (outil de conversion de configuration fourni) ; loki.source.windowsevent pour Windows. Le chart Helm est maintenu par la communauté depuis le 16 mars 2026.
• Graylog 7 : Java 21 inclus, MongoDB 7.0 ou plus (attention à l'AVX sur certaines VM pour MongoDB récent), Data Node recommandé, Elasticsearch déprécié et OpenSearch 1.x retiré en 8.0.
• Tactical RMM : Debian 12 recommandée (empreinte mémoire plus faible), pas de VM à processeur bridé ; trois enregistrements DNS (rmm, api, mesh) et certificat wildcard Let's Encrypt par enregistrement TXT. La licence interdit la vente de prestations d'installation ou de configuration sans accord écrit d'AmidaWare.
• Netdata : la limite de 5 nœuds s'applique aussi au tableau de bord local d'un agent parent, même sans connexion au Cloud.
• Windows Event Forwarding (option maison ou alimentation d'un SIEM) : abonnements par GPO, collecteur WEC, canal ForwardedEvents ; pas de notification en cas de perte d'événements côté source.
• Sécurité des plateformes : aucune console (RMM, Zabbix, Wazuh, Graylog, Grafana) exposée directement sur Internet ; accès par VPN avec double authentification, comptes nominatifs, mises à jour suivies comme celles d'un pare-feu.

Testez-vous

Sources

AmidaWare. (s.d.-a). License. Tactical RMM Documentation. https://docs.tacticalrmm.com/license/

AmidaWare. (s.d.-b). Sponsor Tactical RMM. Tactical RMM Documentation. https://docs.tacticalrmm.com/sponsor/

AmidaWare. (s.d.-c). Tactical RMM Documentation. https://docs.tacticalrmm.com/

AmidaWare. (s.d.-d). Installation. Tactical RMM Documentation. https://docs.tacticalrmm.com/install_server

Checkmk. (s.d.-a). Checkmk Pro. https://checkmk.com/product/checkmk-pro

Checkmk. (s.d.-b). Checkmk Pro [Guide de l'utilisateur]. Checkmk User Guide. https://docs.checkmk.com/latest/en/cse.html

Checkmk. (s.d.-c). Werk #19391: Checkmk edition renaming. https://checkmk.com/werk/19391

Computingforgeeks. (2026). [Tutoriel d'installation de Graylog 7 sur Rocky Linux et AlmaLinux]. https://computingforgeeks.com/install-graylog-rocky-linux-almalinux/

Grafana Labs. (2021, 20 avril). Grafana, Loki, and Tempo will be relicensed to AGPLv3. https://grafana.com/blog/2021/04/20/grafana-loki-tempo-relicensing-to-agplv3

Grafana Labs. (2025, 13 février). Grafana Loki 3.4: Standardized storage config, sizing guidance, and Promtail merging into Alloy. https://grafana.com/blog/2025/02/13/grafana-loki-3-4-standardized-storage-config-sizing-guidance-and-promtail-merging-into-alloy/

Grafana Labs. (s.d.). loki.source.windowsevent. Grafana Alloy documentation. https://grafana.com/docs/alloy/next/reference/components/loki/loki.source.windowsevent/

Graylog. (s.d.-a). The SMB License Program Ended December 31, 2025. https://graylog.org/?p=8716

Graylog. (s.d.-b). Upgrade to Graylog 7.0. Graylog Documentation. https://go2docs.graylog.org/current/upgrading_graylog/upgrade_to_graylog_7.0.htm

MeshCentral. (s.d.). Manageability features [PDF]. https://meshcentral.com/docs/managementfeatures.pdf

Microsoft. (s.d.). Use Windows Event Forwarding to help with intrusion detection. Microsoft Learn. https://learn.microsoft.com/en-us/windows/security/operating-system-security/device-management/use-windows-event-forwarding-to-assist-in-intrusion-detection

Microsoft Security Experts. (2025). Keys to the kingdom: RMM exploits enabling human-operated intrusions in 2024–25. Microsoft Community Hub. https://techcommunity.microsoft.com/t5/microsoft-security-experts-blog/keys-to-the-kingdom-rmm-exploits-enabling-human-operated/ba-p/4410903

Netdata. (2026, 29 octobre). Access control and feature availability. Netdata Learn. https://learn.netdata.cloud/docs/security-and-privacy-design/access-control-and-feature-availability

Netdata. (s.d.-a). Netdata for Windows. https://www.netdata.cloud/windows-monitoring

Netdata. (s.d.-b). Windows Events plugin. Netdata Learn. https://learn.netdata.cloud/docs/logs-management/windows-event-logs

NinjaOne. (s.d.-a). Policy condition types explained. NinjaOne Docs. https://www.ninjaone.com/docs/policies-and-conditions/conditions/policy-condition-types-explained/

NinjaOne. (s.d.-b). Pricing for the #1 Unified IT Operations Platform. https://ninjaone.com/pricing/

NinjaOne. (s.d.-c). Why NinjaOne. https://www.ninjaone.com/why-ninjaone/

Wazuh. (s.d.-a). Configuring log collection for different operating systems. Wazuh documentation. https://documentation.wazuh.com/current/user-manual/capabilities/log-data-collection/configuration.html

Wazuh. (s.d.-b). Quickstart. Wazuh documentation. https://documentation.wazuh.com/current/quickstart.html

Wazuh. (s.d.-c). Release notes. Wazuh documentation. https://documentation.wazuh.com/current/release-notes/

Wikipedia. (2026). MeshCentral. https://en.wikipedia.org/wiki/MeshCentral

Zabbix. (2026, 5 novembre). Release notes for Zabbix 8.0.0. https://www.zabbix.com/release_notes

Zabbix. (s.d.-a). Zabbix license. https://www.zabbix.com/license

Zabbix. (s.d.-b). Zabbix life cycle and release policy. https://www.zabbix.com/life_cycle_and_release_policy

Zabbix. (s.d.-c). Monitor Windows event log using active checks. Zabbix documentation. https://www.zabbix.com/documentation/current/en/manual/guides/monitor_windows_eventlog