Les meilleurs honeypots en 2026 : comparatif et retours de test

Un honeypot reste l'un des outils les plus fiables pour détecter une intrusion : c'est un système leurre qui n'a aucune raison d'être sollicité légitimement, donc toute interaction avec lui est par définition suspecte. En 2026, l'offre s'est étoffée entre solutions open source historiques, plateformes commerciales tout-en-un et nouveaux venus qui misent sur l'IA pour rendre les leurres plus difficiles à démasquer.

Cet article passe en revue les principales solutions du marché, puis présente des tests concrets sur quatre solution open-source : Trapster Community, OpenCanary, Cowrie et T-Pot.

Les critères qui comptent vraiment

Avant de comparer les outils, voici les critères retenus :

• Réalisme du leurre : un honeypot facilement reconnaissable par un attaquant expérimenté perd l'essentiel de son intérêt.
• Couverture protocolaire : SSH et HTTP ne suffisent plus, un réseau interne réaliste expose aussi SMB, RDP, des bases de données, LDAP, etc.
• Facilité de déploiement et de prise en main : un bon honeypot doit pouvoir être mis en place en quelques minutes, pas en plusieurs jours.
• Exploitation des alertes : format des logs, intégrations SIEM, clarté de la configuration.
• Maintenance : activité du projet, fréquence des mises à jour, qualité de la documentation.

CTI/recherche ou détection en production : deux logiques différentes

Avant même de comparer les outils, il faut distinguer deux usages qui n'ont ni les mêmes objectifs ni les mêmes métriques de succès.

Un honeypot orienté CTI (threat intelligence) ou recherche vise à observer le paysage des menaces à grande échelle plutôt qu'à protéger un réseau précis. Il est généralement exposé directement sur une IP publique, sans lien avec un vrai système d'information, et son intérêt vient du volume et de la diversité des interactions captées : plus il attire de bots, de campagnes automatisées et de scans variés, plus les données collectées sont riches. La notion de faux positif n'a presque pas de sens ici, puisqu'aucun trafic légitime n'est censé passer par cette IP.

Un honeypot orienté détection/production, à l'inverse, vise à repérer le plus tôt possible qu'un attaquant est déjà entré dans un réseau interne donné. Il est déployé au milieu des vrais actifs (VLAN d'administration, segment serveurs), déguisé pour ressembler à une ressource légitime de l'entreprise. Ici, ce qui compte, c'est un taux de faux positifs proche de zéro et une alerte fiable qui déclenche une vraie réponse à incident, pas une analyse macro des tendances d'attaque.

Ces deux logiques expliquent pourquoi certains outils du comparatif, bien que placés côte à côte, ne répondent pas du tout au même besoin.

Panorama des solutions open-source en 2026

Trapster Community

Trapster Community est un honeypot moderne multi-services (SSH, FTP, HTTP/HTTPS, DNS, MySQL, MSSQL, LDAP, RDP, SNMP...) écrit en Python. Il se distingue par sa capacité à cloner l'apparence d'interfaces réelles à partir d'un fichier de configuration, et par des réponses générées dynamiquement pour compliquer le fingerprinting. C'est le moteur open source derrière la plateforme commerciale du même nom, Trapster (voir plus bas dans les plateformes commerciales). C'est un honeypot pensé pour la détection en production : déployé au sein d'un réseau interne réel, au plus près des actifs à protéger.

OpenCanary

Publié par Thinkst, OpenCanary est un démon Python léger qui émule une dizaine de services (SMB, FTP, HTTP, MySQL, VNC...) avec une empreinte minimale. Il s'installe rapidement sur un Raspberry Pi ou une petite VM et remonte ses alertes par e-mail, webhook ou Syslog. Ses émulations restent toutefois superficielles. Comme Trapster Community, c'est un honeypot pensé pour la détection en production plutôt que pour la recherche : son objectif est de servir de fil déclencheur discret au sein d'un réseau interne, pas de collecter un maximum de données sur le paysage des menaces.

T-Pot

Développé par Deutsche Telekom Security, T-Pot n'est pas un honeypot mais une distribution qui en agrège plus d'une vingtaine (Cowrie, Dionaea, Conpot...) avec un stack Elastic et des tableaux de bord prêts à l'emploi. Idéal pour la recherche sur une IP exposée à Internet, mais gourmand en ressources (plusieurs Go de RAM) et plutôt destiné à l'observation qu'à la détection discrète en interne. C'est typiquement un outil orienté CTI/recherche plutôt que détection en production : son profil est trop reconnaissable et son empreinte trop lourde pour se fondre discrètement dans un réseau d'entreprise, mais c'est un excellent poste d'observation du paysage des menaces sur Internet.

Cowrie

Successeur de Kippo, Cowrie reste la référence pour piéger les attaques SSH et Telnet. Il émule un shell interactif complet : l'attaquant croit obtenir un accès, ses commandes sont enregistrées et les fichiers téléchargés sont capturés. Sa limite principale est un périmètre protocolaire étroit et des artefacts par défaut assez connus des attaquants expérimentés. Cowrie se prête aux deux usages selon son placement : en sensor exposé sur Internet, il sert surtout à observer des campagnes de brute force et des botnets à des fins de recherche ; déployé et personnalisé au sein d'un réseau interne, il peut aussi jouer un rôle de détection, à condition de retravailler ses artefacts par défaut pour éviter qu'un attaquant averti ne le reconnaisse.

Dionaea et Conpot

Deux projets plus anciens mais toujours pertinents sur des niches : Dionaea capture les malwares qui se propagent par SMB, FTP ou MSSQL, tandis que Conpot émule des systèmes industriels (Modbus, S7comm, BACnet) pour les environnements OT.

Les plateformes commerciales

Du côté payant, plusieurs familles de produits coexistent.

Trapster

Trapster se positionne sur la détection interne à l'échelle : déploiement automatisé (y compris en environnement cloud, serverless ou multi-cloud, pour détecter mouvements latéraux et accès non autorisés), honeytokens, clonage de sites web, templates prêts à l'emploi et remontée directe vers un SIEM, le tout hébergé sur une infrastructure cloud européenne (OVHCloud), ou on-premise.

L'effort de déploiement reste très faible puisque les honeypots sont des machines virtuelles déployable en quelques minutes, qui se mettent à jour automatique, ce qui en fait un choix naturel pour qui a apprécié Trapster Community en test et veut passer à l'échelle sans recruter une équipe dédiée à la maintenance des sondes.

Thinkst Canary

Thinkst Canary, pionnier du secteur, reste une référence pour sa simplicité : appliances physiques ou virtuelles, tarification à l'unité, complétées par un service de canary tokens. Sa philosophie « chaque alerte est réelle » lui vaut un rapport signal/bruit que peu d'acteurs égalent, et son service gratuit Canarytokens a démocratisé la deception auprès d'équipes qui n'auraient jamais déployé de honeypots. Nous avons fait un comparatif plus précis entre Trapster et Thinkst Canary ici.

FortiDeceptor

FortiDeceptor est la brique de deception de Fortinet. Elle repose sur des leurres (decoys) et des appâts (lures et tokens) déposés sur les postes et serveurs réels pour détourner l'attaquant vers de faux actifs et détecter au plus tôt l'usage d'identifiants volés, les mouvements latéraux, les attaques de type MITM ou un ransomware. Elle sait isoler automatiquement un poste compromis, s'appuie sur des playbooks SOAR et s'intègre au SIEM, à l'EDR et au reste de l'écosystème. La tarification se fait à l'appliance (matérielle ou virtuelle) et au VLAN (minimum deux). C'est un choix coûteux mais cohérent pour les organisations déjà équipées Fortinet et pour les environnements industriels, moins pour une équipe qui cherche simplement une sonde légère à déployer en quelques minutes.

Un marché qui s'est concentré

Il faut noter que plusieurs pure players historiques ont été absorbés ces dernières années : Illusive Networks par Proofpoint, TrapX par Commvault et Smokescreen par Zscaler, en plus d'Attivo par SentinelOne. En pratique, le choix se résume aujourd'hui à quelques familles : les appliances ciblées et à faible bruit (Thinkst Canary), les grandes plateformes d'entreprise intégrées à un écosystème (FortiDeceptor, SentinelOne, Acalvio), les spécialistes du renseignement (CounterCraft), l'open source à opérer soi-même, et les offres cloud-native, souveraines et à déploiement rapide comme Trapster.

Le compromis reste globalement le même partout : plus l'intégration et le support sont poussés, plus la facture grimpe, avec parfois une adhérence forte à un unique fournisseur.

Tests terrain de 4 solutions open-source

Au-delà des fiches produits, quatre solutions accessibles pour un déploiement rapide ont été testées concrètement : Trapster, OpenCanary, Cowrie et T-Pot.

Trapster Community

Points forts :

• La mise en place est vraiment simple grâce à Docker Compose : quelques minutes suffisent pour avoir un environnement fonctionnel.
• La documentation est claire et compréhensible, ce qui change des projets open source où il faut souvent deviner la configuration.
• Un assistant de configuration est fourni, ce qui abaisse encore la barrière à l'entrée pour un premier déploiement.
• Il existe différents formats possibles pour les logs, dont ECS, qui permet d'envoyer les logs vers Elasticsearch sans transformation intermédiaire.

Démonstration :

Il suffit de cloner le dépôt avec git clone https://github.com/0xBallpoint/trapster-community.git, puis d'exécuter docker compose up --build à l'intérieur du dépôt. Si vous préférez éviter de gérer l'infrastructure vous-même, Trapster propose la même couverture en version managée.

Le honeypot démarre très rapidement et l'on a directement accès aux logs.

Dans la configuration de base, les 15 modules de détection sont activés. On peut par exemple essayer d'accéder au serveur web HTTP.

Par défaut, c'est le skin demo_api qui est configuré, mais le skin fortigate a été testé ici ; il en existe quatre autres, dont demo_ia, qui génère des réponses dynamiques en fonction des routes appelées (pour tous les outils qui utilisent l'IA, il faudra ajouter un fichier .env, voir la documentation officielle). Il est bien sûr possible de créer ses propres templates, notamment pour cloner un site existant en définissant ses routes et son contenu dans un simple fichier YAML.

Côté configuration, le gros plus est le script trapster-wizard.sh, qui assiste dans la création d'un fichier de configuration personnalisé.

Il suffit ensuite de copier le fichier généré dans trapster-community/trapster/data/trapster.conf ; le script indique même la commande exacte à exécuter.

Afin d'observer le comportement du service SSH face à ce type de reconnaissance, un scan de version nmap (nmap -p 22 -sV) a également été effectué sur le port 22.

On peut voir que nmap trouve bien la version qui a été configurée (OpenSSH 9.2p1 Debian 2+deb12u7), et que, côté Trapster, le scan a bien été détecté.

Dans l'ensemble, Trapster est la solution la plus agréable à déployer et à configurer parmi les quatre testées, avec une vraie volonté de simplifier l'expérience utilisateur. Un point à garder en tête : sans le module IA activé, le shell SSH reste avant tout une preuve de concept plutôt qu'une simulation poussée. Ça correspond au positionnement de Trapster, pensé comme un honeypot low-to-medium interaction pour détecter une intrusion plutôt que retenir l'attaquant avec un shell ultra-réaliste ; c'est le module IA qui vient ensuite ajouter ce niveau de réalisme.

OpenCanary

Points forts :

• Le lancement initial est rapide.
• Il offre pas mal de possibilités de configuration une fois qu'on a compris le fonctionnement.
• Solution ultra légère en ressources.

Démonstration :

Le démarrage est similaire à celui de Trapster : on clone le dépôt avec git clone https://github.com/thinkst/opencanary.git, puis on lance docker compose up --build sur la branche stable.

Dans la configuration de base, plusieurs modules sont déjà actifs : FTP, HTTP, HTTPS, MongoDB, ainsi qu'une détection des scans SYN et de fingerprinting OS (type nmap).

Testons par exemple une connexion FTP :

La connexion est bien détectée et journalisée, mais avec un format de log moins immédiat à exploiter que chez Trapster : il faut passer un peu plus de temps à configurer la sortie (fichier, Syslog, webhook...) pour obtenir quelque chose d'exploitable directement dans un SIEM.

Ce test illustre bien la différence de philosophie entre les deux outils. OpenCanary est la version open source du honeypot commercial Thinkst Canary, pensé dès l'origine comme un fil déclencheur ("tripwire") : le daemon implémente plusieurs protocoles réseau courants et envoie une alerte dès qu'un attaquant interagit avec l'un d'eux, sans chercher à le retenir ni à le tromper longtemps. Trapster, à l'inverse, mise sur une deception plus élaborée, avec du clonage d'interfaces et des réponses générées dynamiquement, pour prolonger l'interaction et récolter davantage d'informations sur le comportement de l'attaquant.

Un test nmap a également été effectué sur le port 22, et ce scan est lui aussi bien détecté par OpenCanary.

OpenCanary reste un choix pertinent pour qui cherche un capteur léger et rapide à déclencher, quitte à accepter une prise en main moins guidée que Trapster : la documentation manque parfois de clarté sur la configuration fine des logs, ce qui demande un peu plus de temps de prise en main qu'attendu pour un outil aussi léger.

Cowrie

Points forts :

• Le stockage des malwares est prévu nativement, ce qui permet de les analyser ensuite.
• Le shell émulé est plutôt réaliste dans son comportement général.
• Une fois en place, l'outil est facile à utiliser au quotidien.

Démonstration :

La documentation de Cowrie ne fournit pas de docker compose officiel, mais une image Docker existe bel et bien. Pour plus de facilité d'utilisation, un docker compose spécifique a été construit :

services:
  cowrie:
    image: cowrie/cowrie:latest
    container_name: cowrie
    networks:
      - default
    restart: unless-stopped
    ports:
      - "22:2222"
    volumes:
      - cowrie_etc:/cowrie/cowrie-git/etc
      - cowrie_var:/cowrie/cowrie-git/var

volumes:
  cowrie_var:
  cowrie_etc:

networks:
  default:
    driver: bridge

Une fois lancé, une connexion SSH est établie :

On obtient les logs correspondants :

Le shell est plutôt bien fait, malgré quelques détails qui pourraient mettre la puce à l'oreille d'un attaquant attentif sur le fait qu'il s'agit d'un piège : il ne gère pas les wildcards, et il est possible de supprimer des fichiers système sans que cela n'ait la moindre incidence sur le fonctionnement du shell. Ce ne sont pas des réglages qu'on peut ajuster en configuration : ils tiennent à l'architecture même du mode "medium interaction" de Cowrie, qui simule un shell plutôt que d'en exposer un vrai. Un attaquant pressé n'y verra sans doute que du feu, mais un profil plus expérimenté pourra repérer ces détails s'il prend le temps de tester les limites du système.

Un test nmap (nmap -p 22 -sV) a également été effectué sur le port 22, pour vérifier comment Cowrie se comporte face à ce type de reconnaissance : le scan renvoie lui aussi un banner OpenSSH crédible (OpenSSH 9.2p1 Debian 2+deb12u3), dans la même veine que ce qui a été observé sur Trapster, à un détail de version de patch près.

Cowrie reste une référence solide pour l'observation d'attaques SSH et Telnet, avec un shell émulé convaincant et un vrai mécanisme de capture des malwares pour analyse ultérieure. Pour un usage CTI/recherche, sur un sensor exposé, ces détails passent largement au second plan face au volume de données collectées ; pour un déploiement en détection sur un réseau interne, ils demandent en revanche un vrai travail de personnalisation avant de pouvoir compter dessus en production.

T-Pot

Points forts :

• Une couverture protocolaire très large grâce à la vingtaine de honeypots agrégés (Cowrie, Dionaea, Conpot, Honeytrap...).
• Des dashboards prêts à l'emploi (Kibana, Elasticvue, Attack Map) qui évitent d'avoir à construire sa propre stack de visualisation.
• Un projet activement maintenu par Deutsche Telekom Security, avec des mises à jour régulières.

Démonstration :

L'installation de T-Pot est un peu plus fastidieuse que celle des trois autres outils testés. Elle peut se faire sur une machine dédiée ou dans une VM ; l'installation a donc été faite sur une VM sous AlmaLinux : il suffit de récupérer et d'exécuter le script d'installation détaillé dans la documentation officielle.

Une fois l'installation terminée, on peut accéder au dashboard via https://<ip_vm>:64297.

On y trouve différents outils, dont Elasticvue et Kibana, qui vont nous servir à monitorer l'ensemble des honeypots déployés.

Un scan nmap est ensuite lancé sur la VM pour voir les ports ouverts :

Et voici le résultat visible sur Kibana :

On y retrouve immédiatement la répartition des attaques par type de honeypot (Honeytrap et Dionaea concentrent ici l'essentiel du volume), une carte géographique des attaques en temps réel, ainsi que plusieurs histogrammes par port de destination et par pays d'origine. C'est exactement ce qui fait la force de T-Pot : tout est déjà prêt à l'emploi, sans avoir à construire soi-même une stack de visualisation.

On se rend par ailleurs rapidement compte, avec le scan nmap, que tous les ports de la machine sont ouverts (tcpwrapped), ce qui retire toute crédibilité pour une détection ciblée en interne : aucun serveur en production n'a des milliers de ports ouverts de cette façon. Ça confirme bien la place de T-Pot : un outil pensé pour la recherche, à déployer sur une IP publique afin d'analyser les scans et les attaques de masse, plutôt qu'à glisser discrètement au milieu d'un réseau d'entreprise.

T-Pot tient ses promesses sur son terrain de prédilection : une installation un peu plus lourde que les trois autres outils, mais qui donne accès en retour à une couverture protocolaire massive et à des dashboards Kibana complets, sans aucune configuration de visualisation à faire soi-même. Ce n'est clairement pas un outil à déployer en détection interne, mais c'est un excellent poste d'observation pour qui veut comprendre ce qui circule réellement sur Internet.

Tableau comparatif

Quel honeypot choisir ?

Le choix de votre honeypot dépend avant tout de vos besoins. Si vous voulez apprendre et tester rapidement, Trapster Community ou Cowrie sont des solutions idéales, sur une simple VM, en une soirée. Si vous cherchez un déploiement ultra léger dans un environnement avec peu de ressources (Raspberry Pi, petite VM...), OpenCanary est fait pour vous, quitte à accepter une configuration des logs moins intuitive. Si vos besoins sont plutôt orientés recherche, avec une couverture large sur une IP exposée à Internet, T-Pot est fait pour vous, à condition de disposer de suffisamment de RAM.

Si vous voulez passer à l'échelle après avoir testé Trapster Community, sans gérer l'infrastructure vous-même, Trapster propose exactement ça : déploiement automatisé, templates prêts à l'emploi et hébergement européen. C'est d'ailleurs le cœur de cible de Trapster pour une PME sans SOC dédié qui veut des alertes directement exploitables, sans expertise poussée en interne. Enfin, si vous êtes un SOC ou un MSSP gérant de nombreux terminaux, il vous faudra plutôt une plateforme avec API, intégrations SIEM/SOAR et gestion multi-tenant des leurres et honeytokens.

Par où commencer

1. Déployer un premier leurre sur le segment le plus sensible du réseau (serveurs critiques, VLAN d'administration).
2. Brancher les alertes sur un canal réellement surveillé au quotidien : SIEM, Slack, e-mail d'astreinte.
3. Vérifier que ça fonctionne : lancer un scan nmap depuis un poste interne et confirmer que l'alerte remonte bien.
4. Étendre progressivement la couverture segment par segment, puis ajouter des honeytokens pour couvrir aussi les postes de travail.

Pour ceux qui veulent voir ce que donne une plateforme complète plutôt qu'un déploiement open source fait maison, réservez une démo de 30 minutes sur notre site : nous déployons un environnement de test avec vous.

Questions fréquentes

Quel est le meilleur honeypot open source ? Ça dépend du besoin : pour une détection d'intrusion large sur un réseau interne, Trapster Community offre la couverture protocolaire la plus étendue avec des leurres réalistes. Pour se concentrer sur les attaques SSH, Cowrie reste la référence historique. Pour de la recherche sur une IP exposée à Internet, T-Pot agrège l'essentiel de l'écosystème open source en une seule distribution.

Un honeypot gratuit suffit-il pour une entreprise ? Pour valider le concept sur un segment donné, largement. Mais à l'échelle, avec plusieurs segments à couvrir, des honeytokens à gérer, des alertes à centraliser vers un SOC et un réalisme à maintenir dans le temps, le coût réel de possession d'une solution open source finit souvent par dépasser celui d'une plateforme managée.

Un honeypot remplace-t-il un EDR ou un IDS ? Non, il les complète. Un EDR couvre les terminaux équipés d'un agent, un IDS analyse le trafic par signatures ; le honeypot, lui, détecte ce qui échappe aux deux : mouvements latéraux, machines sans agent installé, avec un taux de faux positifs proche de zéro puisqu'aucune interaction légitime n'est censée s'y produire. Notre définition complète du honeypot détaille cette complémentarité.

Combien coûte un honeypot ? De zéro, en auto-hébergeant une solution open source, à plusieurs milliers d'euros par an pour une plateforme d'entreprise avec support, selon le nombre de leurres déployés et les intégrations souhaitées. Consultez nos tarifs pour un ordre de grandeur concret.