Bonjour à tous ! Il y a quelques jours, je vous parlais de mon test de BunkerWeb, le WAF open source made in France (lien en fin d’article). Et comme souvent avec LinkedIn, « plop » , quelques heures après la piublication, j’avais Florian Pitance, fondateur et CEO de Bunkerity, au bout du fil ! D’habitude je fais des petits mails pour essayer d’attraper un CEO ou un CTO… là, quand le CEO vient tout seul, je l’attrape et il ne bouge plus 🙂
On a donc réussi à se caler une petite demi-heure (qui a duré quarante minutes, on ne se refait pas) pour parler de la société, de son parcours à lui, et de là où Bunkerity veut aller. Comme toujours, Jarvis était a mes côtés (bon, pas en live, mais ensuite …)
Bunkerity, d’un « side project » à 95 % du chiffre d’affaires
Bunkerity, c’est un pur player de la cybersécurité, fondé par Florian il y a six ans environ. Au départ, rien à voir avec l’édition logicielle : de l’audit, de la formation, du conseil en sécurité informatique. BunkerWeb existait déjà, mais venait en complément de tout le consulting Cyber. C’était un projet que Florian avait lancé quelques années plus tôt et qu’il avait décidé d’open sourcer, parce qu’il répondait à un besoin qu’il croisait sans arrêt. Sauf que ce projet ne rapportait pas un centime, et que dès le premier jour il y avait des stagiaires et des alternants à payer… donc il fallait bien que le conseil fasse rentrer de l’argent ^^
Et puis le truc a pris de l’ampleur, petit à petit. Pas tout seul bien sûr et Florian insiste là-dessus : ils ont misé dessus progressivement. Deux ou trois clients, on mise un peu plus ; un peu plus de clients, on re-mise encore. Jusqu’à la bascule : aujourd’hui, BunkerWeb représente environ 95 % du chiffre d’affaires de la société, et la partie conseil est mise de côté même si elle a du bien servir au début ! Florian ne s’en cache pas, il préfère largement l’ingénierie logicielle au conseil, il y voit un potentiel bien plus gros (et beaucoup plus de problèmes à résoudre, ce qui pour un ingé est plutôt une bonne nouvelle).
En fait, le besoin était déjà là, mais selon lui c’est pire maintenant : « merci le vibe coding », et merci aussi la hausse de la cybercriminalité. Surtout, il manquait quelque chose de vraiment clé en main côté open source. Historiquement, vous aviez le choix entre les très gros (F5 et consorts), le full SaaS à la Cloudflare, ou le do it yourself à base de briques open source à assembler soi-même. BunkerWeb se veut la porte d’entrée intégrée entre les trois.
Qui sont les clients ?
Pas les particuliers, et Florian le dit sans détour : « on est beaucoup trop cher ». Le cœur de cible, ce sont les PME et les ETI, avec beaucoup, beaucoup de secteur public. On trouve aussi des freelances, comme cet administrateur système et réseau qui déploie et administre BunkerWeb pour des collectivités et des petites structures. Encore un exemple qui me parle forcément : un hôpital belge, de taille modeste, qui a remplacé son F5 par BunkerWeb (oui, j’ai tendu l’oreille, ça fera grincer des dents certain collègue ^^).
Le modèle de licence ressemble beaucoup à celui de Proxmox : tout est open source, vous pouvez évaluer le produit aussi longtemps que vous voulez, et si vous voulez du support, un vrai service pro et quelques fonctionnalités en plus, vous prenez une licence. Côté vente, Bunkerity fait du direct et de l’indirect, avec un programme revendeur qui donne accès à des remises mais aussi une oreille attentive : quand un revendeur voit dix fois la même demande chez ses clients, elle remonte en haut de la pile. Très peu de marque blanche en revanche, et pas d’intégration sur site, qui est laissée aux partenaires ou freelances associés (le WAF plus le service, c’est plus logique).
Géographiquement, on est à 75 ou 80 % en Europe : beaucoup de France évidemment, l’Allemagne, la Suisse, un peu l’Autriche, la Belgique (beaucoup, par rapport à la taille du pays), les Pays-Bas qui montent, et un début d’Europe de l’Est. Le reste se partage entre les Amériques et l’Asie, et anecdote rigolote, le tout premier client BunkerWeb était en Colombie !
Le parcours de Florian
Florian a un parcours universitaire assez classique : master CRYPTIS à l’université de Limoges, côté sécurité informatique plutôt que crypto (« je n’étais pas très bon en maths », dit-il en rigolant). Geek au sens noble du terme (j’ai rien dit à Jarvis, incroyable, il a lu dans mes pensées 🙂 ), avec déjà l’envie d’entreprendre dans un coin de la tête, il décide quand même d’aller travailler d’abord.
Direction le ministère des Armées, à Paris, qui était venu faire sa promo à la fac. C’était pour lui le juste milieu entre une thèse et une ESN où il avait peur d’être pris pour de la chair à canon (c’est pas faux dans bien des cas), avec en prime une petite fibre patriotique. Trois ans et demi comme civil de la défense, auditeur cyber : pentests, applis, réseau, configurations, le tout avec les habilitations qui vont avec. Une école formidable de son propre aveu, qui l’a « bien formaté » en sortant de la fac.
Puis la lassitude de Paris, et le retour aux racines, du côté d’Agen. Plutôt que l’ESN du coin, il dépose un CV dans une jeune école d’ingénieurs en informatique, parce qu’il avait adoré avoir de bons profs à la fac. D’abord à temps partiel, avec une micro-entreprise montée à côté, puis à plein temps, deux ans et demi à trois ans au contact des apprenants, ce qui n’était pas du tout prévu au départ. Jusqu’au moment où il a fallu choisir… et Bunkerity est née.
Aujourd’hui Florian est président et CEO, mais c’est lui qui a conçu le produit à la base, et comme beaucoup de CEO tech il aimerait bien remettre plus souvent les mains dans le cambouis. Il a appris à déléguer et à prendre du recul (chose que j’ai encore du mal à faire personnellement, je vous l’avoue).
IA : deux personnalités dans la même tête
Je ne pouvais pas ne pas poser la question : en 2026, quand on dirige une boîte de sécu dont le produit phare est un WAF, comment on vit l’IA ? Réponse de Florian, du tac au tac : « j’ai plusieurs personnalités ». D’un côté, en tant que dirigeant, il veut pousser la production, et sur le code les IA sont parfaites pour ça. De l’autre, il faut en garder le contrôle, parce que qui dit contrôle dit sécurité (NDLR : et implique une grande responsabilité :)). En interne, l’IA sert déjà à trier les issues et les pull requests, comme dans beaucoup de boîtes.
Côté produit, 2027 sera l’année du machine learning, pour s’attaquer au grand problème de tous les WAF, les faux positifs. Pas question en revanche de mettre un LLM dans le chemin de chaque requête, ce serait beaucoup trop lent ; il faut des modèles très spécialisés, du machine learning au sens large. Deuxième chantier, la cyber threat intelligence : la version open source remonte par défaut les attaques bloquées (c’est désactivable), et ces données sont déjà analysées par l’équipe, un peu à la manière d’un éditeur d’antivirus.
Et troisième chantier, plus proche : une académie en ligne, avec une partie gratuite et une partie payante pour les pros, certifications à la clé, pour former à la sécu en général et à BunkerWeb en particulier. Vu la richesse du produit (j’ai à peine gratté la surface dans mon test), ça ne sera pas du luxe. Et plus largement, toute cette culture sécu, security by design, moindre privilège et compagnie, c’est quelque chose qu’il faut diffuser à tous les gens de l’IT.
Et dans cinq ans ?
L’idée est « un peu folle », de l’aveu même de Florian. La première étape était de valider que le produit tenait la route techniquement, puis commercialement, et c’est visiblement fait. Si le modèle est rentable à petite échelle, il peut l’être à plus grande échelle : Bunkerity aimerait donc le dupliquer à d’autres problématiques cyber, celles où l’on ne trouve aujourd’hui que des produits boîte noire, avec la même approche ouverte. pourquoi pas un « Bunker Mail » ^^ ?
Vates, EasyVirt et compagnie
Dernier sujet : Bunkerity a rejoint le programme partenaire de Vates, le Vates Alliance Network, lancé officiellement il y a peu. Il existe une appliance BunkerWeb au format XVA (l’OVA à la sauce XCP-ng) et un modèle pour protéger Xen Orchestra, et ils comptent aller plus loin. Mieux, Vates est client direct, et l’histoire est savoureuse : Florian et Olivier Lambert ne s’étaient jamais parlé, et c’est en voyant Olivier republier un de leurs posts avec un « Vates est client » que Florian est allé vérifier… une vente était tombée une demi-heure plus tôt, et c’était Olivier ! Les grands esprits se rencontrent. Après EasyVirt, ça fait un deuxième éditeur français qui gravite autour de Vates, et ça fait plaisir à voir. J’ai d’ailleurs promis de présenter Florian à mon ami Martin Dargent, tiens d’ailleurs il faut que j’écrive un mail …
Remerciements et conclusion
Un grand merci à Florian pour sa disponibilité et sa franchise. Je ne connaissais de BunkerWeb que le produit et le fait qu’il était français et open source, je repars avec l’histoire d’une boîte qui est passée de l’audit à l’édition, et qui a déjà de quoi s’occuper pour les années à venir !
Transparence oblige : Bunkerity m’a offert une licence Pro, que je compte activer quand j’aurai mis BunkerWeb en production devant vBlog.io (il faut surtout que je trouve le temps de le faire). Ce sera l’occasion d’un prochain article, en conditions réelles cette fois.
Références :
– Bunkerity : https://www.bunkerity.com
– BunkerWeb sur GitHub : https://github.com/bunkerity/bunkerweb
– Mon test de BunkerWeb : https://vblog.io/test-de-bunkerweb-le-waf-open-source/
– Mon entretien avec Olivier Lambert (Vates) : https://vblog.io/interview-dolivier-lambert-ceo-de-vates/
– Mon entretien avec Martin Dargent (EasyVirt) : https://vblog.io/entretien-avec-martin-dargent-ceo-deasyvirt/
– Florian sur LinkedIn : https://www.linkedin.com/in/florian-pitance/
