Tracecat parie qu'un SOAR open source bon marché bat la pile à 100 000 $ de Splunk ; 3,8 k étoiles

Tracecat est une plateforme d'automatisation de la sécurité open source destinée aux équipes et aux agents IA : les analystes construisent des automatisations de réponse aux alertes (enquêter, contacter les victimes, escalader, consigner les preuves) au moyen de workflows low-code, d'une gestion de cas et de plus de 100 connecteurs, déployable en cloud géré ou en auto-hébergement.

Les équipes sont exclues par le prix des SOAR, de sorte qu'un moteur open source fonctionnant sur une seule VM — et transformant ensuite des prompts en automatisations — peut l'emporter là où Splunk SOAR facture 100 000 $/an.

Les fondateurs étaient des ingénieurs data qui entendaient sans cesse leurs amis de la sécurité se plaindre d'être exclus par le prix des SOAR — Splunk SOAR coûte environ 100 000 $/an — tandis que les analystes font face à environ 100 alertes par jour à raison d'environ 30 minutes chacune, si bien que des alertes sont abandonnées et que des intrusions remontent à des tickets vieux d'une semaine. Tracecat a débuté comme une alpha minimaliste : workflows d'événements déclenchés par webhook, intégrations d'API REST, analyse JSONPath, blocs conditionnels, stockage de journaux Tantivy et une table de cas de type Jira, présentée le 2024-03-25 comme « une plateforme d'automatisation open source pour les alertes de sécurité ».

Le fil Show HN est devenu un débat de positionnement : les fondateurs ont défendu un modèle économique open core, soutenant qu'ils pourraient itérer plus vite que les acteurs en place sur l'UX, en particulier pour les fonctionnalités d'IA ; des commentateurs ont averti que le logiciel gratuit n'est pas un modèle économique et que Tracecat devrait placer des fonctionnalités derrière un paywall. Le produit est ensuite monté dans la pile : au crawl du 2026-09-04, le README décrit « la plateforme d'automatisation de la sécurité agentique » avec des automatisations à partir de prompts pilotées depuis Claude Code, Codex et OpenCode via MCP, une synchronisation Python native au code, une exécution en bac à sable avec nsjail, des workflows durables sur Temporal, et une Enterprise Edition sous AGPL-3.0 avec licence EE payante et options Cloud géré (US/EU) ou auto-hébergement.

Toujours en activité comme entreprise open core : le crawl du 2026-09-04 montre 3,8 k étoiles, 411 forks, 5 736 commits, un palier payant Tracecat Enterprise et des options de déploiement Cloud géré ou auto-hébergé. Les éléments ne contiennent aucune donnée sur le financement, le chiffre d'affaires, un arrêt d'activité ou une acquisition.

Attention vérifiable : le Show HN du 2024-03-25 a recueilli 264 points et 65 commentaires, et le dépôt a atteint 3,8 k étoiles, 411 forks et 5 736 commits au crawl du 2026-09-04.

Le pari est net et testable : le prix et la complexité opérationnelle maintiennent les SOAR hors de portée de la plupart des équipes, de sorte qu'un moteur open source sur une seule VM attaque la pile à 100 000 $ de Splunk, de qualité Kubernetes, là où elle est la plus faible.

Le fil montre la question du modèle économique débattue en temps réel — open core contre gratuité à perpétuité — et la licence AGPL plus Enterprise de 2026 montre quelle réponse l'entreprise a choisie.

L'histoire présente un arc vérifiable, du lancement de l'alpha à une plateforme agentique rebaptisée, le tout documenté sur le même dépôt et le même fil HN.

Attaquer le prix et la complexité opérationnelle de l'acteur en place avant ses fonctionnalités : un SOAR qui tourne sur une seule VM fait paraître absurde la pile à 100 000 $ de qualité Kubernetes, et le code ouvert fait le travail de vente.

Au 2026-09-05, Tracecat est en activité comme entreprise open core : le crawl du 2026-09-04 de TracecatHQ/tracecat montre 3,8 k étoiles, 411 forks et 5 736 commits, et le README présente la plateforme comme « l'automatisation de la sécurité agentique » avec des automatisations à partir de prompts via MCP, plus de 100 connecteurs, le bac à sable nsjail, des workflows durables fondés sur Temporal, et une Enterprise Edition payante sous AGPL-3.0, vendue en Cloud géré (US/EU) ou en auto-hébergement avec support. Les éléments ne contiennent aucune divulgation sur le financement, le chiffre d'affaires, un arrêt d'activité ou une acquisition, de sorte que la moitié commerciale du pari n'est pas vérifiable à partir de ces sources.