C1, ex-ConductorOne, est-il adapté à l'IGA mid-market ? Tarifs, couverture et alternatives

Dernière vérification : 28 septembre 2026. Les informations sur l'éditeur ont été contrôlées ce jour-là sur les pages tarifs, hébergement, support et notes de version de C1.

C1, la plateforme de gouvernance des identités anciennement appelée ConductorOne, peut équiper une entreprise mid-market, mais elle est conçue et tarifée pour des programmes d'identité plus larges. Ce comparatif s'adresse aux DSI, responsables IT et RSSI d'entreprises de 50 à 500 salariés qui ont C1 dans leur shortlist pour les revues d'accès, le provisionnement ou la gouvernance des agents IA, et qui veulent savoir ce qu'il coûte, ce qu'il couvre et à quoi le comparer.

C1 chiffre chaque contrat à partir d'un périmètre d'identités gérées ou d'un volume d'usage, et ne publie aucun prix catalogue. Son niveau de support d'entrée, que C1 associe aux entreprises de moins de 500 salariés, prévoit une première réponse sur les incidents critiques sous un jour ouvré, pendant les heures de bureau de la côte Est des États-Unis. Sa page tarifs ne mentionne aucun module de gestion des contrats, des renouvellements ou des dépenses SaaS. Une équipe qui veut automatiser ses revues d'accès et piloter ses licences avec un seul éditeur européen devrait comparer C1 à Corma ; Lumos, Zluri et Torii sont les autres alternatives étudiées ci-dessous.

Si vous gérez les identités de plusieurs milliers de collaborateurs avec une équipe identité dédiée, C1 a été pensé pour votre situation, et les arbitrages propres au mid-market décrits ici pèseront moins.

À retenir

• ConductorOne est devenu C1 en avril 2026, et les notes de version de C1 précisent que le produit et les URL de tenant en conductor.one n'ont pas changé.
• C1 publie des modèles de tarification, pas des prix : forfait Platform dimensionné de 100 à 20 000 identités gérées, ou tarification Flex à l'usage en C1 Tokens.
• Le support Basic de C1, prévu pour les entreprises de moins de 500 salariés, garantit une réponse P0 sous un jour ouvré, en heures US Eastern, et 99,5 % de disponibilité.
• Depuis septembre 2026, les nouveaux clients C1 peuvent héberger leurs données dans l'UE (AWS Francfort) : la résidence des données ne distingue plus à elle seule C1 des éditeurs européens.
• C1 gouverne les agents IA jusqu'à chaque appel d'outil à l'exécution ; une équipe qui a surtout besoin d'inventorier et de revoir les accès de ses agents peut s'appuyer sur un outil IGA plus léger.

Qu'est-ce que C1 (ex-ConductorOne) ?

C1 est une plateforme de gouvernance et de sécurité des identités qui contrôle les accès des salariés, des prestataires, des comptes de service et des agents IA. C'est la même entreprise et le même produit que ConductorOne, nom porté jusqu'en avril 2026.

Dans ses notes de version, une entrée datée du 10 avril 2026 annonce que « ConductorOne is now C1 », avec un nouveau logo et une nouvelle identité visuelle. La même entrée précise que le fonctionnement du produit ne change pas et que les URL de tenant en tenant.conductor.one restent identiques. Le site a migré vers c1.ai, et l'entreprise indique des bureaux à San Francisco et Portland.

L'entreprise a levé 79 millions de dollars en série B, menée par Greycroft en octobre 2025, encore sous le nom ConductorOne. Sa page d'accueil présente aujourd'hui C1 comme « the identity platform built for the AI era », autour de trois piliers : gouverner les identités des collaborateurs, sécuriser les agents et aider les équipes à exploiter l'IA.

En termes de catégorie, C1 est une plateforme de gouvernance et administration des identités (IGA) : elle décide qui accède à quels systèmes, revoit ces accès dans le temps et produit les preuves attendues par les auditeurs. Le changement de nom a une conséquence pratique pour l'acheteur : beaucoup d'avis et de comparateurs de prix décrivent encore « ConductorOne », et certains datent d'avant la refonte de la page tarifs de C1. Vérifiez la date de tout ce que vous lisez.

Combien coûte C1 ?

C1 ne publie aucun prix. Sa page tarifs décrit deux façons d'acheter, indique que le prix exact est défini avec le client (« exact pricing scoped with you ») et termine chaque configuration par une invitation à réserver une démo pour obtenir un devis.

• La tarification Platform repose sur des références produit (SKU). Vous choisissez un périmètre en identités gérées (100, 500, 1 000, 5 000, 10 000 ou 20 000), un niveau de plateforme (Pro, ou Advanced pour les intégrations et la connectivité sur site), puis des modules.
• La tarification Flex est à l'usage. Les événements facturables consomment des C1 Tokens, l'usage et la dépense sont visibles dans le produit, et la facturation est mensuelle.

Des estimations tierces comblent le vide, avec des réserves. Le comparateur checkthat.ai, mis à jour le 22 avril 2026, annonce des contrats annuels de 4 300 à 20 000 dollars environ, pour une médiane proche de 14 000 dollars, « based on 3 completed deals ». Trois contrats ne font pas une grille tarifaire. La même page affirme que c1.ai/pricing renvoyait une erreur 404 ; cette page est aujourd'hui en ligne, avec des modèles mais sans chiffres. Enfin, le profil C1 publié par le même site décrit un client idéal de plus de 500 salariés, ce qui cadre mal avec un premier palier qu'il situe entre 100 et 300 salariés. Ces montants restent indicatifs.

Ce que la source primaire tranche : les périmètres C1 démarrent à 100 identités gérées, une entreprise de 150 personnes peut donc acheter C1. La taille de l'entreprise se fait sentir ailleurs, dans le modèle de service décrit plus bas. Les identités gérées ne se limitent pas aux salariés : C1 présente son module Lifecycle comme couvrant « your workforce, agents, and enterprise resources ». Demandez comment sont comptés prestataires, comptes de service et agents avant de comparer des devis.

Corma fait le choix inverse sur le point d'entrée. Sa grille tarifaire publique comprend une offre Freemium et une offre Essential à partir de 3 € par utilisateur et par mois (engagement annuel), toutes deux centrées sur la visibilité et la finance. Les revues d'accès automatisées relèvent de l'offre Pro, chiffrée après démo, et l'offre Enterprise est sur mesure à partir de 1 000 utilisateurs. Aucun des deux éditeurs n'affiche de prix pour les revues d'accès automatisées ; la différence, c'est qu'une évaluation de Corma peut démarrer sur une offre gratuite ou au prix public, sans cycle commercial.

Que couvre C1, et que laisse-t-il de côté ?

C1 couvre tout le cycle de gouvernance des identités, du cycle de vie et des demandes d'accès jusqu'aux accès just-in-time, aux revues d'accès et à la séparation des tâches, et y ajoute des passerelles IA, un coffre à secrets et des agents. Sa page tarifs ne mentionne aucun module pour les contrats SaaS, les renouvellements, les factures ou la dépense en licences.

Sur la sécurité et l'hébergement, C1 répond à l'essentiel d'un questionnaire de sécurité européen. Sa page confiance et sécurité affiche les certifications SOC 2 Type II et ISO 27001, un DPA RGPD et un BAA HIPAA, avec des rapports d'audit disponibles sous NDA. Sa page hébergement liste un environnement américain sur AWS, un environnement européen à Francfort (AWS) avec l'Irlande en reprise après sinistre, et un environnement fédéral annoncé « coming soon ».

L'absence de couche dépense SaaS est un choix assumé. Dans un article de juin 2025, Kevin Paige, Field CISO de C1, reprochait aux acheteurs de confondre les deux catégories et résumait : « A governance platform secures your business. An SMP gives you a dashboard. » (une plateforme de gouvernance sécurise l'entreprise, une plateforme de SaaS Management fournit un tableau de bord). Pour une entreprise dotée d'équipes sécurité et achats séparées, cette séparation peut fonctionner.

Entre 50 et 500 salariés, c'est généralement le même inventaire d'applications qui alimente les deux sujets, parce qu'on ne peut pas revoir les accès à une application dont personne ne connaît l'existence. Satelia, healthtech bordelaise de 70 salariés qui préparait ses certifications ISO 27001 et SOC 2, en est un cas concret. Ses auditeurs exigeaient la preuve d'une gestion des accès maîtrisée, et ses relevés manuels recensaient une trentaine d'applications. La découverte menée avec Corma en a révélé 160, et le même inventaire a mis au jour des abonnements redondants entre Notion, Google Drive et Confluence. Pour une équipe sans fonction SaaS Management dédiée, gouvernance des accès et maîtrise des licences formaient un seul projet, pas deux.

C1 convient-il à une entreprise de 50 à 500 salariés ?

C1 peut convenir à une entreprise de cette taille, à condition d'accepter le modèle de service d'un éditeur orienté grands comptes. Sa grille de support publique place les entreprises de moins de 500 salariés au niveau Basic : première réponse sous un jour ouvré sur les incidents critiques, horaires de support calés sur la côte Est des États-Unis, pas de customer success manager dédié.

Deux détails comptent pour une équipe française. D'abord, la plage 6 h 30 à 20 h 30 heure de l'Est correspond, la majeure partie de l'année, à 12 h 30 à 2 h 30 du matin à Paris : une panne de provisionnement le lundi à 9 h attend l'après-midi pour que la fenêtre de support s'ouvre. Ensuite, un engagement de disponibilité de 99,5 % autorise jusqu'à 3,6 heures d'indisponibilité environ sur un mois de 30 jours, contre 43 minutes environ à 99,9 %. Rien d'anormal à ce niveau de prix, mais ces deux points ont leur place dans votre grille de notation, à côté des fonctionnalités.

Combien de temps prend un déploiement de C1 ?

Sur un parc majoritairement SaaS, un déploiement de C1 prend généralement quelques semaines. Alex Bovee, CEO de C1, déclarait à BankInfoSecurity en octobre 2025 que le client moyen était en production en moins de quatre semaines, en connectant parfois des centaines d'applications dans ce délai. checkthat.ai relève des déploiements de trois semaines chez des clients cloud natifs, et de deux à trois mois dans des environnements hybrides avec des systèmes historiques. Les deux affirmations tiennent : la variable, c'est votre existant, pas l'éditeur. L'onboarding Corma se boucle lui aussi généralement en moins d'un mois pour une entreprise orientée SaaS : la vitesse seule ne départagera pas les deux sur un parc cloud.

Que disent les utilisateurs de C1 ?

Les retours de praticiens sur C1 sont positifs sur la qualité du produit. Dans des fils Reddit sur r/IdentityManagement et r/cybersecurity, des spécialistes de l'identité saluent ses connecteurs, son ergonomie et sa facilité de mise en place. Les objections soulevées dans ces communautés visent la catégorie plutôt que C1. Un fil s'intitule « Is a dedicated IGA system even worth it if only 20-30% of app landscape… » (un outil IGA dédié vaut-il la peine si seule une partie du parc applicatif est couverte ?). C'est la bonne question pour une entreprise de 50 à 500 salariés : quelle part de votre parc réel l'outil gouvernera-t-il, et à quel coût par application couverte.

C1 peut-il gouverner les agents IA ?

Oui. C1 traite les agents IA comme des identités qu'il peut découvrir, doter d'identifiants et revoir, et depuis juillet 2026 il gouverne aussi ce que font les agents à l'exécution, appel d'outil par appel d'outil. La gouvernance des agents IA désigne l'ensemble des contrôles qui déterminent ce qu'un agent peut consulter et faire, qui en est responsable, et comment ses accès sont revus puis retirés. C1 y a consacré trois lancements en 2026.

Pour une entreprise de 50 à 500 salariés, le premier risque lié aux agents tient généralement à l'inventaire, pas à l'exécution. Quels outils et agents IA sont connectés à vos applications SaaS, quels jetons OAuth et clés d'API détiennent-ils, qui est responsable de chacun, et ces accès sont-ils retirés quand ce responsable quitte l'entreprise ? Un agent dont le propriétaire est parti conserve son jeton et devient une identité non humaine orpheline, que les auditeurs traitent comme n'importe quel compte orphelin. Le guide Corma sur le cadre de gouvernance des agents IA détaille ces contrôles dans un plan sur 30 jours.

Corma couvre ce premier niveau dans le cycle de gouvernance des accès que vous appliquez déjà aux humains. Chaque agent y est traité comme une identité non humaine, avec moindre privilège, revues d'accès et piste d'audit. Sa page tarifs liste la découverte des identités non humaines (comptes de service, jetons d'API, OAuth), la gouvernance de leur cycle de vie et la visibilité sur les identités d'agents IA, et sa détection de la shadow IA analyse votre environnement SaaS, les extensions de navigateur et les applications connectées pour repérer les outils IA utilisés.

Corma ne propose pas de passerelle d'exécution pour les appels d'outils des agents. Si vous mettez en production des agents dotés de droits d'écriture et devez bloquer leurs actions une par une au moment où elles se produisent, C1 va plus loin, tout comme Lumos, qui annonce une gouvernance MCP des appels d'outils. Ce choix produit reflète une position assumée : le résumé d'un épisode de podcast consacré à Héloïse Rozès, CEO de Corma, résume sa conviction par « Non à l'Autopilot mais Oui au Copilot », et les agents d'automatisation de Corma fonctionnent avec validation par un administrateur et piste d'audit.

Quelles alternatives à C1 pour automatiser les revues d'accès ?

Les alternatives les plus proches de C1 pour automatiser les revues d'accès sont Corma, Lumos, Zluri et Torii. Les quatre automatisent les revues d'accès. Elles se distinguent sur la gestion des dépenses SaaS, la profondeur de la gouvernance des agents IA, la publication de prix et ce qu'elles affichent en matière de résidence des données dans l'UE.

Corma

Corma est une plateforme européenne qui réunit SaaS Management et gouvernance des identités pour les entreprises de 50 à 500 salariés. Ses revues d'accès automatisées remplacent les campagnes sur tableur par des relances, une certification ou une révocation en un clic et des rapports PDF ou CSV prêts pour l'audit. C'est l'option de cette liste qui associe un siège à Paris, la résidence des données dans l'UE et un prix d'entrée public.

Lumos

Lumos est la plus proche de C1 sur les agents IA : sa page tarifs mentionne revues d'accès, gestion du cycle de vie, AppStore en libre-service, agents IA qui gouvernent les accès et gouvernance MCP des appels d'outils. Aucun prix n'est publié. Notre comparatif Corma vs Lumos détaille les différences.

Zluri

Zluri combine gouvernance des identités (demandes d'accès, revues d'accès, séparation des tâches), gestion de la posture de sécurité des identités et SaaS Management avec suivi des dépenses et des renouvellements. Sa page sécurité liste RGPD, SOC 2 Type II, ISO 27001 et ISO 27701. Voir le comparatif Corma vs Zluri.

Torii

Torii met en avant le SaaS Management (shadow IT, optimisation des coûts, gestion des contrats et renouvellements) et propose aussi des modules de gouvernance des identités, dont les revues d'accès, les identités non humaines et la gouvernance agentique, ainsi que la découverte et le suivi des dépenses IA. Voir le comparatif Corma vs Torii.

Si votre entreprise est standardisée sur Okta ou Microsoft Entra ID, chiffrez d'abord leurs modules de gouvernance natifs avant d'ajouter un éditeur ; notre guide Okta vs Microsoft Entra ID compare les deux pour les ETI. Pour une vue plus large du marché, suites grands comptes comme SailPoint comprises, consultez notre sélection des meilleures solutions IGA pour le mid-market.

Comment choisir entre C1 et une alternative mid-market

Choisissez C1 quand l'identité est un programme porté par une équipe dédiée, quand des agents dotés de droits d'écriture arrivent en production, ou quand des systèmes historiques exigent des connecteurs sur site. Choisissez une alternative mid-market quand une seule équipe IT porte ensemble identités, licences et audits, et doit démarrer sans long cycle commercial.

Pour un acheteur français, ajoutez trois vérifications réglementaires à la grille. Si votre entreprise entre dans le champ de NIS2, l'article 21, paragraphe 2, point i) de la directive cite la sécurité des ressources humaines, les politiques de contrôle d'accès et la gestion des actifs parmi les mesures minimales de gestion des risques : ce sont précisément les preuves que produit un outil IGA. Le point d) ajoute la sécurité de la chaîne d'approvisionnement, et votre éditeur IGA en fait partie, puisqu'il détient la cartographie de tous les comptes de l'entreprise. Hors périmètre NIS2, le guide d'hygiène informatique de l'ANSSI et ses 42 mesures essentielles restent la référence de base à laquelle confronter l'outil retenu.

Côté RGPD, l'article 28, publié par la CNIL, dispose que « le traitement par un sous-traitant est régi par un contrat ou un autre acte juridique » : demandez à chaque éditeur son DPA et la liste de ses sous-traitants ultérieurs. C1 propose un DPA RGPD ; Corma est une entreprise européenne avec résidence des données dans l'UE. Vérifiez enfin où votre tenant sera réellement hébergé : l'instance européenne de C1 est proposée aux nouveaux clients qui ont besoin d'une résidence des données dans l'UE, les tenants américains existants doivent donc demander ce qu'implique une migration.

Pourquoi Corma pour la gouvernance des identités en mid-market

Corma est une plateforme européenne qui automatise la gestion des licences logicielles, des contrats et des accès aux identités pour les entreprises de 50 à 500 salariés. Là où C1 sépare par principe gouvernance et SaaS Management, Corma pilote les deux depuis un seul inventaire.

• Un seul inventaire pour les accès et les licences. La découverte recense les applications, les revues d'accès certifient qui les utilise, et les mêmes données guident la récupération de licences et les décisions de renouvellement, comme l'a montré le cas Satelia.
• Européen par défaut. Corma a son siège à Paris, mentionne la résidence des données dans l'UE sur sa page tarifs et est certifié ISO/IEC 27001:2022.
• Pensé pour le rythme du mid-market. Connecteurs natifs vers Google Workspace, Microsoft Entra ID, Okta et JumpCloud, plus de 200 intégrations dans l'offre Pro, et un onboarding généralement bouclé en moins d'un mois.
• Des revues d'accès prêtes pour l'audit. Campagnes automatisées, rapports PDF et CSV prêts pour l'audit, révocation automatique des jetons d'accès et application du moindre privilège.
• Les agents IA dans le même cycle de revue. Découverte des identités non humaines, gouvernance de leur cycle de vie et visibilité sur les identités d'agents IA, à côté des accès humains et non dans un produit séparé.
• Un point d'entrée transparent. Une offre gratuite, un prix de départ public, et une reconnaissance dans le Gartner® Magic Quadrant™ 2025 des plateformes de SaaS Management.

Questions fréquentes

C1 propose-t-il un essai gratuit ou un POC ?

La page tarifs de C1 propose des démos et des devis sur mesure, sans offre gratuite ni essai en libre-service : un proof of concept se négocie avec l'équipe commerciale de C1 pendant le cadrage. Corma, à titre de comparaison, publie une offre Freemium qui connecte gratuitement votre fournisseur d'identité et l'extension navigateur.

Comment C1 facture-t-il les agents IA et les identités non humaines ?

La tarification Platform de C1 se dimensionne en identités gérées, et C1 présente son module Lifecycle comme couvrant « your workforce, agents, and enterprise resources ». La page tarifs ne précise pas comment chaque agent ou compte de service est compté : faites confirmer la règle de comptage avant de comparer des devis. La tarification Flex facture plutôt des C1 Tokens par événement.

Quelles conditions contractuelles C1 propose-t-il ?

Les pages tarifs et confiance de C1 mentionnent des contrats annuels et pluriannuels avec facturation sur bon de commande et paiement à terme, un MSA sur mesure, ainsi qu'un DPA RGPD et un BAA HIPAA disponibles. La tarification Flex, à l'usage, est facturée chaque mois, avec usage et dépense visibles dans le produit.

C1 facture-t-il chaque connecteur ou chaque application ?

La page tarifs publique de C1 ne mentionne aucun frais par connecteur. Elle réserve en revanche les intégrations et la connectivité sur site au niveau de plateforme Advanced : une entreprise avec des systèmes historiques ou hébergés en interne doit s'attendre à dépasser le niveau Pro.

C1 gère-t-il les accès just-in-time ?

Oui. Le module C1 Access couvre le libre-service applicatif, les demandes d'accès encadrées par des règles, les accès just-in-time (JIT) et le contrôle d'accès basé sur les rôles. Un accès just-in-time accorde une permission pour une durée limitée puis la retire automatiquement, ce qui réduit les privilèges permanents sur les systèmes sensibles.