La bulle d’IA dans les actions de cybersécurité : la valorisation de CrowdStrike et d’Okta a-t-elle déjà “cranté” l’avenir ?
Au début de 2026, la cybersécurité est devenue l’un des secteurs les plus en vogue de la Bourse américaine. L’indice S&P Kensho Cybersecurity a bondi de 41 % sur l’année, laissant très loin le S&P 500 (+11 %). La logique est simple : l’IA engendre de nouvelles menaces cyber, et les entreprises n’ont d’autre choix que de dépenser pour renforcer leurs protections.
Mais un problème se pose : parmi les deux principaux acteurs en tête, CrowdStrike et Okta, la valorisation est déjà montée au ciel, alors que la croissance de leurs revenus ne peut tout simplement pas soutenir ces niveaux.
Commençons par CrowdStrike. Sur l’année, le cours a doublé (+103 %) ; le ratio cours/ventes a grimpé jusqu’à 36 fois le chiffre d’affaires de l’an prochain, à l’approche des plus hauts historiques depuis l’introduction. Or, la croissance de ses revenus est passée de 29,4 % à 21,7 % ; pour les prochaines années, elle ne devrait guère dépasser les 22 %. À titre de comparaison, ServiceNow, lui aussi positionné sur la sécurité, maintient une croissance stable autour de 20 % à 22 %, avec un ratio cours/ventes d’environ 8 fois. À niveau de croissance similaire, pourquoi CrowdStrike serait-il valorisé plus de 4 fois ?
Okta est encore plus inquiétant. Cette société spécialisée dans l’authentification des identités bénéficie d’une conjoncture favorable liée au “boom des agents IA” : ces agents peuvent accomplir des tâches pour les utilisateurs, ce qui entraîne une explosion des besoins en gestion des droits ; Okta a donc lancé, en phase avec la tendance, des produits de sécurité pour agents IA. Mais sa croissance des revenus n’est que de 11,8 %, même inférieure à 11,5 % chez Salesforce ; et pourtant son ratio cours/ventes atteint 9 fois, contre moins de 5 fois pour Salesforce. Dans le secteur des logiciels, la médiane des ratios cours/ventes est de 4 fois, et la médiane des croissances de revenus sur les 12 prochains mois de 13 % : Okta ne surperforme sur aucun de ces deux critères.
Dit simplement : l’histoire de la sécurité IA est très “sexy”, mais l’argent n’est pas encore là. La suite d’outils de sécurité IA d’Okta n’a été lancée que de façon complète en avril ; son modèle de tarification et la taille du marché restent flous. Dans une note de septembre, Bernstein l’a formulé clairement : il est difficile de savoir quand l’activité “agents IA” arrivera à maturité et si elle dépassera les attentes fixées sur les modèles ; Okta fait partie de ces titres dont la valorisation a déjà été “pleinement réalisée”.
Ce qui compte encore davantage : la configuration concurrentielle. Le secteur est trop encombré : en plus de Palo Alto, CrowdStrike et Okta, Google a racheté Wiz en mars cette année ; la gamme de produits de sécurité de Microsoft a une taille significative ; et il existe aussi une série de jeunes pousses dédiées spécifiquement à la sécurité des agents IA.
Le vrai potentiel perturbateur pourrait venir directement des laboratoires d’IA eux-mêmes : OpenAI et Anthropic. Après avoir suivi les informations de recrutement, des analystes de KeyBanc estiment que les deux acteurs ont des ambitions bien plus grandes dans la cybersécurité que la feuille de route produit qu’ils montrent actuellement à l’extérieur. Ce raisonnement n’a rien de compliqué : beaucoup de produits IA des sociétés de sécurité reposent déjà sur des modèles de grande taille développés par OpenAI et Anthropic. Si les laboratoires augmentent leurs prix, ces fournisseurs de sécurité voient leur marge sous pression ; si les laboratoires se mettent eux-mêmes à vendre des produits, ils peuvent éliminer les acteurs historiques en pratiquant des prix plus bas. Dans son rapport financier d’août, SentinelOne a déjà explicitement mis en garde contre ce risque.
Pour les investisseurs en bourse, un rappel :
Le récit de la sécurité IA ≠ la performance réelle en sécurité. Il existe un gouffre d’écarts de valorisation entre l’histoire et les états financiers. Avant de courir après les hausses, posez-vous une question : payez-vous la performance, ou payez-vous un récit ?
Au début de 2026, la cybersécurité est devenue l’un des secteurs les plus en vogue de la Bourse américaine. L’indice S&P Kensho Cybersecurity a bondi de 41 % sur l’année, laissant très loin le S&P 500 (+11 %). La logique est simple : l’IA engendre de nouvelles menaces cyber, et les entreprises n’ont d’autre choix que de dépenser pour renforcer leurs protections.
Mais un problème se pose : parmi les deux principaux acteurs en tête, CrowdStrike et Okta, la valorisation est déjà montée au ciel, alors que la croissance de leurs revenus ne peut tout simplement pas soutenir ces niveaux.
Commençons par CrowdStrike. Sur l’année, le cours a doublé (+103 %) ; le ratio cours/ventes a grimpé jusqu’à 36 fois le chiffre d’affaires de l’an prochain, à l’approche des plus hauts historiques depuis l’introduction. Or, la croissance de ses revenus est passée de 29,4 % à 21,7 % ; pour les prochaines années, elle ne devrait guère dépasser les 22 %. À titre de comparaison, ServiceNow, lui aussi positionné sur la sécurité, maintient une croissance stable autour de 20 % à 22 %, avec un ratio cours/ventes d’environ 8 fois. À niveau de croissance similaire, pourquoi CrowdStrike serait-il valorisé plus de 4 fois ?
Okta est encore plus inquiétant. Cette société spécialisée dans l’authentification des identités bénéficie d’une conjoncture favorable liée au “boom des agents IA” : ces agents peuvent accomplir des tâches pour les utilisateurs, ce qui entraîne une explosion des besoins en gestion des droits ; Okta a donc lancé, en phase avec la tendance, des produits de sécurité pour agents IA. Mais sa croissance des revenus n’est que de 11,8 %, même inférieure à 11,5 % chez Salesforce ; et pourtant son ratio cours/ventes atteint 9 fois, contre moins de 5 fois pour Salesforce. Dans le secteur des logiciels, la médiane des ratios cours/ventes est de 4 fois, et la médiane des croissances de revenus sur les 12 prochains mois de 13 % : Okta ne surperforme sur aucun de ces deux critères.
Dit simplement : l’histoire de la sécurité IA est très “sexy”, mais l’argent n’est pas encore là. La suite d’outils de sécurité IA d’Okta n’a été lancée que de façon complète en avril ; son modèle de tarification et la taille du marché restent flous. Dans une note de septembre, Bernstein l’a formulé clairement : il est difficile de savoir quand l’activité “agents IA” arrivera à maturité et si elle dépassera les attentes fixées sur les modèles ; Okta fait partie de ces titres dont la valorisation a déjà été “pleinement réalisée”.
Ce qui compte encore davantage : la configuration concurrentielle. Le secteur est trop encombré : en plus de Palo Alto, CrowdStrike et Okta, Google a racheté Wiz en mars cette année ; la gamme de produits de sécurité de Microsoft a une taille significative ; et il existe aussi une série de jeunes pousses dédiées spécifiquement à la sécurité des agents IA.
Le vrai potentiel perturbateur pourrait venir directement des laboratoires d’IA eux-mêmes : OpenAI et Anthropic. Après avoir suivi les informations de recrutement, des analystes de KeyBanc estiment que les deux acteurs ont des ambitions bien plus grandes dans la cybersécurité que la feuille de route produit qu’ils montrent actuellement à l’extérieur. Ce raisonnement n’a rien de compliqué : beaucoup de produits IA des sociétés de sécurité reposent déjà sur des modèles de grande taille développés par OpenAI et Anthropic. Si les laboratoires augmentent leurs prix, ces fournisseurs de sécurité voient leur marge sous pression ; si les laboratoires se mettent eux-mêmes à vendre des produits, ils peuvent éliminer les acteurs historiques en pratiquant des prix plus bas. Dans son rapport financier d’août, SentinelOne a déjà explicitement mis en garde contre ce risque.
Pour les investisseurs en bourse, un rappel :
Le récit de la sécurité IA ≠ la performance réelle en sécurité. Il existe un gouffre d’écarts de valorisation entre l’histoire et les états financiers. Avant de courir après les hausses, posez-vous une question : payez-vous la performance, ou payez-vous un récit ?