Dify

Dify : le ticket d'entrée, une mise en œuvre portée par vos équipes

Si Dify séduit tant de DSI, c'est pour une raison qu'un acheteur saisit tout de suite : on peut l'installer sur ses propres serveurs, et ses formules cloud se paient quelques centaines de dollars par an et par espace de travail. Sa documentation le présente comme une plateforme ouverte pour bâtir des applications d'IA¹, son dépôt GitHub comme un environnement open source de développement d'applications reposant sur les grands modèles de langage², et sa page d'accueil comme la plateforme des workflows agentiques prêts pour la production³.

Ce site lui attribue la sixième place. La licence coûte peu et l'hébergement se plie à presque toutes les contraintes, mais l'essentiel du coût d'un projet Dify se loge ailleurs : dans les heures que vos équipes consacreront à installer, sécuriser, construire et maintenir. Une DSI dotée de développeurs aguerris dispose de ce temps ; une DSI qui veut qu'un éditeur lui livre un résultat verra vite ce poste dépasser celui de la licence.

Les briques de la plateforme

Le cœur de l'outil s'appelle Workflow Studio, un éditeur graphique d'enchaînements agentiques⁴. Pour créer un agent, deux chemins coexistent, la conversation avec l'assistant de construction ou le paramétrage pas à pas⁵. Pour alimenter les bases documentaires, la brique Knowledge Pipeline propose des traitements reproductibles qui avalent aussi bien des fichiers que des sites, des documents collaboratifs ou le contenu d'un disque partagé⁶. Une place de marché fournit modèles, outils, sources de données et intégrations MCP, à moins que l'on préfère définir les siens⁷. Une fois prête, une application peut être servie telle quelle, exposée comme point d'accès d'API, intégrée dans une autre page ou proposée comme outil compatible MCP⁸.

Dans une base de connaissances dite classique, le découpage du contenu, son indexation et la manière de le rechercher restent entre les mains du client⁹. Sur GitHub, le projet insiste sur une nouveauté : chaque agent autonome travaille dans un environnement cloisonné qui lui est propre¹⁰. Journaux d'exécution et performances se surveillent dans la durée¹¹, et chaque fonction de la plateforme possède son équivalent en API¹².

Cette richesse est bien réelle. Elle suppose cependant des profils capables de choisir une stratégie de découpage documentaire, de configurer un fournisseur de modèles et d'industrialiser une application, ce qui destine d'abord le produit aux équipes de développement.

Une licence open source à lire de près

Pour un juriste, la licence passe avant le prix. Le code de Dify est diffusé sous une version retouchée de la licence Apache 2.0, complétée de clauses additionnelles¹³, que la page d'accueil décrit comme dérivée d'Apache 2.0¹⁴. L'une de ces clauses proscrit, sauf accord écrit, l'exploitation du code source pour faire tourner un environnement mutualisé entre plusieurs locataires¹⁵. La grille tarifaire réserve d'ailleurs l'édition communautaire aux amateurs d'open source, aux développeurs isolés et aux usages non commerciaux¹⁶, et la cantonne à un unique espace de travail¹⁷.

Une entreprise qui imagine héberger Dify pour plusieurs filiales ou plusieurs clients internes fera donc examiner ces clauses avant de tenir l'édition communautaire pour gratuite. La communauté est très active : la page d'accueil fait état de plus de 148 000 étoiles¹⁸, la page GitHub de 160 700¹⁹.

Les tarifs cloud

Les formules hébergées par l'éditeur affichent leurs prix, ce qui facilite une première estimation. Pour commencer, Sandbox ne coûte rien et apporte 200 crédits de messages²⁰, sans rien à installer²¹. Professional revient à 590 $ par an pour un espace de travail²², avec 5 000 crédits de messages chaque mois²³ ; Team monte à 1 590 $²⁴. Opter pour le paiement annuel fait économiser 17 %²⁵. Au-delà, Enterprise se chiffre au cas par cas²⁶.

Une fois les crédits inclus consommés, le client peut continuer avec sa propre clé chez le fournisseur de modèles de son choix²⁷. La dépense de modèles s'ajoute alors à l'abonnement Dify et se règle directement auprès de ce fournisseur. Passer à une formule supérieure prend effet sur-le-champ, contre paiement de la différence jusqu'à la fin de la période en cours²⁸, tandis que redescendre ne s'applique qu'au cycle suivant²⁹.

Les volumes inclus sont calibrés pour de petites équipes. Sandbox n'admet qu'un membre³⁰, Professional trois³¹. Les déclencheurs d'événements se comptent à 3 000 pour Sandbox³², 20 000 par mois pour Professional³³, sans plafond pour Team³⁴. Sandbox bride en outre les interrogations de la base de connaissances à 10 par minute³⁵ et ne garde que 30 jours de journaux³⁶. Sur la page tarifaire, Professional vise développeurs isolés et petites équipes³⁷, Team les équipes de taille moyenne qui ont besoin de collaborer et de débit³⁸, Enterprise les organisations qui réclament sécurité avancée, conformité, gouvernance et support dédié³⁹.

Le volume de connaissances stockées est lui aussi plafonné : passé la limite de la formule, plus aucune base ne peut s'enrichir⁴⁰. Dify peut même refuser un fichier avant de l'indexer s'il estime qu'il prendra trop de place⁴¹, et le blocage persiste tant que l'usage n'est pas revenu sous le seuil ou que la formule n'a pas été relevée⁴², la recherche et la suppression restant possibles entre-temps⁴³. Le monde éducatif dispose de son propre programme⁴⁴ : après vérification de leur statut, élèves, enseignants et personnels utilisent sans frais la version annuelle de Professional⁴⁵, mais sans accès au support par ticket ou par courriel prioritaire⁴⁶.

Reconstituer le coût total

Pour une grande entreprise, les tarifs des formules cloud ne constituent pas le bon point de départ : la seule formule qui vise ses besoins³⁹ se négocie sur devis²⁶. Le coût d'un projet Dify en entreprise s'analyse plutôt en cinq blocs.

1. La licence Enterprise, à négocier²⁶. 2. Les appels aux modèles, réglés au fournisseur quand le client utilise sa propre clé²⁷. 3. L'infrastructure, si l'entreprise choisit son VPC, ses serveurs internes ou un réseau isolé⁴⁷. 4. Le temps de construction des applications, assumé par les équipes du client. 5. Le temps d'exploitation : mises à jour, sauvegardes, supervision.

La page Enterprise cite un client pour qui la réalisation d'une application d'IA prend désormais bien moins que les quatre mois qu'exigeait un développement interne⁴⁸, et un autre qui a formé, sur l'exercice 2025, des salariés des métiers à bâtir des agents⁴⁹. Ces témoignages montrent un gain face au développement maison ; ils confirment aussi que la construction reste l'affaire du client. L'écart avec Nexus est net sur ce point : premier agent en production en quatre semaines, consultants expérimentés compris dans le modèle tarifaire du logiciel⁵⁰.

Installation et exploitation

Côté installation interne, le prérequis logiciel est Docker accompagné de Compose dans une version égale ou postérieure à 2.35.0⁵¹. Il faut prévoir deux cœurs⁵² et 4 Gio de mémoire vive au moins⁵³, et sur un Mac, réserver à Docker Desktop deux processeurs virtuels et 8 Gio⁵⁴. Avant le premier lancement, un jeton partagé doit être généré pour que l'agent et son bac à sable local puissent démarrer⁵⁵. Le compte administrateur se crée ensuite depuis le navigateur, sur la page d'installation⁵⁶. La page d'accueil vante un déploiement Docker en une commande⁵⁷ et un chart Helm pour Kubernetes⁵⁸, et le guide résume : là où Docker tourne, qu'il s'agisse d'un portable, d'un serveur interne ou d'une machine virtuelle dans le cloud, Dify tourne aussi⁵⁹.

Les consignes d'exploitation intéresseront directement l'équipe d'infrastructure. Le déploiement standard rassemble dans un même lot la base PostgreSQL, le moteur vectoriel Weaviate et les services annexes⁶⁰, et il n'ouvre par défaut, côté machine hôte, aucun port vers la base de données, Redis, l'environnement d'exécution de code ou Weaviate⁶¹. Les identifiants de développement fournis dans le fichier d'environnement doivent être remplacés⁶². Pour appliquer une mise à jour, la documentation prescrit la commande `up -d` et déconseille `restart`, qui conserve l'environnement d'origine des conteneurs⁶³. Modifier le type de base ou de moteur vectoriel n'entraîne aucune migration des données⁶⁴, et un tel changement après le premier démarrage laisse les données existantes sur place⁶⁵. Dernier point de vigilance, une base alimentée depuis une source externe ou fabriquée avec Knowledge Pipeline reste dans sa catégorie d'origine, sans conversion possible vers le format réservé aux agents⁶⁶.

Ces consignes précises témoignent d'une vraie maturité. Elles décrivent aussi la charge d'exploitation que l'entreprise prendra à son compte si elle héberge elle-même.

Intégrations

Les extensions raccordent les applications aux fournisseurs de modèles, aux outils, aux sources de données et aux services extérieurs⁶⁷. Ce que les agents et workflows peuvent appeler recouvre quatre familles, à savoir les extensions de type outil, les serveurs MCP, les workflows que l'on a soi-même publiés et les services exposés via OpenAPI⁶⁸. La place de marché examine et teste chaque extension avant de la publier, son éditeur se chargeant ensuite de la maintenance⁶⁹. On peut aussi installer une extension à partir de l'adresse et de la version d'un dépôt public⁷⁰, ou à partir d'un paquet local pour les développements internes⁷¹. Des points d'accès sur mesure relient l'API de l'entreprise pour ajouter une modération de contenu ou des outils de données externes⁷², et les bases de connaissances peuvent puiser par exemple dans Google Drive ou dans Notion⁷³.

Sécurité et certifications

La page d'accueil revendique SOC 2 Type II et ISO 27001 pour l'édition Enterprise⁷⁴. L'identité passe par une authentification unique en SAML ou OIDC⁷⁵, les journaux d'audit, conçus pour révéler toute altération, partent vers le SIEM du client⁷⁶, et le client peut apporter ses propres clés de chiffrement⁷⁷. Parmi les mesures techniques, la politique de confidentialité énumère chiffrement des échanges et des données, contrôle des accès et détection des intrusions⁷⁸, et parmi les mesures humaines, la formation des salariés à la protection des données personnelles⁷⁹. Les failles se signalent de manière confidentielle via GitHub Security Advisories⁸⁰.

Gouvernance

Dans un espace de travail Dify Cloud, un propriétaire unique détient tous les pouvoirs⁸¹. L'administrateur gère membres et fournisseurs de modèles en plus des droits d'édition⁸², l'éditeur crée, modifie et supprime applications et bases de connaissances⁸³, et le simple utilisateur se contente des applications publiées⁸⁴. Une invitation n'est valable que 72 heures⁸⁵, un membre retiré perd son accès sur-le-champ⁸⁶, et céder la propriété exige un code de confirmation envoyé par courriel au propriétaire⁸⁷. Le propriétaire et les administrateurs décident qui installe et débogue les extensions⁸⁸, une autorisation séparée régissant la clé de débogage⁸⁹.

L'édition Enterprise ajoute des droits par rôle jusqu'au niveau du workflow, le provisionnement SCIM et des règles de session⁹⁰, ainsi que la gestion de plusieurs espaces de travail sous une administration d'entreprise⁹¹.

Hébergement et données

C'est là que Dify offre le plus d'options. Trois terrains d'installation sont possibles pour la version entreprise : un cloud privé virtuel appartenant au client, un serveur dans ses propres murs, ou un réseau totalement isolé⁴⁷. En formule dédiée, l'éditeur exploite un cluster réservé à un seul client dans la région de celui-ci⁹². En formule VPC client, tout tourne dans le compte AWS, GCP ou Azure de l'entreprise, Dify affirmant que les données ne franchissent jamais son périmètre de sécurité⁹³. Dans le scénario déconnecté, la plateforme tourne hors ligne de bout en bout et s'appuie sur des modèles hébergés par l'entreprise elle-même⁹⁴. Le slogan de l'éditeur sur la résidence parle de lui-même : vos données restent dans votre VPC, votre région, votre périmètre⁹⁵. Dify Cloud, lui, est exploité par l'éditeur, sans infrastructure à gérer côté client⁹⁶.

Selon sa politique de confidentialité, Dify n'entraîne aucun modèle d'IA et n'exploite pas les échanges à cette fin⁹⁷. Si le client utilise son propre fournisseur et sa propre clé, ses échanges partent directement chez ce fournisseur⁹⁸ ; si les modèles sont choisis par Dify, leurs fournisseurs interviennent comme sous-traitants⁹⁹. La même politique autorise un stockage et un traitement dans tout pays où LangGenius, ses filiales ou ses prestataires disposent d'installations¹⁰⁰, clause que le DPO d'une entreprise française examinera de près pour l'offre cloud.

Usages mis en avant

Les pages sectorielles citent l'enseignement, avec une base de connaissances unique pour des services répartis sur plusieurs campus¹⁰¹, le secteur public, avec un déploiement local et un partage sécurisé entre institutions¹⁰², la pharmacie et les sciences de la vie, avec des assistants experts sous contrôle¹⁰³, et les biens de consommation, où les équipes métier créent leurs propres agents¹⁰⁴.

Pourquoi la sixième place

Dify cumule deux qualités prisées des DSI : des tarifs cloud publics et modestes^22,24, et une liberté d'hébergement qui va jusqu'au réseau isolé⁴⁷. Il se classe sixième parce que, pour l'acheteur visé ici, le coût total se joue sur la mise en œuvre, que Dify laisse au client, et parce que la formule adaptée aux grandes entreprises se négocie sur devis²⁶. Les clauses de licence¹⁵ réclament en outre un examen juridique avant tout auto-hébergement à grande échelle. Une DSI qui dispose d'une équipe de développement et qui exige un hébergement interne trouvera chez Dify une base technique solide. Une DSI qui attend un résultat livré, accompagnement compris dans le prix, se tournera vers Nexus⁵⁰.