Qualys, Inc. (QLYS)

Come guadagna

Qualys vende software come servizio, quasi esclusivamente tramite abbonamenti annuali rinnovabili: il cliente paga un canone per accedere a ciascuna Cloud App e di norma riceve fattura per l'intero abbonamento all'inizio del periodo. Quell'incasso resta a bilancio come ricavo differito e viene imputato a conto economico in quote costanti lungo la durata del contratto, così i ricavi contabili restano regolari anche quando gli ordini sono irregolari. La crescita arriva da tre direzioni: i clienti che rinnovano, i clienti che ampliano il perimetro o comprano altre Cloud App, e i clienti nuovi. Le prime due Qualys le misura con il net dollar expansion rate, pari al 103% sia nel 2025 sia nel 2024. Le grandi imprese e la pubblica amministrazione sono seguite da una forza vendita sul campo, le aziende più piccole da una struttura di vendita interna, e una quota consistente del giro d'affari passa da rivenditori, provider di servizi di sicurezza gestiti e società di consulenza: i partner di canale hanno generato il 49% dei ricavi nel 2025, contro il 46% del 2024 e il 43% del 2023. Nel modello indiretto Qualys vende l'abbonamento al partner, che lo rivende trattenendo il margine. In base all'indirizzo di fatturazione, il 56% dei ricavi 2025 è arrivato dagli Stati Uniti. I numeri sono quelli di un software maturo: nel 2025 il margine lordo è stato l'83% dei ricavi e il risultato operativo il 33%.

Qualys ha un vantaggio reale ma limitato, e nasce da quanto è scomodo staccare la piattaforma una volta installata. Il cliente distribuisce agenti, appliance di scansione e sensori passivi su tutto il proprio parco macchine, li collega al CMDB e al sistema di ticketing, e accumula in un unico posto anni di storico su vulnerabilità, configurazioni e audit; il solo modulo di conformità arriva con oltre 900 policy predefinite e 20.000 controlli mappati su più di 90 normative, che il team di sicurezza ha di solito adattato al proprio ambiente. Poiché le Cloud App condividono interfaccia, sensori e archivio dati, aggiungere un secondo o terzo modulo costa poco, mentre sostituire la piattaforma significa rimettere mano a tutto. Il bilancio descrive proprio questo schema: i clienti partono in genere da una o due soluzioni e poi allargano. Ma non bisogna esagerare la portata del vantaggio. È la stessa Qualys a scrivere che opera in un mercato molto frammentato contro CrowdStrike, Palo Alto Networks, Rapid7, Tenable, Tanium, Invicti e Wiz, che molti concorrenti diretti hanno più notorietà e risorse ben maggiori, e che i prezzi di vendita sono soggetti a pressione competitiva e possono scendere. I 52 brevetti concessi e il database di firme delle vulnerabilità aiutano, ma non impediscono ai rivali di includere scansioni analoghe dentro suite di sicurezza più ampie. Un net dollar expansion rate del 103% dice che i clienti restano e spendono un po' di più, non che siano prigionieri.

La domanda sta a metà tra difensiva e ciclica. Sul lato difensivo, gli abbonamenti sono annuali e si spalmano nel tempo, quindi una recessione non azzera i ricavi da un giorno all'altro, e buona parte della spesa è imposta dalla normativa più che scelta: PCI DSS, HIPAA, SOX, NIST, FedRAMP e obblighi analoghi richiedono audit ed evidenze indipendentemente dal ciclo economico, e gli aggressori non vanno in pausa durante una crisi. Sul lato ciclico, Qualys scrive senza giri di parole che l'attività dipende in misura significativa dalla domanda complessiva di IT e dalla salute economica dei clienti, e che debolezza economica, inflazione, variazioni dei tassi, budget di sicurezza compressi e cicli di vendita più lunghi — condizioni che dice di sperimentare dal 2023 — hanno già ridotto ricavi e utili e potrebbero farlo ancora. Cita anche le tensioni sui bilanci pubblici in Stati Uniti ed Europa e l'incertezza su dazi e politica commerciale, che erode il potere d'acquisto dei clienti. In pratica il pavimento della conformità regge, ma è lo strato di espansione — più asset in abbonamento, più Cloud App per cliente — a risentire per primo di un budget IT stretto, ed è proprio quello strato a generare la crescita oltre la base dei rinnovi.

Rischi principali

• Il business dipende dai rinnovi e dal vendere di più ai clienti già acquisiti — Qualys scrive che, se non riuscisse a rinnovare gli abbonamenti esistenti, a venderne di aggiuntivi e ad acquisire nuovi clienti, i risultati operativi ne risentirebbero. Poiché i ricavi maturano in quote costanti lungo contratti annuali, un'ondata di mancati rinnovi si manifesta gradualmente invece che tutta insieme, ma la base ricorrente si erode comunque.
• Concorrenza e pressione al ribasso sui prezzi — La società dichiara di operare in un mercato molto frammentato e di poter non disporre di risorse finanziarie o di altro tipo sufficienti a mantenere o migliorare la propria posizione competitiva, osservando che molti concorrenti diretti hanno più notorietà, storie operative più lunghe, budget di marketing maggiori e risorse decisamente superiori. Avverte inoltre, in un fattore di rischio a sé, che i prezzi di vendita sono soggetti a pressione competitiva e possono scendere — per sconti, cambio di mix o rivali più grandi che includono prodotti equivalenti nei loro pacchetti — con possibile riduzione dei margini lordi.
• Una vulnerabilità mancata o segnalata a torto danneggia il marchio — Qualys avverte che, se le sue soluzioni non rilevassero vulnerabilità reali o ne segnalassero di inesistenti, marchio e reputazione potrebbero subire un danno con effetti negativi sull'attività. È la promessa fondante di un prodotto di scansione: il cliente compra la garanzia che nulla sia sfuggito.
• Tutto viene erogato da infrastrutture cloud di terzi — Praticamente tutte le soluzioni sono ospitate su 15 piattaforme cloud condivise gestite da grandi fornitori terzi negli Stati Uniti, in Canada, Svizzera, Paesi Bassi, Emirati Arabi Uniti, Australia, Regno Unito, Italia, Arabia Saudita e India. La società scrive che quelle strutture sono esposte a terremoti, uragani, alluvioni, incendi, attacchi informatici, blackout e guasti alle telecomunicazioni, e che qualunque interruzione bloccherebbe o ritarderebbe l'erogazione ai clienti, riducendo i ricavi.
• Dipendenza dai partner di canale per una quota rilevante dei ricavi — La società dipende da partner di canale terzi — provider di servizi di sicurezza gestiti, rivenditori a valore aggiunto e società di consulenza — per una quota sostanziale dei ricavi, e afferma che gestire male quei canali distributivi potrebbe far calare i ricavi e compromettere le prospettive di crescita. Nel 2025 i partner hanno generato il 49% dei ricavi, e a parlare di rinnovo con quei clienti finali è il partner, non Qualys.
• Qualys stessa può essere attaccata — Il bilancio avverte che piattaforma, prodotti, sito web e sistemi interni possono essere oggetto di interruzioni intenzionali o altri incidenti di sicurezza, con possibili responsabilità e danni alla reputazione e alle vendite future. Un fornitore di sicurezza che custodisce la mappa dettagliata dei punti deboli dei propri clienti è un bersaglio particolarmente appetibile, e una violazione colpisce esattamente la ragione per cui i clienti comprano.
• Cicli di vendita lunghi e imprevedibili rendono i risultati irregolari — Qualys dichiara che il ciclo di vendita può essere lungo e imprevedibile e che l'attività commerciale richiede tempo e costi rilevanti, per cui i ricavi possono variare da un periodo all'altro e i risultati operativi oscillare. In un fattore di rischio distinto segnala anche che i risultati trimestrali e annuali possono scostarsi al punto da deludere le attese e far scendere il prezzo dell'azione.

La concentrazione è bassa e il bilancio lo dice esplicitamente: in ciascuno degli esercizi 2025, 2024 e 2023 nessun singolo cliente ha superato il 10% dei ricavi, e a fine 2025 la piattaforma serviva oltre 10.000 clienti nel mondo, tra istruzione, servizi finanziari, pubblica amministrazione, sanità, assicurazioni, manifattura, media, retail, tecnologia e utility. Qualys non pubblica una quota aggregata dei principali clienti, quindi qui non è possibile indicare alcun numero. Esistono due concentrazioni, ma non sono concentrazioni di clientela in senso stretto: il 49% dei ricavi 2025 è passato dai partner di canale anziché dalla vendita diretta, e il 56% è arrivato da clienti con indirizzo di fatturazione negli Stati Uniti, in calo dal 58% del 2024 e dal 60% del 2023.