QLYS - Qualys es un líder veterano en gestión de vulnerabilidades

Fecha: 26 jun 2026 · Horizonte: 6 a 12M (Swing) Precio: ~$115 · Market Cap: ~$4.0B

Sector: Ciberseguridad / Software-Infraestructura

Qualys es un líder veterano en gestión de vulnerabilidades (VM, identificar y priorizar fallos de seguridad en la infraestructura de una empresa) que se transformó en una de las plataformas más rentables del sector: 83% de margen bruto, 47% de margen EBITDA, 29% de margen neto y un río de caja libre. La acción se desplomó de $155 a $74 en 2026 por miedo al estancamiento del crecimiento y a la IA; hoy rebota cerca de $115. La tesis alcista es de calidad a precio barato (forward P/E ~15x) con recompra agresiva y una opción gratis: el pivote a IA agéntica y federal. Riesgo: medio, el crecimiento es de un dígito y eso es el techo de la historia.

Tesis de Alfa y Catalizadores

En corto: el mercado valora a QLYS como un software muerto de crecimiento; ignora que es una máquina de FCF que recompra acciones y tiene una unidad de negocios nueva de IA que puede reacelerar.

Pilares:

Rentabilidad de élite a múltiplo deprimido. ~15x beneficios forward para márgenes que la mayoría del software envidia.
Pivote a IA agéntica + federal. Agent Val, Risk Operations Center y FedRAMP High abren mercado nuevo.
Retorno de capital + caja neta. ~5% de yield por recompra y $470M de caja, casi sin deuda.

Catalizadores próximos:

📅 ~4 ago 2026: earnings Q2 (clave: billings y NRR).
📅 Expansión de la cohorte ETM/CSAM (NRR 107% vs 104% promedio).
📅 Monetización federal tras FedRAMP High de TotalCloud.

Fundamentales y Salud Financiera

En corto: gana mucho dinero, genera caja como pocos y tiene el balance limpio; lo único flojo es la velocidad de crecimiento.

Métrica Valor TTM Nota

----------------- ---------- -----------------

Revenue ~$685M +10% interanual

Gross Margin ~83% software puro

Adj EBITDA margin ~47% clase alta del sector

Net margin (GAAP) ~29% muy rentable

FCF (TTM) ~$237M ~35% margen FCF

Caja ~$471M deuda mínima

ROE ~38% capital eficiente

Q1 2026 (referencia): Revenue $175.6M (+10%), EPS no-GAAP $1.95, Adj EBITDA $83.3M (47% margen), FCF $93.6M (53% margen). Guía FY2026 SUBIDA a $721-727M (+8-9%) y EPS no-GAAP a $7.44-7.65.

Qué significa: Por cada dólar de ventas, Qualys convierte ~35 centavos en caja libre. ROE del 38% dice que el capital trabaja duro. La compañía recompra acciones, no las emite. El balance tiene caja neta (~$470M en caja, deuda casi nula), así que no hay riesgo de financiación.

Tendencia 4-8 trimestres: crecimiento estable en torno al 10%, márgenes ensanchándose, pero con dos señales amarillas: el margen FCF bajó del 67% al 53% interanual (están invirtiendo en ventas y marketing), y la tasa de expansión neta (NRR, cuánto más gasta un cliente existente año contra año) ronda 104%, baja para software. El motor cobra, pero ya no acelera solo.

Valoración

En corto: barata en términos absolutos y de calidad; el descuento es real, no una trampa obvia.

Múltiplo QLYS actual Contexto

------------ ----------- -------------------

P/E (TTM) ~20x vs ~30x histórico

Forward P/E ~15x barato para 47% EBITDA

EV/EBITDA ~14.5x comprimido vs su rango

P/S (TTM) ~5.9x en línea con pares VM

EV/Revenue ~5.2x neto de caja

PEG ~4.4x alto (crecimiento bajo)

Rango de Valor Justo: $120 a $150. Método dominante: DCF / múltiplos de FCF, porque el activo es un generador de caja predecible, no una historia de opciones.

Lógica: con guía de EPS no-GAAP de ~$7.50 para 2026, a 16-18x (múltiplo justo para una compañía de 47% de margen EBITDA con recompra del 5%) sale un rango de $120 a $135. Si el pivote de IA reacelera el crecimiento hacia los dobles dígitos medios, el mercado puede pagar 20x otra vez y la cosa va hacia $150.

Qué significa: Qualys cotiza a ~15x beneficios forward y ~14.5x EV/EBITDA después de caer un 50% desde máximos. Es de las plataformas de ciberseguridad más baratas en relación a su rentabilidad. El PEG de 4.4 avisa el pero de la historia: pagas barato por beneficios, pero el crecimiento es lento, así que el upside no viene de multiplicar ventas, viene de re-rating (que el mercado vuelva a confiar) más la recompra comiéndose acciones.

Moat Competitivo (Análisis Profundo)

En corto: foso estrecho de costos de cambio y datos propietarios; sólido pero bajo asedio de plataformas más grandes.

Fuente del moat:

Datos propietarios de 20 años de vulnerabilidades y parches. Qualys entrena su IA con ese histórico para predecir qué parche tumba un sistema, algo que un rival nuevo no puede replicar rápido.
Costos de cambio reales: el agente de Qualys está desplegado en la infraestructura del cliente, integrado en el flujo de trabajo de seguridad. Migrar es caro y arriesgado.
Amplitud de plataforma: VM, gestión de superficie de ataque, cumplimiento, TotalCloud (CNAPP, protección de aplicaciones cloud-native), parcheo. Un solo proveedor para varias funciones.

Durabilidad: media. El foso protege la base instalada, pero la categoría se está consolidando hacia mega-plataformas (CrowdStrike, Palo Alto, Wiz) que empaquetan exposure management dentro de suites más grandes. Quien lo erosiona: precisamente esos gigantes y el miedo a que la IA comoditice el escaneo de vulnerabilidades.

Métricas que validan (y matizan) el moat:

Margen bruto ~83% (poder de precio intacto).
NRR ~104% (la cohorte nueva ETM/CSAM va a 107%). Aquí está la grieta: un NRR de 104% es flojo, indica que los clientes no expanden gasto tan rápido como en software top.
40 millones de parches desplegados de forma autónoma con precisión Six Sigma (diferenciación operativa real).

Qué significa: Qualys defiende bien lo que tiene, pero no domina como antes. El foso aguanta el negocio actual; la pregunta es si la IA agéntica lo ensancha o si los gigantes lo erosionan. Por eso el semáforo es amarillo, no verde.

Contratos Recientes y Pipeline Comercial

En corto: momentum por canal y federal, no por venta directa; mezcla en transición.

Movimientos materiales (últimos 6 a 12 meses):

FedRAMP High para TotalCloud (mayo 2026): autorización que abre la puerta a cargas de trabajo cloud del gobierno de EE.UU. Mercado federal grande y pegajoso.
Lanzamiento de Agent Val (mar 2026): validación de exploits en lazo cerrado más remediación autónoma. Es el producto bandera del giro a IA agéntica.
Alianzas con OpenAI y Anthropic para acceso temprano a modelos frontera aplicados a inteligencia de amenazas.
Reconocimiento Forrester Wave (CNAPP) y premio SC 2026 a TotalCloud como mejor solución de seguridad cloud.

Driver de ingresos: en software el equivalente al backlog es billings y NRR. Billings crecieron ~6%, NRR 104% (cohorte ETM/CSAM 107%). El canal de partners ya es 52% de los ingresos y creció 17%; la venta directa solo +3%. Internacional +15% (45% del total).

Qué significa: el crecimiento real viene del canal indirecto y del exterior, mientras la venta directa en EE.UU. está plana. Es una transición deliberada (apalancar partners cuesta menos que vendedores propios), pero también revela que el negocio core maduró. La buena noticia: los productos nuevos (ETM/CSAM) expanden más rápido que el promedio, señal de que el pivote engancha. La guía SUBIÓ, no bajó, lo cual respalda el sesgo alcista.

Management e Insider Holding

En corto: equipo disciplinado con el capital, pero los insiders venden, no compran.

Insider Actividad reciente

------------------ ----------------------------

CFO Venta ~6,799 acc (~$873K) mar

Dir. T. Berquist Venta 939 acc (~$104K) jun

Patrón general Ventas pequeñas, cero compras

Actividad de insiders (Forma 4, últimos 6 a 12M): ventas rutinarias y de tamaño chico. El CFO vendió ~6,799 acciones (~$873K) en marzo; el director Thomas Berquist vendió 939 acciones (~$104K, el 12% de su tenencia directa) en junio. No hay compras abiertas registradas.

Qué significa: distribución de bajo voltaje, típica de un software maduro donde la compensación es en acciones. No es señal alarmante (montos pequeños, sin ventas masivas del CEO), pero tampoco hay el conviction buying que uno querría ver tras una caída del 50%. La propiedad insider es baja, normal en una compañía pública desde 2012; las instituciones dominan el registro.

Track record: Sumedh Thakar (CEO desde 2021) ha mantenido márgenes de élite y una asignación de capital ejemplar: recompras consistentes (~$1.3B devueltos a accionistas desde 2018, ~$307M de autorización restante, junta añadió $200M), cero dividendos, balance con caja neta y casi sin dilución. En un sector donde muchos diluyen sin parar, Qualys hace lo contrario. Eso es lo que sostiene el suelo de la acción.

Panorama Competitivo

En corto: Qualys es el más rentable del grupo VM, pero crece igual que el resto y los gigantes presionan desde arriba.

Empresa Crec. Rev Margen op. Perfil

------- --------- ----------- ------------------

QLYS ~10% ~45% n-GAAP VM, máxima rentab.

TENB ~10% ~24% n-GAAP Exposure mgmt líder

RPD ~0% bajo VM/SIEM, estancado

CIBR sector -- ETF ciberseguridad

Diferenciación clave: dentro del nicho de gestión de vulnerabilidades, Qualys gana en rentabilidad por amplio margen (47% EBITDA vs ~24% de Tenable y un Rapid7 prácticamente plano y en problemas). Tenable lidera en exposure management (herencia del scanner Nessus, plataforma Tenable One); Qualys responde con TruRisk/ETM. El riesgo no es perder ante TENB o RPD, es la sombra de las mega-plataformas (CrowdStrike, Palo Alto, Wiz) que absorben la función dentro de suites más completas.

Macro y Sector

En corto: viento de fondo a favor, con una nube de IA encima.

Tailwinds: los presupuestos de ciberseguridad suben porque la IA acelera la creación de amenazas (las ventanas de exploit se redujeron a menos de un día), y una encuesta de CIOs de KeyBanc señaló impacto positivo en gasto cyber por la adopción de modelos de IA frontera. Eso es demanda estructural. Headwind: la misma IA genera miedo de que comoditice el escaneo de vulnerabilidades y comprima precios, y ese miedo es justo lo que hundió al grupo en 2026.

Riesgos y Banderas Rojas

En corto: crecimiento lento, presión competitiva y compresión de caja.

El crecimiento es de un dígito y no despega. Guía +8-9%, billings ~6%, NRR 104%. Si el pivote de IA no reacelera, la acción se queda sin la palanca de re-rating y vuelve a ser un value barato sin catalizador. Impacto potencial: -20% a -30%.

Consolidación de plataformas y miedo a la IA. CrowdStrike, Palo Alto y Wiz empaquetan exposure management; el mercado teme que la IA abarate el escaneo. Esto es lo que tumbó al grupo de $155 a $74. Impacto potencial: -15% a -25%.

Margen de caja comprimiéndose. El margen FCF cayó del 67% al 53% interanual por inversión en ventas. Si gastan más y el crecimiento no responde, la tesis de "máquina de caja" se debilita. Impacto potencial: -10% a -15%.

Bear case (honesto): para que falle, basta con que Qualys siga creciendo al 8% sin acelerar, que la venta directa siga plana, y que el mercado decida que un software de bajo crecimiento merece 12x y no 18x. En ese escenario la acción se estanca en $90-100 pese a recomprar. No es un cero, es una trampa de valor que no se mueve.

A FAVOR ✅ EN CONTRA ❌

----------------------- -----------------------

Márgenes de élite (47%) Crecimiento de un dígito

~15x forward + 5% buyback NRR 104% flojo

Caja neta, cero dilución Gigantes presionan moat

RECOMENDACIÓN FINAL

Rating: Buy (tesis de calidad-valor, no de momentum). Convicción: Media. Precio Objetivo 6 a 12M: $135 (rango $120 a $150). Alfa esperada vs S&P 500: moderada y de bajo beta (0.65). Esto rinde por re-rating y recompra, no por explosión de ingresos. Espera batir al índice de forma modesta si el pivote engancha, con menos volatilidad que el mercado.

Esto NO es concejo financiero ⚠️

0 comments

QLYS - Qualys es un líder veterano en gestión de vulnerabilidades