Le boîtier posé dans votre local technique sert à décider ce qui a le droit de circuler entre votre réseau interne et internet, dans les deux sens. Sa fonction la plus utile n'est d'ailleurs pas de repousser des attaques venues de l'extérieur, ce que fait déjà grossièrement n'importe quelle box, mais de contrôler ce qui sort : c'est en observant les connexions sortantes anormales qu'on repère un poste compromis, un logiciel installé en douce ou une exfiltration de données en cours.
En résumé
- Le pare-feu filtre ce qui entre, mais son intérêt principal est de surveiller ce qui sort de votre réseau.
- Une box opérateur bloque les connexions entrantes par construction, sans jamais analyser le contenu des flux.
- Les fonctions d'analyse d'un pare-feu professionnel reposent sur un abonnement actif : sans lui, l'équipement redevient un simple routeur.
- Les règles s'accumulent au fil des années et doivent être revues, faute de quoi des accès oubliés restent ouverts.
- Un pare-feu unique est un point de panne unique : le contrat doit préciser le délai de remplacement.
Ce que fait réellement un pare-feu
Le principe de base est simple : chaque connexion qui traverse l'équipement est comparée à une liste de règles, et autorisée ou refusée selon le résultat. Ce mécanisme existe depuis longtemps et suffit à empêcher un inconnu d'atteindre directement votre serveur de fichiers depuis internet.
Un pare-feu d'entreprise moderne va nettement plus loin, parce qu'aujourd'hui presque tout circule par les mêmes canaux chiffrés que la navigation web ordinaire. Savoir qu'une connexion sort vers internet ne renseigne plus sur grand-chose. L'équipement cherche donc à identifier l'application derrière le flux, à vérifier la réputation du serveur contacté, à repérer les schémas typiques d'un logiciel malveillant qui appelle son centre de commande, et à bloquer les catégories de sites que vous ne souhaitez pas voir consultées depuis vos postes.
C'est cette lecture du trafic sortant qui a le plus de valeur pour une PME. Un poste infecté finit toujours par contacter l'extérieur : pour recevoir des ordres, pour télécharger la charge utile, ou pour envoyer des données. Le pare-feu est le seul endroit où l'on peut voir passer ce trafic quel que soit l'appareil concerné, y compris ceux sur lesquels vous ne pouvez rien installer, comme une caméra ou une machine de production.
| Fonction | Box opérateur | Pare-feu d'entreprise | Ce que cela permet d'éviter |
|---|---|---|---|
| Blocage des connexions entrantes | Oui, par simple absence de redirection | Oui, avec règles explicites et traçables | L'ouverture accidentelle d'un accès pour dépanner, jamais refermée |
| Contrôle des connexions sortantes | Non, tout sort librement | Oui, par application et par destination | Un poste infecté qui contacte son centre de commande sans être vu |
| Accès distant des salariés | Redirection de port, exposée en permanence | Tunnel chiffré avec authentification renforcée | Une prise de contrôle à distance devinée par force brute |
| Séparation des réseaux internes | Un seul réseau plat | Segments distincts entre bureautique, invités et objets connectés | La propagation d'un rançongiciel à tout le bâtiment |
| Journalisation des évènements | Historique minimal, vite écrasé | Journaux conservés et exploitables | Une enquête impossible faute de traces après un incident |
Pourquoi la box du fournisseur ne remplace pas cet équipement
La box protège d'une seule chose, et par accident : personne ne peut ouvrir une connexion vers l'intérieur tant qu'aucune redirection n'a été créée. Cette protection tombe dès que quelqu'un ouvre un port pour permettre un accès distant, ce qui arrive dans presque toutes les entreprises à un moment ou un autre. Ces ouvertures faites en urgence pour dépanner un salarié un vendredi soir restent en place des années et constituent une des portes d'entrée les plus exploitées.
Surtout, la box ne voit rien du trafic sortant, ne conserve pas d'historique utilisable, et ne sait pas séparer vos postes de travail de vos objets connectés. Le jour d'un incident, vous n'avez aucune trace pour comprendre ce qui s'est passé, ce qui complique à la fois la remise en service et la déclaration à votre assureur. La plateforme Cybermalveillance.gouv.fr décrit les réflexes à adopter et les démarches à engager quand un incident survient.
La licence, le point que personne ne surveille
Un pare-feu professionnel se compose de deux choses : un boîtier et un abonnement. Le boîtier assure le filtrage de base indéfiniment. L'abonnement alimente tout le reste : les signatures de détection, les listes de réputation, le classement des sites, l'analyse antivirale des flux. Quand cet abonnement expire, l'équipement continue de fonctionner et rien ne se voit du côté des utilisateurs, mais il a cessé de vous protéger contre les menaces récentes.
Vérifiez donc trois dates : la fin de l'abonnement de sécurité, la fin du support matériel, et la fin des mises à jour logicielles du modèle. Un boîtier dont le constructeur a arrêté les mises à jour est une vulnérabilité connue posée à l'entrée de votre réseau. Ce suivi de cycle de vie fait normalement partie des engagements d'un contrat d'infogérance.
Les règles vieillissent mal
Une configuration de pare-feu s'enrichit à chaque demande : un logiciel métier à ouvrir, un prestataire à laisser entrer, une machine à connecter au fabricant. Ces règles s'ajoutent, mais on ne les retire presque jamais. Au bout de quelques années, la configuration contient des autorisations vers des serveurs qui n'existent plus, pour des applications abandonnées et des prestataires dont le contrat est terminé.
Ce qu'une revue de règles doit produire
Une revue annuelle consiste à reprendre chaque règle et à répondre à trois questions : à quoi sert-elle, qui l'a demandée, et est-elle encore justifiée. Le livrable attendu est une configuration allégée, un commentaire sur chaque règle conservée, et une liste des règles supprimées. C'est un travail peu spectaculaire mais qui réduit réellement la surface d'exposition, dans le même esprit que les vérifications décrites dans nos guides de cybersécurité pour les PME.
Ce qui se passe quand le boîtier tombe
Un pare-feu unique concentre tout : sans lui, plus d'internet, plus d'accès distant, plus de téléphonie si elle passe par le même lien. La question à poser à votre prestataire est donc parfaitement concrète : combien de temps pour remettre un équipement en service, et avec quelle configuration. Une sauvegarde régulière de la configuration change tout, car elle permet de repartir en quelques dizaines de minutes sur un boîtier de remplacement au lieu de tout reconstruire de mémoire.
Cette question rejoint celle de la continuité d'activité au sens large, que nous traitons dans nos contenus sur la sauvegarde et la reprise d'activité. Si vous souhaitez faire auditer votre configuration actuelle ou comparer des offres, notre annuaire de prestataires informatiques recense des intervenants dans toute la France.
