Dans cet article
Un VPN classique chiffre la connexion, mais place l'ordinateur distant à l'intérieur de tout le réseau de l'entreprise : avec un mot de passe volé, l'attaquant entre avec la même portée. La réponse passe par trois mesures, dans l'ordre : authentification multifacteur sur le VPN, limitation de ce qu'il permet d'atteindre et accès de la majorité de l'équipe aux seules applications dont elle a besoin. Pour beaucoup de petites PME disciplinées, un VPN bien configuré avec MFA reste suffisant. Nous expliquons comment savoir dans quel cas vous êtes.
Pourquoi le modèle de 2020 ne suffit plus
En 2020, de nombreuses entreprises ont mis en place le télétravail en quelques jours : VPN sur le pare-feu, un mot de passe par personne, et cela a fonctionné. La configuration est restée la même ; les attaques, non.
L'équipement VPN lui-même est devenu une cible. En 2025, Verizon soulignait déjà les attaques contre les équipements de périmètre et de VPN. Dans le rapport 2026, l'exploitation de failles logicielles est devenue la voie d'entrée la plus courante, présente dans 31 % des violations analysées.
Le tunnel et la carte d'hôtel
Le VPN est un tunnel qui relie le portable à tout le réseau : serveurs, dossiers partagés, imprimantes, caméras. Qui traverse le tunnel se retrouve à l'intérieur. L'accès par application fonctionne comme la carte d'une chambre d'hôtel : elle ouvre une porte, pas le bâtiment. Si la carte est volée, elle ouvre une chambre, et l'heure est enregistrée.
Le VPN continue de bien faire une chose : il empêche quiconque de lire le trafic dans un café ou un hôtel. Ce qu'il ne fait pas seul, c'est confirmer qui se trouve de l'autre côté, vérifier si l'ordinateur est à jour ou limiter ce qu'il peut atteindre.
Quatre façons dont un VPN devient une porte ouverte
- Identifiants volés Un phishing bien conçu obtient le mot de passe ; sans second facteur, le VPN l'accepte.
- Ordinateurs personnels Le portable de la maison, partagé et non mis à jour, introduit dans le réseau tout ce qu'il contient.
- Mouvement latéral Une fois à l'intérieur, l'attaquant cherche le serveur de fichiers, l'ERP et surtout les sauvegardes. Dans un réseau plat, rien ne l'arrête.
- Un équipement VPN non mis à jour Il est exposé à internet et fait l'objet de recherches automatiques dès qu'une faille apparaît.
Test rapide : votre VPN avec MFA suffit-il encore ?
Nous ne vendons pas de complexité à qui n'en a pas besoin. Si vous répondez oui à toutes les questions, le VPN fait son travail :
- Tous les accès demandent-ils un second facteur via l'application mobile, sans exception ?
- Seuls des équipements de l'entreprise, gérés et à jour, se connectent-ils ?
- Chaque groupe n'atteint-il que ce dont il a besoin (la comptabilité n'accède qu'au logiciel de gestion, par exemple) ?
- Le pare-feu et le portail VPN reçoivent-ils les correctifs en quelques jours, et non en quelques mois ?
- Existe-t-il un journal de qui s'est connecté, quand et d'où, et quelqu'un le consulte-t-il ?
- Aucun fournisseur ne dispose-t-il d'un accès permanent ?
Deux réponses négatives ou plus indiquent que le problème n'est pas le VPN : c'est la manière dont il a été mis en place.
VPN ou accès par application, au cas par cas
| Scénario | Un VPN avec MFA suffit-il ? | Que faire |
|---|---|---|
| Peu de personnes à distance, toutes avec un portable de l'entreprise | Oui, s'il est bien configuré | MFA, accès par groupe, pare-feu à jour |
| Travail sur des ordinateurs personnels | Non | E-mail et fichiers via le navigateur, sans entrer dans le réseau interne |
| ERP ou logiciel de gestion utilisé à distance | Cela dépend | Publier l'application avec une authentification forte, sans ouvrir le réseau |
| Fournisseurs avec un accès régulier | Non | Comptes individuels, limités et actifs uniquement pendant l'intervention |
| Données sensibles de santé, financières ou clients | Rarement | Accès par application avec journalisation de chaque accès |
Plan en quatre étapes pour l'accès à distance
Étape 1 — Un second facteur sur le VPN
C'est l'étape au meilleur rapport coût/bénéfice. La plupart des pare-feu professionnels prennent en charge la MFA, souvent intégrée à Microsoft 365. Les options sont présentées dans le guide authentification multifacteur en entreprise.
Étape 2 — Seuls les équipements gérés dans le réseau
Les ordinateurs personnels se limitent à l'e-mail et aux fichiers dans le navigateur, avec des règles qui empêchent de télécharger des données. Travailler avec les données de l'entreprise n'est pas la même chose qu'être à l'intérieur de son infrastructure.
Étape 3 — Publier des applications au lieu d'ouvrir le réseau
E-mail, fichiers, logiciel de gestion et parfois un bureau à distance : rien de tout cela n'exige d'être sur tout le réseau. Chaque application publiée avec une authentification forte est une porte à part, journalisée. Le VPN est réservé à ceux qui administrent les systèmes.
Étape 4 — Réduire la portée du VPN
Les sauvegardes, les caméras et les équipements de gestion du réseau ne doivent jamais être à la portée d'un utilisateur distant. Le pare-feu découpe le réseau en zones et ne laisse passer que le nécessaire. Les fournisseurs entrent avec leur propre compte, la MFA et un accès désactivé à la fin de l'intervention.
Exemple d'architecture pour 40 postes
Scénario illustratif : 40 postes, 10 personnes en télétravail régulier. La configuration recommandée serait :
- E-mail et fichiers Sur Microsoft 365, avec MFA et accès conditionné au type d'équipement.
- Logiciel de gestion Publié dans un bureau à distance avec authentification forte.
- VPN Réservé à deux administrateurs, avec second facteur, dans une zone de gestion séparée.
- Fournisseurs Comptes créés pour chaque intervention et désactivés à la fin.
Dans la plupart des cas, cela se fait avec le pare-feu et les licences que l'entreprise paie déjà : l'architecture change, pas la facture. La même logique se retrouve dans Zero Trust pour PME en 4 étapes, et les correctifs de l'équipement VPN doivent suivre une politique de mises à jour aux délais courts.
Cas réel : FreshDesign
Chez FreshDesign, DataRoad a installé un pare-feu de nouvelle génération et un VPN chiffré pour permettre à l'équipe d'accéder à distance aux serveurs et aux applications internes. Le projet comprenait un contrôle centralisé des accès et des autorisations, le filtrage et la prévention des intrusions, une supervision à distance permanente avec alertes proactives et deux connexions internet avec équilibrage de charge et basculement automatique en cas de défaillance d'un opérateur.
Le point décisif : le VPN n'a pas été installé puis oublié. Le contrat comprend les mises à jour du pare-feu, l'optimisation des règles et le suivi de la stabilité du VPN. C'est ce qui distingue un pare-feu managé d'une porte ouverte.
Questions fréquentes
Dois-je désactiver le VPN tout de suite ?
Non. Activez d'abord la MFA et limitez la portée. Migrez ensuite les personnes vers un accès par application. À la fin, le VPN ne sert plus qu'aux administrateurs.
Un VPN avec MFA suffit-il pour une PME ?
Il peut suffire si seuls des équipements de l'entreprise se connectent, si chaque groupe n'atteint que le nécessaire, si le pare-feu est à jour et si les accès sont journalisés. Si l'une de ces conditions fait défaut, le risque reste élevé.
Les collaborateurs peuvent-ils utiliser leur ordinateur personnel ?
Pour l'e-mail et les fichiers dans le navigateur, avec des règles contre les téléchargements, oui. Pour entrer dans le réseau interne, non.
Faut-il acheter une nouvelle solution ?
Pour la plupart des PME, non. Il faut mieux configurer le pare-feu et le Microsoft 365 existants et avoir quelqu'un qui gère les accès en continu.
Prochaine étape : revue de l'accès à distance en 5 jours ouvrés
Nous analysons le VPN, qui se connecte et à quoi, les comptes des fournisseurs et l'état du pare-feu, puis remettons un plan écrit avec les corrections par ordre de priorité. Demande sans engagement. La gestion des pare-feu et de la cybersécurité et du travail à distance et de la mobilité est incluse dans les formules IT Unlimited Premium.
Plus de 10 postes · contrat d'assistance · support à distance, sur site et téléphonique. Contact : sales@dataroad.pt.
