VPN entreprise : quand il protège vraiment une TPE-PME

Ce qu’il faut retenir

Ce qu’est vraiment un VPN, sans le jargon

La métaphore du tunnel

VPN signifie Virtual Private Network, réseau privé virtuel. L’image la plus juste est celle d’un tunnel sécurisé creusé dans un réseau public, internet. Quand vous envoyez des données via un VPN, elles sont chiffrées et encapsulées dans ce tunnel avant d’être transmises. Quelqu’un qui écouterait le trafic ne verrait que des données incompréhensibles.

Un VPN fait deux choses essentielles :

1. Chiffrement du trafic : il protège vos communications contre l’espionnage sur le réseau que vous utilisez.
2. Extension du réseau privé : il permet à un poste distant (chez vous, à l’hôtel, en déplacement) de se comporter comme s’il était dans les locaux de l’entreprise, avec accès aux mêmes ressources internes.

Ce qu’en dit l’ANSSI, en moins de deux minutes

L’ANSSI a publié le 6 novembre 2026 une courte vidéo pédagogique sur le sujet, dans sa série #PauseCyber. Elle reprend la même image : un passage réservé et caché des regards, plutôt qu’une route ouverte à tous.

Trois idées à en retenir :

• Un besoin ancien. Le VPN s’est développé dans les années 1990, quand internet s’est ouvert à la société civile : il fallait permettre à un utilisateur éloigné de rejoindre le réseau privé de son entreprise ou de son université en passant par un réseau public.
• Un usage professionnel avant tout. Aujourd’hui, il sert surtout à sécuriser les accès à distance aux systèmes d’information, et l’ANSSI recommande de l’activer lorsqu’un appareil se connecte à un réseau wifi.
• Pas de sécurité à 100 %. La configuration, les protocoles utilisés et leur maintien à jour sont essentiels. C’est l’affaire du service informatique, ou du prestataire qui en tient lieu dans une petite structure.

C’est exactement ce que nous constatons sur le terrain : le tunnel lui-même est rarement le problème, ce sont les réglages et l’entretien qui font la différence. L’ANSSI regroupe ses guides sur la sécurisation des accès à distance sur MesServicesCyber, rubrique guides et ressources.

Ce qu’un VPN ne fait pas

Le VPN est souvent survalorisé dans les discours commerciaux. Il :

• ne protège pas contre les logiciels malveillants ou les rançongiciels, ce n’est pas son rôle ;
• ne rend pas votre poste invulnérable ;
• ne protège pas si le serveur VPN lui-même est compromis ;
• ne protège pas contre l’hameçonnage : on peut parfaitement cliquer sur un lien malveillant en étant connecté via un VPN ;
• ne remplace pas une bonne politique de mots de passe, de mises à jour et de sauvegardes.

Le VPN est une couche de protection réseau. Il complète les autres mesures de sécurité, il ne les remplace pas. Nous détaillons ce point dans VPN ou antivirus : pourquoi il faut les deux.

Les deux grandes familles de VPN pour les entreprises

Le VPN d’accès à distance

C’est le cas le plus courant en TPE-PME. Il permet à des utilisateurs distants (télétravailleurs, commerciaux en déplacement) de se connecter au réseau interne de l’entreprise comme s’ils étaient au bureau : serveur de fichiers, logiciel de comptabilité interne, imprimantes réseau, toutes les ressources qui ne sont pas accessibles directement depuis internet.

Ce type de VPN nécessite :

• un équipement ou un logiciel serveur VPN, dans les locaux de l’entreprise ou hébergé chez un prestataire ;
• un logiciel client installé sur chaque poste distant ;
• une gestion des accès : qui peut se connecter, avec quels droits.

Le VPN site-à-site

Il relie en permanence deux réseaux distincts : par exemple le siège et une agence, ou les locaux d’une entreprise et son hébergeur. Les utilisateurs des deux sites partagent les ressources comme s’ils étaient sur le même réseau local. Ce cas concerne surtout les entreprises multi-sites.

Quand avez-vous vraiment besoin d’un VPN ?

Les cas où le VPN est utile

• Télétravail régulier avec accès aux ressources internes : si vos télétravailleurs doivent atteindre un serveur de fichiers interne, un ERP ou un logiciel métier hébergé sur vos serveurs, le VPN devient utile.
• Collaborateurs itinérants sur des réseaux publics : hôtels, gares, espaces de coworking. Ces réseaux ne sont pas maîtrisés, comme nous l’expliquons dans Wifi public : 3 pièges et le bon réflexe en déplacement.
• Administration à distance : si votre prestataire doit intervenir à distance sur vos serveurs ou équipements réseau, passer par un VPN est bien plus sûr qu’un bureau à distance (RDP) ou un outil de prise en main exposé directement sur internet.
• Connexion entre sites distants qui doivent partager des ressources.

Les cas où le VPN n’est pas la bonne réponse

• Accès uniquement à des services en ligne : si vos collaborateurs n’utilisent que Microsoft 365, Google Workspace ou un CRM en ligne, ils y accèdent directement via internet. La protection passe alors surtout par l’authentification forte : voir MFA et passkeys : sécuriser les accès de votre PME.
• Protection contre les logiciels malveillants : c’est le rôle d’un antivirus ou d’un EDR supervisé, pas d’un VPN.
• Confidentialité de la navigation personnelle : c’est l’argument des VPN grand public. Il ne répond pas aux besoins de sécurité d’une entreprise.

Choisir une solution VPN pour votre PME

Les critères essentiels

• Un protocole robuste et à jour : IPsec, WireGuard et OpenVPN sont les références. Pour les accès d’administration, l’ANSSI préfère IPsec à TLS, car la surface d’attaque des solutions IPsec est plus faible (guide ANSSI sur l’administration sécurisée des SI).
• Un produit évalué si vos données sont sensibles : l’ANSSI certifie ou qualifie certains clients et passerelles VPN, une garantie supplémentaire de robustesse.
• L’authentification forte : le VPN doit exiger une double authentification. Un simple identifiant et mot de passe ne suffit pas pour ouvrir l’accès au réseau interne.
• La journalisation des connexions : qui s’est connecté, quand, depuis quelle adresse. Ces journaux sont précieux en cas d’incident.
• Une gestion fine des accès : contrôler qui accède à quoi, révoquer facilement un accès, créer des profils selon les rôles.
• La supervision : être alerté en cas de comportement anormal, par exemple des tentatives de connexion la nuit ou depuis un pays inhabituel.

Les solutions adaptées aux TPE-PME

Pare-feu avec VPN intégré

Ces équipements assurent la protection du réseau de l’entreprise tout en permettant aux collaborateurs autorisés de s’y connecter à distance grâce à un VPN chiffré. Ils conviennent particulièrement aux TPE et PME souhaitant centraliser leur sécurité réseau.

• Stormshield Network Security (SNS) : solution d’un éditeur français proposant des pare-feux professionnels avec filtrage réseau, prévention d’intrusion (IPS) et VPN IPsec. Plusieurs modèles, notamment les SN220, SN320, SN520, SN720, SN920 et SN1100, bénéficient d’une qualification ANSSI de niveau Standard, sous réserve d’utiliser les versions logicielles et configurations expressément couvertes. La décision de qualification n° 234 du 13 février 2025, valable jusqu’au 21 mars 2027, constitue la référence à consulter avant tout achat.
  • Source : ANSSI – Décision de qualification Stormshield (PDF).
• Fortinet FortiGate : gamme de pare-feux nouvelle génération (NGFW) intégrant VPN IPsec, filtrage réseau et prévention d’intrusion. Selon les licences, ils proposent également antivirus, filtrage web et contrôle applicatif. Adaptés aux petites comme aux grandes entreprises, les modèles d’entrée de gamme peuvent convenir à une dizaine d’utilisateurs. Budget indicatif 2026 : environ 700 à 950 € HT pour un boîtier seul, et 1 050 à 1 150 € HT avec un an de services de sécurité, selon le modèle et le distributeur. L’installation, la configuration, la maintenance et les renouvellements doivent être budgétés séparément.
  • Sources : Fortinet – Solutions pour petites entreprises ; LDLC.pro – Pare-feux Fortinet.
• Sophos Firewall : solution de pare-feu nouvelle génération, notamment avec les appliances XGS, adaptée aux TPE et PME recherchant une administration centralisée. Elle intègre VPN, filtrage réseau, contrôle applicatif et prévention d’intrusion. Des abonnements complémentaires, comme Xstream Protection, ajoutent des fonctions avancées de détection et de protection. Son coût dépend du modèle, des licences et du contrat de maintenance.
  • Source : Sophos – Sophos Firewall.

Solutions logicielles

Ces solutions permettent de créer des connexions sécurisées entre des ordinateurs, serveurs, équipements mobiles ou réseaux distants. Elles peuvent compléter un pare-feu existant ou constituer une alternative à certains équipements matériels, selon les besoins et l’architecture retenue.

• TheGreenBow VPN Client IPsec : solution française destinée à connecter des postes Windows à une passerelle VPN IPsec existante. Certaines versions ont obtenu une certification de sécurité ANSSI, notamment la version 6.52.006 (rapport ANSSI-CC-2020/41). Cette certification porte sur une version et une configuration déterminées et ne s’étend pas automatiquement aux éditions ultérieures. Produit commercial nécessitant une licence.
  • Source : ANSSI – Rapport de certification TheGreenBow (PDF).
• WireGuard : protocole VPN libre, gratuit et open source, reconnu pour sa simplicité architecturale et ses performances. Il permet de créer des tunnels chiffrés entre ordinateurs, serveurs, routeurs et appareils mobiles. Sa mise en œuvre nécessite toutefois de maîtriser la gestion des clés, les règles de filtrage et le routage. Pour un usage professionnel, son installation et sa maintenance doivent être confiées à une personne disposant des compétences nécessaires.
  • Source : WireGuard – Site officiel.
• OpenVPN Access Server : solution VPN professionnelle auto-hébergée disposant d’une interface d’administration web, d’une gestion des utilisateurs et de mécanismes d’authentification. Elle permet notamment de sécuriser les accès distants aux ressources de l’entreprise. Jusqu’à deux connexions VPN simultanées sont gratuites, sans limitation de durée ; un abonnement payant est nécessaire au-delà.
  • Source : OpenVPN – Conditions des deux connexions gratuites.
• Tailscale : solution de réseau privé basée sur WireGuard, particulièrement simple à déployer et à administrer. Elle facilite les connexions chiffrées entre appareils, même derrière des routeurs NAT, grâce à un service de coordination centralisé. L’offre Personal gratuite est réservée aux usages personnels non commerciaux et permet jusqu’à six utilisateurs. Pour un usage professionnel, une offre adaptée est nécessaire ; le tarif Standard annoncé en novembre 2026 est de 8 USD par utilisateur et par mois, hors taxes éventuelles. Tailscale dépend d’un service de coordination externe, contrairement à une installation WireGuard entièrement autonome.
  • Source : Tailscale – Tarifs et conditions.

Point de vigilance : quelle que soit la solution retenue, un VPN ne suffit pas à sécuriser l’ensemble du système d’information. Il doit s’accompagner d’une authentification multifacteur (MFA), d’une gestion rigoureuse des droits d’accès, de mises à jour régulières et d’une surveillance des connexions. La sécurité dépend autant de la configuration et de l’exploitation que du produit choisi.

Ce qu’il faut éviter

• Les VPN grand public pour l’entreprise : ils ne permettent ni la gestion des accès, ni la journalisation, ni la supervision nécessaires. Et les versions gratuites posent un problème de confiance encore plus sérieux.
• Les solutions qui ne sont plus maintenues : un VPN qui ne reçoit plus de correctifs de sécurité est une porte ouverte.
• La configuration « par défaut » : un VPN laissé en configuration usine, sans durcissement, peut devenir lui-même une vulnérabilité.

Les erreurs de déploiement classiques

Exposer la passerelle VPN sans protection supplémentaire

Une passerelle VPN est par nature visible depuis internet. Sans filtrage ni double authentification, elle subit des tentatives de connexion en série. Restreindre l’accès à des plages d’adresses connues quand c’est possible, imposer la double authentification et surveiller les échecs de connexion réduit fortement le risque.

Oublier de révoquer les accès lors des départs

Un ancien collaborateur qui a toujours un accès VPN valide peut devenir, volontairement ou non, une porte d’entrée. La révocation doit faire partie de la procédure de départ, au même titre que la désactivation de la messagerie et la restitution du matériel, et intervenir le jour du départ.

Négliger les mises à jour de la passerelle

Les passerelles VPN sont des cibles actives, précisément parce qu’elles sont exposées sur internet. Des vulnérabilités critiques ont été découvertes dans des solutions répandues (Pulse Secure, devenu Ivanti, ou Fortinet) et exploitées massivement avant que les correctifs ne soient appliqués. Le CERT-FR publie régulièrement des avis sur ces produits : cert.ssi.gouv.fr.

VPN et RGPD : ce que vous devez documenter

Si votre VPN enregistre les connexions, ce qu’il devrait faire, ces journaux contiennent des données personnelles : qui se connecte, quand, depuis quelle adresse. Ce traitement doit figurer dans votre registre RGPD avec une durée de conservation définie et justifiée.

Journalisation et conservation des connexions VPN

La CNIL recommande, dans le cadre de la journalisation des systèmes d’information, une durée de conservation des journaux comprise entre six mois et un an, sur une période glissante. Cette recommandation générale n’est toutefois pas une obligation uniforme applicable à tous les journaux VPN : la durée doit être adaptée et justifiée selon leur finalité, les risques et les éventuelles obligations légales particulières.

Pour les connexions VPN professionnelles, il est recommandé de :

• Journaliser les événements utiles à la sécurité : tentatives de connexion réussies ou échouées, identifiant de l’utilisateur, horodatage, adresse IP et événements d’administration pertinents.
• Limiter les données collectées au strict nécessaire, sans enregistrer les mots de passe, les clés privées ou le contenu des communications.
• Définir et documenter une durée de conservation proportionnée, en retenant généralement une période de six à douze mois lorsque cette durée est justifiée.
• Mettre en place une purge automatique des journaux à l’expiration de la durée retenue, sauf nécessité particulière documentée.
• Protéger les journaux contre les accès non autorisés, les modifications et les suppressions frauduleuses.
• Surveiller les événements de sécurité, notamment les échecs d’authentification répétés et les connexions inhabituelles.

En cas d’obligation légale spécifique, de contrôle interne ou de nécessité documentée d’analyse après incident, une durée différente peut être justifiée.

Sources officielles :

• CNIL – Sécurité : tracer les opérations (14 mars 2024)
• CNIL – Recommandation relative aux mesures de journalisation (2021)
• CNIL – Guide de la sécurité des données personnelles 2024 (PDF)

Alternative au VPN : le ZTNA

Une approche plus récente gagne du terrain dans les PME : le ZTNA, pour Zero Trust Network Access. Au lieu de donner à l’utilisateur un accès à tout le réseau interne, comme un VPN classique, le ZTNA n’ouvre que les applications dont il a besoin, en vérifiant en permanence l’identité, le poste et le contexte de connexion.

L’avantage : si un compte est compromis, l’attaquant n’atteint qu’un périmètre limité. Des offres comme Cloudflare Access ou Zscaler visent aussi les PME. C’est une piste à étudier si vous refondez votre architecture réseau ou si vous avez surtout des services en ligne et peu de ressources internes.

Pour comparer le VPN aux autres façons d’accéder à distance (ZTNA, bureau à distance, outils de prise en main) et sécuriser aussi les postes et les identités, voir notre guide Accès à distance en PME : sécuriser télétravail et déplacements.

Récapitulatif : les 5 questions à vous poser

• Mes télétravailleurs doivent-ils accéder à des ressources internes (serveur de fichiers, logiciels hébergés) ? Si oui, un VPN est probablement nécessaire.
• Mes collaborateurs itinérants se connectent-ils depuis des réseaux publics ? Si oui, un VPN est recommandé, ou à défaut le partage de connexion du téléphone.
• Ma solution VPN actuelle est-elle à jour et supervisée ? Si non, c’est urgent.
• Les accès VPN sont-ils protégés par une double authentification ? Si non, c’est la priorité numéro un.
• Les accès des anciens collaborateurs sont-ils révoqués ? Vérifiez la liste des comptes actifs.

Faire le point sur vos accès distants

Le dispositif MonAideCyber permet un premier diagnostic gratuit des mesures prioritaires, y compris sur les accès distants : comprendre le diagnostic gratuit MonAideCyber.

Eur’Net peut ensuite vous accompagner pour déployer, durcir ou superviser votre VPN d’entreprise, dans le cadre d’une prestation distincte.

Sources : vidéo #PauseCyber de l’ANSSI du 6 novembre 2026, recommandations de l’ANSSI sur le nomadisme numérique et sur l’administration sécurisée des SI.

Le0909 : le dossier numérique du jeudi

• Un dossier de fond chaque jeudi à 09h09.
• Des explications concrètes pour les dirigeants de TPE-PME.
• Des sources vérifiables et des conseils actionnables.
• Un ton accessible, sans masquer les limites techniques.