L'antivirus protège vos postes. Le firewall protège la porte. Ce sont deux couches complémentaires qui traitent des menaces différentes, et l'une ne remplace pas l'autre. Voici à quoi ça sert vraiment, et pourquoi votre box opérateur ne fait pas ce travail.
Le sujet revient en général dans l'un de ces trois contextes. Le déclencheur change, le besoin de fond est le même : contrôler ce qui entre et sort du réseau.
Un assureur cyber qui demande un firewall conforme, un commissaire aux comptes qui pointe le manque de journalisation, ou simplement la prise de conscience que la box laisse passer tout ce qui n'est pas trivialement malveillant. La majorité des TPE/PME découvrent le sujet à ce moment-là.
Un cabinet médical qui doit séparer le réseau patients du wifi de la salle d'attente. Un industriel qui doit isoler les machines de production des postes bureautiques. Le firewall permet ce découpage en zones étanches, sans dupliquer l'infrastructure physique.
Vos collaborateurs ont besoin d'accéder aux ressources internes depuis chez eux — serveur de fichiers, applications métier, imprimantes. Un firewall pro intègre un VPN sécurisé qui rend tout ça accessible sans exposer vos ressources directement sur Internet.
Aucun n'est suffisant seul, c'est leur combinaison qui fait la solidité de l'ensemble. Voici ce que vous verrez dans nos devis et discussions techniques.
Vous écrivez (ou nous écrivons) des règles en clair : « depuis Internet vers le serveur de fichiers : interdit. Depuis le bureau vers Internet : autorisé. Depuis le wifi invités vers le réseau métier : interdit. » Chaque connexion est confrontée à ces règles. Tout ce qui n'est pas explicitement autorisé est rejeté par défaut — l'inverse du fonctionnement d'une box.
Un firewall moderne inspecte aussi le contenu de ce qui passe. Le moteur IDS/IPS — Suricata sur la plupart de nos déploiements — compare le trafic à des signatures d'attaques connues et bloque les tentatives. Il détecte les exploits qui se cachent dans un trafic en apparence normal.
Le réseau est découpé en zones logiques étanches. Le wifi invités ne peut pas voir le serveur métier. Les caméras de surveillance ne voient pas les postes bureautiques. Si un poste est compromis dans une zone, l'attaque ne se propage pas aux autres. Crucial dans les secteurs réglementés (santé, finance) où la traçabilité des accès est une obligation.
Vos collaborateurs se connectent au firewall via un tunnel chiffré (WireGuard ou OpenVPN), et accèdent aux ressources internes comme s'ils étaient au bureau. Plus sécurisé que d'exposer ces ressources sur Internet, plus simple à gérer qu'un outil VPN séparé.
Trois niveaux selon votre taille, vos contraintes et votre exposition. Vous évoluez vers le niveau supérieur quand votre activité grandit ou que vos exigences changent.
| Capacité | Essentiel Sur devis | Recommandé Pro Sur devis | Premium Sur devis |
|---|---|---|---|
| Filtrage par règles | |||
| QoS pour VoIP | |||
| VPN télétravail | OpenVPN, wireguard, ISsec | OpenVPN, wireguard, IPsec | + MFA et certificats |
| IDS/IPS Suricata | — | ||
| Cloisonnement VLAN | — | ||
| Filtrage applicatif (DPI) | — | — | |
| Haute disponibilité (HA) | — | — | |
| Supervision 24/7 | |||
| Conformité RGPD / HDS | Logs de base | Traçabilité complète | Audit-ready |
Pour bloquer les menaces qui rentrent par les fichiers (mails, USB, téléchargements), il vous faut aussi une couche endpoint : voir notre guide sur l'antivirus EDR. Pour combiner firewall, EDR, filtrage mail et DNS privé avec une supervision unifiée, nos packs Sécurité 360 regroupent l'ensemble.
Non, parce qu'antivirus et firewall traitent des menaces différentes. L'antivirus regarde les fichiers et les processus qui tournent sur vos postes. Le firewall regarde les communications réseau. Un mail piégé qui télécharge un fichier malveillant peut être bloqué par le firewall avant même que l'antivirus ait l'occasion de le voir. Les deux couches sont nécessaires et complémentaires.
Pas si le matériel est correctement dimensionné. Sur un lien fibre 1 Gb/s, un firewall pfSense ou OPNsense avec IDS/IPS activé impacte moins de 5 % du débit — imperceptible à l'usage. Avec une QoS bien réglée, l'expérience est même meilleure qu'avec une box seule, parce que la VoIP et les visios sont protégées des saturations.
Sur site : appliance physique ou machine virtuelle dans vos locaux. Contrôle total, performances maximales, pas de dépendance à votre lien Internet pour le trafic interne. Cloud (OVH, Scaleway) : aucun matériel à gérer, évolutivité immédiate, idéal pour multi-sites distribués. On choisit selon votre infrastructure existante et le coût d'exploitation sur 3 ans.
La supervision détecte la panne immédiatement. Pour les structures où une coupure de 4 heures est inacceptable, le niveau Premium inclut une configuration en haute disponibilité : deux firewalls en parallèle, l'un actif et l'autre en attente. Si l'actif tombe, le second prend le relais automatiquement en moins de 10 secondes, sans coupure visible.
Premier échange sans engagement pour qualifier votre besoin. On regarde votre installation, ce qui manque, et on vous dit franchement ce qu'il vous faut — pas plus.