Votre firewall ne protège plus rien — le Zero Trust vérifie chaque paquet comme s’il venait d’Internet

En août 2020, le NIST publie le standard SP 800-207 qui enterre définitivement le modèle du périmètre réseau. En janvier 2022, le Bureau of Management and Budget américain ordonne à toutes les agences fédérales de migrer vers une architecture Zero Trust avant la fin de l’année fiscale 2024. En interne, Google fait tourner BeyondCorp — son implémentation Zero Trust — depuis 2011, sans VPN, pour plus de 100 000 employés. Ces trois dates ne sont pas un hasard : elles racontent la fin du firewall comme seul rempart crédible.

Le principe est radical. Là où un pare-feu traditionnel fait confiance à tout ce qui arrive du réseau interne, le Zero Trust part du postulat inverse : aucun paquet n’est digne de confiance par défaut, qu’il vienne d’Internet, du VLAN comptabilité ou du câble Ethernet branché dans votre bureau. Chaque requête est authentifiée, autorisée et chiffrée individuellement, comme si le réseau n’existait pas.

Pourquoi le modèle du château fort est mort

Le modèle traditionnel — un firewall en périphérie, un VPN pour les nomades, et tout le monde se fait confiance une fois à l’intérieur — suppose trois choses qui ne sont plus vraies depuis longtemps. Premièrement, les utilisateurs ne sont plus dans les bureaux : en 2025, 58 % des salariés américains travaillent en hybride ou en full remote selon le Bureau of Labor Statistics, et la tendance n’a pas ralenti en 2026. Deuxièmement, les applications ne tournent plus dans le datacenter : les workloads SaaS et cloud représentent plus de 50 % des dépenses IT des entreprises selon Gartner. Troisièmement, les attaquants ne se contentent plus de frapper à la porte : le ransomware Latrodectus, actif depuis 2023, se propage latéralement de poste en poste une fois qu’un seul utilisateur a ouvert la pièce jointe.

Résultat : le « dedans » est aussi hostile que le « dehors ». Le firewall de périmètre est devenu ce que les Anglo-Saxons appellent un M&M network — une coque dure à l’extérieur, un intérieur mou et sans défense. Une fois la coque percée, l’attaquant se déplace librement. Le Zero Trust remplace cette coque par une vérification systématique, paquet par paquet, comme si chaque requête traversait Internet.

Ce que dit vraiment le NIST SP 800-207

Le standard NIST SP 800-207 (août 2020, complété par le SP 800-207A en 2024) ne décrit pas un produit, mais une architecture. Ses principes tiennent en trois phrases :

• L’accès n’est jamais déterminé par la localisation réseau. Que vous soyez au bureau, chez vous ou dans un aéroport, le niveau de vérification exigé est identique.
• L’authentification et l’autorisation sont des fonctions distinctes, exécutées avant chaque session. On ne « logge » pas une fois pour toutes : chaque accès à une ressource déclenche une vérification contextuelle (identité, état du poste, heure, comportement).
• La confiance est dynamique et révocable à tout instant. Un poste qui était sain il y a cinq minutes peut être compromis maintenant ; l’accès doit pouvoir être coupé en temps réel, session par session.

Le NIST définit aussi les composants logiques d’une ZTA : un Policy Engine (PE) qui prend la décision d’accès, un Policy Administrator (PA) qui l’exécute en ouvrant ou fermant la session, et un Policy Enforcement Point (PEP) qui intercepte chaque requête et la soumet au PE avant de la laisser passer. Ce trio remplace le couple firewall+VPN : au lieu d’un checkpoint unique à l’entrée du réseau, chaque ressource devient son propre checkpoint.

BeyondCorp : la preuve que ça marche à l’échelle

Google est le laboratoire le plus convaincant du Zero Trust. Le projet BeyondCorp, lancé en 2011, avait un objectif simple : permettre à n’importe quel employé de travailler depuis n’importe quel réseau sans VPN. En 2026, plus de 100 000 Googlers utilisent BeyondCorp chaque jour pour accéder aux applications internes, et Google a documenté publiquement la migration à travers une série de sept articles de recherche (2014–2024).

L’architecture BeyondCorp repose sur trois piliers. Un Access Proxy en frontal de chaque application interne, qui refuse toute connexion non authentifiée — le service lui-même n’est jamais exposé directement, même sur le réseau interne. Un inventaire continu des postes qui évalue en temps réel l’état de chaque machine (patch level, certificats, présence d’un agent de sécurité). Et un moteur de politiques qui combine identité de l’utilisateur, état du poste et sensibilité de la ressource pour accorder ou refuser l’accès, sans jamais faire confiance à l’adresse IP source.

La leçon de BeyondCorp n’est pas « achetez Google » : c’est qu’une architecture Zero Trust fonctionne à l’échelle d’une multinationale depuis plus d’une décennie. Le défi pour le reste du monde est de reproduire ce modèle sans l’infrastructure maison de Google — et c’est là que trois solutions modernes entrent en jeu.

Trois solutions pour remplacer votre firewall

Le marché s’est structuré autour de trois approches complémentaires, de la plus légère à la plus englobante.

Tailscale (fondé en 2019) est un overlay mesh basé sur WireGuard qui connecte tous vos appareils en pair-à-pair, sans VPN concentrateur, sans ouverture de ports et sans configuration de firewall. Chaque nœud s’authentifie via votre fournisseur d’identité (Google, GitHub, Microsoft, Okta) et reçoit une clé WireGuard éphémère que le plan de contrôle de Tailscale fait tourner automatiquement. Le résultat : un réseau privé maille où chaque machine ne voit que les autres machines que vous avez explicitement autorisées — et où le trafic entre deux nœuds situés dans le même datacenter ne passe pas par la côte Ouest des États-Unis. Le plan gratuit couvre jusqu’à 100 appareils et 3 utilisateurs ; le plan Team démarre à 6 $ par utilisateur et par mois.

Cloudflare Zero Trust (ex-Cloudflare for Teams) est une plateforme SASE complète qui remplace à la fois le VPN, le proxy web et une partie du firewall. Elle s’appuie sur le réseau mondial de Cloudflare (330 datacenters dans plus de 120 pays) pour appliquer les politiques de sécurité au plus près de l’utilisateur. Cloudflare Tunnel (cloudflared) crée un tunnel sortant unique entre votre infrastructure et Cloudflare — sans port entrant à ouvrir sur votre firewall. Cloudflare Access authentifie chaque requête HTTP contre votre IdP avant qu’elle n’atteigne le service. Gateway fait office de SWG (Secure Web Gateway) avec filtrage DNS, isolation de navigateur et DLP. Le plan gratuit inclut 50 utilisateurs avec l’essentiel des fonctions ; le plan Pay-as-you-go démarre à 7 $ par utilisateur et par mois.

OpenZiti (projet open source sponsorisé par NetFoundry) pousse le Zero Trust encore plus loin avec un concept de services invisibles (dark services). Contrairement à Tailscale qui crée un réseau privé maillé, OpenZiti n’expose aucun port d’écoute : le service lui-même initie une connexion sortante vers le mesh, et seul un endpoint authentifié et autorisé peut l’atteindre. Résultat : un scanner de ports ne voit rien, même depuis le même segment réseau. OpenZiti propose des tunnelers pour les applications existantes et des SDK (Go, Python, Java, C, Node.js) pour embarquer le Zero Trust directement dans le code applicatif — le niveau d’intégration le plus profond des trois solutions. Le tout est auto-hébergé, sous licence Apache 2.0, ce qui élimine la dépendance à un tiers pour le plan de contrôle. Une offre SaaS hébergée (NetFoundry Cloud) existe pour ceux qui ne veulent pas opérer leur propre contrôleur.

Le bon choix dépend de votre point de départ.

CritèreTailscaleCloudflare Zero TrustOpenZitiApprocheOverlay mesh WireGuardPlateforme SASE cloudOverlay mesh open sourceOuverture de portsAucune (NAT traversal)Aucune (tunnel sortant)Aucune (dark services)Plan de contrôleSaaS (Tailscale)SaaS (Cloudflare)Auto-hébergé ou SaaS (NetFoundry)SDK applicatifNonNonOui (Go, Python, Java, C, Node.js)Prix d’entréeGratuit (100 appareils)Gratuit (50 utilisateurs)Gratuit (Apache 2.0)Complexité de déploiementTrès faibleMoyenneÉlevée

Ce que le Zero Trust ne remplace pas

Adopter une architecture Zero Trust ne dispense pas du reste. L’authentification forte (MFA) reste le fondement : si votre IdP est compromis, le Policy Engine ne peut plus faire son travail — c’est le point de défaillance unique de toute ZTA. La sécurité des endpoints est la deuxième jambe : un poste infecté qui passe les checks de posture parce que l’agent est compromis bénéficie toujours du Zero Trust. Le chiffrement des données au repos complète le chiffrement en transit imposé par le Zero Trust.

Enfin, le Zero Trust ne remplace pas la détection. Il réduit massivement la surface d’attaque en supprimant la confiance implicite, mais il ne détecte pas un attaquant qui a obtenu des credentials légitimes. Le Zero Trust et le XDR/EDR sont complémentaires, pas substituables : le premier réduit les chemins d’accès, le second détecte ce qui passe malgré tout.

Le verdict

Si vous gérez une infrastructure de moins de 100 machines et que votre priorité est de supprimer les ports ouverts et le VPN, commencez par Tailscale. Le déploiement prend littéralement trois commandes, l’intégration avec votre IdP existant est immédiate, et le plan gratuit couvre l’essentiel des besoins d’une PME ou d’un lab personnel. Le jour où vous avez besoin de filtrage DNS, de DLP ou d’isolation de navigateur, ajoutez Cloudflare Zero Trust en parallèle — les deux se complètent sans se marcher dessus.

Si vous opérez une infrastructure réglementée, multi-cloud ou air-gapped, et que vous voulez embarquer le Zero Trust dans vos applications, OpenZiti est la seule solution qui offre un SDK et un contrôleur auto-hébergé. La courbe d’apprentissage est réelle — attendez-vous à plusieurs jours de déploiement et de tuning — mais c’est le prix d’une architecture où vos services sont littéralement invisibles sur le réseau.

Si vous n’avez ni le temps ni les compétences pour opérer quoi que ce soit et que vous voulez un remplacement clé en main de votre VPN legacy, Cloudflare Zero Trust est le chemin le plus direct : vous installez cloudflared sur vos serveurs, vous branchez votre IdP, et vous fermez tous vos ports entrants.

Quelle que soit l’option, le constat de départ est le même : votre firewall ne protège plus rien, et le remettre au centre de votre stratégie de sécurité en 2026 est une erreur de diagnostic. Le périmètre réseau est mort depuis que vos applications sont dans le cloud et vos utilisateurs dans leur salon. Le Zero Trust est la seule architecture qui prend acte de cette réalité.

Références

• NIST SP 800-207 — Zero Trust Architecture, NIST, août 2020.
• NIST SP 800-207A — A Zero Trust Architecture Model for Access Control in Cloud-Native Applications, NIST, 2024.
• M-22-09 — Moving the U.S. Government Toward Zero Trust Cybersecurity Principles, Office of Management and Budget, 26 janvier 2022.
• BeyondCorp: A New Approach to Enterprise Security, Google Research, 2014.
• BeyondCorp: Design to Deployment at Google, Google Research, 2016.
• BeyondCorp: The Access Proxy, Google Research, 2017.
• How Tailscale works, Tailscale Blog, mars 2020.
• Cloudflare One documentation, Cloudflare, mise à jour avril 2026.
• OpenZiti overview, NetFoundry, 2026.
• Zero Trust Architecture — Wikipedia, consulté mars 2026.