Publié le 28 octobre 2026 · L'équipe mitza.es
Presque toutes les PME ont un pare-feu sans le savoir (celui du routeur du bureau ou celui de Windows lui-même), et presque aucune ne sait s'il est bien configuré. Un pare-feu mal réglé est pire que pas de pare-feu du tout, parce qu'il donne un faux sentiment de sécurité. Ce guide explique ce que c'est, comment il fonctionne et ce dont une petite entreprise a réellement besoin.
Qu'est-ce qu'un pare-feu (firewall) et à quoi sert-il
Un pare-feu ou firewall est un système de sécurité qui filtre le trafic réseau entre votre réseau interne et l'extérieur (normalement, internet) selon des règles : il laisse passer ce qui est autorisé et bloque le reste. Il peut être un programme (logiciel), un équipement (matériel) ou un service dans le cloud, et sa fonction est d'empêcher les accès non autorisés et de réduire la surface d'attaque.
Pensez à un portier : il vérifie qui entre et qui sort, et n'ouvre qu'à ceux qui en ont l'autorisation. Il n'empêche pas quelqu'un muni d'une fausse invitation (un e-mail de phishing, par exemple) d'entrer par la porte principale, et c'est de là que vient une partie de la confusion sur ce qu'il protège.
Comment fonctionne un pare-feu
Chaque connexion réseau a une origine, une destination, un port (le « canal » qu'utilise un service) et un protocole. Le pare-feu compare chaque connexion à sa liste de règles et décide de l'autoriser ou de la bloquer. La bonne pratique est de refuser par défaut : tout ce qui n'est pas expressément autorisé est bloqué. Par exemple, on autorise la navigation web sortante et on bloque les connexions entrantes non sollicitées.
Types de pare-feu
On peut les classer de deux façons : selon l'endroit où ils s'installent et selon la manière dont ils filtrent.
Selon l'endroit où ils s'installent
- Pare-feu réseau (matériel) : il protège tout le réseau dès l'entrée. C'est celui du routeur professionnel, d'un équipement dédié (UTM) ou d'un serveur.
- Pare-feu de poste (logiciel) : il fonctionne sur chaque ordinateur. Le pare-feu Windows (Microsoft Defender Firewall) est activé par défaut et il vaut mieux le laisser ainsi.
- Pare-feu dans le cloud (FWaaS) : il se souscrit comme un service et filtre le trafic avant qu'il n'arrive sur votre réseau ; utile avec de nombreux sites ou du personnel à distance.
Selon la manière dont ils filtrent
- Filtrage de paquets : il regarde les données de base (adresse, port et protocole). Il est rapide et simple, mais peu « intelligent ».
- À états (stateful) : il retient en plus l'état de chaque connexion et n'accepte que les réponses aux connexions initiées de l'intérieur. C'est le minimum raisonnable aujourd'hui.
- Proxy ou applicatif : il joue l'intermédiaire et examine le contenu de certaines applications.
- Pare-feu nouvelle génération (NGFW) : il ajoute l'inspection approfondie du trafic, la prévention des intrusions (IPS), le contrôle des applications et le filtrage web. C'est ce que l'on vend généralement aux entreprises.
Pare-feu applicatif web (WAF) : ce qui protège votre site
Un WAF (web application firewall) est un pare-feu spécifique aux pages web : il analyse les requêtes qui arrivent sur votre site et bloque les tentatives habituelles comme l'injection SQL ou les scripts malveillants. Si vous avez un site WordPress ou une boutique en ligne, c'est une couche très recommandée, surtout parce que les failles dans les extensions sont exploitées en quelques jours (nous en parlons dans notre analyse de une vulnérabilité critique de WordPress). De nombreux hébergeurs et services de protection l'incluent ; vérifiez-le avant d'en souscrire un autre.
Pare-feu, antivirus et VPN : ce que fait chacun
- Pare-feu : il contrôle quelles connexions entrent et sortent du réseau ou du poste.
- Antivirus / EDR : il détecte et arrête les programmes malveillants déjà présents sur un poste, même s'ils sont arrivés par un e-mail ou une clé USB.
- VPN : il crée un tunnel chiffré pour vous connecter de façon sûre au réseau de l'entreprise depuis l'extérieur. Il ne remplace pas le pare-feu : ils se complètent.
Une défense raisonnable les combine. Aucun d'eux ne protège de tout à lui seul.
Ce qu'un pare-feu protège et ce qu'il ne protège pas
Un pare-feu bien configuré est très bon pour :
- Empêcher que l'on puisse accéder depuis internet à des postes et à des services qui ne devraient pas être exposés.
- Limiter les sites et les programmes auxquels les postes de l'entreprise peuvent se connecter.
- Séparer les réseaux (invités, caméras, imprimantes, ordinateurs de travail).
Et il ne vous protège pas, à lui seul, de ce qui entre « sur invitation » : un e-mail de phishing qui convainc quelqu'un de donner son mot de passe, une pièce jointe qui installe un ransomware, un mot de passe faible ou un compte cloud compromis. C'est pourquoi la formation de l'équipe, la vérification en deux étapes et les sauvegardes comptent autant que le pare-feu.
De quel pare-feu une PME a-t-elle besoin ?
- Jusqu'à cinq postes environ, sans serveur et avec des services dans le cloud : un routeur à jour, le pare-feu Windows activé, un wifi bien configuré et de bons mots de passe suffisent généralement.
- Entre cinq et cinquante postes, avec serveur, sites multiples ou télétravail : il vaut mieux un pare-feu réseau professionnel (UTM ou NGFW) avec support et mises à jour, un VPN pour l'accès à distance et une segmentation du réseau.
- Avec un site ou une boutique à vous : ajoutez un WAF, que ce soit celui de l'hébergeur ou d'un service de protection.
- Avec des données sensibles ou des exigences réglementaires (par exemple, si vous êtes concerné par la réglementation NIS2) : ajoutez des journaux centralisés et une révision périodique par un professionnel.
Les réglages de base qui font vraiment la différence
- Changez les identifiants par défaut du routeur ou du pare-feu et utilisez un mot de passe long et unique.
- Mettez à jour le firmware régulièrement : les pare-feu et les routeurs eux-mêmes sont attaqués.
- Désactivez l'administration à distance depuis internet, ou limitez-la à un VPN ou à une IP précise.
- Appliquez « refuser par défaut » aux connexions entrantes et n'ouvrez que l'indispensable.
- Désactivez UPnP et fermez les ports qui ne servent plus.
- Séparez dans un autre réseau le wifi des invités et les appareils de bureau connectés (caméras, caisses enregistreuses, imprimantes).
- Utilisez un VPN avec vérification en deux étapes pour l'accès à distance, plutôt que d'ouvrir des ports.
- Activez les journaux (logs) et les alertes, et consultez-les de temps en temps.
- Conservez une copie de la configuration pour pouvoir la restaurer.
- Ne désactivez pas le pare-feu Windows « parce qu'il pose problème » : examinez la règle précise qui en est la cause.
Un pare-feu a aussi besoin de maintenance
Les équipements en périphérie (pare-feu, passerelles, VPN) sont une cible prioritaire parce qu'ils sont exposés à internet. Nous l'avons vu cette année avec les zero-days de Citrix NetScaler et avec les passerelles de messagerie de Cisco et FortiMail. La leçon est simple : un pare-feu qui n'est pas mis à jour est une porte ouverte qui a l'apparence d'une serrure.
Questions rapides
Le pare-feu de Windows me suffit-il ?
C'est une bonne couche pour chaque poste et il doit être activé, mais il ne protège ni le réseau entier ni les appareils qui ne sont pas sous Windows. Utilisez-le avec un pare-feu réseau.
Le routeur de mon opérateur a-t-il déjà un pare-feu ?
Oui, un pare-feu basique, qui bloque les connexions entrantes non sollicitées. Il a en général peu d'options et ne couvre pas des besoins comme un VPN avancé, la segmentation ou les journaux. Pour un bureau de plusieurs postes, il est insuffisant.
Si je travaille tout dans le cloud, ai-je besoin d'un pare-feu ?
Moins, mais il faut toujours protéger le réseau du bureau et les postes. Ce dont vous avez sûrement besoin, ce sont des comptes bien protégés et des copies indépendantes.
Comment Mitza peut vous aider
Nous examinons la configuration de votre réseau et de vos accès, ainsi que la sécurité de votre site avec un audit de sécurité web. Si vous voulez que nous regardions votre cas, racontez-le-nous sur la page de contact.