[{"data":1,"prerenderedAt":393},["ShallowReactive",2],{"footer-services-fr":3,"footer-local-fr":28,"cmp-\u002Fcomparatifs\u002Fvpn-vs-ztna-teletravail":45,"cmp-alt-\u002Fcomparatifs\u002Fvpn-vs-ztna-teletravail":378,"cmp-others-\u002Fcomparatifs\u002Fvpn-vs-ztna-teletravail":380},[4,8,12,16,20,24],{"path":5,"navTitle":6,"order":7},"\u002Fservices\u002Faudit-cybersecurite","Audit de cybersécurité",1,{"path":9,"navTitle":10,"order":11},"\u002Fservices\u002Ftest-intrusion","Test d'intrusion",2,{"path":13,"navTitle":14,"order":15},"\u002Fservices\u002Faudit-microsoft-365-google-workspace","Audit Microsoft 365 \u002F Google Workspace",3,{"path":17,"navTitle":18,"order":19},"\u002Fservices\u002Fconformite-loi-25","Conformité Loi 25",4,{"path":21,"navTitle":22,"order":23},"\u002Fservices\u002Fremediation-durcissement","Remédiation et durcissement",5,{"path":25,"navTitle":26,"order":27},"\u002Fservices\u002Faccompagnement-continu","Accompagnement continu (vCISO)",6,[29,33,37,41],{"path":30,"city":31,"translationKey":32},"\u002Faudit-cybersecurite\u002Fmontreal","Montréal","montreal",{"path":34,"city":35,"translationKey":36},"\u002Faudit-cybersecurite\u002Flaval","Laval","laval",{"path":38,"city":39,"translationKey":40},"\u002Faudit-cybersecurite\u002Frive-sud","Rive-Sud","rive-sud",{"path":42,"city":43,"translationKey":44},"\u002Faudit-cybersecurite\u002Frive-nord","Rive-Nord","rive-nord",{"id":46,"title":47,"body":48,"criteria":194,"date":251,"description":252,"extension":253,"faq":254,"keyword":267,"meta":268,"navigation":269,"options":270,"path":327,"rawbody":328,"seo":329,"sources":330,"stem":363,"translationKey":364,"updated":365,"verdict":366,"verified":376,"__hash__":377},"comparisons_fr\u002Fcomparatifs\u002Fvpn-vs-ztna-teletravail.md","VPN ou ZTNA pour le télétravail : le comparatif pour PME",{"type":49,"value":50,"toc":185},"minimark",[51,55,64,85,90,93,96,99,103,106,114,118,126,129,133,136,140,143,147,174,181],[52,53,54],"p",{},"Pendant des années, la réponse au télétravail tenait en trois lettres : VPN. On installait un client sur le portable, l'employé se connectait et retrouvait ses lecteurs réseau comme au bureau. Aujourd'hui, les fournisseurs parlent plutôt de ZTNA, de zéro confiance et d'accès conditionnel, souvent sans expliquer ce que ça change pour une PME de 20 personnes.",[52,56,57,58,63],{},"La bonne question n'est pas « quelle technologie est la plus moderne ? », mais « à quoi mes employés doivent-ils accéder, et depuis quels appareils ? ». Ce comparatif complète notre guide sur la ",[59,60,62],"a",{"href":61},"\u002Fblogue\u002Fsecurite-teletravail-entreprise","sécurité du télétravail",".",[65,66,69],"callout",{"title":67,"type":68},"Notre méthode","info",[70,71,72,76,79,82],"ul",{},[73,74,75],"li",{},"Nous comparons des approches d'accès à distance, pas des produits. Les critères s'appuient sur les publications du Centre canadien pour la cybersécurité, du NIST, du NCSC britannique et de la CISA, ainsi que sur la documentation de Microsoft, consultées en octobre 2026.",[73,77,78],{},"Critères retenus : ressources accessibles, vérification de l'appareil, déplacement latéral, exposition sur Internet, accès aux ressources locales, MFA, effort de déploiement et coût.",[73,80,81],{},"Les prix cités proviennent des sites officiels et servent d'exemples ; ils excluent les taxes.",[73,83,84],{},"Ce comparatif n'est pas commandité.",[86,87,89],"h2",{"id":88},"dabord-faites-linventaire","D'abord, faites l'inventaire",[52,91,92],{},"Avant de comparer les technologies, dressez la liste de ce que vos employés utilisent à distance. Si tout se trouve dans Microsoft 365 et d'autres services infonuagiques, vous n'avez peut-être plus besoin d'un tunnel vers le bureau. S'il reste un serveur de fichiers, un logiciel comptable hébergé sur place ou une application métier, il faut un moyen de les atteindre de façon sécuritaire.",[52,94,95],{},"Notez aussi les appareils : portables gérés par l'entreprise, cellulaires personnels, ordinateur d'un sous-traitant. La réponse restreint les options. Un appareil géré peut être vérifié avant de se connecter ; un appareil non géré gagne à rester à l'écart de vos données.",[52,97,98],{},"Cet inventaire est aussi le premier geste de toute démarche zéro confiance, selon le Centre canadien pour la cybersécurité : connaître ses données, ses utilisateurs, ses appareils et ses applications.",[86,100,102],{"id":101},"le-vpn-simple-mais-souvent-tout-ou-rien","Le VPN : simple, mais souvent tout ou rien",[52,104,105],{},"Le VPN crée un tunnel chiffré entre le poste et le réseau du bureau. C'est pratique, et souvent déjà payé avec le pare-feu. Le revers : une fois connecté, l'utilisateur, ou l'attaquant qui a volé son mot de passe, voit souvent une grande partie du réseau.",[52,107,108,109,113],{},"Le Centre canadien pour la cybersécurité énumère les risques : vulnérabilités des équipements VPN, vol d'identifiants, mauvaise configuration. Ses recommandations sont claires : MFA de préférence résistant à l'hameçonnage, correctifs appliqués rapidement, journalisation, et tunnel partagé à éviter autant que possible. Ce n'est pas théorique : des failles de passerelles VPN de plusieurs fabricants figurent dans la liste des vulnérabilités les plus exploitées publiée par la CISA et ses partenaires, dont le Centre canadien. Une ",[59,110,112],{"href":111},"\u002Fblogue\u002Fpolitique-gestion-correctifs-pme","politique de gestion des correctifs"," qui traite le pare-feu en priorité est donc indispensable.",[86,115,117],{"id":116},"le-ztna-laccès-application-par-application","Le ZTNA : l'accès application par application",[52,119,120,121,125],{},"Le ZTNA applique les principes du ",[59,122,124],{"href":123},"\u002Fblogue\u002Fzero-trust-pme-explique","zéro confiance"," : aucune confiance n'est accordée par défaut, et chaque connexion est authentifiée et autorisée selon l'identité, l'appareil et le contexte. L'employé n'atteint que l'application dont il a besoin, pas le réseau entier. Si son compte est volé, l'attaquant reste confiné.",[52,127,128],{},"Le Centre canadien pour la cybersécurité fait du MFA un prérequis essentiel et recommande une transition graduelle, en faisant au besoin cohabiter l'ancien et le nouveau modèle. Le NCSC britannique prévient que les services anciens qui ne prennent pas en charge le zéro confiance peuvent compliquer le projet en fin de parcours.",[86,130,132],{"id":131},"laccès-conditionnel-souvent-déjà-compris-dans-la-licence","L'accès conditionnel : souvent déjà compris dans la licence",[52,134,135],{},"Pour une PME entièrement infonuagique, la solution est souvent déjà dans la licence. L'accès conditionnel de Microsoft Entra, compris dans Microsoft 365 Business Premium, applique des règles à chaque connexion : exiger le MFA, exiger un appareil marqué conforme, bloquer certains pays, bloquer les anciens protocoles. Il ne couvre toutefois pas ce qui reste au bureau, et une exclusion oubliée suffit à affaiblir l'ensemble.",[86,137,139],{"id":138},"le-bureau-virtuel-quand-lappareil-ne-peut-pas-être-géré","Le bureau virtuel : quand l'appareil ne peut pas être géré",[52,141,142],{},"Pour un sous-traitant ou un employé sur un appareil personnel, un bureau virtuel comme Windows 365 évite de stocker les données sur l'appareil. Le poste hébergé s'ouvre depuis Windows, Mac, iOS, Android ou un navigateur. La facture est mensuelle, par utilisateur, et Microsoft précise que des frais liés à l'utilisation du réseau peuvent s'ajouter.",[86,144,146],{"id":145},"comment-choisir","Comment choisir",[70,148,149,156,162,168],{},[73,150,151,155],{},[152,153,154],"strong",{},"Tout est dans Microsoft 365 ?"," L'accès conditionnel suffit souvent, sans VPN.",[73,157,158,161],{},[152,159,160],{},"Un serveur ou un logiciel reste au bureau ?"," Un VPN bien durci fait le travail ; planifiez la migration de ces ressources ou un passage au ZTNA.",[73,163,164,167],{},[152,165,166],{},"Des sous-traitants ou plusieurs applications internes ?"," Le ZTNA limite chacun à ce dont il a besoin.",[73,169,170,173],{},[152,171,172],{},"Des appareils que vous ne gérez pas ?"," Le bureau virtuel garde les données hors de l'appareil.",[52,175,176,177,180],{},"Dans tous les cas, le MFA est obligatoire sur chaque voie d'accès. Notre service de ",[59,178,179],{"href":21},"remédiation et durcissement"," peut renforcer un VPN existant ou accompagner la transition vers un accès plus ciblé.",[182,183],"cta",{"variant":184},"devis",{"title":186,"searchDepth":11,"depth":15,"links":187},"",[188,189,190,191,192,193],{"id":88,"depth":11,"text":89},{"id":101,"depth":11,"text":102},{"id":116,"depth":11,"text":117},{"id":131,"depth":11,"text":132},{"id":138,"depth":11,"text":139},{"id":145,"depth":11,"text":146},[195,202,209,216,223,230,237,244],{"label":196,"values":197},"Ce à quoi l'utilisateur accède",[198,199,200,201],"Au réseau du bureau, souvent en entier","Aux seules applications autorisées","Aux applications infonuagiques","À un poste Windows hébergé",{"label":203,"values":204},"Vérification de l'appareil",[205,206,207,208],"Selon la solution","Oui, au cœur du modèle","Oui (appareil conforme, avec Intune)","Non précisé",{"label":210,"values":211},"Déplacement latéral après le vol d'un compte",[212,213,214,215],"Risque élevé si le réseau n'est pas segmenté","Limité aux applications autorisées","Limité aux applications du compte","Limité au poste hébergé et à ses accès",{"label":217,"values":218},"Ce qui est exposé sur Internet",[219,220,221,222],"La passerelle VPN du pare-feu","Selon l'architecture du fournisseur","Aucun équipement local","Service hébergé par le fournisseur",{"label":224,"values":225},"Accès aux serveurs et logiciels du bureau",[226,227,228,229],"Oui","Oui, application par application","Non","Possible avec une connexion réseau supplémentaire",{"label":231,"values":232},"Authentification multifacteur",[233,234,235,236],"À ajouter (recommandée par le Centre canadien)","Prérequis essentiel","Exigible par politique","Exigible à la connexion Microsoft Entra",{"label":238,"values":239},"Effort de déploiement pour une PME",[240,241,242,243],"Faible, souvent déjà en place","Moyen : inventaire et règles par application","Faible à moyen si tout est dans Microsoft 365","Moyen : licences, configuration et soutien",{"label":245,"values":246},"Coût typique",[247,248,249,250],"Souvent inclus avec le pare-feu","Abonnement par utilisateur","Inclus dans Entra ID P1 \u002F Microsoft 365 Business Premium","42,90 à 85,90 $ CA par utilisateur par mois (Windows 365 Business)","2026-10-24","VPN, ZTNA, accès conditionnel ou bureau virtuel : quelle façon de donner accès à distance convient à votre PME en télétravail ? Risques, coûts et prérequis.","md",[255,258,261,264],{"q":256,"a":257},"Le ZTNA remplace-t-il complètement le VPN ?","Pas du jour au lendemain. Le Centre canadien pour la cybersécurité recommande d'appliquer les principes zéro confiance graduellement et, au besoin, de faire cohabiter les deux modèles pendant la transition. Concrètement, vous pouvez garder un VPN pour quelques usages résiduels pendant que les applications migrent vers un accès plus ciblé.",{"q":259,"a":260},"Faut-il désactiver le tunnel partagé (split tunneling) ?","Le Centre canadien pour la cybersécurité recommande de l'éviter autant que possible, car il crée un pont entre Internet et le tunnel sécurisé. Il privilégie un VPN forcé, où tout le trafic passe par le tunnel. Si la performance pose problème, discutez des exceptions avec votre fournisseur TI plutôt que d'ouvrir le tunnel par défaut.",{"q":262,"a":263},"Un VPN grand public protège-t-il nos télétravailleurs ?","Non, ce n'est pas le même outil. Un VPN grand public chiffre la connexion vers le serveur d'un fournisseur commercial, sans donner accès aux ressources de l'entreprise ni appliquer vos règles de sécurité. Pour les employés, l'accès doit passer par une solution que l'entreprise contrôle, avec le MFA.",{"q":265,"a":266},"Un produit peut-il nous rendre « zéro confiance » ?","Non. Le Centre canadien pour la cybersécurité met en garde contre les fournisseurs qui prétendent qu'un seul produit suffit : le zéro confiance est une approche, pas une solution technique unique. Un ZTNA en est une pièce, au même titre que le MFA, la gestion des appareils et l'inventaire des accès.","VPN ou ZTNA",{},true,[271,285,299,313],{"name":272,"url":273,"tagline":274,"pricing":275,"bestFor":276,"pros":277,"cons":281},"VPN d'accès distant","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fles-reseaux-prives-virtuels-itsap80101","Un tunnel chiffré qui place le poste distant sur le réseau du bureau, comme s'il y était.","Souvent inclus avec le pare-feu : par exemple, VPN d'accès distant illimité dans la licence de base de Sophos Firewall, VPN inclus chez WatchGuard dès Standard Support et sur les passerelles UniFi (sites officiels, octobre 2026)","Les PME qui ont un serveur de fichiers ou un logiciel hébergé au bureau et peu d'employés à distance.",[278,279,280],"Souvent déjà payé avec le pare-feu","Connu de tous les fournisseurs TI","Donne accès à tout : serveur de fichiers, imprimantes, logiciels locaux",[282,283,284],"Une fois connecté, l'utilisateur voit souvent une grande partie du réseau","Les passerelles VPN figurent parmi les équipements les plus ciblés","Correctifs urgents à appliquer rapidement sur le pare-feu",{"name":286,"url":287,"tagline":288,"pricing":289,"bestFor":290,"pros":291,"cons":295},"ZTNA (accès réseau zéro confiance)","https:\u002F\u002Fcsrc.nist.gov\u002Fpubs\u002Fsp\u002F800\u002F207\u002Ffinal","Un accès application par application, accordé selon l'identité, l'état de l'appareil et le contexte de chaque connexion.","Abonnement par utilisateur, généralement sur soumission ; certains fournisseurs offrent un forfait gratuit pour démarrer, comme Cloudflare (site officiel, octobre 2026)","Les PME hybrides qui doivent exposer quelques applications internes à des employés et à des sous-traitants.",[292,293,294],"Accès limité aux seules applications autorisées","Tient compte de l'état de l'appareil","Limite les déplacements d'un attaquant après le vol d'un compte",[296,297,298],"Exige un inventaire des applications, des utilisateurs et des appareils","Les vieux logiciels s'y intègrent parfois mal","Coût récurrent par utilisateur",{"name":300,"url":301,"tagline":302,"pricing":303,"bestFor":304,"pros":305,"cons":309},"Accès conditionnel sans VPN","https:\u002F\u002Flearn.microsoft.com\u002Fen-us\u002Fentra\u002Fidentity\u002Fconditional-access\u002Foverview","Pas de tunnel : les applications sont infonuagiques et chaque connexion est vérifiée (MFA, appareil, lieu).","Inclus dans Microsoft Entra ID P1, compris dans Microsoft 365 Business Premium (selon Microsoft, octobre 2026)","Les PME entièrement sur Microsoft 365, sans serveur ni logiciel au bureau.",[306,307,308],"Aucun équipement d'accès distant à maintenir","Peut bloquer un pays, un appareil non conforme ou une connexion sans MFA","Souvent déjà compris dans la licence",[310,311,312],"Ne couvre pas les serveurs et logiciels restés au bureau","Exige le bon niveau de licence (Entra ID P1)","Une exclusion oubliée suffit à créer une brèche",{"name":314,"url":315,"tagline":316,"pricing":317,"bestFor":318,"pros":319,"cons":323},"Bureau virtuel infonuagique","https:\u002F\u002Flearn.microsoft.com\u002Fen-us\u002Fwindows-365\u002Foverview","Un PC Windows hébergé dans le nuage (ex. Windows 365), accessible depuis n'importe quel appareil.","Windows 365 Business : de 42,90 $ à 85,90 $ CA par utilisateur par mois selon la configuration, taxes en sus (site officiel, octobre 2026)","Les sous-traitants, les appareils personnels et les logiciels Windows qu'on ne peut pas rendre accessibles autrement.",[320,321,322],"Les données restent sur le poste hébergé plutôt que sur l'appareil","Accès depuis Windows, Mac, iOS, Android ou un navigateur","Poste standardisé et géré centralement",[324,325,326],"Coût mensuel par utilisateur","Dépend de la qualité de la connexion Internet","Des frais liés au réseau peuvent s'ajouter","\u002Fcomparatifs\u002Fvpn-vs-ztna-teletravail","---\ntitle: \"VPN ou ZTNA pour le télétravail : le comparatif pour PME\"\ndescription: \"VPN, ZTNA, accès conditionnel ou bureau virtuel : quelle façon de donner accès à distance convient à votre PME en télétravail ? Risques, coûts et prérequis.\"\ndate: 2026-10-24\nverified: \"octobre 2026\"\ntranslationKey: vpn-ztna\nkeyword: \"VPN ou ZTNA\"\noptions:\n  - name: \"VPN d'accès distant\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fles-reseaux-prives-virtuels-itsap80101\"\n    tagline: \"Un tunnel chiffré qui place le poste distant sur le réseau du bureau, comme s'il y était.\"\n    pricing: \"Souvent inclus avec le pare-feu : par exemple, VPN d'accès distant illimité dans la licence de base de Sophos Firewall, VPN inclus chez WatchGuard dès Standard Support et sur les passerelles UniFi (sites officiels, octobre 2026)\"\n    bestFor: \"Les PME qui ont un serveur de fichiers ou un logiciel hébergé au bureau et peu d'employés à distance.\"\n    pros: [\"Souvent déjà payé avec le pare-feu\", \"Connu de tous les fournisseurs TI\", \"Donne accès à tout : serveur de fichiers, imprimantes, logiciels locaux\"]\n    cons: [\"Une fois connecté, l'utilisateur voit souvent une grande partie du réseau\", \"Les passerelles VPN figurent parmi les équipements les plus ciblés\", \"Correctifs urgents à appliquer rapidement sur le pare-feu\"]\n  - name: \"ZTNA (accès réseau zéro confiance)\"\n    url: \"https:\u002F\u002Fcsrc.nist.gov\u002Fpubs\u002Fsp\u002F800\u002F207\u002Ffinal\"\n    tagline: \"Un accès application par application, accordé selon l'identité, l'état de l'appareil et le contexte de chaque connexion.\"\n    pricing: \"Abonnement par utilisateur, généralement sur soumission ; certains fournisseurs offrent un forfait gratuit pour démarrer, comme Cloudflare (site officiel, octobre 2026)\"\n    bestFor: \"Les PME hybrides qui doivent exposer quelques applications internes à des employés et à des sous-traitants.\"\n    pros: [\"Accès limité aux seules applications autorisées\", \"Tient compte de l'état de l'appareil\", \"Limite les déplacements d'un attaquant après le vol d'un compte\"]\n    cons: [\"Exige un inventaire des applications, des utilisateurs et des appareils\", \"Les vieux logiciels s'y intègrent parfois mal\", \"Coût récurrent par utilisateur\"]\n  - name: \"Accès conditionnel sans VPN\"\n    url: \"https:\u002F\u002Flearn.microsoft.com\u002Fen-us\u002Fentra\u002Fidentity\u002Fconditional-access\u002Foverview\"\n    tagline: \"Pas de tunnel : les applications sont infonuagiques et chaque connexion est vérifiée (MFA, appareil, lieu).\"\n    pricing: \"Inclus dans Microsoft Entra ID P1, compris dans Microsoft 365 Business Premium (selon Microsoft, octobre 2026)\"\n    bestFor: \"Les PME entièrement sur Microsoft 365, sans serveur ni logiciel au bureau.\"\n    pros: [\"Aucun équipement d'accès distant à maintenir\", \"Peut bloquer un pays, un appareil non conforme ou une connexion sans MFA\", \"Souvent déjà compris dans la licence\"]\n    cons: [\"Ne couvre pas les serveurs et logiciels restés au bureau\", \"Exige le bon niveau de licence (Entra ID P1)\", \"Une exclusion oubliée suffit à créer une brèche\"]\n  - name: \"Bureau virtuel infonuagique\"\n    url: \"https:\u002F\u002Flearn.microsoft.com\u002Fen-us\u002Fwindows-365\u002Foverview\"\n    tagline: \"Un PC Windows hébergé dans le nuage (ex. Windows 365), accessible depuis n'importe quel appareil.\"\n    pricing: \"Windows 365 Business : de 42,90 $ à 85,90 $ CA par utilisateur par mois selon la configuration, taxes en sus (site officiel, octobre 2026)\"\n    bestFor: \"Les sous-traitants, les appareils personnels et les logiciels Windows qu'on ne peut pas rendre accessibles autrement.\"\n    pros: [\"Les données restent sur le poste hébergé plutôt que sur l'appareil\", \"Accès depuis Windows, Mac, iOS, Android ou un navigateur\", \"Poste standardisé et géré centralement\"]\n    cons: [\"Coût mensuel par utilisateur\", \"Dépend de la qualité de la connexion Internet\", \"Des frais liés au réseau peuvent s'ajouter\"]\ncriteria:\n  - label: \"Ce à quoi l'utilisateur accède\"\n    values: [\"Au réseau du bureau, souvent en entier\", \"Aux seules applications autorisées\", \"Aux applications infonuagiques\", \"À un poste Windows hébergé\"]\n  - label: \"Vérification de l'appareil\"\n    values: [\"Selon la solution\", \"Oui, au cœur du modèle\", \"Oui (appareil conforme, avec Intune)\", \"Non précisé\"]\n  - label: \"Déplacement latéral après le vol d'un compte\"\n    values: [\"Risque élevé si le réseau n'est pas segmenté\", \"Limité aux applications autorisées\", \"Limité aux applications du compte\", \"Limité au poste hébergé et à ses accès\"]\n  - label: \"Ce qui est exposé sur Internet\"\n    values: [\"La passerelle VPN du pare-feu\", \"Selon l'architecture du fournisseur\", \"Aucun équipement local\", \"Service hébergé par le fournisseur\"]\n  - label: \"Accès aux serveurs et logiciels du bureau\"\n    values: [\"Oui\", \"Oui, application par application\", \"Non\", \"Possible avec une connexion réseau supplémentaire\"]\n  - label: \"Authentification multifacteur\"\n    values: [\"À ajouter (recommandée par le Centre canadien)\", \"Prérequis essentiel\", \"Exigible par politique\", \"Exigible à la connexion Microsoft Entra\"]\n  - label: \"Effort de déploiement pour une PME\"\n    values: [\"Faible, souvent déjà en place\", \"Moyen : inventaire et règles par application\", \"Faible à moyen si tout est dans Microsoft 365\", \"Moyen : licences, configuration et soutien\"]\n  - label: \"Coût typique\"\n    values: [\"Souvent inclus avec le pare-feu\", \"Abonnement par utilisateur\", \"Inclus dans Entra ID P1 \u002F Microsoft 365 Business Premium\", \"42,90 à 85,90 $ CA par utilisateur par mois (Windows 365 Business)\"]\nverdict:\n  - profile: \"Firme d'arpenteurs de 12 personnes à Saint-Jérôme, avec un serveur de fichiers et un logiciel métier au bureau\"\n    pick: \"VPN d'accès distant\"\n    why: \"C'est la façon la plus simple d'atteindre les ressources locales. Exigez un MFA résistant à l'hameçonnage, évitez le tunnel partagé et appliquez les correctifs du pare-feu sans tarder.\"\n  - profile: \"Agence de marketing de Montréal de 20 personnes, entièrement sur Microsoft 365\"\n    pick: \"Accès conditionnel sans VPN\"\n    why: \"Il n'y a rien à atteindre au bureau. L'accès conditionnel, déjà compris dans Microsoft 365 Business Premium, exige le MFA et un appareil conforme à chaque connexion.\"\n  - profile: \"Firme de génie hybride de 50 employés, avec des sous-traitants et deux applications internes\"\n    pick: \"ZTNA (accès réseau zéro confiance)\"\n    why: \"Chaque sous-traitant n'accède qu'à l'application dont il a besoin, sans voir le reste du réseau. Prévoyez une transition graduelle, en gardant le VPN pour les cas restants.\"\nfaq:\n  - q: \"Le ZTNA remplace-t-il complètement le VPN ?\"\n    a: \"Pas du jour au lendemain. Le Centre canadien pour la cybersécurité recommande d'appliquer les principes zéro confiance graduellement et, au besoin, de faire cohabiter les deux modèles pendant la transition. Concrètement, vous pouvez garder un VPN pour quelques usages résiduels pendant que les applications migrent vers un accès plus ciblé.\"\n  - q: \"Faut-il désactiver le tunnel partagé (split tunneling) ?\"\n    a: \"Le Centre canadien pour la cybersécurité recommande de l'éviter autant que possible, car il crée un pont entre Internet et le tunnel sécurisé. Il privilégie un VPN forcé, où tout le trafic passe par le tunnel. Si la performance pose problème, discutez des exceptions avec votre fournisseur TI plutôt que d'ouvrir le tunnel par défaut.\"\n  - q: \"Un VPN grand public protège-t-il nos télétravailleurs ?\"\n    a: \"Non, ce n'est pas le même outil. Un VPN grand public chiffre la connexion vers le serveur d'un fournisseur commercial, sans donner accès aux ressources de l'entreprise ni appliquer vos règles de sécurité. Pour les employés, l'accès doit passer par une solution que l'entreprise contrôle, avec le MFA.\"\n  - q: \"Un produit peut-il nous rendre « zéro confiance » ?\"\n    a: \"Non. Le Centre canadien pour la cybersécurité met en garde contre les fournisseurs qui prétendent qu'un seul produit suffit : le zéro confiance est une approche, pas une solution technique unique. Un ZTNA en est une pièce, au même titre que le MFA, la gestion des appareils et l'inventaire des accès.\"\nsources:\n  - title: \"Centre canadien pour la cybersécurité : les réseaux privés virtuels (ITSAP.80.101)\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fles-reseaux-prives-virtuels-itsap80101\"\n  - title: \"Centre canadien pour la cybersécurité : approche de vérification systématique pour l'architecture de sécurité (ITSM.10.008)\"\n    url: \"https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fapproche-verification-systematique-larchitecture-securite-itsm10008\"\n  - title: \"NIST SP 800-207 : Zero Trust Architecture\"\n    url: \"https:\u002F\u002Fcsrc.nist.gov\u002Fpubs\u002Fsp\u002F800\u002F207\u002Ffinal\"\n  - title: \"NCSC (Royaume-Uni) : Zero trust architecture design principles\"\n    url: \"https:\u002F\u002Fwww.ncsc.gov.uk\u002Fcollection\u002Fzero-trust-architecture\"\n  - title: \"CISA et partenaires (dont le Centre canadien pour la cybersécurité) : vulnérabilités les plus exploitées en 2023 (AA24-317A)\"\n    url: \"https:\u002F\u002Fwww.cisa.gov\u002Fnews-events\u002Fcybersecurity-advisories\u002Faa24-317a\"\n  - title: \"Microsoft Learn : accès conditionnel Microsoft Entra (fonctionnement et licences)\"\n    url: \"https:\u002F\u002Flearn.microsoft.com\u002Fen-us\u002Fentra\u002Fidentity\u002Fconditional-access\u002Foverview\"\n  - title: \"Microsoft Learn : qu'est-ce que Windows 365 ?\"\n    url: \"https:\u002F\u002Flearn.microsoft.com\u002Fen-us\u002Fwindows-365\u002Foverview\"\n  - title: \"Microsoft : forfaits et prix de Windows 365 Business (Canada)\"\n    url: \"https:\u002F\u002Fwww.microsoft.com\u002Fen-ca\u002Fwindows-365\u002Fbusiness\u002Fcompare-plans-pricing\"\n  - title: \"Sophos : licences de Sophos Firewall (VPN d'accès distant dans la licence de base)\"\n    url: \"https:\u002F\u002Fwww.sophos.com\u002Fen-us\u002Fproducts\u002Fnext-gen-firewall\u002Fhow-to-buy\"\n  - title: \"WatchGuard : services de sécurité Firebox\"\n    url: \"https:\u002F\u002Fwww.watchguard.com\u002Fwgrd-products\u002Fsecurity-services\"\n  - title: \"Ubiquiti : passerelles UniFi Cloud Gateway\"\n    url: \"https:\u002F\u002Fui.com\u002Fcloud-gateways\"\n  - title: \"Cloudflare : forfaits Zero Trust\"\n    url: \"https:\u002F\u002Fwww.cloudflare.com\u002Fplans\u002Fzero-trust-services\u002F\"\n---\n\nPendant des années, la réponse au télétravail tenait en trois lettres : VPN. On installait un client sur le portable, l'employé se connectait et retrouvait ses lecteurs réseau comme au bureau. Aujourd'hui, les fournisseurs parlent plutôt de ZTNA, de zéro confiance et d'accès conditionnel, souvent sans expliquer ce que ça change pour une PME de 20 personnes.\n\nLa bonne question n'est pas « quelle technologie est la plus moderne ? », mais « à quoi mes employés doivent-ils accéder, et depuis quels appareils ? ». Ce comparatif complète notre guide sur la [sécurité du télétravail](\u002Fblogue\u002Fsecurite-teletravail-entreprise).\n\n::callout{type=\"info\" title=\"Notre méthode\"}\n- Nous comparons des approches d'accès à distance, pas des produits. Les critères s'appuient sur les publications du Centre canadien pour la cybersécurité, du NIST, du NCSC britannique et de la CISA, ainsi que sur la documentation de Microsoft, consultées en octobre 2026.\n- Critères retenus : ressources accessibles, vérification de l'appareil, déplacement latéral, exposition sur Internet, accès aux ressources locales, MFA, effort de déploiement et coût.\n- Les prix cités proviennent des sites officiels et servent d'exemples ; ils excluent les taxes.\n- Ce comparatif n'est pas commandité.\n::\n\n## D'abord, faites l'inventaire\n\nAvant de comparer les technologies, dressez la liste de ce que vos employés utilisent à distance. Si tout se trouve dans Microsoft 365 et d'autres services infonuagiques, vous n'avez peut-être plus besoin d'un tunnel vers le bureau. S'il reste un serveur de fichiers, un logiciel comptable hébergé sur place ou une application métier, il faut un moyen de les atteindre de façon sécuritaire.\n\nNotez aussi les appareils : portables gérés par l'entreprise, cellulaires personnels, ordinateur d'un sous-traitant. La réponse restreint les options. Un appareil géré peut être vérifié avant de se connecter ; un appareil non géré gagne à rester à l'écart de vos données.\n\nCet inventaire est aussi le premier geste de toute démarche zéro confiance, selon le Centre canadien pour la cybersécurité : connaître ses données, ses utilisateurs, ses appareils et ses applications.\n\n## Le VPN : simple, mais souvent tout ou rien\n\nLe VPN crée un tunnel chiffré entre le poste et le réseau du bureau. C'est pratique, et souvent déjà payé avec le pare-feu. Le revers : une fois connecté, l'utilisateur, ou l'attaquant qui a volé son mot de passe, voit souvent une grande partie du réseau.\n\nLe Centre canadien pour la cybersécurité énumère les risques : vulnérabilités des équipements VPN, vol d'identifiants, mauvaise configuration. Ses recommandations sont claires : MFA de préférence résistant à l'hameçonnage, correctifs appliqués rapidement, journalisation, et tunnel partagé à éviter autant que possible. Ce n'est pas théorique : des failles de passerelles VPN de plusieurs fabricants figurent dans la liste des vulnérabilités les plus exploitées publiée par la CISA et ses partenaires, dont le Centre canadien. Une [politique de gestion des correctifs](\u002Fblogue\u002Fpolitique-gestion-correctifs-pme) qui traite le pare-feu en priorité est donc indispensable.\n\n## Le ZTNA : l'accès application par application\n\nLe ZTNA applique les principes du [zéro confiance](\u002Fblogue\u002Fzero-trust-pme-explique) : aucune confiance n'est accordée par défaut, et chaque connexion est authentifiée et autorisée selon l'identité, l'appareil et le contexte. L'employé n'atteint que l'application dont il a besoin, pas le réseau entier. Si son compte est volé, l'attaquant reste confiné.\n\nLe Centre canadien pour la cybersécurité fait du MFA un prérequis essentiel et recommande une transition graduelle, en faisant au besoin cohabiter l'ancien et le nouveau modèle. Le NCSC britannique prévient que les services anciens qui ne prennent pas en charge le zéro confiance peuvent compliquer le projet en fin de parcours.\n\n## L'accès conditionnel : souvent déjà compris dans la licence\n\nPour une PME entièrement infonuagique, la solution est souvent déjà dans la licence. L'accès conditionnel de Microsoft Entra, compris dans Microsoft 365 Business Premium, applique des règles à chaque connexion : exiger le MFA, exiger un appareil marqué conforme, bloquer certains pays, bloquer les anciens protocoles. Il ne couvre toutefois pas ce qui reste au bureau, et une exclusion oubliée suffit à affaiblir l'ensemble.\n\n## Le bureau virtuel : quand l'appareil ne peut pas être géré\n\nPour un sous-traitant ou un employé sur un appareil personnel, un bureau virtuel comme Windows 365 évite de stocker les données sur l'appareil. Le poste hébergé s'ouvre depuis Windows, Mac, iOS, Android ou un navigateur. La facture est mensuelle, par utilisateur, et Microsoft précise que des frais liés à l'utilisation du réseau peuvent s'ajouter.\n\n## Comment choisir\n\n- **Tout est dans Microsoft 365 ?** L'accès conditionnel suffit souvent, sans VPN.\n- **Un serveur ou un logiciel reste au bureau ?** Un VPN bien durci fait le travail ; planifiez la migration de ces ressources ou un passage au ZTNA.\n- **Des sous-traitants ou plusieurs applications internes ?** Le ZTNA limite chacun à ce dont il a besoin.\n- **Des appareils que vous ne gérez pas ?** Le bureau virtuel garde les données hors de l'appareil.\n\nDans tous les cas, le MFA est obligatoire sur chaque voie d'accès. Notre service de [remédiation et durcissement](\u002Fservices\u002Fremediation-durcissement) peut renforcer un VPN existant ou accompagner la transition vers un accès plus ciblé.\n\n::cta{variant=\"devis\"}\n::\n",{"title":47,"description":252},[331,333,336,338,341,344,346,348,351,354,357,360],{"title":332,"url":273},"Centre canadien pour la cybersécurité : les réseaux privés virtuels (ITSAP.80.101)",{"title":334,"url":335},"Centre canadien pour la cybersécurité : approche de vérification systématique pour l'architecture de sécurité (ITSM.10.008)","https:\u002F\u002Fwww.cyber.gc.ca\u002Ffr\u002Forientation\u002Fapproche-verification-systematique-larchitecture-securite-itsm10008",{"title":337,"url":287},"NIST SP 800-207 : Zero Trust Architecture",{"title":339,"url":340},"NCSC (Royaume-Uni) : Zero trust architecture design principles","https:\u002F\u002Fwww.ncsc.gov.uk\u002Fcollection\u002Fzero-trust-architecture",{"title":342,"url":343},"CISA et partenaires (dont le Centre canadien pour la cybersécurité) : vulnérabilités les plus exploitées en 2023 (AA24-317A)","https:\u002F\u002Fwww.cisa.gov\u002Fnews-events\u002Fcybersecurity-advisories\u002Faa24-317a",{"title":345,"url":301},"Microsoft Learn : accès conditionnel Microsoft Entra (fonctionnement et licences)",{"title":347,"url":315},"Microsoft Learn : qu'est-ce que Windows 365 ?",{"title":349,"url":350},"Microsoft : forfaits et prix de Windows 365 Business (Canada)","https:\u002F\u002Fwww.microsoft.com\u002Fen-ca\u002Fwindows-365\u002Fbusiness\u002Fcompare-plans-pricing",{"title":352,"url":353},"Sophos : licences de Sophos Firewall (VPN d'accès distant dans la licence de base)","https:\u002F\u002Fwww.sophos.com\u002Fen-us\u002Fproducts\u002Fnext-gen-firewall\u002Fhow-to-buy",{"title":355,"url":356},"WatchGuard : services de sécurité Firebox","https:\u002F\u002Fwww.watchguard.com\u002Fwgrd-products\u002Fsecurity-services",{"title":358,"url":359},"Ubiquiti : passerelles UniFi Cloud Gateway","https:\u002F\u002Fui.com\u002Fcloud-gateways",{"title":361,"url":362},"Cloudflare : forfaits Zero Trust","https:\u002F\u002Fwww.cloudflare.com\u002Fplans\u002Fzero-trust-services\u002F","comparatifs\u002Fvpn-vs-ztna-teletravail","vpn-ztna",null,[367,370,373],{"profile":368,"pick":272,"why":369},"Firme d'arpenteurs de 12 personnes à Saint-Jérôme, avec un serveur de fichiers et un logiciel métier au bureau","C'est la façon la plus simple d'atteindre les ressources locales. Exigez un MFA résistant à l'hameçonnage, évitez le tunnel partagé et appliquez les correctifs du pare-feu sans tarder.",{"profile":371,"pick":300,"why":372},"Agence de marketing de Montréal de 20 personnes, entièrement sur Microsoft 365","Il n'y a rien à atteindre au bureau. L'accès conditionnel, déjà compris dans Microsoft 365 Business Premium, exige le MFA et un appareil conforme à chaque connexion.",{"profile":374,"pick":286,"why":375},"Firme de génie hybride de 50 employés, avec des sous-traitants et deux applications internes","Chaque sous-traitant n'accède qu'à l'application dont il a besoin, sans voir le reste du réseau. Prévoyez une transition graduelle, en gardant le VPN pour les cas restants.","octobre 2026","AJTFNzgsvr-wXTFCPiheNULDmd5ODuWU4l59gACfVak",{"path":379},"\u002Fen\u002Fcomparisons\u002Fvpn-vs-ztna-remote-work",[381,385,389],{"path":382,"title":383,"description":384},"\u002Fcomparatifs\u002Fantivirus-edr-mdr-protection-postes","Antivirus, EDR ou MDR : quelle protection pour vos postes ?","Antivirus, EDR ou MDR : détection, intervention, surveillance 24\u002F7, compétences et modèle de coût comparés pour une PME de 10, 50 ou 150 employés.",{"path":386,"title":387,"description":388},"\u002Fcomparatifs\u002Fedr-pme-comparatif","EDR pour PME : Defender, CrowdStrike, SentinelOne et Sophos","Defender for Business, CrowdStrike Falcon, SentinelOne ou Sophos : forfaits qui incluent vraiment l'EDR, prix publics, données au Canada et surveillance 24\u002F7.",{"path":390,"title":391,"description":392},"\u002Fcomparatifs\u002Fformation-cybersecurite-employes-options","Formation en cybersécurité : en ligne, atelier ou simulations ?","Plateforme en ligne, atelier en personne, simulations d'hameçonnage ou programme annuel : engagement, mesure, coûts, français et preuves pour la Loi 25.",1792970121427]