Quand un salarié ouvre son ordinateur portable depuis sa table de cuisine, il lance souvent un logiciel qui crée un tunnel chiffré vers le réseau de son entreprise. Ce tunnel, c’est le VPN. Pendant des années, cette technologie a été le réflexe par défaut pour sécuriser le télétravail. Mais les réseaux privés virtuels traversent aujourd’hui une remise en question profonde, portée par de nouvelles menaces et par des architectures qui les rendent progressivement obsolètes.
Le VPN comme surface d’attaque : un angle mort du télétravail
Le VPN protège les flux de données, mais il expose aussi l’entreprise. Depuis 2024, le VPN lui-même est devenu une cible prioritaire des cyberattaques.
Des enquêtes de sécurité publiées entre 2024 et 2025 montrent que plus de la moitié des organisations ont subi au moins une tentative exploitant une vulnérabilité de leur solution VPN. Les appliances VPN, ces boîtiers ou logiciels serveurs qui gèrent les connexions distantes, présentent des failles que les attaquants connaissent bien.
Pourquoi ce paradoxe ? Un VPN traditionnel fonctionne sur un principe simple : une fois authentifié, l’employé accède à l’ensemble du réseau interne. Si un attaquant vole les identifiants d’un salarié en télétravail (par hameçonnage, par exemple), il hérite du même accès large. Un seul compte compromis peut ouvrir la porte à tout le système d’information.
Ce constat pousse les directions de la sécurité informatique à reconsidérer le rôle du VPN. Il ne s’agit plus seulement d’un outil de protection, mais d’une surface d’attaque à traiter en priorité dans la politique de cybersécurité de l’entreprise.
Zero Trust et SASE : les architectures qui remplacent le VPN en entreprise
Vous avez déjà remarqué qu’un badge d’entreprise ouvre toutes les portes d’un bâtiment une fois passé l’accueil ? Le VPN fonctionne de la même façon : une seule vérification à l’entrée, puis un accès global. Le modèle Zero Trust prend le contre-pied exact de cette logique.
Le principe du Zero Trust Network Access
Le ZTNA (Zero Trust Network Access) part d’une règle : aucun utilisateur ni aucun appareil n’est considéré comme fiable par défaut. Chaque demande d’accès à une application est vérifiée individuellement. Un comptable qui se connecte depuis chez lui n’accède qu’au logiciel de facturation dont il a besoin, pas au serveur de développement ni aux bases de données RH.
Concrètement, le ZTNA vérifie plusieurs éléments à chaque connexion :
- L’identité de l’utilisateur (authentification renforcée, souvent à deux facteurs)
- L’état de l’appareil utilisé (mises à jour installées, antivirus actif, disque chiffré)
- Le contexte de la connexion (localisation, horaire, comportement inhabituel)
Si l’un de ces critères ne correspond pas à la politique de sécurité, l’accès est refusé ou limité, même si l’utilisateur a fourni le bon mot de passe.
SASE : la convergence réseau et sécurité dans le cloud
Le SASE (Secure Access Service Edge) va plus loin. Il regroupe dans une seule architecture cloud les fonctions de réseau (routage, optimisation du trafic) et de sécurité (filtrage web, protection contre les menaces, ZTNA). Pour une entreprise dont les employés travaillent à distance depuis des lieux différents, le SASE supprime le besoin de faire transiter tout le trafic par un point central.
Les études d’analystes publiées en 2025 et 2026 indiquent que les nouveaux projets d’accès distant privilégient désormais ces modèles. La majorité des grandes entreprises ont formalisé une stratégie SASE et planifient la substitution du VPN dans les prochaines années. Ce basculement s’accompagne d’une baisse significative des incidents de sécurité liés aux accès distants mal configurés.
VPN en télétravail : les cas où il reste pertinent
Faut-il jeter le VPN pour autant ? La réponse dépend de la taille et de la maturité informatique de l’organisation.
Pour une PME de vingt personnes qui utilise principalement des outils en ligne (messagerie cloud, suite bureautique web), un VPN client-à-site reste une solution accessible. Le coût de déploiement est faible, la configuration ne nécessite pas une équipe spécialisée, et le niveau de protection convient si les bonnes pratiques sont respectées.
Les limites apparaissent quand l’entreprise grandit ou que ses applications se répartissent entre serveurs internes et services cloud. Le VPN crée alors un goulot d’étranglement : tout le trafic passe par le même tunnel, ce qui ralentit les connexions et complique la gestion des accès par application.
Un tableau synthétique aide à visualiser les cas d’usage :
| Critère | VPN traditionnel | ZTNA / SASE |
| Taille d’équipe | Petites structures | Moyennes et grandes entreprises |
| Type d’applications | Serveurs internes | Mix cloud et interne |
| Granularité des accès | Accès réseau global | Accès par application |
| Coût initial | Faible | Plus élevé |
| Maintenance sécurité | Patches réguliers sur l’appliance | Gérée par le fournisseur cloud |
Formation des employés : le maillon que la technologie ne remplace pas
Quelle que soit l’architecture choisie, VPN ou ZTNA, la formation des employés au télétravail sécurisé reste le facteur déterminant. Le phishing demeure le vecteur d’attaque le plus fréquent contre les télétravailleurs, loin devant les failles purement techniques.
Un tunnel chiffré ne protège pas contre un salarié qui clique sur un lien frauduleux ou qui utilise le même mot de passe pour son compte professionnel et un site personnel. Les entreprises qui déploient des outils de sécurité avancés sans accompagnement humain reproduisent le même schéma : une protection technique contournée par un comportement à risque.
Les pratiques à ancrer dans la routine des télétravailleurs :
- Activer l’authentification à deux facteurs sur chaque application professionnelle
- Séparer les usages personnels et professionnels sur des sessions ou appareils distincts
- Vérifier systématiquement l’expéditeur et l’URL avant de cliquer sur un lien reçu par courriel
- Signaler immédiatement toute activité suspecte à l’équipe informatique, même en cas de doute
La gestion de la sécurité à distance ne se résume pas à un choix d’outil. Un VPN bien administré protège mieux qu’un ZTNA mal déployé, l’inverse étant tout aussi vrai. Pour la plupart des organisations, le remplacement se fera par étapes, application par application. Ce qui compte, c’est que chaque entreprise évalue sa propre surface d’attaque, la nature de ses données sensibles et le niveau de maturité de ses équipes avant de trancher.
