VPN ou ZTNA pour le télétravail : le comparatif pour PME
VPN, ZTNA, accès conditionnel ou bureau virtuel : quelle façon de donner accès à distance convient à votre PME en télétravail ? Risques, coûts et prérequis.
Faits vérifiés : octobre 2026Ce comparatif n’est pas commandité.
Notre recommandation selon votre situation
Firme d'arpenteurs de 12 personnes à Saint-Jérôme, avec un serveur de fichiers et un logiciel métier au bureau
VPN d'accès distant
C'est la façon la plus simple d'atteindre les ressources locales. Exigez un MFA résistant à l'hameçonnage, évitez le tunnel partagé et appliquez les correctifs du pare-feu sans tarder.
Agence de marketing de Montréal de 20 personnes, entièrement sur Microsoft 365
Accès conditionnel sans VPN
Il n'y a rien à atteindre au bureau. L'accès conditionnel, déjà compris dans Microsoft 365 Business Premium, exige le MFA et un appareil conforme à chaque connexion.
Firme de génie hybride de 50 employés, avec des sous-traitants et deux applications internes
ZTNA (accès réseau zéro confiance)
Chaque sous-traitant n'accède qu'à l'application dont il a besoin, sans voir le reste du réseau. Prévoyez une transition graduelle, en gardant le VPN pour les cas restants.
Comparaison point par point
Critère
VPN d'accès distant
ZTNA (accès réseau zéro confiance)
Accès conditionnel sans VPN
Bureau virtuel infonuagique
Ce à quoi l'utilisateur accède
Au réseau du bureau, souvent en entier
Aux seules applications autorisées
Aux applications infonuagiques
À un poste Windows hébergé
Vérification de l'appareil
Selon la solution
Oui, au cœur du modèle
Oui (appareil conforme, avec Intune)
Non précisé
Déplacement latéral après le vol d'un compte
Risque élevé si le réseau n'est pas segmenté
Limité aux applications autorisées
Limité aux applications du compte
Limité au poste hébergé et à ses accès
Ce qui est exposé sur Internet
La passerelle VPN du pare-feu
Selon l'architecture du fournisseur
Aucun équipement local
Service hébergé par le fournisseur
Accès aux serveurs et logiciels du bureau
Oui
Oui, application par application
Non
Possible avec une connexion réseau supplémentaire
Authentification multifacteur
À ajouter (recommandée par le Centre canadien)
Prérequis essentiel
Exigible par politique
Exigible à la connexion Microsoft Entra
Effort de déploiement pour une PME
Faible, souvent déjà en place
Moyen : inventaire et règles par application
Faible à moyen si tout est dans Microsoft 365
Moyen : licences, configuration et soutien
Coût typique
Souvent inclus avec le pare-feu
Abonnement par utilisateur
Inclus dans Entra ID P1 / Microsoft 365 Business Premium
42,90 à 85,90 $ CA par utilisateur par mois (Windows 365 Business)
Un tunnel chiffré qui place le poste distant sur le réseau du bureau, comme s'il y était.
Idéal pour
Les PME qui ont un serveur de fichiers ou un logiciel hébergé au bureau et peu d'employés à distance.
Prix
Souvent inclus avec le pare-feu : par exemple, VPN d'accès distant illimité dans la licence de base de Sophos Firewall, VPN inclus chez WatchGuard dès Standard Support et sur les passerelles UniFi (sites officiels, octobre 2026)
Points forts
Souvent déjà payé avec le pare-feu
Connu de tous les fournisseurs TI
Donne accès à tout : serveur de fichiers, imprimantes, logiciels locaux
Limites
Une fois connecté, l'utilisateur voit souvent une grande partie du réseau
Les passerelles VPN figurent parmi les équipements les plus ciblés
Correctifs urgents à appliquer rapidement sur le pare-feu
Un accès application par application, accordé selon l'identité, l'état de l'appareil et le contexte de chaque connexion.
Idéal pour
Les PME hybrides qui doivent exposer quelques applications internes à des employés et à des sous-traitants.
Prix
Abonnement par utilisateur, généralement sur soumission ; certains fournisseurs offrent un forfait gratuit pour démarrer, comme Cloudflare (site officiel, octobre 2026)
Points forts
Accès limité aux seules applications autorisées
Tient compte de l'état de l'appareil
Limite les déplacements d'un attaquant après le vol d'un compte
Limites
Exige un inventaire des applications, des utilisateurs et des appareils
Un PC Windows hébergé dans le nuage (ex. Windows 365), accessible depuis n'importe quel appareil.
Idéal pour
Les sous-traitants, les appareils personnels et les logiciels Windows qu'on ne peut pas rendre accessibles autrement.
Prix
Windows 365 Business : de 42,90 $ à 85,90 $ CA par utilisateur par mois selon la configuration, taxes en sus (site officiel, octobre 2026)
Points forts
Les données restent sur le poste hébergé plutôt que sur l'appareil
Accès depuis Windows, Mac, iOS, Android ou un navigateur
Poste standardisé et géré centralement
Limites
Coût mensuel par utilisateur
Dépend de la qualité de la connexion Internet
Des frais liés au réseau peuvent s'ajouter
Pendant des années, la réponse au télétravail tenait en trois lettres : VPN. On installait un client sur le portable, l'employé se connectait et retrouvait ses lecteurs réseau comme au bureau. Aujourd'hui, les fournisseurs parlent plutôt de ZTNA, de zéro confiance et d'accès conditionnel, souvent sans expliquer ce que ça change pour une PME de 20 personnes.
La bonne question n'est pas « quelle technologie est la plus moderne ? », mais « à quoi mes employés doivent-ils accéder, et depuis quels appareils ? ». Ce comparatif complète notre guide sur la sécurité du télétravail.
Notre méthode
Nous comparons des approches d'accès à distance, pas des produits. Les critères s'appuient sur les publications du Centre canadien pour la cybersécurité, du NIST, du NCSC britannique et de la CISA, ainsi que sur la documentation de Microsoft, consultées en octobre 2026.
Critères retenus : ressources accessibles, vérification de l'appareil, déplacement latéral, exposition sur Internet, accès aux ressources locales, MFA, effort de déploiement et coût.
Les prix cités proviennent des sites officiels et servent d'exemples ; ils excluent les taxes.
Avant de comparer les technologies, dressez la liste de ce que vos employés utilisent à distance. Si tout se trouve dans Microsoft 365 et d'autres services infonuagiques, vous n'avez peut-être plus besoin d'un tunnel vers le bureau. S'il reste un serveur de fichiers, un logiciel comptable hébergé sur place ou une application métier, il faut un moyen de les atteindre de façon sécuritaire.
Notez aussi les appareils : portables gérés par l'entreprise, cellulaires personnels, ordinateur d'un sous-traitant. La réponse restreint les options. Un appareil géré peut être vérifié avant de se connecter ; un appareil non géré gagne à rester à l'écart de vos données.
Cet inventaire est aussi le premier geste de toute démarche zéro confiance, selon le Centre canadien pour la cybersécurité : connaître ses données, ses utilisateurs, ses appareils et ses applications.
Le VPN crée un tunnel chiffré entre le poste et le réseau du bureau. C'est pratique, et souvent déjà payé avec le pare-feu. Le revers : une fois connecté, l'utilisateur, ou l'attaquant qui a volé son mot de passe, voit souvent une grande partie du réseau.
Le Centre canadien pour la cybersécurité énumère les risques : vulnérabilités des équipements VPN, vol d'identifiants, mauvaise configuration. Ses recommandations sont claires : MFA de préférence résistant à l'hameçonnage, correctifs appliqués rapidement, journalisation, et tunnel partagé à éviter autant que possible. Ce n'est pas théorique : des failles de passerelles VPN de plusieurs fabricants figurent dans la liste des vulnérabilités les plus exploitées publiée par la CISA et ses partenaires, dont le Centre canadien. Une politique de gestion des correctifs qui traite le pare-feu en priorité est donc indispensable.
Le ZTNA applique les principes du zéro confiance : aucune confiance n'est accordée par défaut, et chaque connexion est authentifiée et autorisée selon l'identité, l'appareil et le contexte. L'employé n'atteint que l'application dont il a besoin, pas le réseau entier. Si son compte est volé, l'attaquant reste confiné.
Le Centre canadien pour la cybersécurité fait du MFA un prérequis essentiel et recommande une transition graduelle, en faisant au besoin cohabiter l'ancien et le nouveau modèle. Le NCSC britannique prévient que les services anciens qui ne prennent pas en charge le zéro confiance peuvent compliquer le projet en fin de parcours.
Pour une PME entièrement infonuagique, la solution est souvent déjà dans la licence. L'accès conditionnel de Microsoft Entra, compris dans Microsoft 365 Business Premium, applique des règles à chaque connexion : exiger le MFA, exiger un appareil marqué conforme, bloquer certains pays, bloquer les anciens protocoles. Il ne couvre toutefois pas ce qui reste au bureau, et une exclusion oubliée suffit à affaiblir l'ensemble.
Pour un sous-traitant ou un employé sur un appareil personnel, un bureau virtuel comme Windows 365 évite de stocker les données sur l'appareil. Le poste hébergé s'ouvre depuis Windows, Mac, iOS, Android ou un navigateur. La facture est mensuelle, par utilisateur, et Microsoft précise que des frais liés à l'utilisation du réseau peuvent s'ajouter.
Tout est dans Microsoft 365 ? L'accès conditionnel suffit souvent, sans VPN.
Un serveur ou un logiciel reste au bureau ? Un VPN bien durci fait le travail ; planifiez la migration de ces ressources ou un passage au ZTNA.
Des sous-traitants ou plusieurs applications internes ? Le ZTNA limite chacun à ce dont il a besoin.
Des appareils que vous ne gérez pas ? Le bureau virtuel garde les données hors de l'appareil.
Dans tous les cas, le MFA est obligatoire sur chaque voie d'accès. Notre service de remédiation et durcissement peut renforcer un VPN existant ou accompagner la transition vers un accès plus ciblé.
Questions fréquentes
Le ZTNA remplace-t-il complètement le VPN ?+
Pas du jour au lendemain. Le Centre canadien pour la cybersécurité recommande d'appliquer les principes zéro confiance graduellement et, au besoin, de faire cohabiter les deux modèles pendant la transition. Concrètement, vous pouvez garder un VPN pour quelques usages résiduels pendant que les applications migrent vers un accès plus ciblé.
Faut-il désactiver le tunnel partagé (split tunneling) ?+
Le Centre canadien pour la cybersécurité recommande de l'éviter autant que possible, car il crée un pont entre Internet et le tunnel sécurisé. Il privilégie un VPN forcé, où tout le trafic passe par le tunnel. Si la performance pose problème, discutez des exceptions avec votre fournisseur TI plutôt que d'ouvrir le tunnel par défaut.
Un VPN grand public protège-t-il nos télétravailleurs ?+
Non, ce n'est pas le même outil. Un VPN grand public chiffre la connexion vers le serveur d'un fournisseur commercial, sans donner accès aux ressources de l'entreprise ni appliquer vos règles de sécurité. Pour les employés, l'accès doit passer par une solution que l'entreprise contrôle, avec le MFA.
Un produit peut-il nous rendre « zéro confiance » ?+
Non. Le Centre canadien pour la cybersécurité met en garde contre les fournisseurs qui prétendent qu'un seul produit suffit : le zéro confiance est une approche, pas une solution technique unique. Un ZTNA en est une pièce, au même titre que le MFA, la gestion des appareils et l'inventaire des accès.