Accès à distance : VPN ou ports ouverts, la différence qui change tout

Le besoin est légitime : ouvrir un devis depuis un chantier, finir la comptabilité à la maison, laisser l'expert-comptable se connecter au logiciel. La question n'est pas de savoir s'il faut un accès à distance, mais comment il a été ouvert.

Dans beaucoup de petites entreprises, il l'a été de la façon la plus rapide : une « redirection de port » sur la box, vers le poste ou le NAS. Cela fonctionne tout de suite. Et cela fonctionne pour tout le monde.

Un port ouvert, c'est une porte sur la rue

Une redirection de port dit à la box : « tout ce qui arrive d'Internet sur ce numéro, envoie-le à tel appareil ». La box ne vérifie pas qui frappe. La seule protection qui reste, c'est le mot de passe de l'appareil qui répond, et l'absence de faille dans son logiciel.

Or cette porte est visible. Des robots parcourent Internet en continu et relèvent tout ce qui répond. Un bureau à distance Windows ou un NAS exposé est repéré très vite, puis testé : mots de passe courants, identifiants volés ailleurs, failles connues.

Le bureau à distance de Windows (RDP) est le cas d'école. Cybermalveillance.gouv.fr recommande de limiter par un pare-feu l'ouverture de ces accès, et de les réserver aux seules personnes et services qui en ont réellement besoin.

Un VPN, c'est un couloir privé avec un badge

Avec un VPN, on ne laisse plus entrer tout Internet jusqu'à la porte de l'appareil. On crée un tunnel chiffré entre l'ordinateur du collaborateur et le réseau du bureau. Pour l'emprunter, il faut s'être identifié avant.

De l'extérieur, le NAS et les postes ne répondent plus : il n'y a plus rien à tester.
Une fois dans le tunnel, le collaborateur travaille comme s'il était au bureau.
Si un salarié s'en va, on retire son accès au VPN, et lui seul.

C'est la recommandation de Cybermalveillance.gouv.fr : systématiser les connexions aux équipements de l'entreprise par un VPN, en n'autorisant que des appareils authentifiés, et avec une double authentification pour éviter les usurpations.

Un VPN mal entretenu redevient une porte

Le VPN n'est pas une solution magique. C'est lui, désormais, qui fait face à Internet, et les attaquants le savent. Dans son panorama de la cybermenace 2025, l'ANSSI relève que les équipements placés en bordure de réseau, comme les pare-feu et les passerelles VPN, restent une cible très prisée en raison de leurs nombreuses vulnérabilités.

Trois conditions pour qu'il protège vraiment :

Des mises à jour appliquées vite. Un défaut de mise à jour est souvent à l'origine d'une intrusion, et les attaquants exploitent les failles peu de temps après leur publication.
Une double authentification. Un mot de passe volé ne doit pas suffire à entrer.
Un compte par personne. Pas d'identifiant partagé, et un accès retiré le jour du départ.

Et les outils de prise en main à distance ?

Les logiciels de prise en main à distance rendent service pour un dépannage. Laissés installés en accès permanent avec un mot de passe fixe, ils deviennent un accès de plus à surveiller. Même règle que pour le reste : un accès activé quand on en a besoin, une double authentification, et un inventaire de qui peut se connecter à quoi.

Faire le point chez vous

Interface de la box, rubrique NAT ou redirection de ports. Chaque ligne est une porte. Pour chacune, quelqu'un doit pouvoir dire à quoi elle sert.
UPnP. S'il est activé, des appareils ont pu ouvrir des ports sans vous le demander.
Les accès des prestataires. L'éditeur du logiciel, l'ancien informaticien, l'installateur des caméras : ont-ils encore un accès ? Avec quel mot de passe ?
Les journaux. Les connexions au pare-feu et aux serveurs doivent être enregistrées et conservées. Le jour d'un incident, c'est ce qui permet de comprendre ce qui s'est passé.

Ce que vous pouvez faire maintenant

Relevez les redirections de ports de votre box.
Supprimez celles dont personne ne connaît l'usage, après avoir vérifié qu'aucun service ne s'arrête.
Listez les personnes et les prestataires qui se connectent de l'extérieur.

Sources

Remplacer les ports ouverts par un VPN fait partie du pack Mise en sécurité, à prix fixe.

Voir les packs et leurs prix