Firewall pour PME de moins de 50 salariés

Pourquoi même une PME de 10 personnes a besoin d'un firewall NGFW

En 2026, les PME sont la cible #1 des ransomwares — 43% des cyberattaques visent les entreprises de <250 salariés (rapport ANSSI 2025). Un cabinet d'avocats de 12 personnes, un bureau d'architectes de 25 personnes, une clinique vétérinaire de 8 personnes — tous manipulent des données sensibles (dossiers clients, propriété intellectuelle, données santé) sur des réseaux souvent protégés par une simple box opérateur. La box opérateur n'est PAS un firewall : elle fait du NAT basique, pas d'IPS, pas de filtrage applicatif, pas de VPN enterprise, pas de logs exploitables.

Le budget firewall pour une PME de 10-50 salariés : 500-3 000€ en matériel + 300-1 500€/an en licences de sécurité. C'est le prix d'un ordinateur portable. C'est aussi le prix d'une assurance cyber qui vous sauve en cas de ransomware — ou plutôt qui vous empêche d'en avoir besoin.

Les 3 meilleures options pour PME <50 salariés

FortiGate 40F / 60F : le rapport prix/perf imbattable

Le FortiGate 60F est le firewall PME le plus vendu au monde. Et pour cause : 10 Gbps de débit firewall, 700 Mbps en threat protection (IPS + AV + App Control activés), SD-WAN intégré sans licence supplémentaire, VPN IPsec et SSL illimités, le tout pour ~700€ HT. Aucun concurrent ne s'approche de ce ratio.

• FortiGate 40F (FG-40F) : pour 5-20 utilisateurs. 5 Gbps FW / 600 Mbps Threat. 5 ports GbE. Prix OPTINOC : ~450€ HT. Licence UTP 1 an : ~350€.
• FortiGate 60F (FG-60F) : pour 20-80 utilisateurs. 10 Gbps FW / 700 Mbps Threat. 7 ports GbE + 2 SFP. Prix : ~700€ HT. Licence UTP 1 an : ~550€.
• SD-WAN : inclus dans FortiOS. Pas de licence supplémentaire. Configurez dual-WAN (fibre + 4G) avec failover automatique et classification applicative.
• VPN : IPsec site-to-site illimité + SSL VPN pour 200 utilisateurs simultanés (FortiClient). Parfait pour le télétravail.
• Administration : GUI FortiOS intuitive (accessible à un responsable IT non-expert). CLI pour les ingénieurs.
• Bundle UTP recommandé : IPS, Antivirus, App Control, Web Filter, Antispam. ~550€/an pour le 60F. C'est le coût d'un café par jour ouvrable.

Cisco Meraki MX67 : le cloud-managed zéro-touch

Le Meraki MX67 est le choix idéal pour les PME qui n'ont PAS d'administrateur réseau en interne. Tout se configure depuis le dashboard cloud Meraki — pas de CLI, pas de fichier de configuration, pas d'appliance de management. Le CEO peut configurer son firewall depuis son iPhone.

• MX67 : pour 50 utilisateurs max. 450 Mbps FW / 300 Mbps Threat. 4 ports GbE + 1 WAN + 1 USB (4G). Prix OPTINOC : ~550€ HT.
• MX68 : version avec PoE (2 ports PoE 30W) et Wi-Fi intégré. Pour très petites branches. Prix : ~700€ HT.
• Licence Enterprise OBLIGATOIRE : ~450€/an. Sans licence active, l'équipement cesse de fonctionner après 30 jours. C'est le modèle SaaS strict de Meraki.
• Dashboard cloud : configuration, monitoring, alerting depuis n'importe où. Auto VPN entre sites Meraki (1 clic). Intégration Umbrella pour DNS Security.
• Limite : pas de CLI, pas de customisation avancée (BGP limité, pas d'OSPF, pas de politique granulaire). Pour les PME simples, c'est un avantage (moins de complexité). Pour les PME avec besoins spécifiques, c'est bloquant.

FortiGate 60F vs Meraki MX67 : le face-à-face

• Débit threat : FortiGate 60F = 700 Mbps | MX67 = 300 Mbps. Avantage FortiGate, x2.3.
• Prix matériel : 60F = 700€ | MX67 = 550€. MX67 moins cher à l'achat.
• Licence annuelle : 60F UTP = 550€ | MX67 Enterprise = 450€. Comparable.
• TCO 5 ans : 60F = 700 + 5×550 = 3 450€ | MX67 = 550 + 5×450 = 2 800€. MX67 légèrement moins cher en TCO.
• MAIS : si licence MX67 expire → firewall MORT. Si licence 60F expire → firewall fonctionne encore (sans updates IPS/AV). Risque opérationnel très différent.
• SD-WAN : 60F = inclus nativement (sélection applicative, FEC, packet duplication) | MX67 = basique (failover, load balancing simple).
• VPN : 60F = IPsec illimité + SSL VPN 200 users | MX67 = Auto VPN Meraki (simple mais Meraki-to-Meraki uniquement pour l'auto).
• Administration : 60F = GUI locale + FortiManager (option) | MX67 = Dashboard cloud uniquement.
• Verdict PME : FortiGate 60F si vous avez un minimum de compétence IT en interne (ou un prestataire). Meraki MX67 si vous n'avez AUCUNE ressource technique et voulez du plug-and-forget.

Configuration type FortiGate 60F pour PME 30 personnes

• WAN1 : fibre opérateur (100 Mbps symétrique). WAN2 : 4G Bouygues failover (via dongle USB ou routeur 4G).
• LAN : port1-5 en switch bridge. VLAN 10 = bureaux (DHCP 10.0.10.0/24). VLAN 20 = Wi-Fi (DHCP 10.0.20.0/24). VLAN 30 = IoT/caméras (DHCP 10.0.30.0/24).
• Politique : VLAN 10 → Internet (allow avec IPS + AV + Web Filter). VLAN 20 → Internet (allow, bandwidth limité 50 Mbps). VLAN 30 → deny Internet (caméras isolées).
• SD-WAN : WAN1 primary, WAN2 backup. SLA probe vers 8.8.8.8 (Google DNS). Failover si latence >100ms ou loss >2%.
• VPN : SSL VPN sur port 10443 pour les 5 collaborateurs en télétravail. FortiClient gratuit sur leurs laptops.
• Admin : 2FA FortiToken Mobile pour l'accès admin. Sauvegarde config hebdomadaire sur clé USB.

Checklist achat firewall PME

• 1. Compter les utilisateurs actifs simultanés (pas le total employés — le pic réel).
• 2. Mesurer la bande passante WAN (speed test aux heures de pointe). Le firewall doit avoir un débit threat > bande passante WAN.
• 3. Lister les services nécessaires : VPN ? SD-WAN ? Wi-Fi intégré ? PoE ? 4G failover ?
• 4. Budget : matériel + licence 1 an + marge 20% imprévus.
• 5. Support : avez-vous un prestataire IT ? Si non → Meraki. Si oui → FortiGate.
• 6. Conformité : NIS2, RGPD, HDS ? → FortiGate avec logs + FortiAnalyzer (ou syslog vers SIEM).
• 7. Commander garantie constructeur chez OPTINOC — livraison 24-72h, configuration initiale sur demande.

Recommandations OPTINOC

Pour 80% des PME françaises <50 salariés : FortiGate 60F + licence UTP. Total : 1 250€ la première année, 550€/an ensuite. C'est 46€/mois pour sécuriser votre entreprise. Moins cher qu'un abonnement antivirus par poste.

OPTINOC livre les FortiGate préconfigurés sur demande : vous branchez, ça marche. Déplacement sur site possible en Île-de-France. Support technique inclus.