Le VPN est-il mort ? Ce qui a vraiment changé pour l'accès à distance
Le VPN est-il vraiment mort ? Non, mais l'accès à distance a changé : portail sécurisé, VPN moderne, double authentification. Ce qui protège une PME en 2026.
Non, le VPN n'est pas mort. Ce qui est mort, c'est le VPN à l'ancienne : le client lourd que l'utilisateur devait lancer lui-même, protégé par un simple mot de passe, et qui ouvrait l'accès à tout le réseau de l'entreprise une fois le tunnel franchi. L'accès à distance moderne repose sur trois principes : des protections en couches plutôt qu'une porte unique, une identité vérifiée par au moins deux facteurs, et une configuration automatisée qui ne dépend plus de l'utilisateur.
2
C'est le nombre minimal de facteurs d'authentification acceptable en 2026 pour un accès à distance aux ressources de l'entreprise. Un identifiant et un mot de passe seuls, quelle que soit la technologie derrière, ne sont plus un contrôle d'accès : ce sont des données volables.
Qu'est-ce qui est vraiment mort dans le VPN ?
Trois choses, et elles méritaient de disparaître. D'abord le rituel : installer un client, le lancer, attendre la connexion, réessayer. Chaque étape manuelle est une occasion d'erreur, un appel au support, ou pire, un contournement (l'utilisateur qui s'envoie le document par email personnel « parce que le VPN ne marchait pas »). Ensuite le mot de passe seul comme unique rempart : des identifiants volés par phishing ou devinés restent l'une des premières portes d'entrée des attaquants, et un tunnel VPN protégé par un simple mot de passe transforme chaque identifiant volé en clé de l'entreprise. Enfin, et surtout, le tunnel « tout ou rien » : le VPN d'ancienne génération, une fois établi, donnait accès à l'ensemble du réseau. Un portable personnel infecté qui se connectait au VPN familial de l'entreprise y déversait son problème.
À quoi ressemble un accès à distance moderne ?
À un système en couches, où les protections s'emboîtent. Chez nos clients, l'accès aux applications de l'entreprise traverse deux serrures successives. Première serrure : un tunnel VPN, établi par un client déployé et configuré de manière centralisée sur le poste, sans manipulation de l'utilisateur. Seconde serrure : une fois le tunnel établi, et seulement alors, une adresse du type rds.votre-domaine donne accès en HTTPS aux applications publiées, chaque utilisateur ne voyant que ce à quoi il a droit. La conséquence de cette architecture est invisible mais capitale : le portail d'applications n'est jamais exposé directement sur internet. Un attaquant qui scanne le web ne le trouve pas ; les portes d'accès à distance exposées publiquement sont pourtant l'une des cibles favorites des cybercriminels. Le VPN n'a donc pas disparu de ce dispositif : il en est la première ligne, modernisé (protocoles récents, déploiement automatisé) et complété plutôt que remplacé.
Et sur toutes ces portes, sans exception, l'authentification multifacteur : le mot de passe plus une validation sur un second support. C'est la couche qui transforme un identifiant volé en identifiant inutilisable. Ce principe (ne jamais faire confiance par défaut, vérifier chaque accès) est ce que le marketing appelle Zero Trust ; derrière le terme à la mode, la substance se résume à ce que nous venons de décrire : des accès cloisonnés, une identité vérifiée en double, et le moins de confiance implicite possible. Nul besoin d'acheter une « solution Zero Trust » : il faut configurer correctement ce qui existe.
Faut-il être dans le cloud pour en profiter ?
Non, et c'est l'un des mythes les plus tenaces du marketing cloud. Un serveur dans vos locaux se publie exactement comme un serveur en datacenter : portail HTTPS, VPN moderne et authentification multifacteur fonctionnent à l'identique dans les deux cas. L'accessibilité à distance n'a jamais été un argument pour ou contre le cloud ; c'est une question de configuration, pas d'emplacement. Nous détaillons cet arbitrage emplacement par emplacement dans notre article sur l'infrastructure hybride. Et la logique du cloisonnement (l'utilisateur distant ne voit que sa zone, jamais tout le réseau) est la sœur jumelle de la segmentation VLAN dont nous expliquons le rôle dans notre article sur les switches manageables : à distance comme sur place, le principe est le même, personne n'a accès à tout.
Le VPN n'est donc pas mort : il a perdu son monopole et gagné en discipline. La vraie question à poser à votre prestataire n'est pas « VPN ou pas VPN », mais : mes accès distants exigent-ils tous une double authentification, mes utilisateurs voient-ils tout le réseau ou seulement leur zone, mon portail d'applications est-il exposé directement sur internet ou protégé derrière un tunnel, et qui a configuré tout cela, un professionnel ou le hasard ? Si l'une de ces réponses vous échappe, votre accès à distance mérite un examen avant qu'un identifiant volé ne le fasse à votre place.
Questions fréquentes
Le VPN est-il encore sûr en 2026 ?
Oui, à deux conditions : un protocole moderne correctement configuré, et une authentification multifacteur systématique. Un VPN à jour, déployé automatiquement et protégé par deux facteurs, reste un outil parfaitement légitime ; c'est le VPN à mot de passe seul, installé à la main, qui appartient au passé.
Qu'est-ce qui a remplacé le VPN pour accéder aux applications ?
Rien ne l'a remplacé : il s'est emboîté dans un dispositif en couches. Dans une architecture bien conçue, l'utilisateur établit d'abord un tunnel VPN configuré automatiquement, puis accède aux applications via un portail HTTPS qui n'est jamais exposé directement sur internet. Chaque couche compense les limites de l'autre.
Le télétravail exige-t-il de migrer vers le cloud ?
Non. Un serveur situé dans l'entreprise se rend accessible à distance aussi simplement et aussi sûrement qu'un serveur en datacenter. Le choix de l'emplacement des serveurs se fait sur d'autres critères (coût total, applications, continuité), jamais sur la seule accessibilité.