VPN et accès sécurisé (ZTNA) au Maroc : comparatif 2026 des solutions professionnelles

Au Maroc, le choix entre VPN classique et accès Zero Trust (ZTNA) dépend d’abord du parc existant : une entreprise déjà équipée d’un pare-feu Cisco, WatchGuard, Barracuda ou Sophos gagne à activer le client ou le module ZTNA du même éditeur plutôt qu’à superposer un agent tiers. Une PME ou un groupe multi-sites sans infrastructure réseau lourde optera pour une solution 100 % cloud comme Cloudflare Tunnel Enterprise, Zscaler Private Access ou Check Point Harmony SASE, sans appliance à gérer. Les grands comptes et administrations qui doivent contrôler précisément qui accède à quelle application, avec traçabilité et inspection du trafic, se tournent vers Zscaler ZPA, Ivanti Connect Secure ou Check Point Harmony SASE. Ce guide détaille, fiche par fiche, les capacités réelles de huit solutions disponibles sur devis chez DISKOD, pour trancher sans se perdre dans le marketing « Zero Trust ».

Comment choisir un VPN ou une solution ZTNA au Maroc : les critères qui comptent

• Modèle d’accès : un VPN classique ouvre un tunnel réseau complet vers le SI, une solution ZTNA n’autorise l’accès qu’application par application, selon l’identité et le contexte de l’utilisateur. Le second modèle réduit la surface d’attaque mais demande de cartographier les applications au préalable.
• Déploiement et dépendance à la connectivité : une solution 100 % cloud (Cloudflare, Zscaler, Check Point) suppose un accès internet stable ; un VPN on-premise (Cisco, Ivanti) reste joignable même si le lien internet national est perturbé, dès lors que le site hébergeant la passerelle est accessible.
• Compatibilité avec l’infrastructure existante : activer le ZTNA d’un éditeur dont vous possédez déjà le pare-feu (Firebox WatchGuard, pare-feu Sophos, CloudGen Firewall Barracuda) coûte moins cher en intégration qu’ajouter un éditeur tiers.
• Conformité et traçabilité : les organismes publics et le secteur financier marocain doivent tenir compte des recommandations de la DGSSI et de la loi 09-08 sur les données personnelles ; vérifiez où sont traités les journaux de connexion et la capacité de l’éditeur à produire des rapports d’audit.
• Authentification et gestion des identités : support du MFA et intégration Active Directory, Azure AD ou SSO SAML — un prérequis dès que l’effectif dépasse une vingtaine de postes.
• Support en français et présence locale : la documentation et le support de premier niveau en français, via l’intégrateur DISKOD, comptent autant que la fiche technique pour une équipe IT sans spécialiste sécurité dédié.
• Modèle de licence : par utilisateur nommé, par utilisateur simultané ou par site — l’écart de coût sur 50 à 500 postes peut être significatif selon l’édition choisie.

Tableau comparatif

Cisco Secure Client (Cisco) : pour qui, pour quoi

Cisco Secure Client, anciennement AnyConnect, est l’agent VPN installé sur le poste utilisateur pour établir un tunnel SSL/TLS, DTLS ou IPsec IKEv2 vers une passerelle Cisco (ASA ou Firepower). Il propose le mode always-on, le tunneling fractionné, la reprise de session après coupure réseau ou changement d’IP, et un tunnel de management qui maintient la machine joignable même hors connexion VPN utilisateur — utile pour pousser des correctifs à des postes nomades.

Au Maroc, Cisco Secure Client convient d’abord aux entreprises qui possèdent déjà une infrastructure réseau Cisco (filiales de groupes internationaux, banques, opérateurs) et qui veulent un accès réseau classique plutôt qu’un contrôle application par application. La limite est structurelle : c’est un VPN au sens traditionnel, l’utilisateur authentifié accède au segment réseau autorisé, pas uniquement à l’application ciblée. Fiche complète sur la page Cisco Secure Client chez DISKOD.

Cloudflare Tunnel Enterprise (Cloudflare) : pour qui, pour quoi

Cloudflare Tunnel établit une connexion sortante chiffrée entre un serveur ou une application interne et le réseau mondial de Cloudflare, sans ouvrir aucun port entrant sur le pare-feu. Associé à Cloudflare Access, il permet d’exposer des applications web internes, des serveurs SSH ou RDP à des utilisateurs authentifiés uniquement, sur la base de l’identité et de la posture de l’appareil. Le connecteur logiciel ne nécessite ni VM dédiée ni licence liée au débit.

Pour une entreprise marocaine qui héberge des applications métier en interne et veut y donner accès à des équipes distantes sans VPN traditionnel, Cloudflare Tunnel Enterprise simplifie le déploiement : pas d’appliance à maintenir, pas de plage d’IP à exposer. La contrepartie est une dépendance totale au cloud Cloudflare pour la politique d’accès et les journaux. Détails sur la fiche Cloudflare Tunnel Enterprise.

Zscaler Private Access Unlimited Edition (Zscaler) : pour qui, pour quoi

Zscaler Private Access repose sur trois composants : un agent léger sur le poste (Client Connector) qui vérifie identité et posture, un connecteur applicatif (App Connector) déployé près des applications, et un service cloud qui met les deux en relation sans jamais exposer d’adresse IP interne. Le principe est le moindre privilège : chaque utilisateur n’obtient une connexion directe qu’à l’application précise qu’il est autorisé à utiliser. L’édition Unlimited ajoute l’inspection complète du trafic applicatif, capable de détecter des vulnérabilités de type OWASP et des menaces zero-day.

C’est une solution pensée pour les grands groupes et administrations marocaines multi-sites, avec des effectifs nomades importants, qui veulent remplacer un parc de VPN hérité par un contrôle unifié. Le prérequis est une dépendance totale à la connectivité internet et au cloud Zscaler, et un travail de cartographie applicative avant la bascule. Fiche complète : Zscaler Private Access Unlimited Edition.

WatchGuard Zero Trust Bundle (WatchGuard) : pour qui, pour quoi

Le Zero Trust Bundle de WatchGuard s’appuie sur FireCloud Total Access pour fournir un accès ZTNA basé sur la session aux applications privées et cloud, avec vérification continue de l’identité, de l’appareil et du contexte, piloté depuis la console unique WatchGuard Cloud. Le bundle associe généralement l’accès Zero Trust à l’authentification multifacteur AuthPoint.

Cette offre cible en priorité les PME et ETI marocaines déjà équipées de pare-feu Firebox : la bascule du VPN historique vers un modèle ZTNA se fait sans changer d’éditeur ni racheter de matériel réseau. Elle est moins adaptée aux très grands comptes internationaux ayant besoin d’un maillage mondial de points de présence comparable à Zscaler ou Cloudflare. Voir la fiche WatchGuard Zero Trust Bundle.

Barracuda SecureEdge Access (BARRACUDA Networks) : pour qui, pour quoi

Anciennement CloudGen Access, Barracuda SecureEdge Access a évolué d’un ZTNA simple vers une plateforme SSE complète. L’agent unique SecureEdge Access, disponible sur poste fixe comme mobile, donne un accès Zero Trust à n’importe quelle application TCP/UDP, hébergée en interne derrière un boîtier SecureEdge ou directement derrière un pare-feu CloudGen Firewall déjà en place — ce dernier devient alors un point d’application de la politique ZTNA.

Pour une entreprise marocaine ayant investi dans un parc CloudGen Firewall, SecureEdge Access ajoute une couche Zero Trust sans remplacer l’infrastructure réseau existante. L’empreinte mondiale de points de présence reste plus réduite que celle des acteurs hyperscale du secteur, un point à vérifier pour des équipes très dispersées à l’international. Fiche produit : Barracuda SecureEdge Access.

Ivanti Connect Secure (Ivanti) : pour qui, pour quoi

Ivanti Connect Secure, héritier de Pulse Connect Secure, est une passerelle VPN SSL d’entreprise, disponible en appliance virtuelle ou physique, on-premise ou en cloud. Elle prend en charge le VPN complet en couche 3, le per-app VPN, le mode toujours actif, le mode « lockdown », le tunneling fractionné basé sur FQDN ou IP, ainsi qu’un pare-feu applicatif web (WAF) et une protection Secure Boot intégrés à la passerelle. Le contrôle d’accès est basé sur les rôles, combiné au MFA et au SSO.

C’est une solution adaptée aux grandes organisations marocaines qui ont besoin d’un VPN SSL robuste et finement paramétrable, avec une gestion centralisée multi-passerelles. Point de vigilance honnête : les passerelles Ivanti Connect Secure ont fait l’objet, ces dernières années, de vulnérabilités critiques largement documentées publiquement, ce qui impose une politique de mise à jour rigoureuse dès qu’un correctif est publié. Fiche : Ivanti Connect Secure.

Check Point Harmony SASE (Check Point) : pour qui, pour quoi

Check Point Harmony SASE, anciennement Perimeter 81, combine dans un même agent l’accès Zero Trust, le SD-WAN et la sécurité web. La connectivité en full mesh relie utilisateurs, agences et ressources via un réseau privé mondial, avec un basculement de liaison en moins d’une seconde et une inspection des menaces appuyée sur ThreatCloud AI. L’offre intègre aussi filtrage web, protection anti-malware et DLP au niveau du navigateur.

Cette solution s’adresse aux entreprises marocaines multi-sites ou multi-pays qui veulent un SASE clé en main — sécurité d’accès et réseau étendu dans le même contrat — sans déployer de matériel SD-WAN par agence. Comme pour tout SASE récent, la maturité opérationnelle reste à valider au cas par cas face aux offres on-premise historiques. Détails sur la fiche Check Point Harmony SASE.

Sophos ZTNA (Sophos) : pour qui, pour quoi

Sophos ZTNA se pilote depuis la console cloud Sophos Central et se distingue par un agent unique combinant accès Zero Trust et protection de poste Intercept X. Une passerelle ZTNA est intégrée nativement à chaque pare-feu Sophos XG/XGS, ce qui évite d’ajouter un boîtier dédié pour qui possède déjà un pare-feu Sophos. Le client embarque aussi un accès RDP et SSH directement dans le navigateur protégé Sophos.

C’est une option pertinente pour les PME et ETI marocaines déjà clientes de l’écosystème Sophos, qui cherchent à simplifier leur parc d’agents plutôt qu’à multiplier les éditeurs. Sa valeur dépend largement de la présence d’une infrastructure Sophos existante ; dans un environnement 100 % multi-éditeur, l’intérêt de la passerelle intégrée disparaît. Fiche produit : Sophos ZTNA.

Quel VPN ou ZTNA pour quel profil ?

TPE ou petite structure : besoin simple, pas d’équipe IT dédiée. Cloudflare Tunnel Enterprise permet d’exposer une application unique sans VPN lourd ; si un pare-feu Sophos est déjà en place, Sophos ZTNA évite d’ajouter un agent supplémentaire.

PME industrielle multi-site (usine + bureaux) : WatchGuard Zero Trust Bundle ou Barracuda SecureEdge Access s’imposent si un Firebox ou un CloudGen Firewall est déjà déployé sur les sites, pour une bascule ZTNA sans changer d’éditeur réseau.

Banque ou assurance : exigences fortes de contrôle fin et de traçabilité. Zscaler Private Access Unlimited pour une approche Zero Trust à grande échelle avec inspection complète du trafic, ou Ivanti Connect Secure pour un VPN SSL on-premise avec contrôle d’accès par rôle, selon le modèle d’hébergement retenu.

Administration publique : Cisco Secure Client si l’infrastructure réseau Cisco (ASA/Firepower) est déjà en place ; sinon Ivanti Connect Secure pour garder la maîtrise on-premise des accès et des journaux.

École ou université : accès limité à quelques applications pédagogiques pour enseignants et étudiants à distance, budget contraint. Cloudflare Tunnel Enterprise ou WatchGuard Zero Trust Bundle couvrent ce besoin sans surdimensionner l’infrastructure.

Filiale de groupe international ou entreprise multi-pays : Check Point Harmony SASE pour unifier ZTNA et SD-WAN sur plusieurs agences sans matériel dédié par site, ou Zscaler ZPA si la priorité est la profondeur d’inspection applicative.

Licences, déploiement et accompagnement DISKOD

Toutes les solutions de ce guide sont proposées par DISKOD sous licence officielle de l’éditeur, en devis personnalisé selon le nombre d’utilisateurs, le périmètre d’applications à protéger et la durée d’engagement souhaitée. DISKOD répond sous 24 h à toute demande de devis et assure une livraison électronique des licences en 5 à 7 jours ouvrés après validation de la commande, facturation en MAD. L’accompagnement inclut le conseil au choix de l’édition adaptée (standard ou étendue selon l’éditeur), l’aide au paramétrage initial des politiques d’accès, et un support local en français pour les questions de licence et de renouvellement.

Questions fréquentes

Quelle est la différence entre un VPN classique et une solution ZTNA ?

Un VPN classique (Cisco Secure Client, Ivanti Connect Secure) crée un tunnel vers le réseau de l’entreprise : l’utilisateur authentifié accède au segment réseau autorisé. Une solution ZTNA (Zscaler ZPA, Sophos ZTNA, Check Point Harmony SASE, WatchGuard Zero Trust Bundle, Barracuda SecureEdge Access, Cloudflare Tunnel) n’ouvre l’accès qu’application par application, selon l’identité et le contexte, sans jamais exposer le réseau interne.

Faut-il remplacer son VPN Cisco par une solution Zero Trust au Maroc ?

Pas nécessairement dans l’immédiat. Si l’infrastructure Cisco fonctionne et que le périmètre d’accès reste simple, Cisco Secure Client suffit. Le passage au ZTNA se justifie surtout quand le nombre d’applications exposées augmente, ou que l’entreprise veut réduire la surface d’attaque réseau pour des raisons de conformité ou d’audit.

Quelles obligations légales pour un VPN d’entreprise au Maroc ?

Les entreprises traitant des données personnelles doivent respecter les principes de la loi 09-08, sous contrôle de la CNDP. Les administrations et organismes stratégiques suivent par ailleurs les recommandations de sécurité de la DGSSI. Aucune solution de ce guide n’est « certifiée » spécifiquement pour le Maroc ; le choix doit se faire au regard de la localisation des journaux et de la capacité d’audit offerte par chaque éditeur.

Je cherche un VPN comme FortiClient, que propose DISKOD ?

FortiClient n’est pas distribué par DISKOD à ce jour. Pour un besoin équivalent de client VPN léger ou d’accès Zero Trust, les alternatives de ce catalogue sont Cisco Secure Client ou Sophos ZTNA, selon l’infrastructure déjà en place. Contactez DISKOD pour une étude d’alternative adaptée à votre parc.

Comment DISKOD facture-t-il une licence VPN ou ZTNA ?

Sur devis uniquement, en MAD, selon le nombre d’utilisateurs et l’édition retenue. Le devis est transmis sous 24 h et la licence livrée électroniquement en 5 à 7 jours ouvrés après commande, avec support local en français pour l’activation et le renouvellement.