Alternative européenne à Cloudflare Zero Trust et Zscaler

L’accès réseau zero trust (ZTNA) se trouve sur le chemin de chaque connexion à vos applications internes. Le service voit qui s’est connecté, depuis quel appareil et quelle adresse IP, à quel système et à quel moment. Deux des services les plus connus, Cloudflare Zero Trust et Zscaler Private Access, viennent d’entreprises américaines. Cet article explique pourquoi cela compte pour certains acheteurs et quelles options européennes existent aujourd’hui. Les prix et les informations sur les entreprises ont été vérifiés sur le site de chaque fournisseur le 29 septembre 2026.

Pourquoi les entreprises européennes cherchent une alternative européenne

Le CLOUD Act américain

Le CLOUD Act a été promulgué aux États-Unis en mars 2018. Sa disposition centrale, le 18 U.S.C. § 2713, oblige un fournisseur de services de communication électronique ou d’informatique à distance à communiquer les données qui sont en sa « possession, garde ou contrôle », que ces données soient stockées aux États-Unis ou ailleurs. Pour un fournisseur soumis à la juridiction américaine, un centre de données dans l’UE change l’endroit où les données sont stockées, mais l’obligation de communication s’y applique toujours.

Cela peut placer un fournisseur entre deux systèmes juridiques. Dans leur évaluation commune de juillet 2019, le comité européen de la protection des données (CEPD) et le Contrôleur européen de la protection des données ont conclu que les fournisseurs soumis au droit de l’UE ne peuvent pas fonder une communication de données à caractère personnel vers les États-Unis sur une seule demande au titre du CLOUD Act, sans accord international ou autre base juridique prévue par le RGPD.

La section 702 du FISA et le cadre de protection des données

La section 702 du Foreign Intelligence Surveillance Act permet aux services de renseignement américains, avec l’accord du tribunal de surveillance, de cibler des personnes non américaines situées hors des États-Unis, les fournisseurs de services étant tenus de remettre les communications. Dans l’arrêt Schrems II (16 juillet 2020), la Cour de justice a constaté que la section 702 ne fait ressortir ni limites à ce pouvoir ni garanties pour les personnes non américaines, et elle a invalidé le bouclier de protection des données UE–États-Unis (Privacy Shield).

La Commission européenne a adopté une nouvelle décision d’adéquation, le cadre de protection des données UE–États-Unis (Data Privacy Framework), le 10 juillet 2023. Le Tribunal de l’Union européenne a rejeté un recours contre ce cadre le 3 septembre 2025 (affaire T-553/23, Latombe/Commission). Le requérant a formé un pourvoi le 31 octobre 2025, et ce pourvoi (C-703/25 P) est pendant devant la Cour de justice. Côté américain, la base légale de la section 702 a expiré en juin 2026 faute de renouvellement par le Congrès, et n’avait pas été renouvelée au moment de la rédaction, mais le Brennan Center fait remarquer que la surveillance fondée sur les certifications existantes peut se poursuivre jusqu’en mars 2027.

Ce cadre est du droit en vigueur aujourd’hui. La Cour de justice a annulé les deux cadres américains précédents, la sphère de sécurité (Safe Harbour) et le Privacy Shield, et l’actuel fait l’objet d’un pourvoi. Certaines entreprises acceptent ce risque. D’autres préfèrent une couche d’accès dont l’opérateur relève entièrement du droit de l’UE.

NIS2 et le risque fournisseur

Pour les entreprises qui relèvent de NIS2, le choix des fournisseurs fait partie de l’obligation de sécurité. L’article 21, paragraphe 2, point d), de la directive (UE) 2022/2555 cite la sécurité de la chaîne d’approvisionnement, « y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs », parmi les mesures minimales. L’article 21, paragraphe 3, demande aux entités de tenir compte des vulnérabilités propres à chaque fournisseur direct et de la qualité de ses pratiques de cybersécurité. NIS2 n’interdit pas les fournisseurs hors UE. Un fournisseur ZTNA est un fournisseur direct qui occupe une position privilégiée dans votre réseau: l’endroit où il est établi et celui où il héberge vos données font donc partie de cette évaluation.

Ce qu’il faut regarder pour comparer des fournisseurs ZTNA

Le pays où l’entreprise est constituée et qui la détient. Une filiale européenne d’une maison mère américaine n’est pas dans la même situation qu’une entreprise sans maison mère américaine.
L’endroit où tournent le relais ou la périphérie (edge), et celui où tourne le plan de contrôle. Ils se trouvent souvent à des endroits différents, et c’est le plan de contrôle qui contient vos règles et votre annuaire d’utilisateurs.
L’endroit où sont stockés les journaux de connexion et d’audit, et pour combien de temps. Les journaux ZTNA sont des données à caractère personnel: identifiants d’utilisateur, adresses IP et informations sur les appareils.
La possibilité d’auto-héberger le plan de contrôle, les relais ou les deux, et ce que vous perdez si vous le faites.
Si le code est open source, et sous quelle licence, ce qui influence la façon dont vous l’auditez et dont vous en sortez.
Les fournisseurs d’identité pris en charge (Microsoft Entra ID, Google Workspace, Okta, OIDC générique) et la synchronisation des utilisateurs et des groupes via SCIM.
Accès par application ou accès réseau. Un produit maillé (mesh) ou de niveau réseau donne à un appareil une route vers un sous-réseau. Un proxy qui tient compte de l’identité donne accès à une application à la fois.
Les contrôles de conformité des appareils (posture), et s’ils sont inclus dans l’offre de base ou dans une formule supérieure.
L’unité de facturation: par utilisateur, par appareil ou par passerelle, et un éventuel nombre minimal de licences.
L’adéquation pour une PME: une équipe IT de deux personnes peut-elle le gérer sans partenaire, et existe-t-il un partenaire local si vous en voulez un?

Les options européennes, et quelques-unes qui ne le sont pas

Le tableau reprend des fournisseurs ZTNA européens ainsi que deux options open source qui ne sont pas européennes: NetFoundry, l’entreprise derrière OpenZiti, est américaine, et Headscale est un projet communautaire. Les prix sont les prix catalogue de la page tarifaire de chaque fournisseur au 29 septembre 2026, hors TVA.

Fournisseur	Entreprise et pays	Hébergement	Ce que fait le produit	Prix catalogue publié
NetBird	NetBird GmbH, Berlin, Allemagne	Cloud géré ou auto-hébergé; open source	Réseau maillé WireGuard avec SSO, MFA, règles d’accès, DNS privé; contrôles de posture dans Business	Gratuit jusqu’à 5 utilisateurs; Team 6 € et Business 12 € par utilisateur actif par mois; Enterprise sur mesure
GoodAccess	GoodAccess s.r.o., Ústí nad Labem, Tchéquie	Passerelles cloud gérées; pas d’édition auto-hébergée mentionnée	Passerelles cloud pour l’accès privé, SSO, contrôle de posture des appareils, filtrage DNS	Essential 7 USD (annuel) ou 9 USD (mensuel), Premium 11 USD ou 14 USD, par utilisateur par mois; minimum 5 utilisateurs
Enclave	Enclave Networks Ltd, Newport, pays de Galles, Royaume-Uni	SaaS; pas d’option d’auto-hébergement mentionnée	Overlay piloté par des règles entre appareils et services, conçu pour les MSP	8 USD par système enregistré par mois, 7,33 USD en facturation annuelle
Defguard	Defguard sp. z o.o., Szczecin, Pologne	Auto-hébergé; open source	VPN WireGuard avec MFA au niveau de la connexion, SSO, règles de pare-feu, posture des appareils	Open source gratuit; Business gratuit jusqu’à 10 utilisateurs et 1 site, configurations plus grandes chiffrées via un calculateur; Enterprise sur mesure
OpenZiti / NetFoundry	NetFoundry, Inc., Charlotte, Caroline du Nord, États-Unis	OpenZiti auto-hébergé; NetFoundry en SaaS géré ou auto-hébergé	Overlay basé sur l’identité, avec des SDK pour intégrer le zero trust dans les applications	Non publié
Headscale	Projet open source communautaire, sans entreprise	Auto-hébergé uniquement	Remplacement open source du serveur de contrôle de Tailscale	Gratuit (BSD-3-Clause)

NetBird

NetBird GmbH est immatriculée à Berlin. Son code client est sous licence BSD-3-Clause, tandis que les composants de gestion, de signalisation et de relais sont sous AGPLv3: toute la pile peut donc être auto-hébergée. Le cloud géré comprend des relais répartis géographiquement, selon sa documentation. Cette page n’indique pas dans quel pays tourne le plan de contrôle du cloud: posez la question. NetBird est un réseau maillé de niveau réseau, avec un agent sur chaque appareil. Il convient aux équipes qui veulent remplacer leur VPN, garder une porte de sortie open source et payer par utilisateur en euros.

GoodAccess

GoodAccess s.r.o. est une entreprise tchèque. Ses conditions de confidentialité indiquent que, par défaut, elle et son prestataire de services ne traitent les données à caractère personnel qu’au sein de l’UE. Le produit est fourni comme service géré, avec des passerelles cloud et des connecteurs, s’intègre à Entra ID, Okta, Google Workspace et JumpCloud, et est facturé en dollars américains. Il convient aux PME qui veulent un service hébergé et n’ont aucune envie de gérer de l’infrastructure.

Enclave

Enclave Networks Ltd est immatriculée au pays de Galles. Le Royaume-Uni est hors de l’UE, mais la Commission a renouvelé sa décision d’adéquation au titre du RGPD pour le Royaume-Uni le 19 décembre 2025, valable jusqu’au 27 décembre 2031. Enclave est un SaaS facturé par système enregistré, destiné aux fournisseurs de services gérés (MSP), avec un portail partenaire multi-locataire.

Defguard

Defguard est une entreprise polonaise établie à Szczecin. Le produit est auto-hébergé et open source, et il place l’authentification multifacteur au niveau de la connexion WireGuard elle-même. Sa formule Business est gratuite jusqu’à 10 utilisateurs et un site. Il convient aux équipes qui veulent un contrôle total et peuvent gérer les serveurs.

OpenZiti et NetFoundry

OpenZiti est développé et publié en open source par NetFoundry, Inc. sous licence Apache 2.0. NetFoundry est une entreprise américaine établie à Charlotte, en Caroline du Nord, qui propose un SaaS géré ou un déploiement auto-hébergé. Un réseau OpenZiti auto-hébergé garde les données dans votre propre infrastructure. Un service géré par NetFoundry place une entreprise américaine sur le chemin.

Headscale

Headscale est une implémentation open source et auto-hébergée du serveur de contrôle de Tailscale. Son README précise qu’il n’est pas lié à Tailscale Inc. et qu’il vise un seul réseau, pour un usage personnel ou une petite organisation open source. Pour une entreprise, c’est une option pour une équipe technique qui accepte un support communautaire.

Fournisseurs non européens avec un produit similaire

Tailscale se présente comme une entreprise canadienne, et sa politique de confidentialité indique que les données sont traitées au Canada, en Allemagne, aux États-Unis et au Royaume-Uni. Twingate Inc. est une société du Delaware. Pomerium, Inc. est une société du Delaware établie en Oregon; dans ses formules Zero, le plan de données est auto-hébergé. Firezone, Inc. est établie à San Francisco.

Là où Cloudflare Zero Trust et Zscaler se démarquent encore

Les formules Zero Trust de Cloudflare commencent par une offre gratuite jusqu’à 50 utilisateurs avec jusqu’à 24 heures de conservation des journaux, puis un paiement à l’usage à 7 USD par utilisateur par mois avec jusqu’à 30 jours de journaux, et des prix sur contrat au-delà. Aucun des services européens gérés ci-dessus ne propose une offre gratuite de cette taille. Cloudflare vend aussi une Data Localization Suite, une option payante réservée à Enterprise. Sa Customer Metadata Boundary permet de garder les journaux dans l’UE ou aux États-Unis. Le siège de Cloudflare, Inc. est à San Francisco.

Zscaler, établie à San Jose, en Californie, vend l’accès privé au sein d’une plateforme plus large qui comprend la sécurité de l’accès à internet, la sécurité des données et la surveillance de l’expérience numérique. En mars 2026, l’entreprise a présenté un plan de contrôle dédié pour les États-Unis et pour l’Europe, un stockage des journaux régional ou sur site, et des Private Service Edges hébergés par le client. Sa page tarifaire présente des offres groupées, mais aucun prix.

Ce sont deux grandes plateformes, chacune avec son propre réseau mondial. Si vous avez besoin d’une pile SASE complète, ou d’un démarrage gratuit pour une équipe de moins de 50 utilisateurs, elles ont leur place dans votre sélection. Leurs options régionales déterminent où les données sont stockées, mais la maison mère reste soumise au droit américain.

Les agents IA entrent dans le contrôle d’accès

Les collaborateurs peuvent désormais connecter des assistants IA aux systèmes internes via le Model Context Protocol (MCP). La spécification d’autorisation MCP s’appuie sur OAuth 2.1 pour les serveurs joints en HTTP, ce qui fait entrer l’accès des agents dans les mêmes questions d’identité que l’accès des personnes.

Les fournisseurs réagissent de différentes façons. Les MCP server portals de Cloudflare placent plusieurs serveurs MCP derrière un seul point d’accès, soumis aux règles Access, mais la documentation précise que la MFA indépendante, la justification de l’objectif et l’authentification temporaire ne sont pas appliquées pour les serveurs autorisés via un portail. Le dépôt de NetBird mentionne un Agent Network en bêta pour un accès aux API de LLM qui tient compte de l’identité. NetFoundry met en avant une gouvernance de l’accès IA.

Certaines de ces fonctions sont encore en bêta. Quand vous évaluez un fournisseur, demandez:

Un agent peut-il agir avec l’identité et les droits de la personne qui le lance, plutôt qu’avec un compte de service partagé?
Pouvez-vous autoriser ou bloquer chaque outil MCP individuellement, par utilisateur ou par groupe?
Chaque action d’un agent est-elle journalisée au nom d’une personne identifiée, et où ces journaux sont-ils stockés?
L’accès des personnes et celui des agents suivent-ils une seule règle, ou deux produits avec des règles distinctes?

Un mot sur Flowplane

Flowplane est une passerelle zero trust européenne pour les personnes et les agents IA, exploitée par une entreprise belge. Elle est ouverte à tous, et vous pouvez l’essayer gratuitement.

Alternatives européennes à Cloudflare Zero Trust et Zscaler: les points à vérifier