Qu’est-ce qu’un pare-feu ? Définition, types et réglages

Le mot revient dans tous les conseils de sécurité, souvent sans explication. Un pare-feu n’est ni un antivirus ni un VPN : c’est un contrôleur de passage, placé entre votre appareil et le réseau. Voici ce qu’il fait, quelles formes il prend, et comment vérifier le vôtre en quelques clics.

Qu’est-ce qu’un pare-feu, en une phrase ?

Un pare-feu, ou firewall, est un logiciel, un matériel, ou les deux, qui applique la politique de sécurité d’un réseau en définissant les types de communications autorisés. Il surveille et contrôle les applications et les flux de données, qu’on appelle des paquets.

Les données entrent et sortent d’un appareil par des ports. Le pare-feu décide ce qui peut passer par ces ports, comme un agent de sécurité posté à une porte qui vérifie l’identité de chaque entrée et de chaque sortie. Pour un ordinateur ou un réseau domestique classique, il devrait laisser passer très peu de trafic entrant, voire aucun : une connexion non sollicitée venue d’un autre appareil n’a presque jamais de raison légitime.

Le vocabulaire en cinq entrées

Quelques mots reviennent dans toute documentation de pare-feu. Les connaître évite de se perdre dans les réglages.

• Paquet : l’unité de données qui circule sur le réseau ; le pare-feu examine chaque paquet ou chaque connexion.
• Port : la porte par laquelle un service reçoit ou envoie des données, identifiée par un numéro, avec le protocole TCP ou UDP.
• Trafic entrant et sortant : les connexions qui arrivent vers votre appareil et celles qu’il ouvre.
• Zone de confiance : une portion de réseau à laquelle on accorde plus ou moins de confiance, comme Internet (nulle) et le réseau interne (plus élevée).
• DMZ : une zone démilitarisée où l’on place des serveurs exposés, séparée du réseau interne.

Ces notions suffisent pour lire la plupart des messages d’un pare-feu personnel : « cette application veut recevoir des connexions entrantes » signifie qu’un programme demande l’ouverture d’un port. Répondez en vous demandant si vous avez lancé ce programme, et si vous attendez vraiment qu’on le contacte.

D’où vient le mot pare-feu ?

Le terme est une métaphore. En informatique, il désigne un mur virtuel qui bloque les intrusions et les contaminations venues de l’extérieur. Il reprend des sens plus anciens : les allées coupe-feu qui arrêtent les incendies de forêt, le mécanisme coupe-feu des théâtres, les portes coupe-feu de l’architecture.

L’image explique le rôle : on ne supprime pas le feu, on l’empêche de gagner la pièce voisine. Un pare-feu ne détruit pas les menaces ; il les empêche d’atteindre une zone qu’on veut protéger. Sur Mac, il porte un autre nom, le coupe-feu, qui désigne exactement la même chose.

Comment un pare-feu décide-t-il ce qui passe ?

Il contrôle le trafic entre des zones de confiance différentes : en général Internet, où la confiance est nulle, et au moins un réseau interne, où elle est plus élevée. Pour chaque paquet, il examine des critères et les compare à ses règles.

• L’origine ou la destination du paquet : adresse IP, ports TCP et UDP, interface réseau.
• Les options des données et, pour les modèles récents, leur contenu.
• Pour les plus récents encore, l’utilisateur qui est à l’origine de la connexion.

Le pare-feu fait souvent office de routeur, et peut créer une zone démilitarisée, appelée DMZ, pour héberger des serveurs exposés sans ouvrir tout le réseau. Il se place aussi souvent à l’extrémité de tunnels chiffrés, comme ceux décrits dans la page sur le VPN SSL.

Le résultat se résume à une règle simple : ce qui n’est pas explicitement autorisé est refusé, ou l’inverse, selon la politique choisie.

Trafic entrant, trafic sortant : le sens compte

Un pare-feu ne traite pas de la même façon ce qui entre et ce qui sort. Le trafic sortant, c’est vous qui ouvrez la connexion : un navigateur qui demande une page, une application qui se met à jour. Le trafic entrant, c’est un autre appareil qui tente de vous joindre sans que vous l’ayez demandé.

La règle de base des systèmes grand public reflète cette différence. Avec UFW, le trafic entrant est refusé et le trafic sortant autorisé.

Les pare-feu à états rendent ce partage confortable. Ils retiennent les connexions que vous avez ouvertes et laissent revenir les réponses, sans règle supplémentaire. Pour l’UDP, la réponse est autorisée automatiquement. C’est ce qui permet de naviguer normalement avec un trafic entrant presque fermé.

Quelles sont les familles de pare-feu ?

On distingue plusieurs catégories selon la finesse du contrôle. Le tableau les range de la plus simple à la plus fine, avec ce qu’elles regardent.

Pour un particulier, deux familles comptent : le pare-feu à états de la box et le pare-feu personnel du système. Les autres sont des outils d’entreprise ou de réseau.

Les techniques qu’un pare-feu emploie

Derrière le mot se cachent plusieurs mécanismes, que les produits combinent. Le tableau en donne le principe sans jargon.

Les plus récents ajoutent la détection d’un trafic anormal par intelligence artificielle. Ces fonctions sont celles des équipements professionnels : un pare-feu personnel s’en tient au filtrage par ports et par applications.

Matériel et logiciel : vous avez déjà les deux

Un pare-feu matériel est un équipement dédié ou intégré à un autre. Le routeur, appelé parfois modem ou box, qui relie votre domicile ou votre bureau à Internet en fait généralement partie. Un pare-feu logiciel s’exécute sur l’appareil : un ordinateur sous Windows ou macOS en exécute probablement un.

Vous êtes donc sans doute protégé par les deux à la fois, et c’est une bonne chose : le premier arrête ce qui vient d’Internet avant d’entrer chez vous, le second protège chaque appareil, y compris des autres appareils du réseau. Pour le réglage de la box, voyez la page sécuriser son wifi : trois réglages, pas trente.

Le pare-feu personnel a un avantage que celui de la box n’a pas : il suit votre ordinateur partout. Sur le Wi-Fi d’un café ou d’un hôtel, c’est le seul que vous contrôlez.

Lire une règle de pare-feu

Une règle tient en quatre éléments : le sens du trafic, le protocole, le port et la décision. « Autoriser le trafic entrant TCP vers le port 53 » en est un exemple, celui qu’illustre la commande UFW du tableau plus bas. « Refuser tout le reste » en est la contrepartie.

Un pare-feu applicatif va plus loin : il vérifie que ce qui passe par le port 80 est bien du HTTP. Un programme qui utiliserait ce port pour autre chose serait repéré. C’est le principe de la règle « HTTP uniquement sur le port TCP 80 ».

Le port n’est qu’un numéro de porte. Un port ouvert n’est un risque que si un service y écoute : ce qui compte, c’est ce qui se trouve derrière la porte. Fermer tous les ports inutilisés, comme le recommande Cybermalveillance.gouv.fr, revient à ne laisser ouvertes que les portes dont on a besoin.

Ce qu’un pare-feu ne fait pas

Le pare-feu filtre des connexions, pas des intentions. Plusieurs limites sont connues des spécialistes.

• Des protocoles encapsulés dans un tunnel TCP peuvent contourner un filtrage par ports.
• Filtrer en détail le trafic HTTPS demande de déchiffrer le flux, avec un certificat installé côté client.
• Le filtrage sans état manque de finesse.
• L’inspection des applications est coûteuse en calcul quand le débit augmente.

Pour un particulier, la limite essentielle est ailleurs : un programme malveillant que vous lancez vous-même est une connexion que vous avez demandée. Un cheval de Troie se fait installer par l’utilisateur, et un mail de phishing vous demande d’entrer vos identifiants vous-même. Aucun pare-feu ne le voit.

C’est pourquoi Cybermalveillance.gouv.fr associe les deux gestes dans une même consigne : tenir à jour l’antivirus et configurer son pare-feu, en vérifiant qu’il ne laisse passer que des applications, services et machines légitimes. La page sur l’antivirus et ses limites complète celle-ci.

Vérifier le pare-feu sous Windows

Windows embarque le Pare-feu Microsoft Defender. Il applique des règles différentes selon le profil du réseau auquel vous êtes connecté.

1. Ouvrez l’application Sécurité Windows et sélectionnez « Pare-feu et protection réseau ».
2. Choisissez le profil qui correspond à votre connexion actuelle : domaine, privé ou public.
3. Sous « Pare-feu Microsoft Defender », vérifiez que le paramètre est sur « Activé ».

Désactiver le pare-feu peut rendre l’appareil plus vulnérable aux accès non autorisés. Si une application est bloquée, Microsoft conseille de l’autoriser dans le pare-feu plutôt que de le désactiver. Dans « Paramètres supplémentaires », une option restaure les paramètres par défaut des pare-feu, ce qui rétablit la configuration d’origine. Sur un appareil géré par une organisation, des stratégies peuvent empêcher la modification de ces réglages.

Vérifier le coupe-feu sur Mac

Sur Mac, le pare-feu s’appelle le coupe-feu. Ouvrez le menu Apple, puis Réglages Système, cliquez sur Réseau dans la barre latérale, puis sur Coupe-feu ; il faut parfois faire défiler la page vers le bas. Activez ensuite le coupe-feu.

Le bouton Options n’est accessible qu’une fois le coupe-feu activé. Il permet d’ajouter, avec le bouton plus, une app ou un service, puis d’autoriser ou de bloquer ses connexions entrantes avec les flèches. Bloquer une app peut perturber son fonctionnement, ou celui d’autres logiciels qui en dépendent. Pour la sécurité du compte lui-même, la page sur le mot de passe d’un Mac reste utile.

Vérifier le pare-feu sous Ubuntu

Sous Ubuntu, l’outil par défaut est UFW, qui simplifie la configuration d’iptables. Il est désactivé par défaut. Une interface graphique, Gufw, existe pour ceux qui préfèrent éviter le terminal.

Avec les règles par défaut, tout le trafic entrant est refusé, sauf quelques exceptions destinées aux utilisateurs domestiques, et le trafic sortant est autorisé. La commande d’état affiche alors la ligne « Default: deny (incoming), allow (outgoing) ».

Quand le pare-feu bloque un logiciel à tort

Un logiciel qui n’arrive plus à se connecter est la première raison pour laquelle on désactive son pare-feu. C’est la mauvaise réponse : l’appareil devient plus vulnérable aux accès non autorisés, et le problème revient après la réactivation.

1. Sous Windows, autorisez l’application à travers le pare-feu dans « Paramètres supplémentaires », au lieu de désactiver le pare-feu.
2. Sur Mac, ajoutez l’app dans Options, puis autorisez ses connexions entrantes avec les flèches.
3. Sous Ubuntu, ouvrez le port concerné avec une règle d’autorisation, en précisant TCP ou UDP si vous le savez.
4. Si rien ne marche sous Windows, restaurez les paramètres par défaut des pare-feu, puis recommencez.

Sur un ordinateur de travail, les stratégies de l’organisation peuvent verrouiller ces réglages : contactez alors l’administrateur plutôt que de chercher un contournement. Si le blocage vient de la case « bloquer toutes les connexions entrantes », décochez-la, puis recommencez le test.

Bloquer toutes les connexions entrantes

Sous Windows, une case de la section « Connexions entrantes » permet de bloquer toutes les connexions entrantes, y compris celles de la liste des applications autorisées. Le pare-feu ignore alors cette liste.

C’est le réglage le plus strict : il renforce la sécurité, mais certaines applications peuvent cesser de fonctionner. Il se justifie sur un réseau public, dans un hôtel ou un aéroport. Une fois rentré chez vous, le réglage normal suffit.

Le pare-feu d’un site web

Les mêmes principes valent pour un site. Cybermalveillance.gouv.fr recommande d’avoir un pare-feu correctement paramétré, avec tous les ports inutilisés fermés, et de n’autoriser que les adresses des machines indispensables à accéder à l’administration du site.

Il recommande aussi de consulter régulièrement les journaux du pare-feu pour repérer des tentatives d’intrusion, et ceux des serveurs exposés pour détecter des tests de mots de passe suspects. Un site déjà touché demande une autre démarche : voyez la page site WordPress piraté et celle sur le certificat SSL WordPress. Un pare-feu ne remplace pas un mot de passe solide sur l’administration.

Pare-feu d’entreprise : ce qui change

En entreprise, le pare-feu protège les accès extérieurs au réseau interne. Cybermalveillance.gouv.fr recommande de n’autoriser que les machines et services indispensables.

Les modèles sont plus riches : filtrage applicatif des adresses web, antispam, antivirus, traduction d’adresses réseau (NAT), tunnels chiffrés, serveur mandataire, détection d’intrusion. Pour un indépendant, la vraie question est de savoir ce que la box et le poste font déjà, avant d’acheter un équipement. Pour la protection des échanges, la page sur le partage de fichiers sécurisé prolonge le sujet.

Pare-feu, antivirus, VPN : trois rôles distincts

On les confond souvent, parce que les offres commerciales les regroupent. Ils protègent pourtant contre des choses différentes.

Pour comprendre la troisième ligne, la page sur le VPN SSL détaille le fonctionnement d’un tunnel. Un VPN ne remplace pas le pare-feu : le trafic qui arrive à destination passe encore par les règles du poste.

Le réflexe à garder : un seul outil ne suffit pas, et un outil qu’on ne configure pas protège moins qu’on ne le croit. Les trois gestes de base sont le pare-feu actif, l’antivirus à jour et les mises à jour de sécurité installées, auxquels s’ajoutent la sauvegarde 3-2-1 et une double authentification par application.

Six contrôles à faire une fois

Les mises à jour comptent autant que le pare-feu : Cybermalveillance.gouv.fr recommande d’appliquer de manière régulière et systématique les mises à jour de sécurité du système et des logiciels. Le pare-feu s’inscrit dans un ensemble de gestes que la même fiche énumère : se méfier des courriels et des pièces jointes d’expéditeurs inconnus, ne pas installer de logiciels piratés, éviter les sites illicites, faire des sauvegardes régulières, ne pas naviguer avec un compte administrateur, changer les mots de passe par défaut et éteindre la machine quand on ne s’en sert pas. Aucun de ces gestes ne remplace les autres. Pour des cas de failles encore inconnues, voyez les zero-day.

Prenez dix minutes : ouvrez les réglages de votre système, vérifiez que le pare-feu est activé sur le profil actif, parcourez la liste des applications autorisées et retirez ce que vous ne reconnaissez pas. Puis passez à la box : mot de passe changé, mises à jour installées.

Yann Deverre

Douze ans de développement web, en agence puis chez un éditeur de logiciels, avant de passer à l'écriture. Il explique le numérique en partant du mécanisme, et teste avant d'affirmer.