Inspection TLS avec Zenarmor : technique, RGPD et CSE

L'inspection TLS (ou inspection SSL, déchiffrement HTTPS, « analyse de flux HTTPS ») est admise en France lorsqu'elle sert la sécurité du système d'information et qu'elle est encadrée : finalité légitime, proportionnalité, information préalable des salariés, analyse d'impact (AIPD) lorsque la surveillance est systématique et, dans les entreprises d'au moins 50 salariés, information et consultation préalables du CSE. La CNIL considère ce déchiffrement comme légitime, à condition de respecter un ensemble de garanties. Côté technique, Zenarmor propose deux niveaux : Light-weight (certificate-based), qui identifie le nom d'hôte, la catégorie et l'application sans rien déchiffrer, et Full TLS Inspection (decrypt/re-encrypt), qui ouvre réellement le flux pour l'analyser. Avec plus de 80 domaines exclus par défaut (banque, santé notamment) et l'inspection site par site, vous décidez précisément de ce qui est déchiffré.

Cet article explique les deux modes, le déploiement du certificat, les offres Zenarmor qui incluent l'inspection complète (état octobre 2026) et la manière d'intégrer le RGPD et le CSE dès le départ. Secrotec l'écrit en tant que Lead Auditor ISO 27001 indépendant et partenaire officiel Zenarmor aux Pays-Bas, qui livre des licences et des projets Zenarmor dans toute l'UE : nous configurons l'inspection TLS pour qu'elle soit à la fois sûre et explicable, aux salariés, aux représentants du personnel et à l'auditeur.

Pourquoi l'inspection TLS : les menaces se cachent dans HTTPS

La quasi-totalité du trafic web est aujourd'hui chiffrée. C'est une bonne chose pour la vie privée, mais les attaquants en profitent aussi : pages de phishing avec certificats valides, logiciels malveillants téléchargés en HTTPS, trafic de commande et de contrôle dissimulé dans des sessions TLS ordinaires. Selon le ThreatLabz 2024 Encrypted Attacks Report de Zscaler, 87,2 % des menaces observées par Zscaler sur un an circulaient dans du trafic chiffré TLS/SSL. C'est un chiffre d'éditeur issu de son propre cloud, mais la tendance est largement reconnue.

Sans inspection, votre pare-feu voit surtout qui communique avec quel serveur. Il ne voit pas quel fichier est téléchargé, quel chemin d'un site est consulté ni quelles données sortent via un formulaire web ou une application cloud. Conséquences :

• Malwares et phishing hébergés sur des domaines légitimes ou récemment enregistrés passent plus facilement.
• Le filtrage web n'agit qu'au niveau du domaine, pas sur le contenu.
• Les règles cloud, par exemple bloquer l'envoi vers un service de partage tout en autorisant le téléchargement, sont impossibles sans déchiffrement.
• Les fuites de données via un stockage cloud légitime restent largement invisibles.

Mais le déchiffrement est intrusif : au point d'inspection, le flux devient lisible, y compris les données personnelles qu'il contient. La vraie question n'est donc pas s'il faut inspecter, mais combien et où.

Deux modes dans Zenarmor : léger ou inspection complète

Light-weight (certificate-based)

En mode léger, Zenarmor ne déchiffre rien. Le moteur analyse les parties non chiffrées de la poignée de main TLS, comme le nom du serveur (SNI) et le certificat, pour déterminer le nom d'hôte, la catégorie web et l'application. Cela suffit pour que le filtrage web, le contrôle applicatif et les règles de sécurité (blocage des domaines de phishing, de malware et de botnets) fonctionnent aussi en HTTPS. D'après la documentation Zenarmor sur les règles d'inspection TLS, ce mode est disponible dans toutes les éditions, y compris l'édition gratuite. Aucun certificat n'est requis sur les postes, mais sans certificat Zenarmor de confiance, aucune page de blocage propre ne peut s'afficher pour les sites HTTPS.

Full TLS Inspection (decrypt/re-encrypt)

En mode complet, Zenarmor agit comme intermédiaire de confiance. La session TLS du poste est déchiffrée au point d'inspection, analysée puis rechiffrée vers la destination. Les postes doivent donc faire confiance à l'autorité de certification (AC) Zenarmor ou à votre propre AC. Zenarmor voit alors aussi l'URL complète, le type de contenu et les actions dans les applications cloud. Cela permet un anti-phishing en temps réel fondé sur le contenu et, selon votre offre, l'analyse de fichiers et des règles CASB qui bloquent des actions précises comme l'envoi ou le partage. Notre article sur SSE, CASB et DLP montre comment fermer ainsi une fuite de type WeTransfer.

La politique propose aussi des options telles que « Exclude whitelisted/certificate-pinned websites from inspection », « Exclude flows without DNS enrichment data from inspection » et le blocage de TLS Encrypted Client Hello (ECH), qui masquerait sinon le nom du serveur.

Critère	Light-weight (certificate-based)	Full TLS Inspection (decrypt/re-encrypt)
Déchiffrement	Non	Oui, puis rechiffrement
Ce que voit Zenarmor	Nom d'hôte (SNI), certificat, catégorie, application	En plus : URL complète, contenu, fichiers, actions dans les applications cloud
Certificat AC sur les postes	Non requis (sauf page de blocage propre)	Obligatoire
Impact vie privée	Limité : métadonnées	Élevé : contenu lisible au point d'inspection
Usage typique	Filtrage web, contrôle applicatif, catégories de sécurité	Malware et phishing dans le contenu, actions CASB, prévention des fuites
Disponibilité	Toutes les éditions, y compris Free	Option sur Unified Secure ; incluse dans Unified Secure Plus et SSE/ZTNA/SASE

Liste d'exclusion et inspection site par site

Par défaut, Zenarmor exclut de l'inspection TLS plus de 80 domaines prédéfinis. Selon la documentation sur la gestion de l'inspection TLS, cette liste provient de la base de signatures Zenarmor. Zenarmor cite comme exclusions typiques les destinations de santé, les sites bancaires et financiers, les applications à épinglage de certificat (Adobe, Apple, Cisco Webex, Microsoft 365, l'application Dropbox) et le trafic indéchiffrable. Vous gérez en plus votre propre liste d'exclusion.

Depuis Zenarmor 2.2 (novembre 2025), l'inspection complète peut aussi être activée site par site : seuls les domaines que vous indiquez sont déchiffrés, éventuellement importés en masse par CSV. La logique s'inverse : non plus « tout sauf », mais « uniquement ceci ». Pour beaucoup de PME, c'est le point de départ le plus défendable, par exemple en n'inspectant que les services de partage de fichiers et d'autres destinations à risque, le reste restant en mode léger.

Les bonnes pratiques de Zenarmor vont dans le même sens : exclure les catégories finance, santé et administration, commencer par un petit groupe d'utilisateurs, tester d'abord les catégories peu critiques, isoler totalement les réseaux BYOD et invités et placer les objets connectés qui n'acceptent pas de certificat dans un sous-réseau dédié.

Déployer le certificat : AC Zenarmor ou AC interne

L'inspection complète ne fonctionne que si vos appareils font confiance au certificat avec lequel Zenarmor re-signe le trafic. Dans Zenconsole, vous pouvez générer ou importer une AC et la télécharger au format PEM ou CRT. Si vous disposez déjà d'une PKI, utilisez de préférence une AC subordonnée dédiée à l'inspection et protégez sa clé privée ; c'est aussi un point d'audit au titre d'ISO 27001 A.8.24 (utilisation de la cryptographie).

• Windows en domaine : par stratégie de groupe, sous Configuration ordinateur › Stratégies › Paramètres Windows › Paramètres de sécurité › Stratégies de clés publiques › Autorités de certification racines de confiance.
• Appareils gérés par Intune : avec un profil de certificat approuvé (trusted certificate profile), un par plateforme (Windows, macOS, iOS/iPadOS, Android).
• macOS et iOS : via un profil de configuration de votre MDM, par exemple Intune ou Jamf.
• Firefox : utilise son propre magasin ; faites-lui importer les racines Windows par stratégie ou installez le certificat séparément. Chrome et Edge utilisent le magasin du système.
• Android : de nombreuses applications ne font confiance qu'aux certificats système ; prévoyez des exclusions supplémentaires.

Après le déploiement, vérifiez dans Live Sessions que les sessions portent le statut « TLS-Inspected » et que le navigateur affiche Zenarmor comme émetteur. Si une application cesse de fonctionner, l'épinglage de certificat en est presque toujours la cause : ajoutez le domaine à la liste d'exclusion.

Performances : que coûte le déchiffrement ?

Déchiffrer puis rechiffrer consomme du processeur et de la mémoire. Le guide de déploiement de Zenarmor met l'accent sur la planification et un déploiement progressif, et les recommandations matérielles générales (par exemple 0 à 50 appareils, environ 300 Mbit/s avec 1 Go de RAM ; 250 à 1 000 appareils, 1 à 2 Gbit/s avec 16 Go) ne donnent pas de chiffres propres au TLS. Prévoyez donc une marge confortable et mesurez pendant le pilote. Nos règles empiriques :

• Inspecter de façon sélective (par site ou par catégorie) plutôt que tout.
• Bloquer QUIC pour que les navigateurs reviennent à TCP/TLS ; l'inspection TLS de Zenarmor s'appuie sur les métadonnées de session TCP.
• Choisir un matériel avec accélération AES et suffisamment de cœurs ; Zenarmor 2.7 a introduit le traitement multicœur pour les environnements 10G sur OPNsense.
• Surveiller la charge CPU et la latence après chaque élargissement du périmètre d'inspection.

Quelles offres Zenarmor incluent l'inspection TLS ?

Zenarmor a introduit de nouvelles offres le 30 septembre 2026. Selon la page officielle des offres (prix catalogue en USD, état octobre 2026, hors TVA, sous réserve) :

Offre	Prix catalogue par utilisateur/mois	Light-weight	Full TLS Inspection
Free	0 USD (1 utilisateur/passerelle)	Oui	Non
Home	9,99 USD par mois, usage privé uniquement	Oui	Non
Unified Secure	5,00 USD (10–49) · 4,50 USD (50–99) · 4,00 USD (100–150)	Oui	Option : +3,00 USD par utilisateur/mois
Unified Secure Plus	9,00 · 8,50 · 8,00 USD	Oui	Incluse
SSE / ZTNA / SASE	Sur demande	Oui	Incluse

Exemple de calcul (prix catalogue) : pour 40 utilisateurs, Unified Secure avec l'option TLS coûte 40 × (5,00 + 3,00 USD) = 320 USD par mois. Unified Secure Plus coûte 40 × 9,00 USD = 360 USD par mois. Pour 1 USD de plus par utilisateur, vous obtenez 30 jours de conservation des rapports au lieu de 15, deux agents par utilisateur, un VPN maillé et des liaisons site à site. Avec Secrotec, vous bénéficiez en outre d'une remise partenaire, et le prix est toujours négociable dans les projets Zenarmor.

Le cadre juridique en France : RGPD, CNIL et CSE

L'inspection TLS traite des données personnelles : adresses IP, identifiants, sites consultés et, en mode complet, contenus. Le RGPD ne l'interdit pas, mais exige une justification rigoureuse. Les autorités européennes ont d'ailleurs pris l'inspection TLS comme exemple explicite dans l'avis 2/2017 sur le traitement des données au travail (WP249) du groupe de travail « Article 29 ».

1. Ce que dit la CNIL sur l'analyse de flux HTTPS

Dans sa publication « Analyse de flux HTTPS : bonnes pratiques et questions » (mars 2015), la CNIL estime ce déchiffrement légitime, l'employeur devant assurer la sécurité de son système d'information. Elle l'assortit de garanties :

• une information précise des salariés, par exemple dans la charte informatique : personnes concernées, nature de l'analyse, données conservées, modalités d'investigation, sites en liste blanche et dispositifs d'usage personnel non soumis à l'analyse ;
• une gestion stricte des droits d'accès des administrateurs ;
• une minimisation des traces conservées ;
• une protection des données d'alerte issues de l'analyse (chiffrement, stockage hors de l'environnement de production, conservation de 6 mois maximum).

La CNIL renvoie pour la mise en œuvre technique aux recommandations de l'ANSSI concernant l'analyse des flux HTTPS, qui insistent notamment sur la validation par la direction et sur la maîtrise de l'infrastructure de clés. Dans sa fiche sur le contrôle de l'utilisation d'internet, la CNIL rappelle aussi que les instances représentatives du personnel doivent être informées ou consultées avant la mise en œuvre et que les journaux de connexion ne devraient pas être conservés plus de 6 mois.

2. Base légale, proportionnalité et AIPD

La base habituelle est l'intérêt légitime (article 6.1.f du RGPD), appuyé par l'obligation de sécurité de l'article 32. L'article L1121-1 du Code du travail exige que toute restriction aux libertés soit justifiée par la nature de la tâche et proportionnée au but recherché. Selon l'avis WP249, surveiller toute l'activité en ligne des salariés est disproportionné : privilégiez le blocage avec redirection vers une page d'information plutôt qu'une journalisation permanente, excluez la messagerie personnelle, la banque en ligne et la santé, et proposez si possible un accès non surveillé (Wi-Fi invité). Une surveillance systématique de l'activité des salariés relève souvent de l'analyse d'impact (AIPD, article 35 du RGPD) ; vérifiez la liste publiée par la CNIL.

3. Salariés et CSE : information et consultation préalables

L'article L1222-4 du Code du travail interdit de collecter une information concernant personnellement un salarié par un dispositif qui n'a pas été porté préalablement à sa connaissance. Dans les entreprises d'au moins 50 salariés, l'article L2312-38 du Code du travail prévoit que le CSE est informé et consulté, préalablement à la décision de mise en œuvre, sur les moyens ou techniques permettant un contrôle de l'activité des salariés. Un pare-feu avec inspection TLS et rapports par utilisateur entre dans ce champ. Présentez au CSE une description claire : finalité, exclusions, durée de conservation, accès et date de réévaluation.

Exigence	Ce que vous documentez	Mise en œuvre dans Zenarmor
Finalité	Sécurité uniquement, pas d'évaluation des salariés	Politiques ciblant catégories de sécurité et destinations à risque
Minimisation	Mode léger si possible, complet si nécessaire	Light-weight par défaut, inspection complète par site ou catégorie
Destinations sensibles	Exclure banque, santé, administration, messagerie personnelle	80+ exclusions prédéfinies plus votre propre liste
Conservation	Durée justifiée par type de journal, 6 mois max. pour les alertes selon la CNIL	Paramètre de conservation de la base de rapports et export SIEM
Accès	Qui consulte les journaux et quand	Rôles dans Zenconsole et piste d'audit des actions d'administration
Alternative	Usage personnel non surveillé	Réseau invité isolé sans inspection

Avertissement : cet article ne constitue pas un conseil juridique. Il reflète les grandes lignes à octobre 2026 ; faites valider votre situation par votre DPO ou un avocat en droit social et en protection des données.

Lien avec ISO 27001, TISAX et NIS2

L'inspection TLS n'est pas une fin en soi, mais une mise en œuvre technique d'exigences issues de plusieurs référentiels. Zenarmor soutient ces exigences ; la conformité résulte de l'ensemble formé par la politique, l'analyse de risques et la preuve de fonctionnement.

Référentiel	Mesure	Apport de l'inspection TLS
ISO 27001:2022	A.8.7 Protection contre les logiciels malveillants	Détection de malwares et de phishing, y compris dans le trafic chiffré
ISO 27001:2022	A.8.20 Sécurité des réseaux	Visibilité et contrôle du trafic réseau
ISO 27001:2022	A.8.23 Filtrage web	Catégories et politiques appliquées aussi au HTTPS
ISO 27001:2022	A.8.24 Utilisation de la cryptographie	Gestion et protection de l'AC d'inspection
TISAX (VDA ISA 6)	5.2.3 Protection contre les logiciels malveillants	Inspection aux passerelles, y compris des connexions chiffrées
NIS2 art. 21	Mesures de gestion des risques (sécurité réseau, cryptographie)	Contrôle démontrable et fondé sur les risques du trafic chiffré

La numérotation TISAX suit VDA ISA 6 et peut évoluer avec ISA2027. Pour aller plus loin : notre article sur la préparation TISAX et la sécurité réseau et notre page conformité NIS2.

Pas à pas : introduire l'inspection TLS sans heurts

Comment Secrotec vous aide

Secrotec est Lead Auditor ISO 27001 indépendant et partenaire officiel Zenarmor aux Pays-Bas. Nous réunissons deux regards qui se croisent dans l'inspection TLS : la configuration technique, et la question de savoir si elle résiste à un audit, à une AIPD et à la consultation du CSE.

• Nous fournissons les éléments techniques de votre AIPD et une description claire du dispositif pour le CSE.
• Nous configurons Zenarmor avec le mode léger comme socle, l'inspection complète là où le risque le justifie et une liste d'exclusion argumentée.
• Nous rattachons les paramètres à l'annexe A d'ISO 27001, à NIS2 et à VDA ISA, pour que vos preuves soient prêtes pour l'auditeur.
• Vous achetez vos licences chez nous avec une remise partenaire ; le prix est toujours négociable dans les projets Zenarmor.

Découvrez notre page partenaire Zenarmor, utilisez les rapports Zenarmor comme preuves d'audit ou revenez à la vue d'ensemble Pare-feu & réseaux.