Zenarmor vs Fortinet FortiGate : l'alternative honnête à FortiGate pour les PME

Réponse courte : choisissez Zenarmor si vous souhaitez payer par utilisateur, protéger les télétravailleurs et les appareils mobiles hors du bureau, réutiliser du matériel ou une virtualisation existants et conserver vos rapports en local ou dans une région cloud néerlandaise ou allemande. Restez sur Fortinet FortiGate si vous avez besoin d'une inspection multi-gigabit sur du matériel spécialisé, d'un SD-WAN mature ou d'une Fortinet Security Fabric complète (FortiSwitch, FortiAP, FortiAnalyzer). Pour un petit site unique sans utilisateurs distants, un bundle FortiGate est souvent moins cher au prix catalogue ; avec le travail hybride, plusieurs sites et une remise partenaire, le calcul sur trois ans peut s'inverser.

Secrotec est Lead Auditor ISO 27001 indépendant et partenaire officiel Zenarmor aux Pays-Bas (référencé dans l'annuaire des partenaires Zenarmor). Nous livrons des licences et des projets Zenarmor dans toute l'Europe et configurons la solution pour qu'elle produise les preuves qu'un auditeur attend. Dans ce comparatif, nous montrons où FortiGate excelle, où Zenarmor fait la différence et comment comparer honnêtement les coûts sur trois ans. Tous les prix sont indicatifs (octobre 2026, HT, les prix revendeurs varient) et sourcés.

Zenarmor vs FortiGate en un coup d'œil

La différence principale tient à l'architecture. Zenarmor est un moteur de sécurité (pare-feu nouvelle génération, passerelle web sécurisée, SSE et ZTNA) qui fonctionne en logiciel : en plugin sur OPNsense ou pfSense CE, sous Linux, dans Docker ou en agent sur Windows, macOS, Linux, Android et iOS. Tout se gère de manière centralisée dans Zenconsole. FortiGate est une appliance construite autour des processeurs de sécurité propres à Fortinet, complétée par des abonnements FortiGuard par équipement et des produits distincts comme FortiClient EMS, FortiManager et FortiAnalyzer.

Critère	Zenarmor	Fortinet FortiGate
Architecture	Logiciel sur votre matériel x86, VM (Proxmox, Hyper-V, VMware), cloud ou appliance Deciso, plus agents endpoint	Appliance propriétaire avec processeurs de sécurité Fortinet (ASIC/SoC) ; existe aussi en FortiGate-VM
Modèle de licence	Par utilisateur et par mois (min. 10) ; premier site inclus, site supplémentaire +50 $/mois	Par appliance : matériel + bundle FortiGuard annuel (p. ex. UTP) ; FortiClient EMS par endpoint (min. 25)
Contrôle applicatif	Plus de 5 000 applications, base applicative mise à jour dynamiquement	FortiGuard Application Control (dans les bundles)
Filtrage web	Plus de 300 millions de sites dans 120+ catégories, SafeSearch et mode restreint YouTube	FortiGuard Web Filtering (à partir du bundle UTP)
Inspection TLS	Légère (par certificat) et complète ; option sur Unified Secure, incluse dans Unified Secure Plus	Inspection SSL/TLS approfondie ; débit selon le modèle
Threat intelligence	Threat intelligence cloud, IPS, inspection DNS approfondie, règles de sécurité Essential et Advanced	FortiGuard Labs : IPS, antivirus, outbreak prevention
Utilisateurs distants / ZTNA	Agents endpoint, VPN maillé chiffré, ZTNA avec contrôles de posture	VPN IPsec (mode tunnel SSL VPN supprimé à partir de FortiOS 7.6.3) ; ZTNA via licence FortiClient EMS
SSE / CASB	Cloud Access Rules (bloquer envoi, partage, suppression) à partir du plan SSE ; pas de DLP fondé sur le contenu (feuille de route)	CASB/DLP dans les bundles supérieurs ; SSE cloud via FortiSASE (produit distinct)
Gestion centralisée	Zenconsole : cloud, multi-tenant, import de politiques, piste d'audit	FortiManager ou FortiGate Cloud (licences distinctes)
Rapports et résidence des données	En local (Elasticsearch/SQLite), envoi vers SIEM/Syslog, ou reporting cloud avec région Pays-Bas ou Allemagne	Journaux locaux (selon le modèle), FortiAnalyzer ou services cloud Fortinet
Haute disponibilité	HA de passerelle sur OPNsense (à partir d'Unified Secure)	Clustering HA mature ; seconde appliance avec licences nécessaire
Expiration de la licence	Pare-feu, routage et VPN OPNsense continuent de fonctionner (open source) ; les fonctions payantes de Zenarmor exigent une licence valide	Pare-feu et VPN continuent ; plus de nouvelles signatures, le filtrage web cloud bloque par défaut tout le trafic web, outbreak prevention s'arrête
Dépendance matérielle	Aucune : licence par utilisateur, plateforme librement interchangeable	Abonnements liés au numéro de série de l'appliance
SD-WAN	Essentiellement sur la feuille de route	Mature et intégré
Prix indicatif	À partir de 5,00 $ par utilisateur/mois (Unified Secure), 9,00 $ (Unified Secure Plus)	40F + 1 an UTP ≈ 1 180 € ; 60F + 1 an UTP ≈ 1 050–1 417 € ; renouvellement 60F UTP ≈ 403–460 £ par an

Sources : offres Zenarmor et documentation ; bundles et prix Fortinet via Software Express et TNP ; comportement des licences selon la Fortinet Community. Situation en octobre 2026.

Fonctions de sécurité comparées

Contrôle applicatif et filtrage web

Sur le papier, les deux solutions se valent : elles reconnaissent des milliers d'applications et catégorisent les sites via une base cloud. Zenarmor annonce plus de 5 000 applications et plus de 300 millions de sites dans 120+ catégories, avec des profils prêts à l'emploi (Permissive, Moderate, High) et l'application de SafeSearch et du mode restreint de YouTube. La différence pratique tient à la granularité : Zenarmor associe les politiques à l'interface, au VLAN, à la catégorie d'appareil, à l'IP, à l'adresse MAC, à l'utilisateur, au groupe et à une plage horaire, avec des identités issues d'Entra ID, Google Workspace, Okta ou SAML 2.0. Pour aller plus loin : contrôle applicatif et filtrage web Zenarmor.

Inspection TLS

Sans inspection TLS, aucun pare-feu ne voit le contenu du trafic chiffré. Zenarmor propose un mode léger fondé sur les certificats et une inspection complète (déchiffrement/rechiffrement), avec une liste d'exclusions de plus de 80 entrées prédéfinies, par exemple pour la banque et la santé. FortiGate propose aussi l'inspection approfondie ; c'est alors le modèle matériel qui détermine le débit inspecté. Gardez à l'esprit qu'en France l'inspection TLS relève du RGPD, que la CNIL a publié des recommandations sur l'analyse des flux HTTPS et que le CSE doit en principe être informé et consulté. Voir l'inspection TLS avec Zenarmor.

Télétravail, accès distant et ZTNA

C'est ici que l'écart est le plus net. Un FortiGate protège le trafic qui le traverse ; pour les télétravailleurs, vous utilisez un VPN d'accès distant ou le ZTNA. À partir de FortiOS 7.6.3, Fortinet a remplacé le mode tunnel SSL VPN par le VPN IPsec ; les configurations existantes ne sont pas reprises et doivent être migrées avant la mise à niveau (documentation Fortinet). Le ZTNA avec contrôles de posture exige une licence FortiClient EMS, par endpoint et avec un minimum de 25 licences (licences Fortinet EMS).

Zenarmor applique la politique directement sur l'appareil. Les agents endpoint pour Windows, macOS, Linux, Android et iOS appliquent la même politique web, applicative et de sécurité sur le Wi-Fi d'un hôtel qu'au bureau, et se déploient via Intune ou Jamf. Unified Secure inclut 5 agents endpoint et 5 agents maillés ; Unified Secure Plus inclut 2 agents par utilisateur (téléphone ou tablette compris) et le VPN maillé site à site jusqu'à 20 sites. Vous devez de toute façon reconstruire votre accès distant ? C'est le bon moment pour comparer.

Performances : la vérité sur les ASIC

FortiGate a ici un véritable atout : ses propres processeurs de sécurité. Fortinet annonce un débit de threat protection de 600 Mbit/s pour le 40F et de 700 Mbit/s pour le 60F (Fortinet). Zenarmor fonctionne sur des processeurs standard et évolue avec le matériel : ses recommandations matérielles indiquent environ 300 Mbit/s pour 0 à 50 appareils sur un matériel modeste et 1 à 2 Gbit/s pour 250 à 1 000 appareils avec 16 Go de RAM. Depuis la version 2.7, Zenarmor prend en charge le traitement multicœur 10G sur OPNsense (Business et au-delà, voir les notes de version). Pour la plupart des connexions de PME jusqu'à 1 Gbit/s, c'est largement suffisant ; pour une inspection multi-gigabit avec un minimum de matériel, FortiGate est plus fort.

Gestion, rapports et résidence des données

Zenarmor se gère via Zenconsole : un portail cloud unique pour les passerelles et les agents endpoint, multi-tenant pour les MSP, avec import de politiques, sauvegarde et piste d'audit des modifications. Les rapports peuvent rester entièrement en local (Elasticsearch ou SQLite), être envoyés vers votre SIEM ou Syslog, ou être stockés dans le cloud Zenarmor dans la région de votre choix, dont les Pays-Bas et l'Allemagne. Zenarmor annonce plus de 60 rapports standard. Pour gérer plusieurs sites : gestion centralisée avec Zenconsole.

Un FortiGate isolé se gère très bien via sa propre interface web. La gestion centralisée et la conservation longue des journaux passent par FortiManager, FortiAnalyzer ou FortiGate Cloud, chacun sous licence distincte. Le comparatif publié par Zenarmor résume cela par « une application, une pile, une console » face à plusieurs produits Fortinet. C'est une affirmation d'éditeur : vérifiez dans votre propre devis lesquels de ces produits vous sont réellement nécessaires.

Licences et coûts : que payez-vous sur trois ans ?

Fortinet facture par appliance : le matériel plus un bundle FortiGuard annuel, éventuellement complété par FortiClient EMS, FortiManager et FortiAnalyzer. Zenarmor facture par utilisateur et par mois ; une licence utilisateur couvre deux appareils activement utilisés, et les imprimantes, caméras et objets connectés ne sont pas comptés. Il faut ajouter la plateforme : OPNsense Community Edition est gratuite, la Business Edition coûte 149 € par an et les appliances Deciso démarrent à 978 € (DEC740), à moins que vous ne réutilisiez du matériel existant ou une VM (boutique OPNsense).

Offre Zenarmor	10–49 utilisateurs	50–99 utilisateurs	100–150 utilisateurs	Contenu principal
Unified Secure	5,00 $	4,50 $	4,00 $	NGFW, IPS, filtrage applicatif et web, inspection DNS approfondie, 5 agents endpoint + 5 agents maillés, HA de passerelle, conservation 15 jours ; option TLS 3 $ par utilisateur/mois
Unified Secure Plus	9,00 $	8,50 $	8,00 $	Tout Unified Secure + inspection TLS complète, 2 agents par utilisateur, VPN maillé jusqu'à 20 sites, conservation 30 jours
SSE / ZTNA / SASE	Sur demande			CASB, contrôles de posture, conservation 90 jours, résidence des données sur mesure

Prix catalogue Zenarmor en USD par utilisateur et par mois, HT, octobre 2026, sous réserve. Rabais de prépaiement accordés par Zenarmor : −15 % (1 an), −25 % (3 ans), −35 % (5 ans). Site supplémentaire : 50 $ par mois (jusqu'à 20 sites). Au-delà de 150 utilisateurs ou 20 sites : sur devis.

Exemple 1 : environ 25 utilisateurs, un site

Poste de coût (3 ans)	Zenarmor Unified Secure	FortiGate 60F + UTP
Licences / abonnement	25 × 5,00 $ × 36 = 4 500 $ ; avec prépaiement 3 ans 3 375 $	Bundle année 1 : 1 050–1 417 € + 2 × renouvellement 403–460 £
Matériel	0 € (matériel existant ou VM) ou DEC740 978 €	Inclus dans le bundle de l'année 1
Plateforme	OPNsense CE 0 € ou Business Edition 3 × 149 € = 447 €	—
Télétravailleurs	5 agents endpoint + 5 agents maillés inclus	VPN IPsec ; ZTNA via FortiClient EMS (min. 25 endpoints, prix revendeur)
Total indicatif	3 375 $ à 3 375 $ + 1 425 €	Env. 2 000–2 500 € (converti, sans EMS)

Soyons honnêtes : pour un petit site sans télétravailleurs, le bundle FortiGate est moins cher au prix catalogue. La situation change si vous voulez protéger plus de cinq télétravailleurs avec des agents (Unified Secure Plus devient alors logique : 25 × 9,00 $ × 36 = 8 100 $, soit 6 075 $ avec prépaiement sur 3 ans), si vous avez besoin de l'inspection TLS complète et de 30 jours de conservation, ou si vous voulez du ZTNA avec contrôles de posture sans licences endpoint séparées. La réutilisation du matériel et la remise partenaire via Secrotec réduisent encore l'écart.

Exemple 2 : environ 100 utilisateurs, trois sites, travail hybride

Poste de coût (3 ans)	Zenarmor	Fortinet
Abonnement	Unified Secure : (100 × 4,00 $ + 2 × 50 $) × 36 = 18 000 $, env. 13 500 $ avec prépaiement. Unified Secure Plus : (100 × 8,00 $ + 2 × 50 $) × 36 = 32 400 $, env. 24 300 $ avec prépaiement	Deux agences avec un modèle de classe 60F : 2 × (1 050–1 417 € + 2 × 403–460 £) ; siège souvent équipé d'un modèle plus grand, prix sur demande
Matériel	Réutilisation ou VM 0 €, ou DEC850 1 648 € + 2 × DEC740 978 €	Dans les bundles de l'année 1
HA au siège	Seconde passerelle (matériel ou VM) ; la HA est incluse dans la licence	Seconde appliance avec ses propres licences
Télétravail / ZTNA	Plus : 2 agents par utilisateur et VPN maillé inclus	FortiClient EMS pour env. 100 endpoints (prix sur demande)
Gestion centralisée et journalisation	Zenconsole et conservation 15/30 jours inclus ; local ou SIEM possible	FortiManager/FortiAnalyzer ou FortiGate Cloud (en sus)

À cette échelle, ce ne sont pas les boîtiers qui font la différence, mais les composants supplémentaires : ZTNA pour 100 endpoints, journalisation centralisée, HA et modèle plus puissant au siège. Demandez que ces lignes figurent explicitement dans votre devis Fortinet afin de permettre une comparaison équitable. Si vos télétravailleurs se connectent au bureau par VPN (OPNsense prend en charge WireGuard, IPsec et OpenVPN sans surcoût), Unified Secure suffit souvent. Les montants avec prépaiement supposent que le rabais Zenarmor s'applique à tout l'abonnement ; un devis Secrotec inclut en outre une remise partenaire.

Que se passe-t-il à l'expiration de la licence ?

Selon la Fortinet Community, le pare-feu et le VPN d'un FortiGate continuent de fonctionner à l'expiration des licences FortiGuard, mais les définitions IPS, antivirus et applicatives ne sont plus mises à jour. Le filtrage web fondé sur les catégories FortiGuard bloque alors par défaut tout le trafic web, et l'outbreak prevention s'arrête. Avec Zenarmor, le pare-feu, le routage et le VPN open source d'OPNsense continuent de tourner ; les fonctions payantes de Zenarmor, comme le filtrage L7, l'inspection TLS et les agents, exigent une licence active. Dans les deux cas, planifiez les renouvellements à temps : c'est aussi une mesure ISO 27001.

Conformité : des preuves pour ISO 27001, NIS2 et TISAX

Un pare-feu ne vous rend pas conforme ; il produit des preuves. FortiGate comme Zenarmor peuvent soutenir des mesures de l'annexe A d'ISO 27001:2022, telles que A.8.20 (sécurité des réseaux), A.8.22 (cloisonnement des réseaux), A.8.23 (filtrage web), A.8.15 (journalisation) et A.8.16 (activités de surveillance). Il en va de même pour les mesures de gestion des risques de l'article 21 de NIS2 et leurs transpositions nationales, comme la loi néerlandaise Cyberbeveiligingswet, en vigueur depuis le 15 août 2026 (voir ISO 27001 et NIS2).

La différence se joue dans la configuration. Secrotec est à la fois auditeur et intégrateur : nous configurons Zenarmor pour que les politiques, la segmentation réseau, la journalisation et les rapports correspondent directement à votre déclaration d'applicabilité. Pour les fournisseurs automobiles, nous accompagnons la préparation à TISAX® (revue des écarts par rapport au VDA ISA, auto-évaluation, mise en œuvre des mesures) ; l'évaluation elle-même est réalisée par un prestataire d'audit agréé par l'ENX. Pour aller plus loin : les rapports comme preuves pour NIS2 et ISO 27001, TISAX et sécurité réseau ou un audit ISO 27001.

Quand FortiGate est-il le meilleur choix ?

• Vous avez besoin d'un débit multi-gigabit avec inspection complète et voulez l'obtenir avec le moins de matériel possible.
• Le SD-WAN est une fonction clé pour vous : il est mature chez Fortinet et en grande partie sur la feuille de route chez Zenarmor.
• Vous exploitez déjà une Fortinet Security Fabric avec FortiSwitch, FortiAP et FortiAnalyzer, et votre équipe maîtrise FortiOS.
• Vous avez un petit site sans utilisateurs distants et cherchez uniquement le prix catalogue le plus bas.
• Votre abonnement FortiGuard vient d'être prépayé pour plusieurs années.

Quand Zenarmor est-il le meilleur choix ?

• Vos équipes travaillent en mode hybride et vous voulez la même politique au bureau, à domicile et en déplacement, avec des agents plutôt que des tunnels vers le bureau.
• Vous refusez la dépendance matérielle : serveurs existants, Proxmox, Hyper-V ou VMware, puis changement libre sans nouvelle licence.
• Vous gérez plusieurs sites ou clients (MSP) et voulez une seule console multi-tenant.
• Vous voulez conserver les rapports en local ou dans une région cloud néerlandaise ou allemande, pour le RGPD et la souveraineté des données.
• Vous voulez contrôler les actions cloud, par exemple bloquer les envois vers WeTransfer ; voir SSE, CASB et DLP.
• Vous voulez des coûts prévisibles par utilisateur et un partenaire qui rend aussi la configuration prête pour l'audit.

Vous voulez d'abord mieux connaître la plateforme ? Découvrez comment Zenarmor va au-delà du NGFW avec SSE, ZTNA et CASB.

Remise partenaire via Secrotec : envoyez-nous votre devis de renouvellement FortiGate

En tant que partenaire officiel Zenarmor aux Pays-Bas, nous fournissons les licences sur la base des prix catalogue ci-dessus, avec une remise partenaire. Dans les projets Zenarmor, le prix est en outre toujours négociable. Vous avez un devis de renouvellement FortiGate ou FortiGuard sur votre bureau ? Envoyez-le-nous. Nous établirons une comparaison équitable, côte à côte : mêmes utilisateurs, sites, télétravailleurs et durées de conservation, avec un TCO clair sur 3 ans. Si la comparaison est favorable à votre FortiGate, nous vous le dirons aussi.

Demandez un devis avec remise partenaire, consultez la comparaison complète des prix Zenarmor ou comparez avec WatchGuard et Cisco Meraki. Vous préférez tout déléguer ? Notre service de pare-feu managé associe Zenarmor à l'exploitation et à la supervision.

Fortinet, FortiGate, FortiGuard, FortiOS, FortiClient, FortiManager, FortiAnalyzer et FortiSASE sont des marques de Fortinet, Inc. Zenarmor est une marque de Sunny Valley Cyber Security Inc. OPNsense est une marque de Deciso B.V. Tous les prix sont indicatifs, octobre 2026, HT ; les prix revendeurs et les taux de change varient. Ce comparatif repose sur des sources publiques citées dans le texte et ne constitue pas une déclaration de Fortinet ou de Zenarmor.