Zenarmor vs Sophos : l'alternative à Sophos XGS et à Sophos UTM en fin de vie

Réponse courte : choisissez Zenarmor si vous souhaitez payer par utilisateur, protéger les télétravailleurs avec des agents, ne pas racheter de matériel pare-feu et conserver vos rapports en local ou dans une région cloud néerlandaise ou allemande. Restez chez Sophos si vous utilisez déjà intensivement Sophos Endpoint, MDR et Sophos Central et que Synchronized Security pèse lourd pour vous. Vous exploitez encore Sophos UTM 9 ? Il est en fin de vie depuis le 30 juin 2026. Vous devez donc migrer de toute façon, et c'est le bon moment pour une comparaison honnête.

Secrotec est Lead Auditor ISO 27001 indépendant et partenaire officiel Zenarmor aux Pays-Bas (référencé dans l'annuaire des partenaires Zenarmor). Nous livrons des licences et des projets Zenarmor dans toute l'Europe et comptons des clients Zenarmor satisfaits dans toute l'Union européenne. Cet article compare Zenarmor à Sophos Firewall (XGS) et propose un plan de migration concret pour ceux qui utilisent encore Sophos UTM. Les prix sont indicatifs (octobre 2026, HT, les prix revendeurs varient) et sourcés.

Fin de vie de Sophos UTM : que change le 30 juin 2026 pour vous ?

Sophos a clos le cycle de vie de Sophos UTM et des appliances SG avec une date de fin de vie fixée au 30 juin 2026. Sont concernés l'UTM sur matériel SG, les installations logicielles sur matériel tiers, les déploiements virtuels et la Home Edition. Depuis cette date, il n'y a plus de mises à jour de sécurité, de correctifs ni de nouvelles signatures, et plus de support technique (Avanet).

Sophos a proposé aux clients UTM qui commandaient un Sophos Firewall de remplacement avant le 30 juin 2026 jusqu'à six mois de durée supplémentaire. Selon Sophos lui-même, aucun support ne peut être fourni au-delà du 31 décembre 2026, quelles que soient les circonstances, et les fonctions de protection cessent de fonctionner dès l'expiration de la licence correspondante. Quiconque exploite encore aujourd'hui un UTM en bordure de réseau utilise donc un système sans mises à jour, ou au mieux couvert jusqu'à fin 2026 par une prolongation.

Quelle alternative à Sophos UTM choisir ?

• Passer à Sophos Firewall sur matériel XGS. Sophos propose des offres de migration, généralement liées à un abonnement d'au moins trois ans. Une voie logique si vous êtes très investi dans l'écosystème Sophos.
• Passer à Zenarmor sur OPNsense. Si votre UTM tournait en installation logicielle ou virtuelle, vous pouvez souvent réutiliser le même serveur ou hyperviseur. Vous payez par utilisateur et protégez le télétravail avec des agents.
• Ne rien faire. Ce n'est pas une option : un pare-feu sans mises à jour est une vulnérabilité connue et un constat probable lors d'un audit ISO 27001 ou d'une évaluation NIS2.

Vous trouverez plus bas un plan de migration en six étapes. Pour le cadre réglementaire, voir ISO 27001 et NIS2.

Zenarmor vs Sophos en un coup d'œil

Zenarmor est un moteur de sécurité (NGFW, passerelle web sécurisée, SSE et ZTNA) qui fonctionne en logiciel sur OPNsense, pfSense CE, Linux ou Docker, et en agent sur Windows, macOS, Linux, Android et iOS, avec une gestion centralisée dans Zenconsole. Sophos Firewall fonctionne sur des appliances XGS ou en appliance logicielle/virtuelle et se gère via l'interface locale ou Sophos Central, avec des licences par équipement.

Critère	Zenarmor	Sophos Firewall (XGS)
Architecture	Logiciel sur votre matériel x86, VM (Proxmox, Hyper-V, VMware), cloud ou appliance Deciso, plus agents endpoint	Appliances XGS avec architecture Xstream ; existe aussi en appliance logicielle/virtuelle, licenciée selon les cœurs et la RAM
Modèle de licence	Par utilisateur et par mois (min. 10) ; premier site inclus, site supplémentaire +50 $/mois	Par appliance : Standard ou Xstream Protection ; Sophos ZTNA par utilisateur
Contrôle applicatif	Plus de 5 000 applications, base applicative mise à jour dynamiquement	Filtre applicatif (module Web Protection)
Filtrage web	Plus de 300 millions de sites dans 120+ catégories, SafeSearch et mode restreint YouTube	Politiques web (module Web Protection)
Inspection TLS	Légère et complète ; option sur Unified Secure, incluse dans Unified Secure Plus	Inspection TLS/HTTPS sur l'appliance
Protection contre les menaces	IPS, inspection DNS approfondie, threat intelligence cloud, règles de sécurité Essential et Advanced	IPS (Network Protection), machine learning et sandbox (Zero-day Protection), flux de menaces MDR dans Xstream
Utilisateurs distants / ZTNA	Agents endpoint, VPN maillé chiffré, ZTNA avec contrôles de posture	VPN d'accès distant avec Sophos Connect ; Sophos ZTNA par utilisateur via Sophos Central
Intégration endpoint	Agents propres ; compatibles avec toute protection endpoint	Synchronized Security avec Sophos Endpoint (véritable atout)
Gestion centralisée	Zenconsole : cloud, multi-tenant, import de politiques, piste d'audit	Sophos Central : une console pour pare-feu, endpoint, messagerie et plus
Rapports et résidence des données	En local (Elasticsearch/SQLite), SIEM/Syslog ou reporting cloud avec région Pays-Bas ou Allemagne ; conservation 15/30 jours selon l'offre	Rapports sur l'appliance ; Central Firewall Reporting 7 jours gratuits, jusqu'à 1 an avec CFR Advanced
Messagerie et WAF	Non inclus (à prévoir séparément)	Modules Email Protection et Webserver Protection disponibles
Expiration de la licence	Pare-feu, routage et VPN OPNsense continuent de fonctionner (open source) ; les fonctions payantes de Zenarmor exigent une licence valide	Politiques IPS et applicatives plus appliquées, politiques web et déchiffrement HTTPS (mode proxy) arrêtés, protection zero-day désactivée
Dépendance matérielle	Aucune : licence par utilisateur, plateforme librement interchangeable	Abonnements XGS liés au matériel
SD-WAN	Essentiellement sur la feuille de route	Disponible, avec orchestration via Sophos Central
Évolution des prix 2026	Nouveau modèle tarifaire public depuis le 30 septembre 2026	+10 % au 1er juillet et +10 % au 1er novembre 2026 sur le matériel XGS et les abonnements liés au matériel
Prix indicatif	À partir de 5,00 $ par utilisateur/mois (Unified Secure), 9,00 $ (Unified Secure Plus)	XGS 88 817 €, XGS 108 1 249 €, XGS 118 1 811 € avec 1 an Xstream ; renouvellement XGS 108 ≈ 536 €/an

Sources : offres Zenarmor ; prix Sophos via Software Express (appliances et renouvellements) ; comportement des licences selon la documentation Sophos ; licences virtuelles par cœurs et RAM. Situation en octobre 2026.

Fonctions de sécurité comparées

Contrôle applicatif, filtrage web et inspection TLS

Les deux solutions identifient les applications, filtrent les sites par catégorie et peuvent inspecter le trafic TLS. Zenarmor annonce plus de 5 000 applications et plus de 300 millions de sites catégorisés, avec des profils (Permissive, Moderate, High), l'application de SafeSearch et une liste d'exclusions de plus de 80 entrées pour les catégories sensibles. Les politiques peuvent être liées à l'interface, au VLAN, à la catégorie d'appareil, à l'utilisateur, au groupe et à une plage horaire, avec des identités issues d'Entra ID, Google Workspace, Okta ou SAML 2.0. Sophos propose des filtres web et applicatifs comparables dans son module Web Protection. Pour aller plus loin : contrôle applicatif, filtrage web et inspection TLS et RGPD.

Protection contre les menaces

Sophos est solide sur ce point : Xstream Protection associe IPS, protection zero-day par machine learning et sandboxing, et flux de menaces issus de sa propre équipe MDR. Zenarmor s'appuie sur une threat intelligence cloud, l'IPS, l'inspection DNS approfondie contre le tunneling et des règles de sécurité couvrant notamment les malwares, le phishing, les serveurs C&C de botnets, les sites compromis et les domaines nouvellement enregistrés. L'analyse de fichiers en temps réel fait partie des offres SSE et supérieures. Pour la plupart des PME, le niveau de protection est comparable ; si vous souscrivez Sophos MDR, l'intégration Sophos vous apporte davantage.

Télétravail et ZTNA

Chez Sophos, l'accès distant passe par Sophos Connect (VPN) ou par Sophos ZTNA, licencié par utilisateur et géré dans Sophos Central. Zenarmor applique la politique sur l'appareil lui-même : des agents pour Windows, macOS, Linux, Android et iOS appliquent la même politique web, applicative et de sécurité au bureau, à domicile et en déplacement. Unified Secure inclut 5 agents endpoint et 5 agents maillés ; Unified Secure Plus inclut 2 agents par utilisateur et le VPN maillé jusqu'à 20 sites.

Synchronized Security : ce qu'il faut savoir

Synchronized Security est un véritable atout de Sophos. Sophos Firewall et Sophos Endpoint partagent leur état de santé, de sorte qu'un appareil compromis peut être isolé automatiquement. Si vous utilisez intensivement Sophos Endpoint, voire MDR, vous perdez cette intégration en remplaçant le pare-feu. Zenarmor n'offre pas de couplage équivalent avec Sophos Endpoint, mais vous pouvez bien sûr conserver votre protection endpoint.

Gestion, rapports et résidence des données

Sophos Central est une console solide si vous utilisez plusieurs produits Sophos. Pour les rapports pare-feu, Central Firewall Reporting offre gratuitement jusqu'à 7 jours de conservation ; avec CFR Advanced, vous achetez du stockage supplémentaire jusqu'à un an (FAQ Sophos CFR).

Zenarmor se gère via Zenconsole : un portail cloud unique pour les passerelles et les agents, multi-tenant pour les MSP, avec import de politiques, sauvegarde et piste d'audit. La conservation est de 15 jours (Unified Secure) ou 30 jours (Unified Secure Plus). Les rapports peuvent rester entièrement en local (Elasticsearch ou SQLite), être envoyés vers votre SIEM ou être stockés dans le cloud Zenarmor dans la région de votre choix, dont les Pays-Bas et l'Allemagne (notes de version 2.7). Voir aussi la gestion centralisée avec Zenconsole.

Licences, hausses de prix 2026 et coût sur trois ans

Sophos augmente ses prix deux fois en 2026 : +10 % au 1er juillet 2026 puis à nouveau +10 % au 1er novembre 2026 pour le matériel XGS et les abonnements XGS liés au matériel ; pour les offres MSP, la seconde hausse s'applique à partir du 1er janvier 2027. Cumulées, cela représente environ 21 % (Avanet). Vérifiez donc si votre devis de renouvellement repose déjà sur la nouvelle liste de prix.

Zenarmor facture par utilisateur et par mois ; une licence utilisateur couvre deux appareils activement utilisés, et les imprimantes, caméras et objets connectés ne sont pas comptés. Il faut ajouter la plateforme : OPNsense Community Edition est gratuite, la Business Edition coûte 149 € par an et les appliances Deciso démarrent à 978 € (DEC740), à moins que vous ne réutilisiez du matériel existant ou une VM (boutique OPNsense).

Offre Zenarmor	10–49 utilisateurs	50–99 utilisateurs	100–150 utilisateurs	Contenu principal
Unified Secure	5,00 $	4,50 $	4,00 $	NGFW, IPS, filtrage applicatif et web, inspection DNS approfondie, 5 agents endpoint + 5 agents maillés, HA de passerelle, conservation 15 jours ; option TLS 3 $ par utilisateur/mois
Unified Secure Plus	9,00 $	8,50 $	8,00 $	Tout Unified Secure + inspection TLS complète, 2 agents par utilisateur, VPN maillé jusqu'à 20 sites, conservation 30 jours
SSE / ZTNA / SASE	Sur demande			CASB, contrôles de posture, conservation 90 jours, résidence des données sur mesure

Prix catalogue Zenarmor en USD par utilisateur et par mois, HT, octobre 2026, sous réserve. Rabais de prépaiement accordés par Zenarmor : −15 % (1 an), −25 % (3 ans), −35 % (5 ans). Site supplémentaire : 50 $ par mois (jusqu'à 20 sites).

Exemple 1 : environ 25 utilisateurs, un site

Poste de coût (3 ans)	Zenarmor Unified Secure	Sophos XGS 108 + Xstream
Licences / abonnement	25 × 5,00 $ × 36 = 4 500 $ ; avec prépaiement 3 ans 3 375 $	Année 1 avec matériel 1 249 € + 2 × renouvellement ≈ 536 € = env. 2 321 €
Matériel	0 € (matériel existant ou VM) ou DEC740 978 €	Inclus en année 1
Plateforme	OPNsense CE 0 € ou Business Edition 3 × 149 € = 447 €	—
Télétravailleurs	5 agents endpoint + 5 agents maillés inclus	VPN Sophos Connect ; Sophos ZTNA par utilisateur (prix sur demande)
Conservation des rapports	15 jours inclus	7 jours gratuits ; davantage via CFR Advanced

Soyons honnêtes : pour un petit site sans télétravailleurs, le bundle Sophos est moins cher au prix catalogue, et les renouvellements commandés après le 1er novembre 2026 peuvent dépasser d'environ 10 % les anciens devis. Zenarmor devient plus intéressant dès que vous réutilisez du matériel existant, protégez les télétravailleurs avec des agents (Unified Secure Plus : 25 × 9,00 $ × 36 = 8 100 $, soit 6 075 $ avec prépaiement, inspection TLS complète et 30 jours de conservation compris) ou intégrez la remise partenaire via Secrotec.

Exemple 2 : environ 100 utilisateurs, trois sites, travail hybride

Poste de coût (3 ans)	Zenarmor	Sophos
Abonnement et matériel	Unified Secure : (100 × 4,00 $ + 2 × 50 $) × 36 = 18 000 $, env. 13 500 $ avec prépaiement. Unified Secure Plus : 32 400 $, env. 24 300 $ avec prépaiement. Matériel 0 € (réutilisation/VM) ou DEC850 + 2 × DEC740 = 3 604 €	Siège XGS 118 : 1 811 € + 2 × 901 € = 3 613 € ; deux agences XGS 108 : 2 × 2 321 € = 4 642 € ; soit env. 8 255 €. Pour plus de débit, un XGS 128/138 (2 532 €/3 552 € en année 1)
HA au siège	Seconde passerelle (matériel ou VM) ; la HA est incluse dans la licence	Seconde appliance ; conditions de licence HA via votre revendeur
Télétravail / ZTNA	Plus : 2 agents par utilisateur et VPN maillé inclus	Sophos ZTNA pour env. 100 utilisateurs (prix sur demande)
Conservation des rapports	15 ou 30 jours inclus ; local ou SIEM possible	7 jours gratuits ; CFR Advanced pour une conservation plus longue

Sur le seul prix du matériel et des bundles, la configuration Sophos de cet exemple est moins chère que Zenarmor Unified Secure Plus au prix catalogue. L'écart se réduit dès que vous intégrez le ZTNA pour 100 utilisateurs, une conservation des rapports plus longue et un modèle plus puissant au siège, et à mesure que les hausses de 2026 se répercutent sur vos renouvellements. Si vos télétravailleurs se connectent au bureau par VPN (OPNsense prend en charge WireGuard, IPsec et OpenVPN sans surcoût), Unified Secure suffit souvent. Un devis Secrotec inclut en outre une remise partenaire. Les montants avec prépaiement supposent que le rabais Zenarmor s'applique à tout l'abonnement.

Que se passe-t-il à l'expiration de la licence ?

Selon la documentation Sophos, à l'expiration d'une licence Network Protection, les signatures IPS ne sont plus chargées et les politiques IPS ne sont plus appliquées. Avec Web Protection, les signatures et les politiques de filtrage applicatif ne sont plus appliquées et, en mode proxy, les politiques web et le déchiffrement HTTPS s'arrêtent. La protection zero-day est désactivée et Central Firewall Reporting revient à 7 jours. Avec Zenarmor, le pare-feu, le routage et le VPN open source d'OPNsense continuent de tourner ; les fonctions payantes de Zenarmor exigent une licence active.

Conformité : des preuves pour ISO 27001, NIS2 et TISAX

Un pare-feu ne vous rend pas conforme ; il produit des preuves. Sophos et Zenarmor peuvent tous deux soutenir des mesures de l'annexe A d'ISO 27001:2022, telles que A.8.20 (sécurité des réseaux), A.8.22 (cloisonnement des réseaux), A.8.23 (filtrage web), A.8.15 (journalisation) et A.8.16 (activités de surveillance), ainsi que les mesures de l'article 21 de NIS2 et leurs transpositions nationales, comme la loi néerlandaise Cyberbeveiligingswet (en vigueur depuis le 15 août 2026). Un UTM en fin de vie conduira en revanche presque certainement à un constat d'audit au titre de A.8.8 (gestion des vulnérabilités techniques).

Secrotec est à la fois auditeur et intégrateur : nous configurons Zenarmor pour que les politiques, la segmentation, la journalisation et les rapports correspondent à votre déclaration d'applicabilité. Pour les fournisseurs automobiles, nous accompagnons la préparation à TISAX® (revue des écarts par rapport au VDA ISA, auto-évaluation, mise en œuvre) ; l'évaluation elle-même est réalisée par un prestataire d'audit agréé par l'ENX. Pour aller plus loin : les rapports comme preuves, TISAX et sécurité réseau ou une analyse d'écart ISO 27001.

Quand Sophos est-il le meilleur choix ?

• Vous utilisez Sophos Endpoint, voire Sophos MDR, et Synchronized Security est pour vous une mesure importante.
• Vous voulez le pare-feu, l'endpoint et la messagerie dans une seule console éditeur (Sophos Central).
• Vous avez réellement besoin de la protection de la messagerie ou de la Webserver Protection (WAF) du pare-feu.
• Le SD-WAN avec orchestration centralisée sur de nombreux sites est une fonction clé.
• Vous pouvez profiter d'une offre de migration Sophos avec un prix serré sur trois ans, ou vous disposez déjà d'un abonnement Xstream pluriannuel.

Quand Zenarmor est-il le meilleur choix ?

• Votre UTM est en fin de vie et vous ne voulez pas réinvestir dans des abonnements liés au matériel ; vous préférez réutiliser votre serveur ou votre hyperviseur.
• Vous voulez des coûts prévisibles par utilisateur, indépendants des cycles matériels et des hausses de prix de 2026.
• Vos équipes travaillent en mode hybride et vous voulez la même politique au bureau, à domicile et en déplacement grâce aux agents.
• Vous voulez conserver les rapports en local ou dans une région cloud néerlandaise ou allemande.
• Vous gérez plusieurs sites ou clients (MSP) depuis une console multi-tenant unique.
• Vous voulez contrôler les actions cloud, par exemple bloquer les envois vers WeTransfer ; voir SSE, CASB et DLP.

Pour mieux connaître la plateforme : comment Zenarmor va au-delà du NGFW avec SSE, ZTNA et CASB.

Remise partenaire via Secrotec : envoyez-nous votre devis de renouvellement Sophos

En tant que partenaire officiel Zenarmor aux Pays-Bas, nous fournissons les licences sur la base des prix catalogue ci-dessus, avec une remise partenaire. Dans les projets Zenarmor, le prix est toujours négociable. Vous avez reçu un devis de renouvellement Sophos ou un devis de migration XGS pour votre UTM ? Envoyez-le-nous. Nous établirons une comparaison équitable, côte à côte : mêmes utilisateurs, sites, télétravailleurs et durées de conservation, avec un TCO clair sur 3 ans. Si Sophos est le meilleur choix dans votre situation, nous vous le dirons.

Demandez un devis avec remise partenaire, consultez la comparaison complète des prix Zenarmor ou lisez Zenarmor vs Fortinet FortiGate. Vous préférez tout déléguer ? Notre service de pare-feu managé associe Zenarmor à l'exploitation et à la supervision.

Sophos, Sophos Firewall, Sophos UTM, Sophos Central, Xstream et Synchronized Security sont des marques de Sophos Ltd. Zenarmor est une marque de Sunny Valley Cyber Security Inc. OPNsense est une marque de Deciso B.V. Tous les prix sont indicatifs, octobre 2026, HT ; les prix revendeurs et les taux de change varient. Ce comparatif repose sur des sources publiques citées dans le texte et ne constitue pas une déclaration de Sophos ou de Zenarmor.