Zenconsole : la gestion centralisée de Zenarmor pour plusieurs sites et clients

Zenconsole est le portail de gestion cloud de Zenarmor (dash.zenarmor.com). Il vous permet de gérer toutes vos passerelles Zenarmor et tous vos agents de poste depuis une seule console : politiques centrales, rapports, utilisateurs et accès zero trust pour l'ensemble de vos sites à la fois. Pour une organisation multi-sites, cela signifie une seule politique au lieu de dix configurations de pare-feu distinctes. Pour un MSP, cela signifie une console unique avec un environnement séparé par client. Les versions 2.6 et 2.7 de Zenarmor (juin et septembre 2026) ont ajouté une piste d'audit, une API REST au niveau de l'organisation et le choix de la région de stockage des rapports centraux, notamment les Pays-Bas et l'Allemagne.

Dans cet article, en tant que partenaire officiel Zenarmor aux Pays-Bas et Lead Auditor ISO 27001 indépendant, nous expliquons comment Zenconsole est structuré, ce que vous pouvez gérer de façon centralisée et ce qui reste local, quels rôles et droits existent, ce qu'il en est de la résidence et de la souveraineté des données, et comment Secrotec fournit Zenconsole en service infogéré.

Qu'est-ce que Zenconsole, exactement ?

Zenconsole est la couche de gestion SaaS qui pilote le moteur Zenarmor. Le moteur, lui, s'exécute localement : comme plugin sur OPNsense, comme paquet sur pfSense CE, FreeBSD ou Linux, en conteneur, ou comme agent sur un ordinateur portable ou un smartphone. La console regroupe ces instances, distribue les politiques et présente les rapports. Un point est essentiel : l'application des règles reste locale. Votre trafic n'a pas à transiter par un point de présence d'inspection externe. Zenconsole est une couche de gestion et de reporting, pas un passage obligé pour vos données.

Zenconsole propose deux modes de fonctionnement :

• Gestion de pare-feu autonomes (standalone). Chaque pare-feu conserve ses propres politiques, mais vous les voyez et les gérez tous depuis un seul portail. Vous regroupez les pare-feu en projets ; la documentation Zenarmor décrit littéralement un projet comme un dossier par agence ou, pour un MSP, par client.
• Gestion d'organisation (Central Organization Management). Les politiques sont définies de façon centralisée dans Zenconsole et s'appliquent à toutes les passerelles et à tous les postes de l'organisation. C'est le modèle adapté à une politique réellement centralisée, aux règles basées sur l'identité et au ZTNA (présentation de Zenarmor).

Aspect	Pare-feu autonomes	Gestion d'organisation
Où se trouvent les politiques ?	Localement sur chaque pare-feu	De façon centralisée dans Zenconsole
Regroupement	Projets (par agence ou par client)	Organisation avec passerelles, postes et tags
Rôles pour les collègues	Owner, Admin, Operator, Viewer	Owner, Admin, Viewer
Postes et ZTNA	Pas de gestion centralisée	Agents, réseaux zero trust, contrôles de posture
Usage typique	Quelques pare-feu gérés localement	Plusieurs sites, travail hybride, clients de MSP

Organisations et structure multi-tenant

Une organisation Zenconsole est le conteneur dans lequel vous enregistrez des passerelles (OPNsense, pfSense CE, Linux) et des postes (Windows, macOS, Linux et mobiles). Vous y gérez les utilisateurs, manuellement ou via un fournisseur d'identité comme Entra ID, Google Workspace ou Okta. Depuis la version 2.6, vous pouvez aussi étiqueter passerelles et postes avec des tags système ou personnalisés, par exemple par région, service ou niveau de risque, ce qui garde les rapports et les politiques par groupe lisibles.

La formule dont vous disposez dépend de l'abonnement. Pendant longtemps, la documentation associait Central Organization Management aux offres SSE et supérieures. Avec la version 2.7, Zenarmor a rendu la fonction organisation disponible pour toutes les éditions. La page des offres actuelle mentionne « cloud-based central organizational management » pour Unified Secure et Unified Secure Plus, avec un seul tenant, tandis que la gestion des clients et des tenants pour les partenaires relève des offres SSE, ZTNA et SASE. Pour une organisation unique avec plusieurs agences, Unified Secure (Plus) suffit donc souvent ; un MSP qui veut gérer plusieurs clients de manière cloisonnée se tournera vers les offres entreprise et partenaires. Comme Zenarmor enrichit ses fonctions à chaque version, nous vérifions toujours la situation actuelle pour votre scénario.

Ce que « multi-tenant » signifie concrètement

Multi-tenant signifie que chaque client ou filiale dispose d'un environnement propre et cloisonné : ses propres politiques, ses propres rapports et ses propres administrateurs. L'ingénieur du MSP, lui, voit tout depuis un seul identifiant. Sur sa page MSP, Zenarmor cite explicitement l'isolation des politiques, des données et de la visibilité par tenant. Pour un auditeur, ce n'est pas un détail : cela évite que l'administrateur du client A consulte par erreur les journaux du client B, et cela rend les responsabilités par client démontrables.

Politiques centrales : définir une fois, appliquer partout

Dans une organisation, vous définissez de façon centralisée les politiques d'accès à Internet et les politiques de réseau privé. Une politique combine des règles de sécurité (malware, hameçonnage, C&C de botnets), le contrôle applicatif, le filtrage web, l'inspection TLS et des exclusions. Elle s'applique selon des critères tels que l'interface, le VLAN, le réseau, l'appareil, l'utilisateur, le groupe et la plage horaire. Depuis la 2.7, les politiques d'organisation peuvent aussi s'appuyer sur des utilisateurs et groupes d'un Active Directory ou d'un annuaire LDAP classique, ce qui facilite la transition pour les organisations disposant d'un domaine Windows. Pour les briques de base, consultez nos articles sur le contrôle applicatif et le filtrage web Zenarmor.

Des politiques de référence comme modèles

Depuis la 2.6, Zenconsole permet de sauvegarder et de restaurer les politiques de sécurité Internet : vous exportez plusieurs politiques dans un seul fichier et les importez ailleurs. Nous l'utilisons comme mécanisme de modèle. Secrotec maintient un jeu de référence, par exemple « bureaux », « réseau invités », « IoT/OT » et « administrateurs », aligné sur l'annexe A de l'ISO 27001 et l'article 21 de NIS2. Pour un nouveau site ou un nouveau client, nous déployons ce jeu en une fois. Les écarts propres à un site sont ensuite ajoutés délibérément et documentés, afin que vous puissiez expliquer précisément en audit pourquoi une agence diffère.

Attention lors de la migration de pare-feu existants

Un pare-feu qui possède déjà des politiques locales ne peut pas être ajouté tel quel à une organisation. Selon la documentation Zenarmor, vous sauvegardez d'abord les politiques locales ; elles sont ensuite supprimées, car la politique sera désormais gérée de façon centralisée. Une telle sauvegarde ne peut être restaurée que sur une instance autonome, pas sur un nœud déjà rattaché à une organisation. Planifiez donc la migration site par site, avec une fenêtre de maintenance et une politique centrale reconstruite et testée au préalable.

Piste d'audit : qui a modifié quoi ?

Pour l'ISO 27001 et NIS2, il ne suffit pas qu'un pare-feu soit bien configuré. Vous devez aussi pouvoir démontrer qui effectue les modifications et quand. Zenarmor 2.6 a introduit dans Zenconsole une piste d'audit qui enregistre les actions des administrateurs : modifications de politiques, changements de configuration, ajout ou retrait d'instances. La 2.7 a ajouté des journaux d'audit pour les applications de poste et les passerelles OPNsense, notamment pour les connexions et déconnexions, les changements d'état du moteur, les mises à jour et les modifications des réseaux zero trust (voir les notes de version).

En tant qu'auditeurs, nous relions cela directement aux mesures : ISO 27001:2022 A.8.15 (journalisation), A.8.32 (gestion des changements), A.8.2 (droits d'accès privilégiés) et A.5.15 (contrôle d'accès). Pour l'article 21 de NIS2, cela fournit des preuves sur la gestion des réseaux et systèmes d'information et sur votre politique d'accès. Pour exploiter journaux et rapports comme preuves, lisez Rapports Zenarmor pour NIS2 et ISO 27001.

Rôles et droits

Zenconsole fonctionne avec un contrôle d'accès basé sur les rôles. Dans une organisation, vous gérez les administrateurs sous Settings > Administrators avec le bouton + Add Admin (documentation). Pour les pare-feu autonomes, vous partagez un nœud via le menu Sharing ; selon Zenarmor, seul le propriétaire peut le faire, et uniquement avec un abonnement payant.

Rôle	Dans une organisation	Sur un pare-feu autonome	Profil type
Owner	Tous les droits, y compris gestion des utilisateurs et des rôles ; seul l'owner peut partager l'organisation	Tous les droits, y compris la suppression du pare-feu	Administrateur principal ou titulaire du contrat
Admin	Gestion du moteur et des politiques, configuration du pare-feu ; ne peut ni supprimer des utilisateurs ni modifier les rôles	Presque tout sauf la suppression ; peut partager	Ingénieur MSP, exploitation IT
Operator	Non disponible	Configurer et gérer les politiques, sans partager	Support de niveau 2
Viewer	Lecture seule : configuration, rapports, sessions en direct	Lecture seule	RSSI, direction, auditeur

Notre conseil : limitez au strict minimum le nombre d'owners, donnez au client ou au RSSI un rôle de lecture pour la transparence, et travaillez toujours avec des comptes nominatifs plutôt que partagés. Une piste d'audit où « admin@entreprise » est le seul utilisateur n'a guère de valeur pour un auditeur.

Rapports centralisés et résidence des données : Pays-Bas ou Allemagne

Zenconsole regroupe les rapports de toutes les passerelles et de tous les postes dans une vue unique : menaces, applications bloquées, catégories web, utilisateurs et appareils. La durée de conservation dans le cloud dépend de l'offre. Selon la page des offres, elle est d'un jour pour Free et Home, de 15 jours pour Unified Secure, de 30 jours pour Unified Secure Plus et de 90 jours pour les offres entreprise.

Point important pour les organisations européennes : depuis les versions 2.6 et 2.7, vous choisissez la région du stockage central des rapports. Les notes de version citent notamment les Pays-Bas et l'Allemagne, ainsi que la Finlande, la Suède, le Royaume-Uni et des régions hors d'Europe. La page des offres présente une « customizable data residency region » en option sur demande. Nous effectuons ce choix lors de la mise en place.

Souveraineté : ce que vous obtenez, et ce que vous n'obtenez pas

• Application locale. L'inspection a lieu sur votre propre passerelle ou votre propre poste ; aucun détour obligatoire par un centre de données étranger.
• Rapports dans l'UE. Choisissez les Pays-Bas ou l'Allemagne comme région de stockage des rapports centraux.
• Journaux entièrement sous votre contrôle. Si vous ne voulez aucune donnée de journal dans un cloud, utilisez le reporting local (Elasticsearch ou SQLite sur la passerelle) ou transmettez les données de reporting vers votre propre Elasticsearch, serveur syslog ou SIEM.
• En toute transparence. Zenarmor est une société américaine (Sunny Valley Cyber Security Inc.) disposant d'un bureau européen à Francfort. Intégrez donc Zenconsole dans votre évaluation des fournisseurs (ISO 27001 A.5.19 à A.5.23) et, lorsque des données personnelles sont traitées, dans votre AIPD. Pour les exigences les plus strictes, la page des offres mentionne pour les offres entreprise un « fully sovereign, self-hosted central management ».

Agents de poste et ZTNA depuis la même console

Zenconsole ne gère pas que des pare-feu. La même console déploie des agents pour Windows, macOS, Linux, Android et iOS, les appareils mobiles via Intune ou Jamf. La même politique s'applique ainsi aux collaborateurs en télétravail ou en déplacement. Depuis la 2.5, les agents peuvent être mis à jour automatiquement via Zenconsole et vous pouvez imposer une réauthentification à l'échelle de l'organisation.

Pour l'accès zero trust, vous créez dans Zenconsole des réseaux maillés pair-à-pair chiffrés (réseaux overlay), avec DNS fractionné et contrôles de posture des appareils : seuls les appareils gérés et sains accèdent aux applications internes. La version 2.7 a ajouté « Direct Access », qui maintient la connexion entre pairs lorsque les serveurs coordinateurs ou relais sont hors ligne. Pour comprendre comment ZTNA, SSE et CASB s'articulent, lisez Zenarmor : au-delà du NGFW.

API REST et automatisation

Quand on gère de nombreux sites ou clients, on ne veut pas tout faire à la souris. Zenarmor propose une API REST sur la passerelle, notamment pour la gestion des politiques, les données de reporting et les exclusions. Depuis la 2.6, une API au niveau de l'organisation dans Zenconsole permet en outre de créer des passerelles et de consulter les informations de l'organisation. La 2.7 l'a étendue afin de définir politiques et réseaux zero trust par programmation. Selon la page des offres, la gestion par API couvre les passerelles dans les offres standard, et aussi les postes et la gestion complète dans les offres entreprise.

Usages concrets : provisionner automatiquement de nouvelles agences (la 2.5 a introduit le provisionnement en masse via un script d'installation et les mises à jour groupées de passerelles), versionner les politiques « as code » et alimenter un outil de ticketing ou un SIEM avec les données de reporting.

Haute disponibilité

Un réseau géré de façon centralisée doit aussi être redondant là où c'est nécessaire. Sur OPNsense, Zenarmor prend en charge la haute disponibilité avec synchronisation des paramètres et des politiques Zenarmor entre les nœuds d'un cluster. La page des offres mentionne « gateway HA with configuration synchronization » à partir d'Unified Secure. Le plugin s'installe sur chaque nœud du cluster. Zenconsole est un service SaaS ; comme l'inspection est locale, la console est une couche de gestion et de reporting, et non un maillon du chemin des données.

Scénarios de déploiement à grande échelle

Scénario	Situation type	Apport de Zenconsole
PME multi-sites	3 à 20 sites, un OPNsense par site, travail hybride	Une politique pour tous les sites, rapports centralisés, agents pour le télétravail
Réseaux d'établissements scolaires	Nombreuses écoles, réseaux invités, appareils des élèves	Filtrage web et SafeSearch par public, plages horaires, vue par établissement via les tags
Groupes de santé	Plusieurs cabinets ou établissements, ISO 27001	Segmentation et journalisation homogènes, piste d'audit comme preuve, rapports dans une région UE
Chaînes de magasins	Nombreux petits points de vente, caisses, IoT	Référentiel standardisé, identification des appareils, mises à jour centralisées
MSP et ESN	Des dizaines de clients, chacun avec son environnement	Cloisonnement par tenant, rôles par client, automatisation par API, licences mutualisées

Les témoignages clients publiés par Zenarmor montrent que cela fonctionne. Selon l'étude de cas de Zenarmor, le cabinet néerlandais d'expertise comptable et de conseil De Hooge Waerder gère cinq sites de façon centralisée dans Zenconsole, avec Zenarmor SSE sur OPNsense et une application des règles sur des appareils Windows et iOS. Secrotec y est cité en tant que Lead Auditor ISO 27001 néerlandais et partenaire Zenarmor. Pour en savoir plus sur cette approche, lisez SSE, CASB et DLP : bloquer les envois confidentiels vers WeTransfer. Zenarmor publie aussi des déploiements multi-sites en Allemagne et en France, dont un groupement public français équipant environ 170 établissements scolaires de pare-feu, et une organisation sociale allemande comptant 45 sites.

Zenarmor pour les MSP : le modèle partenaire

Pour les fournisseurs de services managés, Zenconsole est l'argument le plus fort en faveur de Zenarmor. Vous gérez tous vos clients depuis une console, sans vous connecter à un pare-feu distinct par client, tout en gardant politiques, données et administrateurs séparés pour chacun. Pour ses partenaires, Zenarmor applique un modèle de licences mutualisées : un pool commun que vous répartissez entre vos clients et que vous pouvez réaffecter quand ils grandissent ou réduisent leur périmètre. Les conditions précises dépendent de l'accord ; nous vous les présentons volontiers.

À noter : en tant que prestataire informatique, vous pouvez vous-même relever de NIS2. Consultez notre offre préparation NIS2 et conformité cybersécurité. Une piste d'audit bien configurée, la séparation des rôles et des référentiels documentés dans Zenconsole vous aident à démontrer que vous maîtrisez l'environnement d'administration de vos clients.

Vous êtes un MSP et souhaitez proposer Zenarmor ? Secrotec figure sur la liste des partenaires Zenarmor comme IT Security Service Provider aux Pays-Bas, fournit des licences et des projets Zenarmor dans toute l'Europe et vous accompagne dans la mise en place de vos premiers tenants, référentiels et rapports.

Comment Secrotec fournit Zenconsole en service infogéré

La différence avec un simple revendeur : nous sommes aussi auditeurs. Nous configurons Zenconsole pour que ses résultats, des politiques et journaux à la répartition des rôles et aux rapports, soient directement exploitables comme preuves lors d'un audit ISO 27001 ou NIS2. Zenarmor soutient la conformité, mais ne vous rend pas conforme à lui seul ; le SMSI qui l'entoure reste indispensable. Secrotec fournit les licences avec une remise partenaire, et dans les projets Zenarmor le prix est toujours négociable. Consultez notre page partenaire Zenarmor, la comparaison des prix ou notre vue d'ensemble Pare-feu & réseaux. Vous préférez d'abord installer une passerelle vous-même ? Suivez notre guide pour installer Zenarmor sur OPNsense.