Vous dirigez une petite structure et vous savez que la cyberattaque n’arrive pas qu’aux autres. Le problème ? Entre le manque de temps, la technicité perçue et des budgets restreints, difficile de bâtir une protection solide. La bonne nouvelle : il existe des outils gratuits cybersécurité entreprise fiables qui, correctement combinés, couvrent l’essentiel sans exploser la charge de travail. Ce guide pratique vous aide à choisir une boîte à outils cohérente et à la déployer pas à pas, avec le souci du réalisme opérationnel.
Important : gratuit ne veut pas dire « magique ». Les versions gratuites ont souvent des limites de support ou de fonctions. L’objectif ici est d’atteindre un excellent socle de sécurité, tout en gardant la porte ouverte à des évolutions payantes si votre risque augmente.
Les priorités essentielles pour une petite entreprise
- Postes de travail et serveurs : réduire les malwares et limiter l’impact d’un incident.
- Identités et accès : mots de passe robustes, MFA partout où c’est possible.
- Sauvegardes et chiffrement : pouvoir restaurer vite, protéger les données sensibles.
- Messagerie et web : limiter le phishing et les téléchargements à risque.
- Réseau et accès distant : VPN fiable, pare-feu proprement configuré.
- Visibilité et vérification : journaux, scans, alertes simples.
La boîte à outils gratuite recommandée
Protection des postes (Windows, macOS, Linux)
Microsoft Defender (Windows) : intégré et suffisamment efficace pour constituer une première ligne sur les postes Windows récents. Vérifiez qu’il est bien activé, que les mises à jour sont automatiques et planifiez un scan rapide quotidien et un scan complet hebdomadaire.
ClamAV (Windows/Linux/macOS) : antivirus open source utile pour des scans à la demande, notamment sur des serveurs Linux ou pour contrôler des fichiers partagés.
Malwarebytes (édition gratuite) : intéressant pour des scans ponctuels en cas de suspicion. L’édition gratuite ne fait pas de protection en temps réel ; pensez-y comme à un « deuxième avis » manuel.
Bonnes pratiques : désinstallez les antivirus redondants, bloquez les installations non autorisées, mettez à jour l’OS et les navigateurs automatiquement.
Mots de passe, coffres-forts et MFA
Bitwarden (offre gratuite) : gestionnaire de mots de passe fiable, synchronisable entre appareils. Pour une TPE, il facilite des mots de passe uniques et longs, et le partage contrôlé de quelques accès.
KeePass / KeePassXC : alternative open source locale. Pratique si vous préférez un coffre chiffré stocké en interne.
Applications MFA : Google Authenticator, Microsoft Authenticator ou Authy permettent d’ajouter une seconde étape d’authentification. Activez le MFA partout où c’est disponible (messagerie, outils collaboratifs, stockage cloud, VPN).
Bonnes pratiques : adoptez des phrases de passe de 14+ caractères, activez la rotation des mots de passe sensibles, et centralisez au maximum dans le gestionnaire pour limiter les notes éparpillées.
Sauvegardes et chiffrement
Duplicati (open source) : sauvegardes chiffrées et incrémentales vers disque local, NAS ou cloud. Configurez une politique 3-2-1 (3 copies sur 2 supports, dont 1 hors site) quand c’est possible.
Restic/Borg : outils en ligne de commande fiables, appréciés pour des sauvegardes chiffrées performantes côté serveurs et NAS.
VeraCrypt : chiffrement de dossiers ou volumes pour protéger des exports, des postes itinérants ou des sauvegardes externes.
Bonnes pratiques : testez la restauration régulièrement, documentez l’emplacement des clés, et séparez les comptes d’administration des comptes du quotidien.
Filtrage DNS et navigation plus sûre
Quad9 (9.9.9.9) ou Cloudflare DNS (1.1.1.2 / 1.0.0.2) proposent un résolveur DNS public avec blocage de domaines malveillants. Définissez-les sur vos postes, routeurs et serveurs DHCP.
Pi-hole : filtrage DNS local utile pour bloquer publicité et domaines à risque au niveau réseau, particulièrement dans des bureaux partagés.
Bonnes pratiques : maintenez une liste d’exception minimale, activez le chiffrement DNS côté navigateur si compatible avec vos outils, et surveillez les erreurs de résolution anormales.
VPN et pare-feu
WireGuard : VPN moderne, open source, rapide et simple à déployer pour un accès distant sécurisé à votre réseau interne ou à des ressources sensibles.
pfSense Community Edition : pare-feu/routeur open source polyvalent. Bien adapté pour segmenter le réseau (bureaux, invités, serveurs), définir des règles simples et exposer uniquement ce qui est nécessaire.
Bonnes pratiques : limitez l’accès à l’interface d’administration, désactivez l’UPnP, et consignez les changements de règles (qui, quoi, quand) pour faciliter les audits.
Analyse, supervision et vérification
OpenVAS (Greenbone Community Edition) : scanner de vulnérabilités pour identifier les failles connues sur vos postes, serveurs ou équipements réseau. Lancez un scan planifié mensuel et traitez les résultats prioritaires.
Nmap : indispensable pour l’inventaire réseau et la détection de services exposés par inadvertance. Idéal avant et après des changements d’infrastructure.
Wazuh : plateforme open source qui centralise journaux, détections d’intégrité et alertes. Pratique pour gagner en visibilité, même sur un périmètre réduit.
Bonnes pratiques : ne tolérez pas des « fausses urgences » ; classez les alertes par impact métier et traitez d’abord ce qui expose des données ou des accès privilégiés.
Critères de choix pour vos outils gratuits cybersécurité entreprise
- Solidité technique : chiffrement éprouvé, mises à jour régulières, réputation de l’éditeur ou de la communauté.
- Pérennité : projet actif, documentation claire, possibilité de passer à un plan payant ou à une alternative sans tout refaire.
- Simplicité d’exploitation : déploiement, mises à jour et sauvegardes gérables par une petite équipe.
- Conformité et traçabilité : journaux exploitables, options de rétention, capacité à prouver vos contrôles.
- Écosystème : compatibilité avec vos OS, vos applications, et une communauté capable de répondre aux questions usuelles.
Plan d’action 30 jours sans budget
- Jours 1–3 : inventaire des postes/comptes, activation/validation de Microsoft Defender, mises à jour automatiques, DNS sécurisé (Quad9/Cloudflare) partout.
- Jours 4–7 : déploiement du gestionnaire de mots de passe (Bitwarden ou KeePass/KeePassXC), politiques de phrases de passe, MFA sur messagerie et outils critiques.
- Jours 8–12 : sauvegardes Duplicati ou Restic avec chiffrement, règle 3-2-1 quand possible, test de restauration sur un poste témoin.
- Jours 13–17 : mise en place de WireGuard pour accès distant, création de profils utilisateurs, vérification des journaux basiques (routeur/pare-feu).
- Jours 18–22 : premier scan OpenVAS, corrections rapides (services inutiles, ports ouverts par erreur), contrôle Nmap avant/après.
- Jours 23–26 : durcissement navigateurs, blocage des installations non autorisées, revue des droits administrateurs.
- Jours 27–30 : exercice interne d’hameçonnage avec Gophish si vous avez les compétences nécessaires, ou micro-atelier de sensibilisation basé sur des guides publics (par exemple, recommandations d’organismes nationaux de cybersécurité).
Messagerie et intégrité de domaine : réglages utiles
Pour réduire les risques liés au phishing et à l’usurpation, configurez correctement vos enregistrements DNS : SPF pour autoriser vos serveurs d’envoi, DKIM pour signer vos messages, et DMARC pour définir la politique de traitement par les destinataires. Utilisez des outils de vérification gratuits pour contrôler la cohérence de ces enregistrements et surveiller les rapports agrégés lorsque c’est possible.
Astuce : activez le MFA sur les boîtes à privilèges (direction, finance, RH) et mettez en place des procédures de validation hors mail pour les demandes sensibles (virements, changements de RIB).
Erreurs fréquentes à éviter
Ne déployez pas trop d’outils en même temps : priorisez et stabilisez. Évitez les réglages « par défaut » laissés sans revue. Ne supposez pas qu’une sauvegarde fonctionne tant qu’une restauration n’a pas été testée. Et ne donnez pas de droits d’administrateur par confort : séparez les usages.
Aller plus loin avec un minimum d’effort
Avec un socle bâti autour d’outils gratuits cybersécurité entreprise, vous réduisez une grande partie des risques les plus courants : compromission de comptes, rançongiciels opportunistes, expositions involontaires. La clé n’est pas d’empiler des technologies, mais de documenter, tester et itérer. Programmez un créneau mensuel pour mise à jour, revue d’alertes et tests de restauration. Et lorsque votre activité ou votre exposition évolue, vous pourrez basculer progressivement vers des offres payantes ou managées, en capitalisant sur ce que vous avez déjà construit.
