FortiGate ou WatchGuard : quel pare-feu choisir pour une PME ?

Vous devez remplacer un pare-feu en fin de vie, ou le routeur de l’opérateur qui fait office de protection, et deux noms reviennent dans les devis : Fortinet avec le FortiGate, WatchGuard avec le Firebox. Les fiches techniques se ressemblent, les commerciaux des deux côtés affirment être les meilleurs, et vous n’avez pas le temps de monter un banc d’essai. En tant que partenaire des deux constructeurs, Fortinet comme WatchGuard, nous avons le luxe de ne pas avoir de religion : nous installons l’un ou l’autre selon le contexte. Voici comment nous choisissons, critère par critère, et les questions à vous poser avant de signer.

La réponse courte

Pour une PME, les deux pare-feu protègent aussi bien l’un que l’autre. Le choix se fait sur trois questions : combien de sites faut-il relier, qui administrera le boîtier au quotidien, et quels autres besoins de sécurité vous avez déjà ou aurez bientôt, comme la double authentification ou la protection des postes. Un site unique sans équipe réseau penche vers WatchGuard ; une organisation multi-sites ou avec des exigences réseau fortes penche vers FortiGate.

Le comparatif en un tableau

Critère	FortiGate (Fortinet)	WatchGuard Firebox	Avantage
Protection (IPS, antivirus, filtrage web et DNS, sandbox, inspection SSL)	Complète avec le bundle adapté	Complète avec la Total Security Suite	Égalité
Administration au quotidien	FortiOS, très granulaire, plus technique	WatchGuard Cloud, lisible, pensé pour les petites équipes	WatchGuard
Double authentification (MFA)	FortiToken, surtout autour du pare-feu et du VPN	AuthPoint, étendu à Windows, Microsoft 365 et applications SaaS	WatchGuard
SD-WAN et multi-sites	Intégré, fin, référence du marché	Présent, moins de profondeur	Fortinet
Écosystème réseau	FortiSwitch, FortiAP, FortiClient pilotés depuis le pare-feu	Commutateurs, WiFi et EDR, catalogue plus court	Fortinet
Gamme	Du petit boîtier d’agence au châssis de datacenter	Du Firebox T de bureau au Firebox M rackable	Fortinet pour les très grands sites
Licences	FortiCare, puis bundles UTP, ATP ou Enterprise Protection	Basic Security Suite ou Total Security Suite	Égalité, à comparer à périmètre égal

Ce tableau résume notre expérience terrain. Il ne remplace pas l’analyse de votre réseau : un critère « avantage Fortinet » ne compte pas si vous n’avez qu’un site.

Sécurité : match nul pour une PME

Les deux offrent un pare-feu nouvelle génération complet : inspection applicative, prévention d’intrusion, antivirus de flux, filtrage web et DNS, sandbox pour analyser les fichiers suspects, inspection du trafic chiffré. Les deux s’appuient sur des équipes de recherche qui publient des mises à jour de signatures en continu, tant que la licence est active. Ce n’est pas là que se joue le choix.

Ce qui fait la différence, c’est la configuration. Un FortiGate ou un Firebox avec l’inspection SSL désactivée, des règles « tout autorisé » et un firmware jamais mis à jour protège moins bien que le moins cher des deux correctement réglé. Nous détaillons les réglages indispensables dans les 10 réglages de sécurité après l’installation d’un FortiGate, et la logique est la même sur un Firebox.

Administration : WatchGuard est plus simple

WatchGuard Cloud centralise pare-feu, MFA, WiFi et postes dans une console lisible, avec des modèles de configuration et des rapports prêts à l’emploi. Pour une PME sans administrateur réseau interne, c’est un gain de temps réel : un responsable informatique généraliste comprend ce qu’il voit et peut vérifier l’état de la protection sans se perdre.

FortiOS est plus profond et plus granulaire. Tout se règle, du routage dynamique aux profils de sécurité par application, mais cette richesse demande davantage de compétence. Pour une équipe IT qui veut tout contrôler, ou pour un infogérant qui administre le boîtier, c’est un atout. Pour un dirigeant qui veut simplement jeter un œil aux rapports, l’interface est plus intimidante.

MFA : avantage WatchGuard

AuthPoint est l’un des MFA les plus aboutis du marché. Il se déploie sur le VPN, l’ouverture de session Windows, Microsoft 365 et de nombreuses applications SaaS, avec une application mobile simple pour les utilisateurs. Quand une PME doit généraliser la double authentification, souvent parce que son assureur ou un donneur d’ordre l’exige, avoir le pare-feu et le MFA dans la même console simplifie le projet.

Fortinet propose FortiToken, efficace pour le VPN et l’administration du pare-feu, moins élégant pour les usages qui ne passent pas par le FortiGate. Beaucoup de nos clients sur FortiGate utilisent d’ailleurs le MFA de Microsoft 365 pour la messagerie. Notre guide de déploiement du MFA détaille comment s’y prendre sans bloquer les équipes.

SD-WAN et multi-sites : avantage Fortinet

Pour interconnecter un siège et des agences avec plusieurs liens opérateurs, FortiGate est la référence : SD-WAN intégré sans licence supplémentaire, bascule fine entre fibre et secours 4G, priorisation de la voix et des applications métier, tunnels VPN entre sites gérés de façon centralisée. Nous l’expliquons en détail dans notre article sur le SD-WAN FortiGate multi-sites. WatchGuard fait du SD-WAN, mais avec moins de profondeur dans les politiques de routage et de mesure de qualité des liens.

Écosystème : Fortinet plus large

Commutateurs FortiSwitch, bornes FortiAP, client FortiClient : Fortinet couvre tout le réseau depuis le pare-feu, qui devient la console d’administration des commutateurs et du WiFi. WatchGuard propose aussi commutateurs, points d’accès WiFi et protection des postes, avec un catalogue plus réduit mais une intégration cohérente dans WatchGuard Cloud. Si vous prévoyez de renouveler commutateurs et WiFi dans la foulée, l’écosystème Fortinet pèse davantage.

Licences et coût sur trois ans

Les deux fonctionnent sur le même principe : un boîtier, plus un abonnement aux services de sécurité à renouveler. Chez Fortinet, FortiCare pour le support, puis un bundle UTP, ATP ou Enterprise Protection selon le niveau de protection, comme nous l’expliquons dans FortiGate pour PME : quel modèle choisir. Chez WatchGuard, la Basic Security Suite ou la Total Security Suite, détaillées dans notre guide WatchGuard Firebox pour PME.

À périmètre équivalent, les écarts de prix sont faibles et varient selon les promotions du moment. Ce qui coûte cher, c’est un modèle sous-dimensionné : le débit avec toutes les protections activées ne représente qu’une fraction du débit pare-feu affiché. Nous dimensionnons sur ce débit inspecté, jamais sur la fiche commerciale. Comparez donc les devis sur trois ans, matériel et licences compris, et vérifiez que chaque devis cite le débit avec inspection.

Notre méthode pour choisir

1. Cartographier les sites, les liens internet, les télétravailleurs et les flux entre agences.
2. Identifier qui administrera le pare-feu : équipe interne, prestataire, ou personne. C’est souvent le critère décisif.
3. Lister les besoins voisins : MFA, protection des postes, WiFi, commutateurs à renouveler.
4. Mesurer le trafic réel pour dimensionner sur le débit inspecté, avec une marge de croissance.
5. Comparer deux devis à périmètre égal, sur trois ans, avec le même niveau de licence.
6. Planifier l’exploitation : mises à jour du firmware, revue des règles, lecture des journaux, renouvellement des licences.

Les erreurs que nous voyons le plus

1. Choisir la marque avant d’avoir compté les sites et les utilisateurs.
2. Comparer un devis avec licence complète à un devis avec le support seul.
3. Dimensionner sur le débit pare-feu de la fiche, puis désactiver l’inspection « parce que ça ralentit ».
4. Prendre le pare-feu le plus puissant sans personne pour l’administrer : un boîtier riche mal réglé protège mal.
5. Laisser expirer la licence sans s’en apercevoir : le boîtier continue de router mais ne reçoit plus les signatures.
6. Oublier le MFA sur le VPN, porte d’entrée favorite des attaquants.

Checklist avant de signer

• Nombre de sites, de liens internet et de télétravailleurs connu.
• Personne ou prestataire responsable de l’administration identifié.
• Débit avec inspection de chaque modèle proposé comparé à la somme de vos liens.
• Niveau de licence identique dans les devis comparés, sur trois ans.
• MFA prévu pour le VPN et l’administration du pare-feu.
• Besoin en commutateurs, WiFi et protection des postes évalué.
• Date de renouvellement des licences notée et suivie.
• Plan de migration des règles existantes, avec retour arrière possible.

Notre recommandation en une phrase

Une PME mono-site sans équipe réseau : WatchGuard. Une organisation multi-sites, industrielle ou avec des exigences réseau avancées : FortiGate. Dans les deux cas, le pare-feu ne vaut que par son exploitation : règles revues, firmware à jour, journaux lus.

Comment nous travaillons

Nous commençons par un audit initial offert : inventaire des sites, mesure du trafic, lecture de la configuration actuelle. Nous proposons ensuite le constructeur et le modèle adaptés, avec un devis matériel et licences sur trois ans. Le déploiement comprend la migration des règles, la segmentation, le VPN avec MFA et, selon le cas, le SD-WAN. Une fois en service, le pare-feu est suivi par notre supervision 24/7, et un incident critique est pris en charge en moins de 15 minutes. Tout cela s’inscrit dans notre offre cybersécurité, et vous pouvez voir des projets comparables, anonymisés, dans nos réalisations.

Vous hésitez entre FortiGate et WatchGuard ? Contactez-nous : nous vous répondons sous 24 h ouvrées.