Sophos UTM fin de vie : par quoi le remplacer (Sophos Firewall, FortiGate ou WatchGuard)

La réponse courte : Sophos UTM 9 et les boîtiers de la gamme SG sont en fin de vie depuis le 30 juin 2026. Il n’y a plus de mise à jour du système ni de correctif de sécurité, les protections cessent à l’expiration de la licence, et Sophos annonce qu’aucun support ne sera assuré, pour aucun client, au-delà du 31 décembre 2026. Si un UTM protège encore votre réseau, le remplacement n’est plus une question de « si », mais de « quand ». Trois voies sérieuses existent : Sophos Firewall sur un boîtier XGS, la migration que propose Sophos, un FortiGate de Fortinet ou un WatchGuard Firebox.

Soyons transparents sur notre position. ALLSAFE SOLUTIONS est intégrateur Fortinet au Maroc et partenaire WatchGuard au Maroc. Nous ne sommes pas partenaire Sophos et ne vendons pas de produits Sophos. Si vous êtes satisfait de Sophos, rester chez cet éditeur en passant à Sophos Firewall peut tout à fait être le bon choix : nous l’expliquons plus bas, et un partenaire Sophos saura vous accompagner sur ce chemin. Les faits cités sur Sophos proviennent uniquement de ses publications officielles (sophos.com, docs.sophos.com, community.sophos.com).

Ce que Sophos a annoncé

Sophos a publié le calendrier de fin de vie de UTM en mars 2023, ce qui a laissé plus de trois ans aux entreprises pour préparer la suite. Les jalons qui comptent aujourd’hui :

Jalon	Ce que dit Sophos
Fin de vie (EOL) de Sophos UTM 9 et des boîtiers SG	30 juin 2026 ; la page de migration de Sophos parle d’une fin de vie « à partir du 1er juillet 2026 »
Licences UTM	Les références UTM (SG) sont désactivées et les prolongations ne sont plus possibles
Fonctions de protection	Elles s’arrêtent à l’expiration de la licence
Mises à jour du système	Plus aucune mise à jour du système UTM, ni correctif en cas de vulnérabilité découverte
Support	Aucun support pour aucun client au-delà du 31 décembre 2026
Remplacement recommandé par Sophos	Sophos Firewall, notamment sur les boîtiers XGS

Un point mérite d’être souligné : même si votre licence UTM court encore quelques mois, le 31 décembre 2026 reste la limite. Sophos précise que la protection commence à se dégrader après cette date. Une licence payée jusqu’en 2027 ne prolonge pas la vie du produit.

Ce qui se passe concrètement sur un UTM encore en service

Le jour J, rien ne s’éteint. C’est précisément ce qui rend la fin de vie dangereuse : le boîtier continue de router le trafic, les VPN restent montés, les utilisateurs ne voient aucune différence. Mais en coulisses :

• le système n’est plus corrigé : une vulnérabilité découverte demain sur le portail VPN ou l’interface d’administration ne sera jamais corrigée ;
• les signatures cessent d’arriver à l’expiration de la licence : antivirus de passerelle, prévention d’intrusion, filtrage web, antispam ne connaissent plus les nouvelles menaces ;
• plus personne ne répond côté éditeur en cas de panne ou d’incident, au plus tard après le 31 décembre 2026.

Or un pare-feu est par définition exposé sur internet. Les équipements de bordure en fin de vie, et en particulier leurs portails VPN, sont une cible classique des attaquants. Nous recommandons de traiter un UTM encore en production comme un risque à fermer en priorité, avec une date de bascule fixée, plutôt que comme un « on verra au prochain budget ».

Les trois remplacements possibles

Critère	Sophos Firewall (XGS)	FortiGate (Fortinet)	WatchGuard Firebox
Continuité avec l’existant	Même éditeur, migration proposée par Sophos	Changement d’éditeur	Changement d’éditeur
Outil de migration de la configuration	Utilitaire de migration UTM et Sophos Firewall Config Studio	Relecture et réécriture des règles ; Fortinet publie aussi un outil de conversion, FortiConverter	Relecture et réécriture des règles
Console cloud	Sophos Fusion (anciennement Sophos Central)	FortiGate Cloud, ou FortiManager pour les grands parcs	WatchGuard Cloud
Point fort reconnu	Échanges avec Sophos Endpoint (Synchronized Security), prise en charge des boîtiers RED	SD-WAN, écosystème réseau (FortiSwitch, FortiAP)	Simplicité d’administration, MFA AuthPoint
Nos compétences	Nous ne déployons pas Sophos	Partenaire, déploiement et supervision	Partenaire, déploiement et supervision

Aucune de ces options n’est un mauvais choix pour une PME. La bonne dépend de ce que votre UTM faisait réellement, de qui l’administrera demain, et de ce que vous utilisez déjà autour.

Rester chez Sophos : quand c’est le bon choix

Il faut le dire clairement : Sophos Firewall n’est pas un simple « UTM version 10 ». C’est un autre système (SFOS), avec une autre logique de règles fondée sur des zones. La migration demande donc une vraie préparation, même en restant chez le même éditeur. Mais elle présente des atouts réels :

• Sophos fournit un chemin outillé : un utilitaire de migration, à exécuter sur l’UTM, convertit une grande partie de la configuration (objets, services, règles, traduction d’adresses, routes statiques), puis Sophos Firewall Config Studio aide à vérifier le résultat, à associer les interfaces aux ports du nouveau boîtier et à identifier les éléments à reprendre à la main avant l’import ;
• les boîtiers RED existants restent pris en charge sur Sophos Firewall, selon la page de migration de Sophos ;
• si vos postes sont déjà protégés par Sophos Endpoint, le pare-feu et l’antivirus échangent des informations (Synchronized Security) pour isoler automatiquement un poste compromis. Changer de pare-feu ferait perdre cette intégration.

Si vous êtes dans ce cas et satisfait de Sophos, rester est probablement le choix le plus cohérent. Faites-vous accompagner par un partenaire Sophos ; nous restons volontiers disponibles pour un avis indépendant sur l’architecture réseau.

Changer d’éditeur : quand cela se justifie

La fin de vie est aussi un moment naturel pour remettre le choix à plat, puisqu’il faut de toute façon changer de matériel et réécrire une partie de la configuration. Les cas où nous voyons des entreprises passer à FortiGate ou à WatchGuard :

• plusieurs sites à relier, avec plusieurs liens opérateurs et de la téléphonie IP à prioriser : le SD-WAN de FortiGate est un point fort reconnu, que nous détaillons dans FortiGate pour PME : quel modèle choisir ;
• une PME sans équipe réseau, qui veut une console lisible et la double authentification généralisée : WatchGuard Cloud et AuthPoint répondent bien à ce besoin, voir notre guide WatchGuard Firebox pour PME ;
• un renouvellement de commutateurs et de WiFi dans la foulée, où l’écosystème Fortinet simplifie l’administration ;
• le besoin d’un prestataire local qui installe, supervise et intervient sur site, partout au Maroc depuis Casablanca.

Pour départager ces deux constructeurs, lisez notre comparatif FortiGate ou WatchGuard : quel pare-feu pour une PME. Pour une comparaison directe avec la suite proposée par Sophos, voyez Sophos Firewall ou FortiGate et Sophos ou WatchGuard.

L’inventaire à faire avant de choisir

Beaucoup d’UTM font bien plus que du pare-feu. Avant de comparer des devis, listez ce que le vôtre assure réellement, car chaque fonction doit avoir un remplaçant :

• Pare-feu et traduction d’adresses : règles, publications de serveurs, redirections de ports.
• VPN : tunnels IPsec entre sites, accès distant des télétravailleurs, portail utilisateur.
• Protection des serveurs web (Webserver Protection) : si l’UTM sert de reverse proxy devant un site, un extranet ou une messagerie, il faut prévoir l’équivalent, sur le pare-feu ou en dehors.
• Protection de la messagerie : si l’UTM filtre le courrier entrant, vérifiez la suite, d’autant que beaucoup d’entreprises sont passées à Microsoft 365 ou Google Workspace entre-temps.
• Filtrage web : catégories bloquées, exceptions, authentification des utilisateurs.
• Boîtiers RED et points d’accès WiFi pilotés par l’UTM.
• Authentification : annuaire Active Directory ou LDAP, comptes locaux, mots de passe à usage unique.
• Journaux et rapports dont vous avez besoin pour vos audits.

Cet inventaire fait souvent apparaître des règles devenues inutiles, des publications de serveurs oubliées et des comptes VPN d’anciens collaborateurs. C’est l’occasion de les supprimer.

Notre méthode de migration vers FortiGate ou WatchGuard

1. Audit de l’UTM : export de la configuration, inventaire des fonctions ci-dessus, lecture des journaux pour savoir quelles règles servent vraiment.
2. Dimensionnement du nouveau boîtier sur le débit avec inspection activée, pas sur le débit pare-feu brut, comme nous l’expliquons dans notre guide d’achat de pare-feu d’entreprise au Maroc.
3. Réécriture des règles dans la logique du nouveau constructeur, avec segmentation des réseaux (postes, serveurs, téléphonie, invités) plutôt qu’une copie ligne à ligne.
4. Préparation hors production : le nouveau boîtier est configuré et testé avant la bascule, VPN de site et accès distants compris, avec double authentification.
5. Bascule planifiée en dehors des heures de travail, avec un retour arrière possible : l’ancien UTM reste prêt à être rebranché le temps de la validation.
6. Recette : navigation, messagerie, téléphonie, VPN de chaque site, applications métier, accès des télétravailleurs.
7. Mise en exploitation : supervision, sauvegarde de la configuration, calendrier de mise à jour du firmware et de renouvellement des licences.

La démarche est la même que celle que nous suivons pour migrer de pfSense vers FortiGate : la valeur est dans la relecture, pas dans la conversion automatique.

Les erreurs que nous corrigeons

1. Garder l’UTM « encore un peu » parce qu’il fonctionne, sans date de bascule fixée.
2. Comparer des devis sans inventaire : le remplaçant ne couvre pas la protection du serveur web ou de la messagerie que l’UTM assurait.
3. Copier les règles à l’identique, y compris les règles « tout autorisé » ajoutées pour dépanner il y a des années.
4. Oublier les télétravailleurs : nouveau client VPN à installer, nouveaux identifiants, double authentification à enrôler.
5. Dimensionner sur le débit brut puis désactiver l’inspection parce que tout ralentit.
6. Ne pas prévoir de retour arrière le soir de la bascule.

Comment nous procédons

Nous commençons par un audit initial offert de votre UTM : configuration, fonctions utilisées, trafic réel, accès distants. Nous vous remettons ensuite une recommandation argumentée. Si la conclusion est que Sophos Firewall est le bon choix pour vous, nous vous le disons, et nous vous orientons vers un partenaire Sophos. Si FortiGate ou WatchGuard conviennent mieux, nous fournissons le matériel et les licences, avec ou sans installation, et nous prenons en charge la migration, la bascule et la recette. Une fois en service, le pare-feu peut être suivi par notre supervision 24/7, avec prise en charge des incidents critiques en moins de 15 minutes. Tout cela s’inscrit dans notre offre de cybersécurité au Maroc, réalisée depuis Casablanca partout dans le pays.

Votre Sophos UTM est encore en production ? Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.