Alternative à Cloudflare Zero Trust : où partir, et comment migrer sans couper l'accès

Pourquoi partir sur Twingate. Si tu utilises Cloudflare pour donner accès à des outils internes (un intranet, une base, un serveur SSH), Twingate fait la même chose avec moins de menus. Un connecteur s'installe dans ton réseau, ne fait que des connexions sortantes, et tu déclares des ressources : une adresse, un nom, un sous-réseau. Chaque utilisateur ne voit que ce qu'on lui a ouvert.

Pour qui. Les PME qui remplacent un vieux VPN et qui veulent un accès par ressource sans monter une plateforme de sécurité entière.

Pour qui ce n'est pas fait. Une équipe qui utilisait aussi le filtrage web et le DNS de Cloudflare Gateway : le filtrage DNS de Twingate n'arrive qu'en Business, en option.

Sa limite. Le gratuit s'arrête à 5 utilisateurs et 50 ressources, contre 50 utilisateurs chez Cloudflare. Teams est affiché à partir de 5 $ par utilisateur et par mois et plafonne à 100 utilisateurs ; Business part de 10 $ et monte à 500 utilisateurs (la page de Twingate montre aussi 12 $ par utilisateur dans son tableau selon la facturation : vérifie le montant au moment de payer).

Comment migrer. Installe un connecteur Twingate à côté de cloudflared, sur la même machine ou une voisine. Reprends ta liste d'applications Access et crée une ressource Twingate pour chacune. Fais basculer un petit groupe, puis coupe le tunnel Cloudflare correspondant.

Pourquoi partir sur Tailscale. Cloudflare fait passer chaque connexion par son réseau. Tailscale relie tes appareils directement entre eux, sur WireGuard, et ne passe par un relais que si la connexion directe échoue. Pour un serveur qui parle à une base, un développeur qui rejoint une machine de test, ou un accès SSH, c'est plus direct et souvent plus rapide.

Pour qui. Les équipes techniques qui ont des serveurs, des postes et des machines virtuelles à relier.

Pour qui ce n'est pas fait. Ceux qui publiaient une appli web sur leur propre domaine pour des personnes extérieures : Funnel, la fonction de partage public, n'utilise que des noms en ts.net, et seulement les ports 443, 8443 et 10000.

Sa limite. Le plan Personal monte à 6 utilisateurs, mais il est réservé à un usage non commercial. Une entreprise paie dès le départ : 8 $ par utilisateur et par mois en Standard, 18 $ en Premium.

Comment migrer. Installe Tailscale sur chaque serveur qui était derrière un tunnel, puis remplace les noms publics par les noms MagicDNS. Réécris tes règles Access en règles d'accès Tailscale, groupe par groupe. Le client WARP peut rester installé pendant la transition, mais vérifie que les deux ne se disputent pas le DNS. Notre guide pour quitter Tailscale liste aussi ses limites vues de l'intérieur.

Pourquoi partir sur NetBird. Si ta raison de partir, c'est la dépendance à Cloudflare, NetBird répond directement : le projet est open source, et tu peux héberger toi-même le serveur de gestion et le relais. Côté usage, c'est un réseau maillé sur WireGuard, avec des règles d'accès par groupe et une console web.

Pour qui. Les équipes qui veulent garder la main sur toute la chaîne, ou qui ont une obligation de souveraineté sur leurs flux.

Pour qui ce n'est pas fait. Une équipe sans personne pour maintenir un serveur : l'auto-hébergement demande une VM Linux (1 vCPU et 2 Go de mémoire au minimum), les ports TCP 80 et 443 et UDP 3478 ouverts, et un nom de domaine public.

Sa limite. Le modèle est le maillage entre appareils, pas le filtrage web : tu perds ce que faisait Gateway. Le cloud de NetBird est gratuit jusqu'à 5 utilisateurs et 100 machines, puis Team coûte 6 € et Business 12 € par utilisateur et par mois. Astuce : NetBird ne facture que les utilisateurs et machines qui se sont connectés au moins une fois dans le mois.

Comment migrer. Commence par le cloud de NetBird pour valider tes règles, puis bascule sur ton propre serveur si tu le veux. Installe l'agent sur les machines qui étaient derrière cloudflared et recrée tes groupes.

Pourquoi partir sur Pomerium. Beaucoup d'équipes utilisent Cloudflare Access pour une seule chose : mettre une connexion devant des applis web internes. Pomerium fait exactement ça, sans client à installer sur les postes : l'utilisateur ouvre l'adresse, se connecte avec son compte d'entreprise, et la règle décide. La version Core est open source et s'héberge chez toi.

Pour qui. Les équipes techniques qui publient des tableaux de bord, des outils d'administration ou des API internes, et qui veulent garder le contrôle du proxy.

Pour qui ce n'est pas fait. Ceux qui ont besoin d'un accès réseau complet (un partage de fichiers, un protocole autre que le web) : prends plutôt Twingate ou NetBird.

Sa limite. La version gérée, Zero, est gratuite seulement pour un usage personnel. Zero Business coûte 7 $ par utilisateur et par mois en annuel (9 $ au mois), facturé aux utilisateurs actifs du mois, avec 100 routes et 100 règles.

Comment migrer. Chaque application Access devient une route Pomerium : l'adresse publique, l'adresse interne, et la règle (groupe, domaine de messagerie). Pointe ton DNS vers Pomerium application par application.

Pourquoi partir sur ZeroTier. Cloudflare facture à l'utilisateur. Si ton besoin, ce sont des capteurs, des caisses, des serveurs ou des machines industrielles qui doivent se parler, payer à l'appareil a plus de sens. ZeroTier crée un réseau local virtuel : les machines se voient comme si elles étaient branchées sur le même switch.

Pour qui. Les parcs de machines, l'IoT, les sites distants à relier.

Pour qui ce n'est pas fait. Une équipe de bureau qui veut un accès par appli avec des règles par personne : ce n'est pas son terrain.

Sa limite. Le gratuit (10 appareils, un réseau) est réservé à un usage non commercial. Essential coûte 18 $ par mois pour 10 appareils, puis 2 $ par appareil ; Scale 179 $ par mois pour 100 appareils.

Comment migrer. Crée un réseau, installe l'agent sur chaque machine, autorise-les dans la console, puis remplace les adresses des tunnels par les adresses ZeroTier.

Pourquoi partir sur NordLayer. Certaines équipes ont pris Cloudflare pour sécuriser la navigation et sortir sur internet avec une adresse connue. Si c'est ton cas, un VPN d'entreprise avec une IP dédiée fait le travail plus simplement : tes fournisseurs filtrent ton adresse, ton équipe se connecte en un clic.

Pour qui. Les petites équipes qui travaillent depuis des cafés et des hôtels, ou qui doivent se présenter avec une IP autorisée.

Pour qui ce n'est pas fait. Une équipe qui veut un accès par application avec des règles fines : NordLayer reste un VPN.

Sa limite. Pas de gratuit, 5 utilisateurs minimum. Lite coûte 8 $, Core 11 $ et Premium 14 $ par utilisateur et par mois en annuel, et Core comme Premium demandent un serveur à IP dédiée à 40 $ de plus par mois. Garantie de remboursement de 14 jours.

Comment migrer. Commande l'IP dédiée, fais-la ajouter aux listes blanches de tes fournisseurs avant de couper Cloudflare, puis déploie le client. Notre comparatif des VPN d'entreprise en classe d'autres.