Firewalla avis : firewall maison et TPE

Firewalla est une gamme américaine de firewalls matériels vendus comme des boîtiers « box », administrés depuis une application mobile. La promesse centrale, répétée sur toutes les pages produit, tient en une phrase : aucun abonnement mensuel, VPN serveur compris.

Mon avis, construit à partir des pages officielles du constructeur et des citations presse qu’il publie : la proposition est cohérente pour une maison connectée comme pour une petite entreprise, à condition d’accepter des prix affichés en dollars et une administration 100 % mobile.

Ce qu’est Firewalla : une marque américaine de firewalls « box »

Firewalla Inc. est une société américaine qui se positionne officiellement comme « Cyber Security Firewall for Home and Business ».

Ses produits sont des boîtiers matériels qui font à la fois routeur et firewall, avec une particularité qui change tout : pas de page d’administration web classique, toute la gestion passe par l’application mobile.

L’argument commercial central, répété sur chaque page produit, est le « no monthly fee » : le VPN serveur est annoncé « completely FREE, with no monthly fee ». Le constructeur cite WIRED à propos de la Purple : « enormous insight, control, and access to services without having to pay a monthly fee ».

La page presse du site rassemble plusieurs récompenses et citations. PCMag lui a décerné un Editors’ Choice en parlant d’un « one-time purchase, with no annual fee ». Business.org le classe « Best firewall for businesses on a budget ».

ZDNet décrit le Gold Pro comme un « high-performance firewall designed for small offices and power users » et le Gold Plus comme « the fastest small business and residential firewall ». TechRadar, sur le Gold Plus, évoque un appareil qui protège « a small network from opportunistic hackers without affecting the network’s performance ».

TechCrunch note que « small and medium businesses also quickly caught on ».

Une prudence : l’accueil du site affiche « The Best Firewall for Small Businesses » sans attribuer cette citation à un média, ni à PCMag ni à aucune publication précise.

La gamme 2026 et les prix affichés en dollars

Le site officiel affiche les prix toujours en USD, y compris quand le sélecteur de pays liste la France. Voici la gamme telle que je l’ai relevée sur les pages produit :

La Purple SE détaille ses caractéristiques sur sa fiche : 4 cœurs ARM, 2 Go de RAM, 16 Go de stockage, une consommation d’environ 7 W, un poids de 100 g et un format de 9×6×3 cm. Elle est donnée pour 500 Mbps, sans Wi-Fi, avec 5 VLAN maximum, 10 pays en géo-restriction et une seule connexion site-to-site.

Le Gold Plus, lui, embarque un processeur Intel 4 cœurs et 4 Go de RAM, avec 4 ports 2,5 G.

La Purple, deuxième ligne du tableau, n’affiche pas de prix sur les pages produit que j’ai consultées : je le signale au client comme un tarif à demander directement.

Elle se distingue de la Purple SE par son Wi-Fi intégré, un processeur 6 cœurs ARM et un débit annoncé de 1 Gbps, ce qui en fait le choix logique quand le client veut un seul boîtier qui couvre aussi le Wi-Fi, sans passer à la gamme Gold.

À côté des boîtiers, le constructeur vend le Switch X, un switch Zero Trust annoncé dès 619,10 $ en 10 Gbps, et l’AP7, un point d’accès Zero Trust sans prix affiché sur les pages produit.

Le tableau comparatif détaillé du centre d’aide du constructeur n’est pas consultable : les spécifications complètes du Gold Pro, comme sa mémoire ou la capacité de sa table Active Protect, ne sont pas publiées.

Enfin, le retour offert pour l’Union européenne était annoncé sur la page du Gold Plus jusqu’au 1er août 2026, et la Purple SE bénéficie d’une garantie constructeur d’un an.

Routeur ou bridge : les deux modes de fonctionnement

Avant de parler sécurité, il faut comprendre comment le boîtier s’insère dans une installation.

Le constructeur propose deux modes vérifiés sur ses pages : le mode routeur logiciel, où le Firewalla remplace la box comme point d’entrée du réseau, et le mode bridge transparent, où il se place « derrière votre routeur existant » sans le remplacer.

Le mode routeur donne le contrôle total : c’est lui qui prend l’adresse IP, gère le DHCP, le firewall et les règles. Il demande une configuration plus complète, notamment pour conserver la téléphonie et la télévision quand elles passent par la box de l’opérateur.

Le mode bridge est le plus simple à intégrer chez un client français : la box garde son rôle, le Firewalla analyse et filtre le trafic entre elle et le reste du réseau. C’est l’option que je présenterais en premier à un particulier, car elle limite le risque de casser le service pendant l’installation.

Ce que le firewall apporte concrètement en sécurité

Le constructeur regroupe ses fonctions sous le nom de « Firewalla Security Stack ». On y trouve d’abord Deep Insight, la visibilité des flux, et Active Protect, l’IDS/IPS qui bloque en temps réel.

S’ajoutent l’analyse comportementale et un moteur de règles capable de bloquer par domaine, par IP, par sous-réseau ou par catégorie : gaming, social, porno, gambling, P2P, ports et géo-localisation.

Active Protect compare le trafic à des signatures connues et bloque avant que la menace n’atteigne les équipements ; l’analyse comportementale complète en signalant un appareil qui adopte soudain un comportement inhabituel.

C’est cette deuxième couche que je mets en avant avec les objets connectés : elle ne dépend pas d’une signature déjà connue, elle observe l’écart.

Plusieurs fonctions me paraissent importantes pour un usage français :

• Advanced Threat Filtering et Bypass Prevention : anti-phishing et anti-contournement, pour éviter qu’un appareil compromis ne passe outre les règles.
• New Device Quarantine : mise en quarantaine automatique de tout appareil inconnu qui se connecte au réseau.
• Security Scan : détection des ports ouverts et des mots de passe faibles sur le réseau.
• Device Active Protect Lockdown : blocage renforcé d’un appareil précis si besoin.

Le contrôle parental existe par utilisateur avec des plages horaires, et un adblock est intégré. C’est le genre de fonctions qui intéressent une maison avec enfants, mais aussi une TPE qui veut borner l’usage du réseau professionnel.

Le Safe Search complète le dispositif : l’option force le mode de recherche sécurisé sur les moteurs, pour éviter qu’une requête anodine ne fasse remonter des résultats adultes. Combiné au blocage par catégorie, il couvre le cas le plus courant dans une maison avec enfants.

Chaque règle se règle par utilisateur dans l’application, avec des plages horaires dédiées : la console de jeu peut se couper le soir pendant que le poste de travail reste accessible. C’est la granularité que je ne retrouve pas dans les box d’opérateur, et qui justifie souvent l’investissement.

L’ensemble est piloté par alertes : le boîtier prévient quand un appareil inconnu se connecte, quand une quarantaine se déclenche ou quand un flux suspect est bloqué. Cela suppose de regarder ces alertes, pas seulement de les recevoir.

Compatibilité avec les installations françaises

C’est le point que je vérifie en priorité pour un client français, et il est plutôt bon. Les modèles Gold Plus, Purple SE et Orange supportent PPPoE et PPPoE over VLAN, ce qui couvre les connexions FTTH des opérateurs. Le Gold Plus mentionne même un support Triple Play, utile quand la box gère télévision et téléphonie.

Pour un client en fibre optique, le raccordement derrière la box reste le plus simple : on garde le modem de l’opérateur en amont et le firewall filtre en aval. Le mode routeur avec PPPoE direct ne se justifie que si l’on veut se passer complètement de la box.

1 Port réseau Ethernet Port réseau Ethernet

Façade du Firewalla

Repérer la façade du boîtier pour voir où la box se raccorde en amont et où le réseau se branche en aval.

Le multi-WAN (load balancing et failover) est réservé à la gamme Gold. L’Orange peut prendre un hotspot Wi-Fi en WAN secondaire ; la Purple SE n’en dispose pas. Si le client garde une box en secours, le multi-WAN Gold devient un vrai argument de continuité d’activité.

Attention toutefois aux débits plafonnés : la Purple SE est donnée pour 500 Mbps en IPS. Un abonnement FTTH à 1 Gbps ou 2 Gbps ne sera pas exploité à plein derrière ce modèle. C’est un critère de choix que je pose dès le départ avec le client, avant même de parler prix.

L’Orange mérite une mention à part, car elle annonce des fonctions absentes des autres modèles : le Wi-Fi 7, l’authentification WPA2/WPA3-Enterprise et la microsegmentation VqLAN.

Le WPA2/WPA3-Enterprise vise un réseau qui doit distinguer plusieurs profils d’accès, et la VqLAN pousse l’isolation plus loin que les VLAN classiques en segmentant le trafic entre appareils.

Ces arguments ne vaudront que lorsque la version UK/EU annoncée pour l’été 2026 sera réellement disponible : en attendant, je la mets de côté pour mes clients français.

L’angle d’un électricien : segmentation, VPN et sites multiples

Mon métier m’amène à poser des caméras de surveillance, des box domotiques, des équipements connectés pour le chauffage ou l’éclairage.

Tous ces appareils partagent le réseau de la maison, et c’est exactement le problème que le firewall adresse : les VLAN permettent d’isoler les équipements sensibles. La Purple SE plafonne à 5 VLAN, l’Orange aussi, la gamme Gold passe en VLAN illimité.

1 Ports Ethernet du switch Ports Ethernet du switch

Switch PoE caméras

Reconnaître le switch qui concentre les caméras pour visualiser ce que le firewall isole en amont.

La question du homejacking — le détournement des objets connectés — se traite aussi par la quarantaine automatique des appareils inconnus : un capteur douteux qui se connecte est isolé au lieu de circuler librement sur le réseau.

Pour une maison connectée, c’est un filet de sécurité que les box opérateur n’offrent pas nativement.

Le VPN serveur est disponible en OpenVPN, WireGuard et AmneziaWG sans abonnement, et le VPN client accepte OpenVPN, WireGuard et AnyConnect. Pour un artisan comme moi, cela signifie un accès distant à une installation pour la surveiller ou la reconfigurer, sans ouvrir de trou dans la box.

Le site-to-site relie plusieurs sites : 1 connexion sur Purple SE, 10 sur Gold.

Les fonctions réseau complètent le tableau : Smart Queue contre le bufferbloat, rate limit par appareil, PBR (policy-based routing), statistiques de bande passante, DoH avec résolveur local Unbound, et même Docker sur les modèles qui le supportent.

Le constructeur propose aussi un MSP, « Manage Many Firewalla Boxes Together », pensé pour piloter plusieurs boîtiers clients depuis un même espace. Pour un installateur qui gère plusieurs sites, c’est l’offre la plus intéressante, mais les tarifs ne sont pas publiés.

Concrètement, le MSP change ma méthode de travail : au lieu de me connecter site par site, je retrouve tous les boîtiers dans un même espace et je vois d’un coup d’œil les alertes de chaque installation.

L’interface web MSP Lite existe pour les sessions longues, mais son activation passe par l’application mobile : la dépendance à l’app reste totale, ce que je vérifie avant de proposer l’outil à un client exigeant.

Point que le constructeur assume lui-même : Firewalla n’est pas un équipement « set and forget ». La page de l’Orange et le listing Amazon le disent explicitement : configuration et suivi des alertes sont requis.

C’est un argument pour faire appel à un installateur : poser le boîtier est rapide, mais définir les règles, les VLAN et la supervision demande une vraie journée de travail.

Cloud, données et vie privée : le point RGPD

La politique de confidentialité, mise à jour le 29 juillet 2025, désigne Firewalla Inc., société américaine, comme responsable de traitement. Elle couvre le site, les applications mobiles et la plateforme MSP firewalla.net.

Les données collectées sont classiques : données d’achat (nom, adresse, carte bancaire), données de compte (email), données d’usage (IP, identifiants d’appareils, MAC, localisation géographique approximative), télémétrie des boîtiers et contenus des interactions IA, agrégés et anonymisés avec possibilité d’opt-out.

Les limites à connaître avant de commander

Je regroupe ici ce qui freine un achat en France aujourd’hui :

• Prix en dollars et vente directe : le site affiche l’USD même pour la France ; les frais d’import éventuels ne sont pas documentés sur les pages que j’ai consultées.
• Orange indisponible en Europe : la page officielle indique « Availability: USA Only », avec une version UK/EU annoncée pour l’été 2026.
• Application mobile obligatoire : l’activation et l’administration passent par l’app, sans interface web native hors MSP Lite (elle-même activée depuis l’app).
• Débits plafonnés : 500 Mbps sur Purple SE, à comparer à l’abonnement FTTH du client.
• Suivi nécessaire : le constructeur dit lui-même que ce n’est pas un équipement « set and forget » ; les alertes se surveillent.
• Garantie d’un an sur la Purple SE, et offre de retour UE annoncée jusqu’au 1er août 2026 sur le Gold Plus.

Avant de commander, je fais passer trois questions au client :

• Quel débit effectif ? Le plafond IPS du modèle doit couvrir l’abonnement réel, pas le débit théorique affiché.
• Qui administrera le boîtier ? Sans appétence pour l’application mobile, la configuration quotidienne deviendra une corvée.
• Le cloud américain est-il accepté ? Si la réponse est non, l’achat s’arrête là, quelle que soit la qualité du produit.

1 Port RJ45 Port RJ45

Prise RJ45 murale

Reconnaître le support physique que le firewall ne remplace pas quand le réseau n’est pas câblé.

Le site ne communique pas de revendeur français avec prix en euros ; l’achat se fait en direct.

Les prix d’installation d’une prise réseau ou d’un câblage mural restent par ailleurs le vrai budget quand le réseau n’est pas câblé : le firewall ne remplace pas un support physique correct.

Mon avis sur Firewalla pour une TPE ou une maison

Mon verdict est nuancé : Firewalla est une alternative crédible aux firewalls professionnels à abonnement, avec un modèle économique simple — on paie le boîtier une fois. Pour une maison connectée, la Purple SE à 289 $ suffit si l’abonnement reste sous 500 Mbps, avec ses 5 VLAN pour isoler caméras et objets connectés.

Pour une TPE, je partirais sur le Gold Plus à 629 $ : multi-WAN, VLAN illimité, 10 connexions site-to-site et plus de 5 Gbps annoncés.

Le modèle économique se pose aussi en face des offres à abonnement : un firewall professionnel classique se facture souvent boîtier plus licence annuelle, alors que Firewalla annonce tout compris dans le prix du boîtier, VPN et fonctions de sécurité inclus.

Pour une TPE qui chiffre sur trois ans, la différence se joue là, à condition d’accepter l’administration mobile et le cloud américain. J’expose ce comparatif au client avant de parler marque.

L’Orange est séduisante sur le papier avec son Wi-Fi 7 et sa microsegmentation VqLAN, mais elle est réservée aux États-Unis : je ne la recommande pas en France avant la version européenne annoncée pour l’été 2026. Le Gold Pro à 939 $ ne se justifie que pour un réseau à très haut débit, rare dans une TPE.

Ce qui me retient en pratique : l’application mobile obligatoire, le cloud piloté depuis les États-Unis et des prix sans visibilité en euros.

Ce qui me convainc : la segmentation réelle des équipements, le VPN sans abonnement et la quarantaine automatique, trois réponses concrètes aux problèmes que je vois sur le terrain avec les caméras et les box domotiques.

Je précise aussi à qui je le déconseille : un client qui exige une interface web classique, un réseau dont le débit dépasse le plafond du modèle choisi, ou une contrainte stricte d’hébergement européen des données.

Pour ces profils, je continue de recommander les solutions habituelles, même si elles se paient souvent en abonnement.

Pour un client qui veut verrouiller sa sécurité domestique ou le réseau de son commerce, l’équipement a du sens — à condition de prévoir le temps de configuration et le suivi des alertes. Je le recommande donc avec conditions, pas les yeux fermés.

Pour situer Firewalla parmi les autres approches, mon guide du firewall pour TPE et habitat connecté donne le cadre général : le choix dépend du débit, du nombre de sites et de l’acceptation du cloud américain.

Firewalla y tient sa place comme option sans abonnement, mais je ne le présente jamais comme la seule réponse.

FAQ