Palo Alto Networks : l’histoire du pare-feu nouvelle génération

Palo Alto Networks n’est ni la ville californienne ni le film du même nom : c’est l’entreprise américaine de cybersécurité qui a inventé le pare-feu informatique nouvelle génération, fondée le 1er mars 2005 à Santa Clara par Nir Zuk et Rajiv Batra. Son histoire vaut la peine d’être racontée parce qu’elle explique pourquoi un pare-feu de 200 milliards de dollars de capitalisation ne dit rien de ce qu’il faut protéger chez vous.

Quand un particulier tape « pare-feu maison », il pense aux cheminées, et quand il tape « Palo Alto », il tombe sur la ville de la Silicon Valley ou sur le film de Gia Coppola. L’article qui suit lève d’abord cette confusion, raconte la marque, puis répond à la seule question utile : ce que cette entreprise vend s’adresse-t-il à une maison française ?

Je m’appuie sur les pages officielles de l’entreprise, ses communiqués, les fiches techniques de ses appareils et les analyses de sécurité publiées par Volexity et le CERT-FR. La réponse honnête, c’est que votre box internet fait déjà le travail qu’un particulier attend d’un pare-feu, et que l’argent est mieux investi ailleurs.

Palo Alto : la ville, le film, l’entreprise

Le nom de l’entreprise vient de la ville de Palo Alto, au sud de San Francisco, où Nir Zuk a installé les bureaux en 2005. La ville elle-même est célèbre pour être un berceau de la tech, et le cinéma a ajouté une couche de confusion avec le film « Palo Alto » sorti en 2013. Résultat : sur Google, la requête « palo alto » renvoie d’abord à la ville, puis au film, et l’entreprise arrive ensuite.

Pour un lecteur français, il y a un deuxième piège de vocabulaire. « Pare-feu » désigne chez nous la protection d’une cheminée, tandis que les informaticiens parlent de pare-feu informatique pour l’équipement qui filtre les échanges entre un réseau et Internet. C’est ce sens que je vais utiliser ici, et je le préciserai à chaque fois que la confusion est possible.

La marque a beau être discrète en France, elle y est présente : des bureaux à Paris et un site commercial en français qui s’adresse explicitement « à votre entreprise ». Il n’existe aucune offre grand public, et c’est précisément le sujet de cet article.

2005, la thèse fondatrice

Nir Zuk n’arrive pas de nulle part. Ingénieur israélien, ancien chef du développement logiciel de l’unité 8200 du renseignement israélien, il a travaillé chez Check Point, l’inventeur du pare-feu logiciel moderne, puis chez NetScreen, racheté par Juniper Networks en 2004. Il connaît donc parfaitement les limites des pare-feux classiques : ils filtrent le trafic en fonction des ports et des adresses IP, sans savoir quelle application circule réellement.

La thèse de Palo Alto Networks, portée avec Rajiv Batra, tient en une phrase : un pare-feu doit identifier l’application, pas seulement le numéro de port. La technologie App-ID analyse le trafic pour reconnaître les applications, et la technologie User-ID rattache le trafic à un utilisateur, pas à une adresse IP. L’ensemble tourne sous PAN-OS, le système d’exploitation maison de l’entreprise, qui gère les politiques, les zones et la journalisation.

Les premières appliances sont arrivées en 2007, avec la gamme PA-2000 (PA-2020 et PA-2050). C’est là que naît l’expression « pare-feu nouvelle génération » (NGFW), qui désigne depuis cette époque une catégorie entière du marché de la sécurité réseau. L’entreprise n’a pas inventé le pare-feu, elle a redéfini ce qu’on lui demande.

De l’IPO au géant à 200 milliards de dollars

L’introduction en bourse du 20 juillet 2012 au NYSE est un moment clé : 6,2 millions d’actions vendues à 42 dollars, soit environ 260 millions de dollars levés. Les communiqués de l’époque la présentent comme l’une des plus grosses introductions technologiques de l’année. Le symbole boursier reste PANW après le passage au Nasdaq en octobre 2021.

En 2018, l’entreprise change de dimension avec l’arrivée de Nikesh Arora, ancien dirigeant de Google et de SoftBank, comme chairman et CEO. Sous sa direction, Palo Alto Networks est passé d’un vendeur d’appliances réseau à une plateforme de sécurité couvrant le réseau, le cloud, les opérations de sécurité et l’identité.

Les chiffres récents donnent la mesure. La page About Us de l’entreprise revendique plus de 70 000 clients dans le monde et 16 000 employés ; le rapport annuel 2025 en comptait 16 068. En mai 2026, la capitalisation boursière a franchi pour la première fois la barre des 200 milliards de dollars, et le chiffre d’affaires attendu pour l’exercice 2026 dépasse 11 milliards de dollars.

Deux faits récents complètent le tableau : la retraite du fondateur Nir Zuk en août 2025, remplacé par Lee Klarich, et l’ouverture en août 2026 d’une revue de sécurité par la Chine sur les produits de l’entreprise, dans un contexte de tensions sur les équipements de sécurité étrangers.

Les acquisitions qui ont construit les plateformes

L’histoire récente de Palo Alto Networks se lit dans ses acquisitions, qui expliquent comment l’entreprise est passée du pare-feu matériel à la sécurité du cloud et de l’identité. Chaque rachat a donné naissance à une plateforme nommée : Cyvera (2014, environ 200 millions de dollars) a apporté la protection des postes, Evident.io (2018) est devenu Prisma Cloud, Demisto (2019) est devenu Cortex XSOAR, et CloudGenix (2020) a fondé Prisma SASE.

Deux opérations récentes montrent l’ambition : les actifs QRadar d’IBM (septembre 2024), rachetés pour environ 1,1 milliard de dollars, et surtout CyberArk, dont l’acquisition annoncée en juillet 2025 pour 25 milliards de dollars s’est finalisée en février 2026 pour fonder le pôle d’identité. S’y ajoutent Chronosphere pour l’observabilité (3,35 milliards de dollars, clos en janvier 2026) et Koi Security pour la sécurité applicative.

En 2019, l’entreprise a aussi créé la catégorie XDR avec la gamme Cortex : étendre la détection au-delà du réseau, jusqu’aux postes et aux serveurs. C’est la logique inverse du pare-feu unique : la sécurité se disperse dans plusieurs plateformes, que l’entreprise vend en abonnement.

Strata, Prisma, Cortex : ce que vend Palo Alto aujourd’hui

Le catalogue actuel tient en trois familles, plus l’identité. Strata regroupe les pare-feux matériels, de la série PA-400 (la plus petite) jusqu’au PA-5450, avec l’OS PAN-OS et la gestion centralisée Panorama. Prisma couvre le SASE et la sécurité du cloud, avec désormais Prisma AIRS pour l’intelligence artificielle. Cortex regroupe XDR, XSOAR et XSIAM, les opérations de sécurité pilotées par l’IA.

Ces plateformes s’adressent aux entreprises, aux opérateurs et aux administrations. Le site français de la marque le dit sans détour : il cible « votre entreprise ». Il n’existe pas de ligne « particulier » dans le catalogue, et c’est un choix assumé : la sécurité d’un NGFW se paie en administration, en licences et en expertise. Le hub de la catégorie Réseaux du site, lui, s’adresse aux particuliers qui veulent câbler leur réseau maison sans se transformer en administrateur système.

Un pare-feu d’entreprise, ça ne protège pas une maison

Voilà la partie qui m’intéresse en tant qu’électricien : un particulier n’a aucune raison d’acheter un pare-feu Palo Alto Networks, et le comprendre demande d’abord de comprendre ce qu’est un pare-feu. La vidéo suivante l’explique simplement en français.

Ce que fait un pare-feu, et ce que la box fait déjà

Un pare-feu se place entre votre réseau et Internet et décide ce qui a le droit de passer. Votre box internet (Livebox, Bbox, Freebox) contient déjà un routeur, un NAT, un pare-feu de base et le Wi-Fi : c’est elle qui protège la maison depuis l’arrivée de l’ADSL et de la fibre. La technologie App-ID de Palo Alto ajoute la reconnaissance des applications, mais cette finesse sert à administrer un parc d’entreprise avec des politiques de sécurité, des zones et de la journalisation. Un foyer n’a pas de « politique à appliquer » : il a quelques appareils.

Le vrai travail de protection d’un réseau domestique, je le détaille plus bas, tient en quelques gestes que votre box permet déjà : la tenir à jour, changer les mots de passe par défaut et séparer les objets connectés.

Le plus petit modèle coûte ce que vaut une box, puis plus

Le PA-410, positionné par le fabricant pour 25 à 50 utilisateurs, reste un appareil d’entreprise. Sa fiche annonce environ 1,3 Gbps de débit pare-feu et une administration complète sous PAN-OS. Le boîtier nu se négocie autour de 780 € HT, mais c’est le début : le support est obligatoire et les protections (Advanced Threat Prevention, WildFire, URL Filtering) se louent en abonnement sur 1, 3 ou 5 ans.

À l’arrivée, l’investissement annuel dépasse largement le prix de la box, pour une protection que la box fournit déjà dans une maison. Le rapport entre le coût et ce que cela protège en plus n’existe pas pour un particulier.

Ce qu’un passionné découvre en installant un PA-220 chez lui

Les forums regorgent de témoignages de passionnés qui ont voulu « mettre du vrai pare-feu » à la maison. Un retour documenté, sur un PA-220, résume les frictions réelles : pas de UPnP (les jeux et certaines applications en dépendent), un proxy DNS qui casse Netflix, et un ALG SIP qui interrompt une sonnette Ring. Chaque fonction a demandé des heures d’administration pour un résultat qu’une box paramétrée donne en quelques clics.

Je n’invente rien ici : ce sont les incompatibilités que ce passionné a décrites, et elles illustrent exactement ce que je constate en intervention : un équipement professionnel suppose un administrateur, pas un foyer.

Des cycles de vie courts, même pour du matériel cher

Dernier point que les revendeurs ne mettent pas en avant : les pare-feux Palo Alto ont des cycles de vie courts. Les PA-2000 sont arrivés en fin de vie en 2015, les PA-220 en 2023, les PA-800 en 2024, les PA-3200 et PA-5200 en 2023, et la fin des PA-7000 était prévue pour fin 2025. Une fois la date passée, plus de mises à jour de sécurité, plus de support.

La conséquence est directe : un pare-feu d’occasion « à prix cassé » est un appareil sans avenir, qui ne recevra plus de correctifs. C’est l’inverse d’un investissement.

La faille GlobalProtect : quand le pare-feu se fait pirater

Palo Alto Networks se présente comme le protecteur des réseaux d’entreprise, mais son propre historique comporte un épisode sérieux. En avril 2024, la société Volexity a documenté l’exploitation en zero-day de la faille CVE-2024-3400 : une injection de commande non authentifiée, notée 10,0 sur l’échelle CVSS, dans la fonction GlobalProtect de PAN-OS. L’attaquant, suivi sous le nom UTA0218, installait une porte dérobée baptisée UPSTYLE et exfiltrait les configurations des pare-feux compromis.

Le CERT-FR a publié un avis dédié dès avril 2024, le CERTFR-2024-AVI-0307, confirmant l’exécution de code arbitraire à distance et les versions affectées de PAN-OS. Palo Alto Networks a publié des correctifs, mais la leçon vaut pour tout le monde : un pare-feu est un équipement à maintenir en permanence, et les failles critiques existent aussi chez les leaders du marché.

Cette histoire m’amène à une comparaison utile pour mes clients : le même raisonnement que pour les caméras de surveillance — la marque ne dit rien de la sécurité réelle du réseau, c’est l’usage qui décide. Un équipement de sécurité n’est jamais « installé une fois pour toutes ».

Ce qu’il faut vraiment faire pour protéger un réseau domestique

Je pose ici les gestes que je conseille à chaque client, dans l’ordre d’importance. Ce sont des faits simples, vérifiables chez soi en quelques minutes, et aucun ne demande d’acheter un pare-feu d’entreprise.

• Mettre à jour la box : vérifier les mises à jour du firmware dans l’interface de la Livebox, Bbox ou Freebox, comme pour un ordinateur.
• Changer les mots de passe par défaut : celui de l’interface d’administration de la box et celui du Wi-Fi.
• Séparer les objets connectés : caméras, sonnettes, ampoules et enceintes sur un réseau ou un VLAN dédié, isolé des ordinateurs.
• Activer un pare-feu logiciel sur les ordinateurs et tenir le système à jour.
• Désactiver l’accès à distance de la box si personne ne l’utilise, et le UPnP si aucun appareil n’en dépend.

Le geste le plus sous-estimé, c’est la séparation des objets connectés. Les caméras et les sonnettes chinoises ou non maintenues sont la porte d’entrée la plus courante dans un réseau domestique : les caméras PoE ou Wi-Fi ont leurs règles de câblage et d’isolation, et une alarme connectée doit elle aussi vivre sur son propre segment. Le détournement de box (homejacking) part presque toujours d’un mot de passe par défaut ou d’un firmware ancien.

Si vous voulez du filaire chez vous, la pose de prises Ethernet murales reste la solution raisonnable, et l’arrivée de la fibre optique se fait par la box, pas par un appareil intermédiaire. Le jour où la fibre arrive, votre box devient votre pare-feu, comme elle l’était déjà avec l’ADSL.

Ce que l’histoire de Palo Alto Networks enseigne

L’histoire de la marque raconte une vraie révolution technique : le pare-feu qui identifie les applications a changé la sécurité des réseaux d’entreprise, et l’entreprise est devenue l’un des géants de la cybersécurité mondiale. Elle ne raconte en revanche rien sur ce qu’un particulier doit installer chez lui.

Les trois enseignements que j’en retiens pour mes clients : la box fait le travail d’un pare-feu de base, les objets connectés demandent une séparation de réseau que seul un câblage ou une configuration sérieuse apporte, et les équipements professionnels d’occasion sont piégés par leur fin de vie. Investissez le budget d’un PA-410 dans du câblage Ethernet et une box à jour : c’est là que se joue la protection réelle.

Quiz : les repères de l’histoire Palo Alto Networks

Questions fréquentes sur Palo Alto Networks

À retenir

Palo Alto Networks a inventé en 2005 une catégorie entière, le pare-feu nouvelle génération, et l’a transformée en une entreprise de plus de 200 milliards de dollars de capitalisation, présente sur le réseau, le cloud, l’identité et l’IA. Cette histoire impressionnante ne s’adresse pas aux particuliers : le plus petit de ses appareils coûte cher à l’achat et à l’usage, sa maintenance suppose un administrateur, et son histoire de failles rappelle qu’aucun équipement de sécurité n’est jamais « installé une fois pour toutes ». Pour une maison, la box, les mises à jour et la séparation des objets connectés restent les trois protections qui comptent vraiment.