VaultysHub + ZTNA : la double barrière de sécurité
Le contexte
Claire est RSSI chez BioLab, un laboratoire de 90 personnes réparties entre trois sites et du télétravail. L'entreprise héberge des applications internes critiques — LIMS (gestion de laboratoire), ERP, base documentaire réglementaire — sur ses propres serveurs. Claire veut sécuriser l'accès à ces applications sans exposer le réseau interne à Internet et sans infliger un VPN classique à ses équipes.
Le problème sans VaultysHub + ZTNA
Avec un VPN classique :
- Une fois connecté au VPN, l'utilisateur accède à tout le réseau interne (modèle "château fort")
- Si un poste est compromis, l'attaquant a accès à l'ensemble du réseau
- Le VPN est lourd à maintenir, lent, et dégrade l'expérience utilisateur
- Aucune granularité : impossible de donner accès à une seule application
- Les identifiants VPN sont un vecteur d'attaque supplémentaire à gérer
Avec un ZTNA seul (Tailscale/Headscale) :
- Le réseau est segmenté, mais l'authentification aux applications reste classique (login/mot de passe)
- Les mots de passe des applications internes restent un maillon faible
- Pas de visibilité sur qui accède à quoi au niveau applicatif
- Pas de gestion centralisée des accès aux applications
La solution : VaultysHub + Tailscale/Headscale
En combinant VaultysHub avec un réseau Zero Trust (Tailscale ou son alternative open source Headscale), on obtient deux couches de sécurité complémentaires :
Couche 1 — VaultysHub : contrôle qui peut accéder et dans quelles conditions (identité, appareil, localisation)
Couche 2 — ZTNA : contrôle à quelles machines l'utilisateur peut se connecter sur le réseau (micro-segmentation)
Avec VaultysHub + ZTNA
Étape 1 — Déployer le réseau Zero Trust
Claire installe Headscale (auto-hébergé pour garder la souveraineté des données) ou active Tailscale (plan Business). Chaque serveur hébergeant une application interne rejoint le réseau Zero Trust.
Étape 2 — Connecter VaultysHub comme fournisseur d'identité
Claire configure VaultysHub comme fournisseur OpenID Connect (OIDC) pour Tailscale/Headscale. Désormais, pour rejoindre le réseau Zero Trust, un collaborateur doit s'authentifier via VaultysHub et son VaultysID.
Étape 3 — Définir les ACL par groupe
Claire définit des règles d'accès réseau basées sur les groupes VaultysHub :
- Le groupe "Laboratoire" accède uniquement au LIMS et à la base documentaire
- Le groupe "Finance" accède uniquement à l'ERP
- Le groupe "Direction" accède à toutes les applications
- Personne n'accède à un serveur auquel il n'est pas explicitement autorisé
Étape 4 — Ajouter les politiques VaultysHub
Claire renforce avec les Device Access Policies de VaultysHub :
- L'accès au LIMS exige un VaultysID biométrique et un poste sur le réseau de l'entreprise ou le ZTNA
- L'accès à l'ERP exige un navigateur à jour et un système d'exploitation pris en charge
Étape 5 — L'expérience utilisateur au quotidien
Paul, chercheur en télétravail, ouvre son navigateur :
- Il s'authentifie sur VaultysHub avec son VaultysID (scan QR + empreinte digitale)
- Le client Tailscale/Headscale s'authentifie automatiquement via le SSO VaultysHub
- Paul clique sur le LIMS dans son tableau de bord VaultysHub
- VaultysHub le connecte automatiquement à l'application via le tunnel chiffré
Tout est transparent. Paul n'a saisi aucun mot de passe ni lancé aucun VPN manuellement.
L'architecture Zero Trust en détail
Qu'est-ce que ça protège ?
| Menace | VPN classique | ZTNA seul | VaultysHub + ZTNA |
|---|---|---|---|
| Vol d'identifiants | ❌ Accès total au réseau | ⚠️ Accès réseau limité, mais applications exposées | ✅ Identité cryptographique (VaultysID) + réseau segmenté |
| Poste compromis | ❌ Tout le réseau exposé | ⚠️ Segment réseau exposé | ✅ Politique d'appareil bloque les postes non conformes |
| Mouvement latéral | ❌ Libre sur tout le réseau | ✅ Micro-segmentation | ✅ Micro-segmentation + contrôle applicatif |
| Vol de mot de passe applicatif | ❌ Accès à l'application | ❌ Accès à l'application | ✅ Pas de mot de passe connu (coffre-fort) |
| Accès après départ | ⚠️ Révocation lente | ⚠️ Révocation réseau uniquement | ✅ Révocation réseau ET applicative en 1 clic |
| Audit de conformité | ❌ Logs dispersés | ⚠️ Logs réseau uniquement | ✅ Journalisation centralisée + rapports ISO 27001 en un clic |
Le principe Zero Trust appliqué
"Ne jamais faire confiance, toujours vérifier"
- Vérifier l'identité → VaultysID (authentification cryptographique sans mot de passe)
- Vérifier l'appareil → Device Access Policy VaultysHub (OS, navigateur, IP)
- Accès au moindre privilège → ACL Tailscale/Headscale (uniquement les serveurs nécessaires)
- Accès applicatif contrôlé → SSO VaultysHub (uniquement les applications autorisées)
- Chiffrement de bout en bout → Tunnel WireGuard Tailscale/Headscale
- Surveillance continue → Journalisation VaultysHub (Audit Trail) + logs ZTNA combinés
- Rapports de conformité → Rapports RSSI, CTO et ISO 27001 générés en un clic
Tailscale ou Headscale ?
| Critère | Tailscale | Headscale |
|---|---|---|
| Hébergement | Cloud (Tailscale Inc.) | Auto-hébergé |
| Souveraineté des données | Données chez Tailscale | 100 % sous votre contrôle |
| Facilité de mise en œuvre | Très simple | Requiert compétences d'administration |
| Coût | Payant (plan Business requis pour SSO) | Gratuit et open source |
| Support | Support commercial | Communauté |
| Intégration VaultysHub | SSO OIDC + WebFinger | SSO OIDC |
Les deux options sont entièrement compatibles avec VaultysHub via OpenID Connect.
Ce que ça change
| Sans cette combinaison | Avec VaultysHub + ZTNA |
|---|---|
| VPN = accès total au réseau | Micro-segmentation par utilisateur et par application |
| Identifiants VPN + mots de passe applicatifs | Authentification unique VaultysID |
| Applications internes exposées sur Internet | Applications invisibles depuis Internet |
| Révocation lente et incomplète | Révocation instantanée réseau + applicative |
| Logs dispersés et incomplets | Journalisation centralisée + rapports de conformité |
| Sécurité périmétrique (château fort) | Sécurité Zero Trust (vérification continue) |
Fonctionnalités utilisées
- 🔗 SSO OpenID Connect — VaultysHub comme fournisseur d'identité
- 🌐 Intégration Tailscale — Guide de configuration SSO Tailscale
- 🌐 Intégration Headscale — Guide de configuration SSO Headscale
- 🛡️ Politiques d'accès (DAP) — Contrôle des appareils et conditions d'accès
- 📁 Gestion des dossiers — Organisation des accès par groupe
- 🔐 VaultysID — Identité cryptographique sans mot de passe
- 📜 Journalisation — Journal temps réel des connexions réseau et applicatives
- 📑 Rapports — Rapports RSSI, CTO et ISO 27001 pour les audits