Quel VPN professionnel permet de révoquer rapidement l’accès d’un appareil perdu ? J’ai découvert que « déconnecter le VPN » ne suffisait pas

Le message est arrivé à 18 h 06.

« On m’a volé mon sac. Le portable pro était dedans. »

Ma première pensée a été étonnamment rassurante : l’ordinateur utilisait un VPN professionnel.

Puis j’ai ouvert le tableau de bord. Et j’ai compris que je ne savais pas exactement ce que j’étais censé révoquer. Le mot de passe du VPN ? La session ? L’ordinateur entier ? Le compte Microsoft ? Les applications déjà ouvertes ?

Je pouvais changer un mot de passe en quelques minutes. Mais si le portable possédait déjà des sessions valides ou une clé lui permettant d’entrer dans le réseau professionnel, changer ce mot de passe ne répondait qu’à une partie du problème.

À 18 h 10, mon critère pour choisir un VPN professionnel venait de changer. Je ne voulais plus savoir combien d’appareils je pouvais connecter.

Je voulais savoir à quelle vitesse je pouvais faire disparaître un seul appareil.

Un ordinateur perdu n’emporte pas seulement le mot de passe du VPN

La CNIL traite la perte ou le vol d’un ordinateur portable comme un scénario de sécurité à anticiper, en particulier lorsque les appareils professionnels quittent régulièrement les locaux de l’entreprise. Chiffrement, authentification et capacité de réaction font partie des protections essentielles.

Le détail qui m’intéressait désormais n’était plus seulement le contenu du disque.

C’était tout ce que cet ordinateur avait déjà été autorisé à faire.

Un appareil professionnel ressemble à quelqu’un qui sort d’un immeuble avec plusieurs badges dans sa poche.

Il peut avoir un badge pour le VPN. Un autre pour Microsoft 365. Un autre pour un dépôt de code. Un autre pour une application interne. Détruire un seul badge ne ferme pas toutes les portes.

Microsoft le montre assez clairement dans sa procédure d’urgence : lorsqu’un appareil est perdu ou volé, un administrateur peut bloquer de nouvelles connexions, révoquer des sessions et désactiver l’appareil enregistré. Certaines autorisations déjà émises peuvent cependant rester valides jusqu’à leur expiration si elles ne sont pas réévaluées immédiatement.

C’était le point que j’avais raté.

« J’ai changé le mot de passe » n’est pas la même phrase que « cet ordinateur n’a plus accès ».

Et pour un appareil physiquement hors de mes mains, seule la deuxième phrase m’intéressait.

J’ai d’abord cherché le bouton qui déconnecterait tout

Mon premier réflexe aurait été acceptable si je gérais un seul ordinateur. Changer les identifiants. Forcer une déconnexion. Repartir avec un nouveau mot de passe.

Mais dès que plusieurs appareils légitimes utilisent le même accès, cette solution devient brutale.

Je coupe le portable volé. Mais je déconnecte aussi l’ordinateur du bureau. Le téléphone. La tablette de secours. Éventuellement les collègues qui utilisaient les mêmes identifiants.

Ensuite commence une deuxième urgence : reconnecter tout ce qui n’avait aucune raison d’être interrompu.

C’est là que la différence entre un accès par compte et un accès par appareil devient très concrète.

Une architecture orientée appareil me permet de regarder une liste et de dire :

celui-là. Pas les quatre autres.

Tailscale documente précisément ce fonctionnement : lorsqu’un appareil est retiré depuis la console d’administration ou l’API, il perd son accès aux ressources du réseau privé.

C’était beaucoup plus proche de ce que j’avais en tête lorsque je disais vaguement « révoquer le VPN ».

Je ne voulais pas seulement empêcher quelqu’un de se reconnecter plus tard avec un ancien mot de passe.

Je voulais retirer le badge de ce portable précis.

À partir de là, le vol n’était plus un scénario théorique

En mai 2026, un administrateur système racontait publiquement le vol de son ordinateur portable professionnel après l’avoir laissé quelques minutes dans son véhicule.

La suite avait été immédiate : prévenir l’entreprise, lancer la procédure de nettoyage à distance, déclarer le vol.

Ce qui m’a marqué dans ce récit n’était pas la façon dont l’ordinateur avait disparu.

C’était la vitesse avec laquelle il avait changé de statut. Une minute plus tôt, c’est un outil de travail approuvé.

Une minute plus tard, c’est une machine hors de contrôle qui transporte encore les traces de la confiance qu’on lui a accordée hier.

À cet instant, je ne veux pas chercher un ticket de support. Je ne veux pas retrouver quel abonnement couvre quelle machine. Et je ne veux certainement pas attendre de récupérer physiquement le portable.

Je veux pouvoir transformer « ordinateur autorisé » en « ordinateur refusé » pendant que je suis encore au téléphone avec la personne qui vient de signaler le vol.

C’est devenu mon premier critère.

J’ai alors arrêté de demander au même VPN de fermer toutes les portes

Une solution comme Tailscale, ou une plateforme Zero Trust dotée d’une vraie gestion des appareils, devient très logique lorsque l’objectif est de contrôler l’accès aux ressources professionnelles.

Le principe est simple :

les ressources de travail ont leur porte ; chaque appareil possède son badge ; si un appareil disparaît, je retire ce badge.

Pour Microsoft 365 et les applications liées à l’identité professionnelle, je révoque en parallèle les sessions et désactive la machine enregistrée.

Cette séparation m’a fait comprendre quelque chose que j’avais longtemps compliqué : le contrôle d’accès de mon entreprise et le VPN que j’utilise chaque jour sur Internet n’ont pas forcément besoin d’être le même produit.

L’un décide quel appareil peut entrer dans mes ressources de travail. L’autre protège la connexion de l’appareil que j’ai encore entre les mains. Une fois ces deux rôles séparés, la réponse au vol devenait plus propre.

Et surtout, je pouvais commencer à réfléchir à la machine de remplacement sans recréer exactement le même problème.

Sur le nouvel ordinateur, je ne voulais plus recopier le même mot de passe partout

Une fois l’accès professionnel du portable perdu révoqué, il fallait préparer un appareil de secours.

C’est à ce moment-là que j’ai installé OnlydogVPN sur la nouvelle machine.

Ce qui m’a intéressé n’était plus la révocation du réseau interne : cette partie était déjà gérée par la couche professionnelle prévue pour identifier précisément les appareils.

Le problème suivant était plus discret.

Je ne voulais pas remettre un nouvel identifiant réutilisable sur chaque machine que j’ajoutais.

Le service permet d’utiliser le VPN sans passer par le traditionnel compte adresse e-mail–mot de passe et de partager l’accès vers un autre appareil grâce à un code de vérification.

Sur l’appareil que je contrôlais encore, j’ai généré le code. Je l’ai saisi sur le portable de remplacement. Connexion active.

Je n’avais pas dû retrouver un mot de passe principal, le recopier sur une nouvelle machine puis me demander, au prochain incident, sur combien d’appareils il avait fini par circuler.

Après le portable perdu, ce détail ne ressemblait plus à une simple commodité.

Il répondait à une autre question de sécurité :

combien de secrets réutilisables ai-je réellement besoin de distribuer à mes appareils ?

Moins j’en distribuais, moins le prochain incident risquait de se transformer en grande rotation générale d’identifiants.

C’est là que les deux couches ont enfin cessé de se marcher dessus

La révocation d’un ordinateur perdu et le partage d’un VPN quotidien sont deux moments différents du même problème.

Au moment de la perte, je veux une commande extrêmement ciblée : retirer cette machine et aucune autre.

Au moment du remplacement, je veux exactement l’inverse : remettre rapidement le nouvel appareil en service sans recréer inutilement tout un jeu d’identifiants permanents.

C’est dans cette deuxième étape que le petit service m’a paru particulièrement bien pensé.

Le code de vérification n’essaie pas de remplacer la gestion d’appareils de l’entreprise. Il évite plutôt que la remise en route du VPN quotidien me pousse à répandre encore un mot de passe commun.

Cette distinction paraît subtile jusqu’au jour où un ordinateur disparaît. Après, elle devient très concrète. L’ancien appareil perd ses droits professionnels. Le nouveau obtient ses propres autorisations.

Et mon VPN quotidien revient sans que je doive reconstruire un compte classique sur la nouvelle machine.

Le portable de remplacement était prêt sans héritage inutile de l’ancien

Une fois l’ancien ordinateur désactivé dans les systèmes professionnels, j’ai terminé la configuration de son remplaçant.

Les applications de travail réclamaient une nouvelle authentification. C’était exactement ce que je voulais. Le nouveau portable obtenait ses propres autorisations. L’ancien ne lui transmettait rien.

Pour le VPN quotidien, le code de vérification m’a évité une autre procédure de récupération de compte. Quelques instants plus tard, la connexion était active et je pouvais reprendre le travail.

C’est à ce moment-là que cette fonction m’a semblé beaucoup plus intéressante que sur une fiche produit.

Avant un incident, « ajouter un appareil avec un code » signifie surtout : pratique.

Après avoir imaginé son ordinateur entre les mains de quelqu’un d’autre, cela signifie plutôt : je peux ajouter la machine suivante sans multiplier inutilement les secrets permanents sur toutes les précédentes.

Le service reste plus petit que les grandes plateformes d’administration professionnelles : moins de régions, moins d’années d’historique public et moins d’outils destinés à gérer une flotte entière.

Mais ce n’était plus ce que je lui demandais.

Pour les ressources professionnelles, je voulais une révocation précise par appareil.

Pour le VPN quotidien, je voulais une remise en route simple qui n’ajoute pas encore un mot de passe commun au prochain ordinateur.

Cette combinaison était finalement beaucoup plus cohérente qu’un énorme outil censé tout faire à moitié.

Alors, quel VPN choisir si un appareil professionnel peut disparaître ?

Je ne commencerais plus par le nombre de connexions simultanées.

Je demanderais d’abord :

puis-je retirer un appareil précis sans couper tous les autres ?

Pour l’accès aux ressources professionnelles, c’est le critère décisif. Une architecture orientée appareil comme Tailscale permet de retirer la machine concernée, tandis qu’une plateforme d’identité comme Microsoft Entra sert à révoquer les sessions et autorisations qui vivent en dehors du VPN.

Ensuite vient la question du VPN utilisé chaque jour sur les appareils qui restent sous mon contrôle.

Là, mon critère a changé lui aussi : je préfère éviter de déposer le même compte et le même mot de passe partout quand un code de vérification suffit à remettre rapidement une nouvelle machine en service.

À 18 h 06, je pensais chercher le VPN doté du meilleur bouton « déconnexion ».

Quelques minutes plus tard, le vrai problème était devenu beaucoup plus précis : je voulais pouvoir condamner immédiatement la porte de l’ordinateur volé, puis donner une nouvelle clé au suivant sans devoir changer les serrures de toute la maison.