SWG : Secure Web Gateway (passerelle web sécurisée)
Réseau
SWG : Secure Web Gateway, en français passerelle web sécurisée, intermédiaire qui inspecte et filtre le trafic web sortant des utilisateurs. « Le douanier placé à la sortie de l'entreprise, qui fouille les bagages à condition qu'on lui ait donné la clé des valises », par analogie avec un poste-frontière, qui ne voit rien dans un conteneur scellé.
Fonctions : Filtrage des adresses par catégorie et réputation, analyse antivirale des téléchargements, contrôle des applications cloud autorisées et prévention des fuites de données (DLP) sur les envois. Elle peut être un proxy installé sur site, comme Squid avec des modules, ou un service cloud, intégré aujourd'hui aux offres SASE et SSE.
Inspection TLS : Le trafic web étant chiffré, la passerelle ne voit le contenu des requêtes que si elle déchiffre TLS : elle présente alors au poste un certificat émis par une autorité interne, que chaque poste doit avoir installée. Sans ce déchiffrement, elle ne voit guère que le nom du site demandé, ce qui suffit pour bloquer un domaine, pas pour remarquer un secret collé dans un prompt.
Angles morts : Les applications qui épinglent leur certificat, les postes hors du réseau sans agent, et les flux exclus du déchiffrement pour raisons de confidentialité (banque, par exemple) échappent à l'inspection. La passerelle voit tout ce qui passe devant elle, ce qui exclut par définition tout ce qui passe ailleurs.
Ce qui arrive si on s'en passe
Une organisation sans passerelle web, ou avec une passerelle qui ne déchiffre pas TLS, ne voit pas qu'un collaborateur colle des clés d'API ou des données clients dans un service d'IA en ligne, ni qu'un poste télécharge un exécutable malveillant depuis un site récemment créé. À l'inverse, une passerelle qui déchiffre tout sans protéger sa propre autorité de certification devient une cible de choix : sa clé volée permet d'intercepter le trafic de tout le parc. Et une politique d'exclusions trop généreuse rouvre précisément les canaux que l'attaquant préfère, puisque ce sont ceux qu'on ne regarde pas.
Explication de la marmotte
Quand un salarié navigue sur Internet depuis son poste de travail, ses demandes peuvent passer par une passerelle web sécurisée. Celle-ci vérifie que le site n'est pas dangereux, analyse les fichiers téléchargés et peut empêcher l'envoi d'informations confidentielles. Comme presque tous les sites sont chiffrés, la passerelle doit déchiffrer le trafic pour voir son contenu, ce qui demande d'installer un certificat spécial sur chaque ordinateur. Sans cela, elle ne voit que le nom des sites visités.
Où ce terme est utilisé
- Filtrage, segmentation, NAC et Zero Trust (3 occurrences)
- Fuite de secrets dans les prompts d'un assistant IA public (2 occurrences)