Shield vs Cisco Umbrella : choisir le DNS protecteur pour le WiFi invité

Choisissez Shield pour le WiFi invité sur des sites multiples nécessitant un déploiement rapide sans matériel, sans agents et sans frais par utilisateur. Choisissez Cisco Umbrella pour protéger les terminaux d'entreprise et bâtir une architecture SASE. Purple s'intègre avec des plateformes comme Cisco Meraki et respecte des normes telles que Keeping Children Safe in Education, soutenu par la certification ISO 27001.

Lequel choisir : Shield ou Cisco Umbrella pour le WiFi invité ?

Le bon choix dépend de qui vous protégez. Posez-vous la question : s'agit-il de vos employés ou du public qui franchit vos portes ?

Cisco Umbrella a débuté sous le nom d'OpenDNS avant d'être racheté par Cisco. Il a évolué pour devenir une plateforme Security Service Edge destinée aux réseaux d'entreprise et au personnel hybride. Il protège les personnes que Cisco peut compter, nommer et associer à une politique, peu importe où va leur ordinateur portable.

Shield est le service de DNS protecteur de Purple pour les réseaux invités et publics. Vous l'activez par SSID (le nom du réseau auquel un appareil se connecte). Il filtre les menaces et les contenus inappropriés, et bloque les publicités pour tous les utilisateurs de ce réseau. Personne n'a besoin d'installer quoi que ce soit. Personne n'a besoin d'être comptabilisé.

Les deux services réalisent la même tâche principale. Le DNS protecteur est un résolveur qui vérifie chaque recherche de domaine par rapport à des listes de menaces et de contenus. Il refuse de répondre pour les domaines bloqués, de sorte que l'appareil ne s'y connecte jamais. Les différences se situent autour de ce cœur de fonctionnement : la méthode d'achat, le mode de déploiement et les fonctionnalités complémentaires.

Si vous gérez le WiFi invité dans des hôtels, des magasins, des gares, des écoles ou des cliniques, vous achetez généralement pour une foule, pas pour un nombre fixe de salariés. C'est sous cet angle qu'il faut lire la suite de ce guide.

Les véritables différences entre Shield et Cisco Umbrella

Là où le filtrage s'effectue, et ce qu'un pare-feu manque

Les deux services interviennent lors de la recherche DNS. Lorsqu'un téléphone souhaite ouvrir un site, il demande d'abord à un résolveur l'adresse IP du domaine. Un résolveur DNS protecteur vérifie le domaine avant de répondre. Si le domaine est malveillant ou bloqué par une politique, la recherche échoue et aucune connexion ne s'établit. Pour en savoir plus sur le fonctionnement, consultez Qu'est-ce qu'une recherche DNS et pourquoi les réseaux l'utilisent.

Un pare-feu intervient plus tard dans la séquence. Il inspecte le trafic une fois la connexion établie. La majorité du trafic web utilise désormais le chiffrement TLS, donc un pare-feu sans déchiffrement ne voit qu'une adresse IP et pas grand-chose d'autre. Déchiffrer le trafic des invités est de toute façon irréaliste. Vous ne pouvez pas installer de certificat racine sur le téléphone personnel d'un visiteur.

Le blocage basé sur l'adresse IP pose également problème avec l'hébergement mutualisé. Plusieurs domaines peuvent être hébergés derrière une seule adresse de réseau de diffusion de contenu (CDN). Bloquez l'IP et vous rendez des sites légitimes inaccessibles. Autorisez-la et le domaine malveillant passe à travers.

Le DNS voit le nom de domaine lui-même, avant tout transfert de données. C'est pourquoi le DNS protecteur convient parfaitement aux réseaux ouverts dont vous ne possédez pas les appareils.

Soyez également clair sur les limites. Le filtrage DNS décide par domaine, pas par page. Il ne peut pas bloquer un chemin spécifique sur un site par ailleurs autorisé. Les appareils qui utilisent un DNS chiffré, comme le DNS over HTTPS (DoH), peuvent tenter de contourner votre résolveur. Notre article explicatif sur Le DNS over HTTPS expliqué : confidentialité contre filtrage WiFi public détaille la manière dont les opérateurs gèrent ce sujet.

Unité de licence : utilisateurs (Le WiFi public dans les lieux accueillant des enfants implique des responsabilités supplémentaires. En Angleterre, les écoles doivent respecter les normes de filtrage et de surveillance du Ministère de l'Éducation dans le cadre du programme Keeping Children Safe in Education. Les établissements s'appuient souvent sur le label britannique Friendly WiFi comme gage public de navigation sécurisée.

Les deux services filtrent par catégorie de contenu. Demandez à chaque fournisseur comment ses catégories correspondent aux normes auxquelles vous devez répondre. Exigez des preuves, pas un simple oui.

Comparaison côte à côte

Critère	Shield	Cisco Umbrella
Cœur de cible	WiFi invités et public	Postes de travail d'entreprise et personnel hybride
Lieu de filtrage	Requête DNS, avant la connexion	Requête DNS, plus proxy web dans les offres SIG
Tarification publiée	Définie par sites et SSID, devis par Purple	Pas de prix catalogue ; devis via Cisco ou revendeur
Unité de licence	Par SSID	Par utilisateur
Déploiement pour un SSID invité	En quelques minutes, par SSID	Enregistrement des réseaux et DNS ; équipements virtuels en option
Matériel supplémentaire	Aucun	Aucun pour le DNS ; équipements virtuels pour l'attribution interne
Agents sur les appareils	Aucun	Cisco Secure Client pour la protection hors réseau
Blocage des publicités	Intégré	Manuel, via des listes de destinations
Protection hors réseau	Non applicable aux appareils invités	Oui, via le module d'itinérance
Suite de sécurité globale	Couche DNS, avec modules complémentaires Purple SecurePass et Verify	SWG, CASB, FWaaS, ZTNA dans les offres supérieures
Usage idéal	Parcs immobiliers avec WiFi invités multi-sites à fréquentation variable	Entreprises protégeant des collaborateurs nommés partout

Quand choisir Shield ?

Shield est adapté lorsque votre réseau accueille des personnes que vous n'employez pas et que vous ne pouvez pas dénombrer à l'avance. Plusieurs situations le démontrent clairement.

Vous gérez un WiFi invités sur de nombreux sites

Un parc multi-site exige une politique identique partout et une interface unique pour la gérer. Avec Shield, l'unité de déploiement est le SSID. L'extension à un nouvel hôtel, magasin ou gare relève d'une simple modification de configuration, non d'un processus d'achat. Vous visualisez chaque site depuis la même plateforme Purple qui gère votre WiFi invités.

Votre fréquentation varie selon les saisons ou les événements

Les villages de vacances, stades, centres commerciaux et sites touristiques voient leur fréquentation multiplier lors des pics d'affluence. La tarification par utilisateur vous force à évaluer ce pic et à le payer toute l'année. Une protection à l'échelle du réseau élimine cette incertitude.

Vous ne pouvez pas intervenir sur les appareils

Les invités, acheteurs, passagers et patients utilisent leurs propres téléphones. Vous ne pouvez pas y installer d'agent et ne devriez pas essayer. La protection au niveau DNS fonctionne pour chaque appareil qui rejoint le SSID, sans rien avoir à installer.

La bande passante est limitée ou mesurée

Le blocage des publicités se rentabilise de lui-même lorsque la liaison réseau est restreinte. Les trains connectés par réseau cellulaire, les sites événementiels temporaires et les établissements ruraux sont tous concernés. Réduire le trafic web inutile permet de récupérer de la capacité sans devoir souscrire de nouveaux abonnements.

Quand choisir Cisco Umbrella ?

Umbrella constitue le choix le plus adapté dans plusieurs situations, et une comparaison objective doit le reconnaître.

Vous protégez un personnel d'entreprise

Si votre priorité réside dans les ordinateurs portables du personnel au bureau, à domicile et en déplacement, Umbrella est conçu pour cela. Le module d'itinérance maintient la politique hors réseau. La politique s'associe aux identités de votre annuaire, y compris Microsoft Entra ID et Okta.

Vous recherchez une transition vers le SASE

Le Secure Access Service Edge (SASE) combine le réseau et la sécurité au sein d'un seul service cloud. Les offres supérieures d'Umbrella s'étendent de la sécurité DNS jusqu'à une passerelle web sécurisée (SWG) qui filtre et inspecte le trafic web. Elles ajoutent un courtier de sécurité d'accès au cloud (CASB), qui régit l'utilisation des applications cloud. Elles incluent également un pare-feu en tant que service (FWaaS) et, via le portefeuille plus large de Cisco, un accès réseau Zero Trust (ZTNA) pour les applications privées. Si vous consolidez cette stack, un service DNS exclusivement destiné aux invités ne le remplacera pas.

Vous êtes standardisé sur la sécurité Cisco

Les organisations qui utilisent déjà les outils de sécurité Cisco bénéficient du renseignement partagé sur les menaces grâce à Talos. Elles bénéficient également d'un support fournisseur unique et d'une relation existante avec leur revendeur.

Vous avez besoin d'une inspection au niveau de la page sur les appareils gérés

Le DNS statue par domaine. Si votre politique exige l'inspection d'URL individuelles ou de téléchargements de fichiers sur des appareils d'entreprise, vous avez besoin d'un proxy. Les packages SIG d'Umbrella en fournissent un. Cela a du sens sur les appareils que vous possédez et gérez. Cela a rarement du sens sur les téléphones des invités.

Combien coûtent Shield et Cisco Umbrella à l'usage ?

Le prix catalogue n'est qu'une ligne. Le coût total provient de plusieurs composants.

Coût de licence

Le coût d'Umbrella dépend du package, du nombre d'utilisateurs, de la durée du contrat et de la marge du revendeur. Comme les tarifs se font uniquement sur devis, vous ne pouvez pas les prévoir à partir d'un site web. Vous avez besoin d'un échange commercial et d'un nombre d'utilisateurs justifiable. Pour le WiFi invité, ce chiffre est le plus difficile à produire.

Le coût de Shield évolue en fonction des sites et des SSID que vous protégez. Vous pouvez le prévoir à partir de la liste de vos installations. Demandez les tarifs actuels à Purple via la page Shield.

Temps de déploiement et de maintenance

Le déploiement réseau d'Umbrella est simple pour le DNS seul. Chaque composant supplémentaire ajoute de la conception et de la maintenance : appliances virtuelles, clients d'itinérance, chaînage de proxys et gestion des certificats. Pour le service informatique d'une entreprise disposant d'une équipe de sécurité, c'est un travail habituel. Pour un exploitant d'établissement disposant d'un seul administrateur réseau, c'est un coût réel.

Shield n'ajoute aucun matériel et aucun agent. Vous le configurez par SSID et gérez la politique de manière centralisée.

Bande passante récupérée

Le blocage des publicités se répercute sur votre facture de bande passante. Le blocage des publicités réduit la consommation globale de données et le volume du trafic web avec Shield. Sur les liaisons facturées à la consommation, comparez cela à vos dépenses mensuelles de dépassement.

Risque pris en charge

Prenez en compte le risque que vous courez lorsque le filtrage est absent. Cela inclut les logiciels malveillants atteignant le réseau, les plaintes concernant des contenus inappropriés et les contrôles de protection manqués. Les deux services réduisent ce risque. La question est de savoir lequel vous pouvez vous permettre d'exécuter sur chaque SSID invité, sur chaque site, toute l'année.

Comment décider pour votre parc ?

Commencez par poser les questions clés. Qui se connecte : du personnel identifié ou le public ? Où se connectent-ils : sur des ordinateurs portables gérés n'importe où, ou sur des appareils personnels dans vos locaux ? De quoi avez-vous besoin au-delà du DNS : d'une feuille de route SASE, ou d'une protection et de pages plus rapides sur les réseaux visiteurs ?

Matrice de décision

Votre situation	Recommandation
WiFi visiteurs uniquement, multi-sites, fréquentation variable	Shield
Ordinateurs portables d'entreprise hors réseau, personnel identifié	Cisco Umbrella
Réseaux visiteurs et personnel, SSID distincts	Shield sur les SSID visiteurs, Umbrella sur le réseau d'entreprise
Consolidation SWG, CASB et FWaaS	Cisco Umbrella
Liaison de collecte mesurée ou cellulaire	Shield, pour le blocage des publicités
Présence d'enfants, filtrage adapté aux familles requis	Shield sur les SSID publics, configuré selon vos normes
MSP gérant de nombreux petits établissements	Shield, portée par SSID et par site client

Étude de cas : groupe hôtelier à occupation saisonnière

Situation. Un groupe hôtelier utilisait Umbrella pour les ordinateurs portables de son siège social. Son responsable de la sécurité a demandé au revendeur de l'étendre au WiFi visiteurs. Le devis nécessitait une estimation du nombre d'utilisateurs visiteurs. La fréquentation variait considérablement entre la basse saison et le pic estival, sans compter les pics liés aux conférences. Personne ne pouvait justifier un chiffre précis.

Ce qui a été fait. Le groupe a conservé Umbrella sur les appareils d'entreprise. Il a activé Shield sur le SSID visiteurs dans tous les hôtels lors d'une seule fenêtre de modification, en utilisant la même plateforme Purple qui gère son Captive Portal. Le Captive Portal est la page de connexion que les visiteurs voient lorsqu'ils rejoignent le réseau. Aucun matériel n'a été expédié sur site et aucun visiteur n'a eu besoin d'installer quoi que ce soit.

Résultat. Le groupe a protégé ses réseaux visiteurs sans aucun agent ni nouveau matériel. Il a totalement éliminé la prévision d'utilisateurs du budget visiteurs. Son équipe réseau a établi une référence pour le trafic web des visiteurs et a constaté des économies de bande passante significatives. Ce résultat a fourni à l'équipe réseau des preuves claires à présenter lors du bilan de capacité suivant.

Étude de cas : bibliothèques municipales et centres de loisirs

Situation. Une collectivité locale proposait du WiFi public dans ses bibliothèques et centres de loisirs, tous deux fréquentés par des enfants. La municipalité avait besoin d'un filtrage sécurisé pour les familles et souhaitait regrouper tous les sites sous une politique unique. Son administrateur réseau ne pouvait pas assurer la maintenance de clients itinérants ou d'équipements physiques.

Ce qui a été fait. La municipalité a activé Shield sur le SSID public de chaque site et a appliqué une politique unique de protection de la famille. Les appareils du personnel sont restés sur un SSID séparé sous les contrôles d'entreprise existants. L'équipe réseau a bloqué les points de terminaison DoH connus sur le VLAN public, le segment de réseau virtuel qui sépare le trafic public du trafic du personnel. Cela a empêché les appareils de contourner le résolveur.

Résultat. Tous les sites ont appliqué une politique unique, gérée depuis un seul endroit, sans aucun logiciel sur les appareils des visiteurs. La municipalité a pu présenter à son responsable de la protection des mineurs une configuration de filtrage unique et documentée. Le blocage du DoH a fermé la voie de contournement la plus courante sur le réseau public.

Étude de cas : festival sur liaison de collecte cellulaire

Situation. Un festival proposait un accès WiFi aux participants via des liaisons cellulaires agrégées. Les données étaient mesurées, et les événements précédents avaient vu ces liaisons saturer pendant les heures de pointe.

Ce qui a été fait. L'organisateur a activé Shield sur l'SSID des participants avant l'ouverture des portes. Les domaines publicitaires et de suivi ont été bloqués dès la requête, ainsi que les domaines de phishing connus ciblant les pages de billetterie et de paiement.

Résultat. L'organisateur a comparé la consommation de données par rapport à la référence précédente, obtenant des chargements de pages plus rapides et une consommation de données réduite. Licencier une foule de festivaliers par utilisateur aurait nécessité de prévoir la fréquentation avant même que les billets ne soient épuisés.

Questions à poser aux deux fournisseurs

• Comment un réseau invité est-il comptabilisé pour la licence, et que se passe-t-il lors des jours de forte affluence ?
• Combien de temps prend le déploiement pour un SSID, et que faut-il installer ?
• Comment vos catégories de contenu s'alignent-elles sur la norme de sécurité familiale à laquelle nous devons répondre ?
• Comment gérez-vous les appareils utilisant le DNS sur HTTPS ?
• Où les journaux de requêtes sont-ils stockés, pendant combien de temps et sous quelle certification ?

Si DNSFilter figure également sur votre liste, lisez Shield vs DNSFilter : une comparaison DNS protectrice pour les opérateurs WiFi. Pour d'autres guides de décision, parcourez Tous les guides.

Foire aux questions

Existe-t-il une alternative à Cisco Umbrella pour le WiFi invité ?

Oui. Shield est le service DNS protecteur de Purple conçu pour le WiFi invité et public plutôt que pour les terminaux d'entreprise. Vous l'activez par SSID en quelques minutes, sans matériel ni agent sur les appareils des visiteurs. Il filtre les menaces et les contenus inappropriés et bloque les publicités dès la recherche DNS. De nombreuses organisations conservent Umbrella sur les appareils du personnel et exécutent Shield sur les réseaux invités. Chaque outil accomplit ainsi la tâche pour laquelle il a été conçu.

Comment Cisco Umbrella est-il facturé pour le WiFi invité ?

Cisco Umbrella n'a pas de prix catalogue public. Vous achetez via les ventes Cisco ou un revendeur sur devis, parmi des packages tels que DNS Security Essentials, DNS Security Advantage, SIG Essentials et SIG Advantage. La licence s'effectue par utilisateur. Pour le WiFi invité, demandez comment les visiteurs anonymes sont comptabilisés par rapport aux utilisateurs avant d'accepter un devis. La fréquentation saisonnière ou liée à des événements rend ce chiffre difficile à prévoir et encore plus difficile à justifier.

Umbrella est-il surdimensionné pour le filtrage du WiFi public ?

Souvent, oui, si vous avez seulement besoin de protéger des réseaux invités. Les points forts d'Umbrella sont la protection nomade pour les ordinateurs portables gérés, la politique basée sur l'identité et un accès à SWG, CASB, FWaaS et ZTNA. Les appareils invités n'utilisent aucune de ces fonctionnalités. Pour le WiFi public, le besoin essentiel est le filtrage des menaces et du contenu au niveau du DNS sur chaque appareil qui se connecte. Shield offre cela par SSID, sans comptage d'utilisateurs ni agents.

Shield fonctionne-t-il avec nos points d'accès existants ?

Oui. Purple est indépendant du matériel et s'exécute comme une superposition cloud sur le réseau dont vous disposez déjà. Il fonctionne avec Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme et Fortinet. Shield agit au niveau de la couche DNS, vous le configurez donc par SSID sans aucun nouveau matériel. Vos points d'accès, commutateurs et contrôleurs restent en place.

Pouvons-nous exécuter Shield et Cisco Umbrella côte à côte ?

Oui, et pour les parcs mixtes, c'est souvent la conception la plus propre. Conservez Umbrella sur les SSID d'entreprise et les ordinateurs portables gérés, là où les licences par utilisateur et la protection en itinérance s'imposent. Exécutez Shield sur les SSID invités et publics, où les personnes qui se connectent sont anonymes et variables. Des SSID et des VLAN séparés permettent de distinguer les deux politiques. Chaque réseau utilise ensuite le résolveur adapté aux personnes qui l'utilisent.

Combien de temps prend le déploiement de Shield ?

Quelques minutes par SSID. Shield ne nécessite aucun matériel et aucun logiciel sur les appareils des visiteurs, de sorte que le déploiement est un simple changement de configuration plutôt qu'un projet. Un parc multisite peut protéger chaque réseau invité en une seule fenêtre de modification. La documentation d'assistance de Purple couvre les étapes de configuration pour votre matériel. La politique est gérée de manière centralisée une fois que chaque SSID est actif.

Comment le DNS protecteur affecte-t-il le GDPR et la gestion des données ?

Traitez les journaux de requêtes DNS comme des données personnelles lorsqu'ils peuvent être liés à un appareil, et définissez la conservation en conséquence. Purple détient la certification ISO 27001 et est conforme au GDPR, et Shield s'inscrit dans ce cadre. Pour n'importe quel fournisseur, demandez où les journaux sont stockés, combien de temps ils sont conservés et qui peut y accéder. Consignez ensuite les réponses dans votre analyse d'impact sur la protection des données.

Les visiteurs peuvent-ils contourner le filtrage DNS sur le WiFi invité ?

Certains peuvent essayer, principalement en utilisant le DNS over HTTPS ou un VPN qui envoie les recherches vers un autre résolveur. Vous réduisez ce risque en bloquant les points de terminaison DoH connus et les résolveurs publics sur le VLAN invité. Cela force les recherches à passer par votre service DNS protecteur. Aucun filtre DNS n'arrête tous les contournements déterminés. Combiné avec des contrôles réseau, il couvre la plupart des visiteurs sur la plupart des appareils.