Fortinet FortiGate
Fortinet FortiGate est un firewall d'entreprise nouvelle génération et une plateforme SD-WAN combinant inspection avec état, IPS, inspection SSL, filtrage Web, anti-bot et VPN. Quand il est déployé en frontal d'un site via le WAF FortiWeb, il peut déposer des cookies de challenge de sécurité strictement nécessaires. Les appliances FortiGate tournent sur l'infrastructure du client, FortiGuard étant hébergé par Fortinet aux États-Unis, au Canada et dans des régions UE.
Que fait Fortinet FortiGate ?
Qu'est-ce que Fortinet FortiGate
Fortinet FortiGate est le firewall nouvelle génération et la plateforme SD-WAN phares de Fortinet, Inc., dont le siège est à Sunnyvale (Californie). Il combine pare-feu avec état, IPS, inspection SSL, filtrage Web, contrôle applicatif, VPN, anti-malware et SD-WAN dans une appliance ou une machine virtuelle. La gamme inclut FortiWeb (WAF), FortiAnalyzer (logs), FortiManager et FortiGuard cloud de renseignement sur les menaces.
Données et cookies collectés
FortiGate traite les en-têtes de paquets, IPs, ports, URLs, user agents, hashes de fichiers et, en inspection SSL active, le contenu déchiffré des sessions TLS. Le WAF FortiWeb peut déposer des cookies de challenge strictement nécessaires (cookiesession1, cookies de session FortiGate) lors d'un contrôle de sécurité. FortiGuard reçoit des requêtes (hash d'URL, IP, hash fichier) pour vérifier la réputation en temps réel.
Implications RGPD et ePrivacy
FortiGate traite des données personnelles (IPs, métadonnées de trafic) dans le cadre de la sécurité. Le client est responsable de traitement, Fortinet est sous-traitant pour les services cloud. Les cookies de challenge FortiWeb relèvent de l'exemption strictement nécessaire de l'art. 5(3) ePrivacy et n'exigent pas de consentement. L'inspection SSL pose des enjeux de proportionnalité : la limiter au nécessaire, exclure les catégories sensibles (banque, santé) et la divulguer au personnel et aux visiteurs.
Exigences de consentement
Aucun consentement visiteur n'est requis pour la fonction firewall ni pour les cookies de sécurité strictement nécessaires. Il n'est pas requis non plus pour les requêtes de réputation FortiGuard, essentielles au service de sécurité. Les utilisateurs internes dont le trafic est inspecté en SSL doivent être informés et idéalement avoir une charte d'usage en place.
Transferts hors EEE
L'appliance FortiGate tourne sur l'infrastructure du client : le firewall en soi ne transfère pas hors EEE. FortiGuard et FortiCloud ajoutent des transferts vers les data centres US de Fortinet, sous CCT et Data Privacy Framework UE États-Unis. Les clients peuvent sélectionner des endpoints FortiGuard UE dans certaines configurations pour minimiser les transferts.
Étapes pratiques de mise en conformité
Signez l'Accord de traitement Fortinet pour les services cloud, configurez FortiGuard pour utiliser les endpoints UE quand disponibles, limitez l'inspection SSL par catégorie d'URL pour exclure les sites sensibles, définissez les règles de rétention FortiAnalyzer, documentez FortiGate dans votre Registre des activités de traitement, réalisez une analyse d'intérêt légitime et alignez-vous sur NIS2 si vous êtes entité essentielle ou importante.
Fortinet FortiGate et le RGPD
- Base légale
- Legitimate interest (Art. 6(1)(f) GDPR) for network security, DDoS protection, anti-bot and abuse prevention; Legal obligation (Art. 6(1)(c) GDPR) for security incident logging required under NIS2 or sectoral rules
- Niveau de risque
- low
- Textes applicables
- GDPR, ePrivacy Directive (Cookie Law), NIS2, ISO 27001, EU US Data Privacy Framework
Analyse d'impact (AIPD)
FortiGate traite trafic réseau, IPs, URLs et user agents pour la sécurité. Points clés AIPD : (1) l'appliance tourne sur l'infrastructure client, les données ne sortent pas tant que FortiGuard cloud n'est pas interrogé ; (2) les cookies de challenge FortiWeb sont strictement nécessaires au sens de l'art. 5(3) ePrivacy, pas de consentement requis ; (3) l'inspection SSL déchiffre le trafic TLS pour analyser le contenu, posant des enjeux de proportionnalité et de minimisation ; (4) FortiGuard envoie des requêtes de réputation (URL, IP, hash fichier) au cloud Fortinet, parfois aux États-Unis ; (5) FortiAnalyzer journalise IPs et métadonnées du trafic, qui peuvent être personnelles ; (6) NIS2 impose des obligations spécifiques aux entités essentielles et importantes qui exploitent FortiGate.
Exemple de texte pour votre bannière
Notre site est protégé par les appliances Fortinet FortiGate et FortiWeb. Ces outils inspectent le trafic entrant, peuvent déposer des cookies de sécurité strictement nécessaires (cookiesession1) et interrogent la threat intelligence FortiGuard pour bloquer le trafic malveillant. Le traitement repose sur notre intérêt légitime de sécurité au sens de l'art. 6(1)(f) RGPD.
Ce que Fortinet FortiGate dépose et contacte
- Méthode de suivi
- Enterprise next-generation firewall and SD-WAN appliance with web filtering, IPS, anti-bot and SSL inspection; FortiWeb WAF can set security challenge cookies on protected websites; FortiGuard cloud services for threat intelligence
- Localisation des serveurs
- On-premises customer infrastructure for the appliances themselves; FortiGuard cloud services in multiple global data centres including the United States, Canada and EU regions; Fortinet, Inc. is headquartered in Sunnyvale, California
- Mode sans cookie disponible
- Oui
- Transfert de données hors UE
- FortiGate appliances run on the customer's infrastructure, so visitor data stays where the device is deployed. FortiGuard threat intelligence services and FortiCloud management are hosted by Fortinet in the United States, Canada and EU regions. Transfers to US infrastructure rely on Standard Contractual Clauses and Fortinet's EU US Data Privacy Framework certification where applicable.
Cookies déposés (2)
| Nom | Type | Durée | Finalité |
|---|---|---|---|
| cookiesession1 | Functional | Session | Strictly necessary security cookie set by FortiWeb WAF in front of a protected website. Used to maintain the security session and validate that the visitor has passed an anti bot or rate limiting check. |
| FGT_PERSISTENT_SESSION | Functional | Session | Set by FortiGate when the appliance acts as a captive portal or load balancer to keep the visitor anchored to a specific backend server. |
Domaines tiers contactés (4)
fortinet.comfortiguard.comforticloud.comsupport.fortinet.com
Questions fréquentes sur Fortinet FortiGate
Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite.
Quels cookies FortiGate / FortiWeb déposent-ils sur le navigateur ?
Lorsque le WAF FortiWeb est en frontal d'un site, il peut déposer des cookies de sécurité strictement nécessaires comme cookiesession1 pour maintenir une session de sécurité et valider qu'un visiteur a passé un contrôle anti-bot. Ces cookies ne stockent pas le comportement de navigation et entrent dans le cadre strictement nécessaire.
Faut-il un consentement utilisateur pour les cookies de sécurité FortiGate ou FortiWeb ?
Non. Les cookies posés pour les contrôles de sécurité et la validation de session relèvent de l'exemption strictement nécessaire de l'art. 5(3) ePrivacy et du considérant 66, car ils sont essentiels au service de sécurité voulu par l'opérateur. Mentionnez-les dans la politique sans bandeau de consentement.
Quelle est la base légale du traitement via FortiGate ?
Intérêt légitime (art. 6(1)(f) RGPD) pour la sécurité, l'anti-bot et la prévention des abus. Obligation légale (art. 6(1)(c) RGPD) pour la journalisation des incidents au titre de NIS2 ou de règles sectorielles. L'inspection SSL du trafic du personnel doit être équilibrée et divulguée ; tenez compte de l'art. 88 RGPD pour la surveillance des salariés.
Où FortiGate traite-t-il et stocke-t-il les données ?
L'appliance FortiGate traite le trafic sur l'infrastructure du client : le firewall en soi ne transfère rien hors EEE. FortiGuard et FortiCloud tournent sur l'infrastructure Fortinet aux États-Unis, au Canada et dans des régions UE, avec CCT et Data Privacy Framework UE États-Unis pour les transferts US.
Une AIPD est-elle requise pour FortiGate ?
Une AIPD est recommandée quand l'inspection SSL est activée, quand les logs sont conservés à grande échelle ou quand FortiGate est déployé par une entité essentielle ou importante au sens NIS2. Elle doit couvrir le périmètre d'inspection SSL, la rétention dans FortiAnalyzer, les transferts FortiGuard et les risques pour visiteurs et salariés.
Comment déployer FortiGate de manière conforme ?
Signez l'Accord de traitement Fortinet pour les services cloud, limitez l'inspection SSL par catégorie d'URL, excluez les sites sensibles (banque, santé, syndicat ou politique), sélectionnez des endpoints FortiGuard UE quand disponibles, configurez la rétention FortiAnalyzer, réalisez une analyse d'intérêt légitime et alignez-vous sur les obligations de déclaration NIS2.
Quelles alternatives RGPD a FortiGate ?
Alternatives UE : Stormshield (France), genua (Allemagne), Rohde and Schwarz Cybersecurity (Allemagne), WatchGuard (US avec options UE) et options open source comme pfSense et OPNsense. Pour le WAF, envisagez Imperva, Cloudflare WAF ou ModSecurity open source.
Comment mettre à jour ma politique de confidentialité pour FortiGate ?
Mentionnez que vous protégez votre site avec FortiGate et FortiWeb, nommez le cookie de sécurité strictement nécessaire (cookiesession1) et son objet, expliquez que les métadonnées de trafic sont traitées au titre de l'intérêt légitime, mentionnez les requêtes FortiGuard et les CCT et Data Privacy Framework UE États-Unis pour les transferts US, et liez la politique et l'Accord de traitement Fortinet.
Mettez votre site en conformité aujourd'hui.
Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement.