Carte SIM avec pare-feu : filtrer et administrer les flux de vos objets connectés

Par Aurélie, M2M Network.

Une carte SIM avec pare-feu fait filtrer les flux d’un objet connecté par le réseau mobile lui-même : seules les destinations, les ports et les protocoles inscrits sur une liste blanche passent, le trafic entrant non sollicité est bloqué avant d’atteindre l’objet, et chaque refus laisse une trace dans un journal. Ce filtrage ne remplace pas la sécurité de l’objet, il la complète : il s’applique de la même façon à tout le parc, y compris à un équipement trop simple pour se protéger ou déjà compromis. Il prend toute sa valeur quand le client peut lui-même modifier ses règles, recevoir des alertes et lire les journaux, depuis un portail ou par une API.

Ce guide s’adresse aux intégrateurs et aux exploitants de parcs d’objets : ce qu’il faut filtrer, ce que recommandent l’ANSSI, l’ENISA et la GSMA, et comment combiner ce filtrage avec un APN privé ou une IP fixe. Tous les opérateurs ne proposent pas un filtrage administrable par le client : la fin de l’article liste les questions à poser.

Pourquoi filtrer au niveau du réseau mobile, et pas seulement dans l’objet

Le pare-feu de l’objet ou de son routeur reste indispensable. Mais il a des faiblesses que le filtrage côté réseau n’a pas :

  • l’objet n’en a pas toujours les moyens : un capteur, un compteur ou un transmetteur d’alarme dispose rarement de la mémoire et du processeur nécessaires ; la GSMA note dans ses lignes directrices de sécurité IoT pour les opérateurs (CLP.14, version 2.2 de février 2020) que les objets légers ne peuvent pas assurer eux-mêmes l’analyse de trafic que le réseau sait fournir ;
  • un objet compromis ne se protège plus : l’attaquant qui prend la main sur l’équipement peut aussi désactiver son filtrage local, alors que les règles appliquées dans le cœur de réseau restent hors de sa portée ;
  • une seule politique pour tout le parc : toutes les cartes, où qu’elles soient installées, reçoivent les mêmes règles au même moment, sans déplacement et sans dépendre du micrologiciel de chaque modèle d’équipement ;
  • le trafic indésirable s’arrête avant la liaison radio : une connexion refusée par le réseau n’atteint jamais l’objet.

Le principe est normalisé. Dans l’architecture de contrôle des politiques et de la facturation du 3GPP (TS 23.203), la passerelle du cœur de réseau peut bloquer ou laisser passer les paquets d’un flux de service, identifié par un filtre portant sur cinq éléments : adresses source et destination, ports source et destination, protocole. Et il est déjà appliqué au grand public : dans son baromètre IPv6 de juillet 2026, l’Arcep constate que sur les forfaits mobiles des quatre opérateurs, un pare-feu côté réseau, activé par défaut, bloque les flux IPv6 entrants non sollicités, sans que le client puisse l’ouvrir.

Ce que filtre une carte SIM avec pare-feu

Une politique de filtrage se construit selon le modèle que l’ANSSI décrit dans sa note technique sur les pare-feu (DAT-NT-006, mars 2013) : un modèle de sécurité positif, où « tout ce qui n’est pas explicitement autorisé est interdit », des règles définies précisément par leurs adresses sources, leurs adresses de destination et leurs services (R4), et une règle finale d’interdiction journalisée (R6). Son guide sur les systèmes industriels (ANSSI-PA-108, version 2.0 de novembre 2025) rappelle les mêmes principes en R102 : les flux sont refusés par défaut et seuls ceux qui sont nécessaires au fonctionnement sont autorisés.

RègleExemple pour un parc d’objetsRéférence
Liste blanche de destinationsLa plateforme de supervision, le serveur de mises à jour, le résolveur DNS et le serveur de temps, rien d’autreGSMA CLP.14, section 5.1
Ports et protocolesTCP 8883 pour MQTT sur TLS, TCP 443 pour HTTPS, UDP 123 pour l’heureANSSI R4 ; ENISA GP-TM-45 et GP-TM-50
Blocage du trafic entrantAucune connexion ouverte depuis Internet ; seules reviennent les réponses aux connexions de l’objetANSSI-PA-108, R123
Services inutiles coupésNi voix ni SMS sur une carte qui ne transmet que des donnéesGSMA CLP.14, section 5.1
Limitation de débitPlafond de connexions ou de volume par carteENISA GP-TM-46
Règle finale journaliséeTout le reste est refusé et tracéANSSI R6

Une liste blanche de destinations

C’est la règle la plus efficace. La GSMA recommande aux opérateurs d’appliquer le principe du moindre privilège : lorsqu’un objet ne se connecte qu’à une plateforme connue, son abonnement ne devrait autoriser que des connexions vers une liste blanche de plages d’adresses IP ou de domaines. L’ENISA va dans le même sens dans ses recommandations de base pour la sécurité de l’IoT (novembre 2017) : un objet doit être restrictif plutôt que permissif dans ses communications (GP-TM-43) et n’établir que des connexions voulues (GP-TM-44). Un objet compromis qui tente de joindre un serveur de commande, de participer à une attaque ou d’envoyer des données ailleurs est alors bloqué, et la tentative apparaît dans les journaux.

Ports et protocoles

Pour chaque destination, n’autorisez que le port et le protocole réellement utilisés, par exemple TCP 8883 pour MQTT sur TLS, TCP 443 pour HTTPS ou UDP 123 pour la synchronisation de l’heure (ports enregistrés à l’IANA). L’ENISA recommande de fermer les ports et connexions inutiles (GP-TM-45) et de n’exposer que les ports nécessaires (GP-TM-50). Les protocoles industriels sans chiffrement ni authentification, comme Modbus TCP que l’ANSSI cite parmi les protocoles dépourvus de mécanisme de sécurité, ne doivent pas traverser Internet tels quels : ils passent dans un tunnel chiffré ou dans un APN privé (voir notre article sur la télémaintenance des automates en 4G).

Le blocage du trafic entrant

En IPv4, une ligne mobile ordinaire passe par la traduction d’adresses de l’opérateur, qui rejette déjà les connexions entrantes. Tout change quand la carte reçoit une IP fixe publique : l’objet devient joignable depuis tout Internet, y compris par les robots qui balaient les adresses à la recherche d’équipements vulnérables. Selon l’alerte TA16-288A de la CISA, l’agence américaine de cybersécurité, le botnet Mirai balayait ainsi Internet en continu et avait infecté surtout des routeurs domestiques, des caméras réseau et des enregistreurs vidéo. Le 12 octobre 2026, le CERT-FR a encore signalé de nombreuses compromissions de contrôleurs à distance d’installations de réfrigération, en rappelant que « l’exposition d’une interface de gestion sur Internet est contraire aux bonnes pratiques ».

La règle par défaut doit donc être : aucune connexion entrante, sauf exception documentée (le port d’un VPN, par exemple), limitée à des adresses sources connues. Pour les systèmes industriels, l’ANSSI recommande d’interdire les accès directs depuis Internet dès la classe la moins exigeante de sa méthode (R123). Les architectures d’accès à distance sûres sont détaillées dans notre article carte SIM IP fixe et accès à distance.

Les alertes de consommation anormale

Un pare-feu bloque ; une alerte prévient. Les deux se complètent, car un objet détourné peut très bien abuser de flux autorisés. La GSMA décrit les services d’analyse que les opérateurs peuvent fournir : détection d’anomalies, tableaux de bord, signalement et blocage automatiques des connexions suspectes (CLP.14, section 5.8.2). L’ENISA recommande une surveillance régulière du comportement des objets pour détecter les logiciels malveillants (GP-TM-56). Sur un parc de cartes SIM, les signaux utiles sont :

  • un volume de données très supérieur à l’habitude de la carte ou de son groupe ;
  • des connexions refusées en rafale, signe d’un objet qui cherche à sortir de sa liste blanche ;
  • des appels ou des SMS sur une carte qui n’en émet jamais ;
  • un changement d’identifiant d’équipement (IMEI), qui indique que la carte a été insérée dans un autre appareil ;
  • une connexion depuis un pays ou un réseau inhabituel.

Chaque alerte doit avoir un destinataire et une action prévue : vérifier, suspendre la carte, corriger une règle. Une alerte que personne ne lit ne protège rien.

La journalisation : garder la trace des refus et des changements

Les journaux servent à comprendre un incident et à affiner les règles. La règle finale d’interdiction journalisée de l’ANSSI conserve la trace des flux non légitimes, et son guide industriel prévoit que les flux refusés puissent être journalisés et analysés. L’ENISA précise le contenu attendu d’un système de journalisation : authentifications, gestion des comptes et des droits, modifications des règles de sécurité et fonctionnement du système, avec des journaux conservés sur un stockage durable et consultables par une connexion authentifiée (GP-TM-55).

Pour un parc de cartes SIM, cela donne trois familles d’événements : les flux refusés, carte par carte ; les changements de règles (qui, quand, quoi) ; les actions sur les cartes (suspension, réactivation, changement de forfait). Si le fournisseur le permet, exportez-les vers votre propre outil de supervision plutôt que de les consulter seulement dans son interface.

Administrer soi-même ses règles : portail et API

Un filtrage figé, qu’il faut faire modifier par ticket, protège mais ralentit. Un filtrage administrable par le client permet d’ajouter un serveur, de fermer un port ou d’isoler une carte depuis un portail web ou par une API branchée sur vos outils. La méthode :

  1. Inventorier les flux réels : relevez sur quelques cartes en service les destinations, les ports et les volumes pendant une période représentative.
  2. Rédiger la politique : une liste blanche par famille d’objets, avec des conventions de nommage documentées, comme le demande l’ANSSI (R7 à R10 et R13).
  3. Tester sur un petit groupe de cartes : l’ANSSI demande qu’une politique de filtrage soit testée une fois mise en place (R14).
  4. Déployer par groupes, en surveillant les refus des premiers jours pour corriger les oublis.
  5. Revoir la politique au moins une fois par an (R15), et à chaque nouveau type d’objet ou de serveur.

Le portail et l’API deviennent eux-mêmes des points sensibles : qui y accède peut ouvrir tout le parc. Exigez des comptes nominatifs, l’authentification multifacteur, que l’ANSSI recommande de privilégier dans son guide de 2021 sur l’authentification (R1), des droits séparés entre consultation et modification, et la journalisation de chaque changement.

Pare-feu, APN privé et IP fixe : comment les combiner

Le rôle du filtrage change selon l’adressage de la carte et le chemin des données :

ConfigurationCe qui protège déjàRôle du filtrage
APN public, adresse dynamique derrière la traduction d’adressesLes connexions entrantes sont rejetéesListe blanche sortante, services inutiles coupés, alertes
APN public avec IP fixe publiqueRien par défaut : l’adresse est joignable depuis InternetIndispensable dans les deux sens ; en entrée, seul le VPN, depuis des adresses connues
APN privé relié à votre réseau ou à un serveur hébergéLes flux ne traversent pas InternetCloisonnement entre objets et vers le système d’information, liste blanche de vos serveurs

L’APN privé est la réponse la plus forte pour les flux sensibles. La GSMA cite parmi les réseaux privés que peuvent fournir les opérateurs le tunnel L2TP protégé par IPsec, pour qu’aucune donnée ne traverse un réseau public comme Internet (CLP.14, section 3.3). Même dans ce cas, un objet compromis peut chercher à joindre d’autres objets ou d’autres serveurs du réseau privé : le filtrage reste utile à l’intérieur de l’APN, comme l’ANSSI le recommande entre les zones d’un système industriel. Le fonctionnement de l’APN dédié est expliqué dans notre article APN privé, et la mise en place d’un tunnel dans notre guide VPN 4G pour site distant. Dans le groupe MUONA, un APN privé peut relier les objets à un serveur hébergé en France par Guardis, sur une infrastructure certifiée ISO 27001 et HDS, sans passer par l’Internet public.

Les questions à poser à votre fournisseur

  • Le filtrage se fait-il dans le cœur de réseau, avant Internet, ou seulement sur le routeur du site ?
  • Puis-je définir moi-même une liste blanche par carte ou par groupe de cartes, en adresses IP et en noms de domaine ?
  • Le trafic entrant est-il bloqué par défaut, y compris sur une carte avec IP fixe publique ?
  • Quels événements sont journalisés, pendant combien de temps, et puis-je les exporter ?
  • Quelles alertes sont disponibles (volume, refus, changement d’IMEI, pays) et par quel canal ?
  • Le portail et l’API imposent-ils l’authentification multifacteur et des droits séparés ?

Ce que propose M2M Network

M2M Network fournit des cartes SIM M2M sur le réseau Orange, SFR ou Bouygues Telecom au choix, et des cartes SIM IoT multi-opérateurs qui basculent automatiquement d’un réseau à l’autre, en eSIM ou en SIM physique. L’APN privé et l’IP fixe publique dédiée sont disponibles en option. Un APN privé peut relier vos objets à un serveur hébergé par Guardis sans passer par l’Internet public. Les forfaits se commandent dans la boutique ; pour définir le filtrage des flux de votre parc, ses alertes et ses journaux, décrivez votre besoin sur notre page contact.

À lire aussi

Questions fréquentes

Une carte SIM peut-elle vraiment contenir un pare-feu ?

En pratique, le filtrage ne se fait pas dans la puce : il s’applique dans le cœur de réseau de l’opérateur, sur les flux de la carte. On parle de carte SIM avec pare-feu parce que les règles sont rattachées à chaque carte ou groupe de cartes. Les normes du 3GPP prévoient ce filtrage par adresses, ports et protocole.

Le pare-feu de mon routeur 4G ne suffit-il pas ?

Il reste nécessaire, mais sa protection dépend de l’état de l’équipement : un routeur compromis ou mal configuré ne filtre plus rien. Le filtrage côté réseau s’applique quel que soit l’état de l’objet, et de la même façon à tout le parc. Les deux se cumulent.

Une liste blanche peut-elle porter sur des noms de domaine ?

La GSMA mentionne les deux formes : plages d’adresses IP ou domaines. La liste par adresses est la plus stricte ; la liste par domaines s’adapte mieux aux plateformes cloud dont les adresses changent. Demandez à votre fournisseur laquelle il prend en charge.

Que faire quand une alerte de consommation se déclenche ?

Cherchez d’abord la cause : mise à jour logicielle prévue, nouvelle fonction ou comportement anormal. En cas de doute, suspendez la carte le temps de l’analyse et consultez les journaux de flux refusés. Corrigez la règle ou l’équipement avant de réactiver.

Un APN privé rend-il le pare-feu inutile ?

Non. L’APN privé évite que les flux traversent Internet, mais un objet compromis peut encore chercher à joindre d’autres objets ou d’autres serveurs du réseau privé. Une liste blanche des serveurs autorisés et un cloisonnement entre objets restent utiles, comme le filtrage entre zones que l’ANSSI recommande pour les systèmes industriels.

Sources