Télémaintenance 4G : automates et supervision industrielle à distance

Par Aurélie, M2M Network.

La télémaintenance 4G permet d’intervenir sur un automate ou un système de supervision depuis l’extérieur du site, à travers un routeur 4G et une carte SIM, là où il n’y a pas de ligne fixe ou quand on veut une liaison indépendante du réseau du client. La règle de base : aucun port ouvert sur Internet. Le routeur établit un VPN chiffré, ou la carte SIM est rattachée à un APN privé, et les sessions de maintenance sont ouvertes à la demande, authentifiées et journalisées, comme le recommande l’ANSSI. Pour la supervision permanente, le volume de données dépend d’abord de la fréquence d’interrogation des automates.

Télédiagnostic, télémaintenance, télégestion : de quoi parle-t-on ?

L’ANSSI distingue trois opérations à distance dans son guide « La cybersécurité des systèmes industriels : mesures détaillées » (version 2.0 du 27 novembre 2025). S’y ajoute la remontée automatique des mesures et des alarmes, qui part de l’installation elle-même.

OpérationDéfinitionExempleQui ouvre la connexion
TélédiagnosticDiagnostic à distance, sans modification de paramétrage (ANSSI)Lire l’état et les défauts d’une station de pompageLe mainteneur
TélémaintenanceMaintenance à distance, avec modification de paramètres, voire de programmes (ANSSI)Corriger un programme d’automate, mettre à jour un micrologicielLe mainteneur
TélégestionPrise de contrôle à distance : supervision et modification de paramétrage (ANSSI)Piloter les consignes depuis un poste de supervision centralLe centre de supervision
Remontée de données et d’alarmesEnvoi périodique ou sur événement vers un serveurNiveaux, débits, compteurs, défautsL’installation

La distinction compte : selon l’ANSSI, les équipements utilisés pour la télégestion doivent être intégrés au périmètre du système industriel, avec toutes ses mesures de sécurité. Les mesures remontées servent aussi à la maintenance prédictive, qui s’appuie sur ces flux sans exiger d’accès entrant.

Ce que recommande l’ANSSI pour les accès distants

L’ANSSI constate que la télémaintenance passe souvent par des réseaux publics, y compris la téléphonie mobile, que les solutions employées offrent « dans de nombreux cas un niveau de sécurité faible » et que l’accès à distance augmente considérablement la surface d’attaque. Ses recommandations dépendent de la classe du système, définie par sa méthode de classification (version du 10 mars 2025) selon l’impact d’une attaque : faible (classe 1), modéré (classe 2), fort (classe 3) ou catastrophique (classe 4).

Classe du systèmeRecommandations de l’ANSSI pour l’accès distant et la 4G
Toutes classesInterdire les accès directs depuis et vers Internet ; connexions à la demande pour une durée définie (exemple : 4 heures) ; authentification de l’équipement distant ; mot de passe robuste ; journalisation des authentifications ; fermeture après inactivité ; cloisonnement de l’équipement accédé ; protocoles assurant intégrité et authenticité ; sans-fil limité au strict nécessaire
Classe 2 et au-delàSolution assurant confidentialité, intégrité et authenticité (par exemple tunnel VPN IPsec) ; authentification multifacteur ; journalisation des événements de sécurité ; consultation régulière des événements des équipements sans fil
Classe 3 et au-delàSonde de détection sur la passerelle de connexion ; éviter le sans-fil sauf absence d’autre solution ; le proscrire pour les liaisons à besoin critique de disponibilité ; pas de liaison inter-sites par réseau public
Classe 4Télémaintenance non recommandée ; si elle est indispensable, équipements distants et liaison intégrés au périmètre de classe 4 ; à défaut, télédiagnostic seul, sur un serveur cloisonné alimenté à travers une diode qualifiée par l’ANSSI

En pratique, la télémaintenance 4G s’inscrit dans les recommandations de l’ANSSI pour les systèmes de classe 1 et 2, à condition d’appliquer ces mesures. En classe 3, l’ANSSI demande d’éviter le sans-fil sauf absence d’autre solution ; en classe 4, c’est la télémaintenance elle-même qu’elle déconseille. La classe se détermine au cas par cas : dans l’exemple développé par l’ANSSI, un réseau de stations d’épuration d’une collectivité de plus de 100 000 habitants, les fonctions se répartissent entre la classe 2 et la classe 3.

Modbus TCP et OPC UA : ce qui circule dans le tunnel

Modbus TCP

Modbus TCP transporte les requêtes Modbus dans TCP, sur le port 502 enregistré à l’IANA, avec un en-tête de 7 octets appelé MBAP. Il ne comporte ni chiffrement ni authentification : l’ANSSI le cite parmi les protocoles réseau qui n’intègrent aucun mécanisme de sécurité et permettent à un attaquant de modifier ou de forger des trames. Elle précise que les contrôles par CRC protègent contre les erreurs de transmission, pas contre les attaques. Pour les systèmes de classe 3 et 4, elle recommande de faire passer ces protocoles dans un tunnel VPN et d’ajouter un filtrage applicatif qui n’accepte que les fonctions strictement utiles. Exemple : autoriser la lecture de registres depuis la supervision et réserver l’écriture aux sessions de maintenance.

La Modbus Organization a publié une variante sécurisée, Modbus/TCP Security, qui encapsule Modbus dans TLS avec une authentification mutuelle par certificats X.509v3, sur le port 802. Elle n’est utilisable que si l’automate et la supervision la prennent en charge.

OPC UA

OPC UA (norme IEC 62541) intègre la sécurité dans le protocole : chaque application possède un certificat d’instance échangé à l’ouverture du canal sécurisé, et trois modes de sécurité existent, « None », « Sign » et « SignAndEncrypt ». La spécification réserve le mode None au profil de sécurité None, lui-même désactivé par défaut. L’ANSSI cite OPC UA comme exemple de protocole standardisé, sécurisé et interopérable à privilégier. Son port enregistré à l’IANA est le 4840.

Même sécurisé, un serveur OPC UA n’a pas à être joignable depuis Internet : l’interdiction des accès directs depuis Internet vaut pour tous les protocoles.

Un automate joignable sur Internet finit par être trouvé

Les incidents récents suivent le même scénario : un équipement de conduite joignable sur une adresse IP publique, souvent avec un mot de passe par défaut.

  • CERT-FR, alerte du 12 octobre 2026 : de nombreuses compromissions de contrôleurs à distance d’installations de réfrigération (Danfoss, Copeland, Dixell). Le CERT-FR demande de supprimer l’exposition Internet des unités présentes sur une adresse IP publique, de vérifier toute la configuration, notamment les plages de dégivrage, puis de rétablir l’accès uniquement via un VPN sécurisé ou un réseau protégé.
  • CISA (agence américaine de cybersécurité), avis AA23-335A du 1er décembre 2023 : des automates et des écrans de conduite Unitronics de la série Vision, utilisés notamment dans l’eau et l’assainissement, ont été compromis parce qu’ils étaient connectés à Internet sur leur port TCP par défaut (20256), avec un mot de passe par défaut ou sans mot de passe. La CISA recommande de changer les mots de passe, de retirer l’automate d’Internet, de placer un VPN ou une passerelle devant lui et de mettre en place l’authentification multifacteur.

Une carte SIM avec IP fixe publique placée dans l’armoire, avec une redirection de port vers l’automate, reproduit exactement cette situation. L’IP fixe doit servir à joindre le VPN, jamais l’automate.

L’architecture recommandée pour la télémaintenance 4G

  1. Un routeur 4G industriel dans l’armoire, raccordé au réseau des automates et doté d’un pare-feu qui ne laisse passer vers l’automate que les flux nécessaires (par exemple le port 502 ou 4840 depuis la seule adresse de la supervision). Les critères de choix sont détaillés dans notre article sur le routeur IoT.
  2. Aucun port d’automate ni d’écran de conduite exposé : le routeur ouvre un VPN sortant vers un concentrateur (siège, intégrateur ou hébergeur), ou la carte SIM appartient à un APN privé relié au réseau de l’exploitant. L’IP fixe est indispensable côté concentrateur ; sur la carte SIM, elle sert si le centre de maintenance doit initier la connexion, et seul le service VPN doit alors être joignable.
  3. Deux usages séparés : la supervision et les alarmes circulent en permanence dans le tunnel avec des droits de lecture ; l’accès de maintenance, avec droits d’écriture et de programmation, n’est ouvert qu’à la demande.
  4. Ouverture à la demande : l’exploitant active l’accès du mainteneur pour une durée définie (l’ANSSI cite 4 heures), par exemple depuis la console du concentrateur ou par une entrée logique du routeur quand il en dispose ; la connexion se ferme après une période d’inactivité.
  5. Comptes nominatifs et authentification multifacteur pour chaque intervenant, comme l’ANSSI le recommande dès la classe 2.
  6. Journalisation des connexions VPN et des authentifications, conservée hors du site et consultée régulièrement.

Le concentrateur peut être hébergé en France. Dans le groupe MUONA, Guardis héberge des machines virtuelles et propose des pare-feu managés sur une infrastructure certifiée ISO 27001 et HDS ; un APN privé peut relier les armoires à un serveur hébergé chez Guardis sans passer par l’Internet public.

Dimensionner le forfait data de la supervision SCADA en 4G

En supervision, la consommation dépend de trois paramètres : le nombre de registres lus, la fréquence d’interrogation et l’enveloppe ajoutée par TCP et par le VPN. Exemple de calcul pour une requête Modbus « Read Holding Registers » (code fonction 03) qui lit 50 registres :

  • requête : 7 octets d’en-tête MBAP et 5 octets de PDU (code fonction, adresse de départ, nombre de registres), soit 12 octets ;
  • réponse : 7 octets d’en-tête, 1 octet de code fonction, 1 octet de comptage et 2 octets par registre, soit 109 octets ;
  • chaque paquet reçoit les en-têtes IPv4 et TCP (20 octets chacun, sans options), et la réponse appelle un accusé de réception TCP ;
  • dans un tunnel WireGuard, chaque paquet est complété par un bourrage jusqu’à un multiple de 16 octets, puis enveloppé dans 32 octets de message (en-tête et étiquette d’authentification), 8 octets d’UDP et 20 octets d’IPv4.

On arrive à environ 450 octets par cycle de lecture, accusé de réception compris. Le volume mensuel suit directement la fréquence (1 Mo = 1 million d’octets) :

Fréquence d’interrogationCycles par jourVolume sur 30 jours (environ)
Toutes les secondes86 4001,2 Go
Toutes les 10 secondes8 640117 Mo
Toutes les minutes1 44019,5 Mo
Toutes les 5 minutes2883,9 Mo

Ce calcul donne un ordre de grandeur : les options TCP, le nombre de registres et le protocole VPN le font varier. Trois leviers réduisent la consommation : n’interroger que les registres utiles, espacer la lecture des valeurs lentes (températures, niveaux), et faire remonter les alarmes sur événement quand l’automate ou la passerelle le permettent. Les sessions de télémaintenance (transfert de programme, mise à jour de micrologiciel, prise en main d’un poste de supervision) sont ponctuelles mais plus lourdes, surtout quand elles transportent des images d’écran : mesurez une session type avant de choisir le forfait. Les compteurs de trafic du routeur, relevés sur une semaine, servent ensuite de base de dimensionnement.

Ce que propose M2M Network

M2M Network fournit les cartes SIM des routeurs industriels : réseau Orange, SFR ou Bouygues Telecom au choix, ou carte SIM IoT multi-opérateurs, en eSIM ou en SIM physique, avec les options IP fixe, 5G et APN privé. L’APN privé permet de relier les armoires à un serveur de supervision hébergé en France chez Guardis sans passer par l’Internet public. Les forfaits sont présentés sur la fiche carte SIM M2M pour routeur 4G et dans la boutique ; pour un parc d’installations, passez par la page contact.

À lire aussi

Questions fréquentes

Peut-on faire de la télémaintenance 4G sans IP fixe sur la carte SIM ?

Oui : le routeur du site ouvre un VPN sortant vers un concentrateur qui dispose, lui, d’une adresse fixe, ce qui fonctionne derrière la traduction d’adresses de l’opérateur. Une IP fixe sur la carte SIM est utile quand le centre de maintenance doit initier la connexion ; elle ne doit alors exposer que le service VPN.

Faut-il ouvrir le port 502 pour un accès distant à un automate en 4G ?

Non. Modbus TCP n’a ni chiffrement ni authentification, et l’ANSSI recommande d’interdire tout accès direct depuis Internet vers un système industriel. Les requêtes Modbus doivent circuler dans un VPN ou dans un APN privé, avec un filtrage qui limite les fonctions autorisées.

La 4G est-elle admise par l’ANSSI pour un système industriel ?

Oui, sous conditions qui dépendent de la classe du système. Dès la classe 1, le sans-fil doit être limité au strict nécessaire ; en classe 3, l’ANSSI recommande de l’éviter sauf absence d’autre solution et de le proscrire pour les liaisons à besoin critique de disponibilité. En classe 4, c’est la télémaintenance elle-même qui n’est pas recommandée.

Combien de données faut-il pour superviser un automate en 4G ?

Pour une lecture de 50 registres Modbus dans un tunnel WireGuard, comptez environ 450 octets par cycle : environ 117 Mo sur 30 jours avec une lecture toutes les 10 secondes, environ 19,5 Mo avec une lecture par minute. Ajoutez les sessions de maintenance, à mesurer sur un cas réel.

OPC UA dispense-t-il de VPN ?

OPC UA peut signer et chiffrer les échanges et authentifie les applications par certificats, et l’ANSSI le cite comme protocole sécurisé et interopérable à privilégier. Il ne doit pas pour autant être exposé sur Internet : le VPN ou l’APN privé limite qui peut seulement atteindre le serveur.

Sources