RBI vs VDI : comparaison des approches d'isolation des navigateurs pour un accès sécurisé

De nombreuses organisations ont adopté la VDI il y a plusieurs années afin de centraliser la gestion des postes de travail pour les télétravailleurs, les prestataires externes et les charges de travail soumises à une réglementation. Mais le paysage de l’accès a radicalement changé : la plupart des activités professionnelles s’effectuent désormais dans un navigateur connecté à des applications SaaS, et non plus sur un poste de travail Windows installé localement. Lorsque le véritable besoin réside dans un accès sécurisé via un navigateur — et non dans un poste de travail virtuel complet — Remote Browser Isolation (RBI) offre le même niveau de protection des données pour un coût et une complexité bien moindres. Cette comparaison met en lumière les différences architecturales, les modèles de coûts, les réalités de déploiement et les critères de décision dont les responsables informatiques et de la sécurité ont besoin pour choisir la bonne approche.

Qu'est-ce que la VDI — et quel problème résout-elle réellement ?

L'infrastructure de bureau virtuel (VDI) met à disposition un environnement de bureau complet — système d'exploitation, applications installées, système de fichiers, périphériques — sur un serveur centralisé et diffuse l'affichage vers l'appareil de l'utilisateur via un protocole d'affichage à distance. La VDI est hébergée dans le centre de données de l'entreprise elle-même, et il incombe au client d'acheter, de déployer et de gérer l'infrastructure, ainsi que de fournir l'environnement d'exploitation. Le DaaS hébergé dans le cloud transfère l’infrastructure à un fournisseur, mais l’architecture reste conceptuellement similaire : un bureau Windows (ou Linux) complet par session utilisateur.

La VDI s’avère particulièrement efficace dans certains scénarios spécifiques. Un modélisateur financier utilisant des classeurs Excel complexes connectés à des terminaux Bloomberg propriétaires et à des moteurs de gestion des risques internes a besoin d’un environnement de bureau complet : l’isolation par navigateur ne suffit pas à elle seule à prendre en charge les compléments COM+ ou les outils de conformité réservés aux postes de travail. De même, une équipe informatique du secteur de la santé exigeant qu’aucune donnée patient ne passe par les terminaux des sous-traitants peut recourir à des postes de travail VDI non persistants qui détruisent l’image de session à la déconnexion, garantissant ainsi que les informations médicales protégées (PHI) restent confinées au périmètre du centre de données.

Magic Quadrant 2025 de Gartner Magic Quadrant DaaS prévoit que d’ici 2027, les postes de travail virtuels seront rentables pour 95 % des employés, contre 40 % en 2019 — mais ils constitueront l’espace de travail principal d’environ un employé sur cinq. « Rentable » ne signifie pas « adapté ». Ce ratio révèle un élément important : quatre travailleurs sur cinq n'utiliseront pas de bureau virtuel comme environnement principal. Pour la grande majorité d'entre eux, une approche plus légère est mieux adaptée.

Qu'est-ce que le RBI — et en quoi sa conception diffère-t-elle ?

Remote Browser Isolation RBI) exécute le contenu Web au sein d'un conteneur sécurisé et éphémère dans le cloud. La page ne s'affiche jamais sur l'appareil local ; à la place, l'utilisateur reçoit un flux de pixels, un DOM reconstitué ou un rendu vectoriel réseau de la page. Tous les scripts malveillants, les téléchargements automatiques et les charges utiles d'exploitation sont confinés et détruits à la fin de la session.

Prenons l’exemple d’un cabinet de conseil qui recrute 200 prestataires pour une mission d’audit d’une durée de six mois. Chaque prestataire doit pouvoir accéder à Salesforce, à ServiceNow et à un portail interne personnalisé dédié aux réclamations — toutes ces applications étant des solutions SaaS ou des applications web. Un service RBI intégré à la secure web gateway achemine chaque session via un conteneur de navigateur isolé. Le collaborateur bénéficie d’une expérience de navigation normale ; le cabinet applique des mesures de prévention des fuites de données (DLP) sur les actions liées au presse-papiers, aux téléchargements, aux envois et à l’impression, sans avoir à provisionner le moindre bureau virtuel, à gérer des images Windows ni à expédier de matériel.

Le marché du RBI a connu une expansion rapide : passant de 0,78 milliard de dollars en 2024 à 1,04 milliard de dollars prévus en 2025, ce qui correspond à un TCAC de 33,1 % (The Business Research Company, 2025). Cette croissance s’explique par le fait que les entreprises se rendent compte que l’isolation du navigateur répond précisément au cas d’utilisation — l’accès sécurisé au Web et aux services SaaS — qui justifiait autrefois la plupart des déploiements de VDI.

RBI vs VDI : aperçu des principales différences

Le tableau comparatif ci-dessous présente les critères les plus importants à prendre en compte pour choisir entre ces deux approches.

VDI/DaaS vs Remote Browser Isolation

La session VDI qui devrait être une session RBI

Voici un scénario auquel les architectes de sécurité sont constamment confrontés. Une compagnie d’assurance de taille moyenne paie pour des licences DaaS attribuées à 350 experts en sinistres externes. Chaque expert accède à exactement trois applications web : une plateforme SaaS de gestion des sinistres, un outil d’examen de documents basé sur le cloud et un portail interne développé à l’aide d’une pile web moderne. Personne n’exécute de macros Excel, n’installe de logiciels locaux ni n’utilise de périphériques. Aux tarifs habituels du DaaS, la facture annuelle pour ces licences à elles seules s’élève largement à six chiffres — sans compter la main-d’œuvre liée à la gestion des images, l’optimisation des IOPS de stockage, le dépannage des « tempêtes de connexions » et les exercices d’urgence périodiques lorsqu’une mise à jour du protocole d’affichage perturbe la redirection du presse-papiers.

Le remplacement de ces postes VDI par des sessions RBI fournies via une plateforme SSE élimine totalement la gestion des images. Les politiques DLP sont appliquées en temps réel lors des opérations de copier-coller, de téléchargement et d’impression, sans nécessiter d’agents supplémentaires. Les experts se connectent depuis leurs propres appareils via un navigateur HTML5 ; aucune installation de client n’est requise. Les politiques CASB de la plateforme SSE déterminent les applications SaaS auxquelles chaque expert peut accéder, tandis que le service RBI garantit qu’aucune donnée ne transite par le terminal local.

Pour la partie des utilisateurs expérimentés en interne qui ont réellement besoin d’un poste de travail complet — les actuaires qui exécutent des modèles analytiques complexes, les administrateurs informatiques qui gèrent l’infrastructure sur site —, la VDI reste l’outil le plus adapté. L’erreur consiste à proposer un poste de travail virtuel coûteux à tous les utilisateurs, alors que la plupart d’entre eux n’ont besoin que d’un navigateur sécurisé.

Quand la VDI reste la solution la plus adaptée

La VDI s'avère rentable dans les cas où un environnement de bureau complet est indispensable :

Applications Win32 héritées. L'équipe d'ingénierie d'un fabricant utilise un plug-in de CAO vieux de 15 ans qui ne fonctionne que sous Windows 10 avec une version spécifique du framework .NET. Il n'est pas possible de conteneuriser cette application au sein d'une session de navigateur. La VDI fournit l'image exacte du système d'exploitation requise par l'application, avec un rendu pris en charge par le GPU pour la modélisation 3D exigeante en termes de performances.

Des postes de travail réglementés dotés de pistes d'audit complètes. Un prestataire du secteur public soumis aux normes ITAR ou au niveau 3 de la certification CMMC peut être amené à démontrer que toutes les opérations informatiques ont été effectuées au sein d'un environnement contrôlé, avec enregistrement des sessions, journalisation des frappes et garanties de résidence physique des données au niveau de la machine virtuelle. La VDI — en particulier les postes de travail non persistants détruits après chaque session — répond à ces exigences de manière plus directe que l'isolation du navigateur à elle seule.

Flux de travail gourmands en ressources sur poste de travail. Les agents de centre d'appels qui doivent jongler simultanément entre un CRM, un client de téléphonie, un outil de partage d'écran et une base de connaissances peuvent être plus performants dans une session VDI optimisée de bout en bout pour ce flux de travail multi-applications, en particulier lorsque l'entreprise a déjà investi dans l'optimisation des protocoles d'affichage et la gestion des profils.

Gartner ne prévoit pas la disparition pure et simple de la VDI : les déploiements sur site persistent, en particulier au sein des organisations soucieuses de sécurité qui exigent un contrôle sur leur infrastructure physique. Cependant, les nouveaux déploiements nets de virtualisation de postes de travail concernent presque exclusivement le DaaS, ce qui indique que même les partisans de la VDI transfèrent désormais leurs charges de travail vers le cloud.

Quand la RBI est la solution la plus adaptée

RBI s'adapte parfaitement aux modèles d'accès qui prédominent aujourd'hui dans la plupart des entreprises :

Accès des prestataires et des tiers aux solutions SaaS. Un cabinet de conseil intègre 500 auditeurs qui ont besoin de Workday, de Slack et d’un portail web personnalisé. La mise à disposition de postes de travail VDI pour 500 utilisateurs temporaires implique la gestion des licences, des images, des profils et la suppression des accès à la fin du projet. RBI offre à chaque prestataire une session de navigation sécurisée dotée de contrôles de données basés sur la prévention des fuites (DLP) : aucun poste de travail à configurer, aucun poste de travail à désinstaller. Le rapport DBIR 2025 de Verizon a révélé que l’implication de tiers avait bondi à 30 % de l’ensemble des violations de données, soit le double de l’année précédente — faisant de l’intégration rapide et sécurisée des prestataires un impératif de réduction des risques, et non plus seulement une question de commodité.

Accès des appareils non gérés et BYOD. La norme NIST SP 800-46, révision 2, recommande aux organisations de partir du principe que les appareils utilisés pour le télétravail seront infectés par des logiciels malveillants. RBI applique précisément ce principe : l’appareil ne traite jamais directement le contenu Web ; ainsi, même un ordinateur portable BYOD compromis ne peut extraire aucune donnée de la session isolée. Les organisations qui doivent protéger leurs applications cloud contre les appareils non gérés trouvent en RBI la solution idéale.

Protection contre la navigation à haut risque et le hameçonnage. Le rapport DBIR 2025 de Verizon a analysé plus de 22 000 incidents de sécurité, les identifiants volés représentant 22 % des violations. Les pages de hameçonnage et les kits d'exploitation basés sur le navigateur ciblent directement le terminal. RBI affiche ces pages dans un conteneur jetable : même si un utilisateur clique sur un lien malveillant, la charge utile n'atteint jamais l'appareil local.

Gouvernance des outils d'IA. Un collaborateur colle des dossiers clients dans un chatbot IA non approuvé via son navigateur. Grâce à l'intégration de RBI dans une plateforme SSE, les politiques DLP interceptent l'action de collage, bloquent les données sensibles et enregistrent la tentative — le tout sans agent sur le terminal.

Un cadre décisionnel pour choisir entre RBI et VDI

Plutôt que de choisir une seule technologie et d'imposer son utilisation à tous les utilisateurs, associez chaque profil d'utilisateur à la méthode d'accès minimale viable :

Étape 1 : Recenser les modes d'accès. Pour chaque groupe d'utilisateurs, dressez la liste des applications utilisées, des types d'appareils utilisés et précisez si le flux de travail nécessite un système d'exploitation complet ou uniquement un navigateur. La plupart des organisations constatent que la grande majorité de leurs utilisateurs travaille exclusivement avec des applications Web et SaaS.

Étape 2 : Évaluez chaque persona en fonction des critères de décision.

Étape 3 : Mettre en place des contrôles « Zero Trust ». Le modèle de maturité « Zero Trust » v2.0 de la CISA fournit aux professionnels une feuille de route concrète de mise en œuvre mettant l’accent sur l’automatisation, l’analyse et une gouvernance rigoureuse articulée autour de cinq piliers. À un niveau de maturité optimal, le modèle RBI est appliqué de manière automatique et transparente à toutes les sessions Web privilégiées, non gérées ou à haut risque. Pour les sessions VDI, appliquez des politiques d’accès conditionnel qui vérifient l’état de sécurité du terminal, l’identité de l’utilisateur et le contexte de la session avant d’accorder l’accès complet au bureau.

Étape 4 : Exécutez le modèle de coûts. Calculez le coût total de possession (TCO) de la VDI par utilisateur et par mois — en incluant la puissance de calcul, le stockage, les licences, les coûts de main-d’œuvre liés à la gestion des images, l’assistance technique et le renouvellement périodique du matériel. Comparez ce chiffre au coût du RBI inclus dans votre abonnement à la plateforme SSE. Gartner prévoit que les dépenses liées au DaaS passeront de 4,3 milliards de dollars en 2025 à 6,0 milliards de dollars d’ici 2029, avec un taux de croissance annuel composé de 7,9 % — et souligne que le marché de la VDI sur site est en recul, les clients migrant leurs charges de travail vers le DaaS. Pour les profils utilisant uniquement un navigateur, l’écart de coût est nettement en faveur du RBI.

Étape 5 : Harmoniser la gestion des politiques. Les architectures les plus performantes unifient les environnements VDI et RBI sous un moteur de politiques unique. Les règles DLP qui bloquent le téléchargement de données à caractère personnel (PII) depuis Salesforce doivent s’appliquer de manière identique, que l’utilisateur accède à Salesforce via un navigateur VDI ou une session RBI. Une plateforme SSE intégrant les fonctionnalités CASB, SWG, DLP et RBI permet cette application unifiée sans nécessiter la gestion de piles de politiques parallèles.

Comment les technologies RBI et VDI se complètent dans les architectures d'entreprise

Cette comparaison ne relève pas d'une approche à somme nulle. La plupart des entreprises continueront à utiliser la VDI pour un sous-ensemble bien défini de profils d'utilisateurs, tout en transférant la majorité des accès via navigateur vers la RBI, dans le cadre d'une architecture SSE.

Voici à quoi ressemble une solution hybride concrète : une société de services financiers exploite 200 postes de travail VDI persistants destinés à des traders qui ont besoin du terminal Bloomberg, d’outils d’analyse propriétaires et de flux de données de marché en temps réel — autant de processus de travail qui dépendent du poste de travail. Cette même entreprise utilise RBI pour 2 000 collaborateurs des services opérationnels, chargés de clientèle et auditeurs externes qui accèdent à Salesforce, ServiceNow et à des portails web internes. La plateforme Skyhigh SSE de l’entreprise applique des politiques cohérentes en matière de prévention des fuites de données (DLP) et d’accès pour ces deux groupes, tandis que le service d’isolation des navigateurs se charge de la tâche fastidieuse de confinement des sessions pour le groupe le plus important.

Le rapport « State of VDI 2025 » de Forrester souligne que les nouvelles technologies informatiques destinées aux utilisateurs finaux, telles que Zero Trust Network Access et les navigateurs d’entreprise, offrent davantage d’options aux clients de la VDI. Cette tendance reflète la réalité opérationnelle : la VDI n’est plus la solution par défaut pour un accès à distance sécurisé — elle constitue désormais un outil parmi d’autres au sein d’une palette plus large de solutions d’accès sécurisé. L’étude de la CSA de 2026 sur le navigateur en tant que point d’application des politiques renforce cette évolution, décrivant le navigateur comme le canal d’accès universel aux applications SaaS, aux outils de développement et aux ressources d’IA privilégiées — une couche d’accès que le RBI sécurise sans nécessiter une pile de bureau complète.