Isolation de navigateur : trois architectures sous la loupe, et ce que l'Europe a à y gagner

# Isolation de navigateur : trois architectures sous la loupe, et ce que l'Europe a à y gagner

En 2026, le navigateur web est devenu la principale surface d'attaque des entreprises. Phishing, malwares drive-by, scripts malveillants injectés dans des pages légitimes : la menace arrive presque toujours par le browser. Pourtant, la réponse technique dominante à ce problème est aujourd'hui largement verrouillée entre les mains d'acteurs américains.

La levée de fonds de VirtualBrowser — startup européenne spécialisée dans l'isolation de navigateur — rouvre une question stratégique pour les DSI et RSSI du continent : faut-il continuer à déléguer ce maillon critique à des plateformes dont les serveurs, les contrats et les décisions de roadmap échappent au droit européen ?

Pour y répondre, il faut d'abord comprendre de quoi on parle techniquement.

Qu'est-ce que l'isolation de navigateur ?

L'isolation de navigateur, c'est le principe de ne jamais exécuter le code d'une page web sur la machine de l'utilisateur. Au lieu de cela, la navigation se déroule dans un environnement isolé — un conteneur, une machine virtuelle, un serveur distant — et seul le rendu visuel (ce que vous voyez à l'écran) est transmis au poste de travail.

Résultat : si une page contient un malware, ce dernier s'exécute dans la bulle isolée. Il ne touche jamais le système d'information réel.

Il existe plusieurs façons d'implémenter ce principe. Trois architectures se distinguent aujourd'hui sur le marché.

Architecture 1 — RBI (Remote Browser Isolation)

RBI signifie *Remote Browser Isolation* : isolation de navigateur à distance.

Dans cette approche, le navigateur tourne entièrement sur un serveur distant, généralement dans le cloud. L'utilisateur n'interagit qu'avec un flux vidéo ou un rendu graphique de la page. C'est l'équivalent d'un partage d'écran en temps réel avec un navigateur qui vit ailleurs.

Ce que ça implique techniquement

• Latence : chaque action (clic, scroll, saisie) transite par le réseau. L'expérience utilisateur dépend directement de la qualité de la connexion et de la proximité géographique des serveurs.
• Charge serveur : chaque session utilisateur mobilise des ressources CPU et mémoire côté cloud. C'est intensif.
• Surface de contrôle : toute la navigation passe par l'infrastructure de l'opérateur du service. Qui héberge ? Sous quelle juridiction ? Avec quelles clauses de rétention des données de navigation ?

Le nœud de dépendance

Les acteurs américains dominants sur ce segment (Zscaler, Menlo Security, Symantec) opèrent leurs nœuds RBI depuis des datacenters soumis au Cloud Act américain. Ce texte de loi autorise les autorités américaines à exiger l'accès aux données hébergées par des entreprises américaines, où que soient physiquement ces données. Pour une PME européenne, cela signifie que ses flux de navigation — potentiellement sensibles — transitent par une infrastructure sur laquelle le RGPD ne suffit pas à garantir la confidentialité.

Architecture 2 — DOM Isolation (isolation côté client)

DOM signifie *Document Object Model* : c'est la structure interne d'une page web, le modèle que le navigateur construit pour interpréter le HTML, le CSS et le JavaScript.

L'isolation DOM ne déporte pas le navigateur sur un serveur distant. Elle intervient localement, en interceptant et en neutralisant les éléments actifs d'une page web avant qu'ils n'interagissent avec le système. On "nettoie" le contenu de la page à la volée.

Ce que ça implique techniquement

• Latence quasi nulle : tout se passe sur la machine de l'utilisateur ou sur un proxy réseau de proximité. Pas de flux vidéo à transmettre.
• Compatibilité limitée : certaines applications web complexes (SaaS métiers, outils collaboratifs) reposent sur des interactions JavaScript avancées que le filtrage DOM peut casser ou rendre instables.
• Efficacité partielle : cette approche réduit la surface d'attaque mais n'isole pas complètement l'exécution du code. Des vecteurs d'attaque sophistiqués peuvent contourner le filtrage.

Le nœud de dépendance

Les solutions DOM isolation sont souvent intégrées directement dans des navigateurs d'entreprise ou des proxys web dont l'éditeur est américain. La dépendance se joue moins sur l'hébergement que sur la mise à jour des signatures de filtrage : si la règle de neutralisation d'un nouveau vecteur d'attaque est publiée par un éditeur américain, l'entreprise européenne est tributaire de sa roadmap, de ses priorités commerciales et de ses éventuelles obligations vis-à-vis d'agences gouvernementales.

Architecture 3 — Browser-in-Browser sur infrastructure souveraine (l'approche VirtualBrowser)

Cette troisième voie combine les avantages des deux précédentes en cherchant à en corriger les failles.

Le principe : un navigateur complet et isolé tourne dans un conteneur léger (technologie proche du WebAssembly ou des microVMs), déployable sur l'infrastructure de l'entreprise elle-même ou sur un cloud européen certifié. L'utilisateur interagit avec ce navigateur comme avec le sien, mais son système réel n'est jamais exposé.

VirtualBrowser, avec ses 6 M€ levés, pousse précisément cette architecture : une isolation forte, déployable on-premise ou sur des clouds conformes au droit européen, avec un code auditable.

Ce que ça implique techniquement

• Isolation forte : le code malveillant s'exécute dans le conteneur et ne peut pas atteindre le poste de travail ni le réseau interne.
• Déploiement flexible : l'entreprise choisit où tourne l'infrastructure. Datacenters internes, cloud souverain français ou allemand — la donnée ne quitte pas le périmètre contractuel voulu.
• Maintenance à assumer : contrairement au RBI en mode SaaS, la mise à jour des conteneurs et la gestion de l'infrastructure reviennent à l'équipe IT. C'est un arbitrage à faire en fonction de la maturité de l'organisation.

Le nœud de dépendance — ou son absence

C'est ici que l'enjeu souverainiste est le plus tangible. Si le code source est auditable, si l'infrastructure est hébergée en Europe sous droit européen, et si l'éditeur est soumis au RGPD sans clause dérogatoire étrangère, alors l'entreprise reprend le contrôle sur un maillon qui, jusqu'ici, lui échappait.

Tableau comparatif

| Critère | RBI (acteurs US dominants) | DOM Isolation | Browser-in-Browser souverain |

|---|---|---|---|

| Lieu d'exécution | Serveurs distants (cloud US) | Local / proxy réseau | On-premise ou cloud européen |

| Niveau d'isolation | Fort | Partiel | Fort |

| Juridiction des données | Cloud Act applicable | Dépend de l'éditeur | Droit européen si bien configuré |

| Auditabilité du code | Non (boîte noire) | Partielle | Possible (open-source ou auditable) |

| Impact sur l'expérience utilisateur | Latence réseau | Risques de compatibilité | Proche du natif |

| Dépendance à la roadmap éditeur | Forte | Forte | Réduite |

Ce que cette levée de fonds révèle sur la dépendance européenne

La levée de VirtualBrowser n'est pas seulement une bonne nouvelle pour une startup. C'est un signal sur l'état du marché.

Pendant des années, les RSSI européens ont contourné le problème de la souveraineté sur la sécurité web en acceptant que l'isolation soit fournie par des plateformes américaines. Le raisonnement implicite : "on n'a pas le choix, ce sont les seuls à avoir la maturité technique".

Ce raisonnement est en train de s'effriter. D'abord parce que des alternatives techniques existent — et la levée de fonds de VirtualBrowser montre que des investisseurs européens y croient. Ensuite parce que le contexte réglementaire se durcit : la directive NIS 2 (Network and Information Security), entrée en application en 2024 et dont les effets se font pleinement sentir en 2026, impose aux opérateurs d'entités essentielles et importantes de démontrer la maîtrise de leur chaîne de sous-traitance numérique. Un prestataire de sécurité web soumis au Cloud Act est une question que les auditeurs NIS 2 commencent à poser.

La vraie question n'est plus "est-ce que l'isolation de navigateur est utile ?" — elle l'est clairement. La vraie question est : à qui appartient l'infrastructure qui exécute votre navigation d'entreprise ?

Les DSI et RSSI qui s'étaient habitués à répondre "à un acteur américain" ont désormais moins d'excuses techniques pour ne pas reconsidérer cet arbitrage.

*VirtualBrowser est une startup européenne spécialisée dans l'isolation de navigateur en environnement d'entreprise. NIS 2 désigne la directive européenne sur la sécurité des réseaux et des systèmes d'information, révisée en 2022. Le Cloud Act (Clarifying Lawful Overseas Use of Data Act) est une loi américaine de 2018 permettant aux autorités américaines d'accéder aux données hébergées par des entreprises américaines, indépendamment de leur localisation géographique.*