DMZ (Demilitarized Zone)

Définition

Une DMZ (Demilitarized Zone, zone démilitarisée) est un sous-réseau physiquement ou logiquement distinct, positionné entre le réseau interne d'une organisation et un réseau externe non maîtrisé comme internet, dédié à héberger les services devant être accessibles publiquement — serveurs web, serveurs de messagerie, résolveurs DNS publics — tout en les isolant strictement des systèmes internes sensibles, appliquant ainsi un principe fondamental de défense en profondeur. L'architecture classique repose sur deux pare-feux distincts définissant trois zones : le réseau externe non fiable, la DMZ elle-même en zone intermédiaire, et le réseau interne protégé, chaque frontière filtrant strictement les flux autorisés selon le principe du moindre privilège. Un serveur web compromis dans la DMZ ne dispose ainsi d'aucun accès direct au réseau interne, l'attaquant devant franchir une seconde barrière pour progresser vers les systèmes critiques, contrairement à une architecture plate donnant un accès immédiat à toute l'infrastructure. Les flux autorisés entre la DMZ et le réseau interne sont généralement limités au strict nécessaire fonctionnel, par exemple une connexion base de données restreinte au port spécifique requis depuis le serveur applicatif concerné. Ce concept, hérité de la terminologie militaire, demeure un principe architectural fondamental malgré l'évolution vers des architectures cloud et Zero Trust qui en réinterprètent la logique via la microsegmentation plutôt que la seule segmentation périmétrique.