Le CASB contrôle l'usage des applications SaaS. En 2026, FortiCASB fournit le CASB API de FortiGuard CASB et FortiSASE, complété par le mode en ligne.
Un CASB (Cloud Access Security Broker) donne à l'entreprise de la visibilité et du contrôle sur l'usage des applications cloud : quels services sont utilisés, quelles données y sont stockées et partagées, et si leur configuration respecte les règles de sécurité. Chez Fortinet, FortiCASB est le service CASB en mode API. En 2026, il n'est plus présenté comme une offre isolée : il constitue la partie API du service FortiGuard CASB et alimente la fonction « API-based CASB » de FortiSASE, tandis que le contrôle en ligne est assuré par FortiGate, FortiSASE et FortiClient.
L'adoption des applications SaaS (messagerie, stockage, collaboration, CRM) déplace une partie des données hors du périmètre contrôlé par le pare-feu. Un CASB répond à quatre besoins principaux :
Il existe deux façons de mettre en œuvre un CASB, et elles ne répondent pas aux mêmes questions.
Le mode API se connecte directement aux applications SaaS par leurs interfaces de programmation, avec une authentification OAuth 2.0. Il fonctionne hors bande : il n'est pas sur le chemin du trafic des utilisateurs et n'a donc pas d'impact sur leurs performances. Il voit les données déjà stockées dans le service, les partages et les configurations, quel que soit l'endroit d'où l'utilisateur s'est connecté. En contrepartie, il agit après coup et dépend des API mises à disposition par chaque éditeur SaaS.
Le mode en ligne (inline) inspecte le trafic en temps réel, au niveau d'un pare-feu, d'un proxy ou d'un service SASE. Il peut bloquer une action au moment où elle se produit, par exemple un téléversement vers un stockage personnel. Il exige en revanche le déchiffrement SSL/TLS du trafic et ne voit que ce qui passe par le point de contrôle.
À la date de rédaction, nous n'avons trouvé dans les sources publiques de Fortinet aucune annonce de fin de vie de FortiCASB ; sa documentation est toujours publiée et mise à jour. En revanche, son positionnement a changé :
Concrètement, pour un nouveau projet, le CASB Fortinet s'aborde aujourd'hui comme une fonction de la plateforme SASE et de la Security Fabric plutôt que comme un produit autonome. Avant tout engagement, vérifiez le statut commercial et les dates de support dans le portail « Product Life Cycle » du support Fortinet, qui fait foi.
Quelle que soit la solution retenue, la démarche reste la même :
Le CASB n'est plus considéré comme un outil isolé. Il fait partie des briques du SASE, aux côtés de la passerelle web sécurisée, du ZTNA et du pare-feu en tant que service. Il complète la démarche Zero Trust : après avoir contrôlé qui accède à une application, il contrôle ce qui est fait avec les données une fois l'accès obtenu.
La sécurité des applications cloud demande de comprendre les modèles de responsabilité partagée, la gouvernance des données et les mécanismes des fournisseurs. La préparation à CSA CCSK v5 couvre ces fondamentaux de manière neutre vis-à-vis des éditeurs, et ISC2 CCSP approfondit l'architecture et l'exploitation de la sécurité cloud. Pour la protection des données dans l'écosystème Microsoft 365, Microsoft SC-401 traite la classification et la prévention des fuites de données.
FortiCASB n'a pas disparu, mais il s'inscrit désormais dans une offre plus large : le CASB API au sein du service FortiGuard CASB et de FortiSASE, complété par le CASB en ligne du FortiGate et de FortiClient. Pour les équipes, l'essentiel est de combiner les deux modes afin de voir à la fois les données déjà stockées dans le cloud et les flux en temps réel.