FortiClient sécurise l'accès distant et protège les postes. Éditions, EMS, passage à l'IPsec, ZTNA et intégration dans FortiEndpoint.
FortiClient est l'agent de Fortinet installé sur les postes de travail : il assure l'accès distant sécurisé (VPN et ZTNA), le filtrage web et, selon l'édition, la protection contre les logiciels malveillants. Géré de façon centralisée par FortiClient EMS, il remonte aussi l'état de sécurité du poste à la Security Fabric. En 2026, il fait partie de la plateforme FortiEndpoint, qui réunit FortiClient et FortiEDR sous un même agent et une même console.
FortiClient est conçu comme un agent modulaire. Les fonctions activées dépendent de l'édition et de la licence :
Il existe également une version gratuite limitée au VPN, sans gestion centralisée ni support, adaptée à un usage ponctuel mais pas à un parc d'entreprise.
L'intérêt de FortiClient en entreprise tient surtout à sa gestion par FortiClient EMS (Endpoint Management Server), sur site, ou par son équivalent cloud. EMS permet de :
Ces étiquettes sont partagées avec le FortiGate, qui peut les utiliser dans ses règles. Un poste non conforme peut ainsi être mis en quarantaine ou se voir refuser l'accès à certaines applications.
Beaucoup d'organisations utilisent FortiClient comme client SSL VPN en mode tunnel. Or, à partir de FortiOS 7.6.3, le mode tunnel SSL VPN n'est plus pris en charge sur FortiGate et ses configurations ne sont pas reprises lors de la mise à niveau. Fortinet demande de migrer vers l'IPsec VPN avant de passer à cette version. L'IPsec peut fonctionner sur TCP (port 443 par défaut) pour traverser les réseaux où l'UDP est filtré. L'ancien mode web, qui ne nécessite pas d'agent, est conservé sous le nom « Agentless VPN ».
Pour les administrateurs, cela implique de préparer de nouveaux profils VPN IPsec dans EMS, de les tester, puis de les pousser sur les postes avant la mise à jour des pare-feu, afin d'éviter une coupure de l'accès distant.
Avec le ZTNA, FortiClient ne donne plus accès à un réseau entier mais à des applications précises. Le FortiGate agit comme proxy d'accès devant les applications et vérifie, pour chaque connexion, l'identité de l'utilisateur, le certificat du poste délivré par EMS et ses étiquettes de posture. Si la posture se dégrade pendant la session, l'accès peut être révoqué. Ce modèle réduit les possibilités de déplacement latéral en cas de compromission d'un poste.
Fortinet regroupe désormais ses offres de poste sous le nom FortiEndpoint. La plateforme réunit dans un agent unique et une console commune les fonctions de ZTNA, VPN, protection des postes, antivirus, EDR (détection et réponse sur les postes, apportée par FortiEDR), protection des données et visibilité sur l'usage des applications d'IA. L'intégration de l'agent FortiEDR dans FortiClient apparaît dans la documentation à partir de FortiClient 7.4.1. En juillet 2026, Fortinet y a ajouté FortiAI-Assist, pour interroger la console en langage naturel, ainsi qu'une prévention de fuite de données native.
Pour un parc déjà équipé de FortiClient, cette évolution permet d'envisager l'EDR sans multiplier les agents sur les postes.
L'administration de FortiClient est étroitement liée à celle du FortiGate : VPN IPsec, ZTNA, étiquettes de posture et règles de sécurité se configurent des deux côtés. La préparation à la certification FortiGate Administrator couvre la partie pare-feu. Pour la défense des postes et du réseau de manière plus générale, EC-Council CND aborde la protection des terminaux et la surveillance, et CompTIA Security+ fournit les bases indispensables.
FortiClient n'est plus un simple client VPN : c'est l'agent qui relie le poste de travail à la politique de sécurité de l'entreprise. Les priorités en 2026 sont claires : migrer les accès SSL VPN en mode tunnel vers l'IPsec, s'appuyer sur EMS et les étiquettes de posture pour le ZTNA, et évaluer la convergence avec FortiEDR au sein de FortiEndpoint.