pfSense vs OPNsense pour le réseau maison (2026)

pfSense vs OPNsense pour le réseau maison se résume à quatre choses en 2026, parce que sur les fonctionnalités les deux se sont en gros rattrapés. Les deux sont des firewalls FreeBSD qui se sont séparés du même arbre généalogique il y a une dizaine d'années. pfSense, piloté par Netgate, c'est le stable, avec l'énorme parc installé. OPNsense, piloté par Deciso, c'est celui à l'UI réactive et léchée, des mises à jour toutes les deux semaines, un IDS inline intégré d'office. J'ai eu les deux sur exactement le même mini-PC N100, les deux saturent ma fibre gigabit, les deux font du WireGuard et de l'OpenVPN sans rechigner. Donc la vraie décision tourne autour de la fréquence des mises à jour, du ressenti de l'UI, de l'étagère des plugins, et de savoir si tu t'aventureras un jour au-delà du simple NAT et des règles de firewall. J'ai fini par trancher. Je vais te dire où.

Les deux vivent sur mon rack depuis des années. Et on me demande encore lequel choisir, à peu près une fois par semaine. Alors voilà la version honnête. Les deux sont des firewalls FreeBSD qui se sont séparés du même arbre généalogique il y a une dizaine d'années. pfSense piloté par Netgate, c'est le stable. Des boîtiers matériels, un parc installé grand comme un petit pays. OPNsense piloté par Deciso, c'est celui à l'UI réactive et léchée, des mises à jour toutes les deux semaines, un IDS inline intégré d'office. J'ai eu les deux sur exactement le même mini-PC N100. Les deux saturent ma fibre gigabit sans broncher, les deux font du WireGuard et de l'OpenVPN sans rechigner. Ce qui veut dire que la décision de 2026 ne tourne plus vraiment autour des fonctionnalités. Sur ce terrain, ils se sont rattrapés. Elle tourne autour de la fréquence des mises à jour que tu veux, de ce que l'UI te fait ressentir, de ce qui traîne sur l'étagère des plugins, et de savoir si tu t'aventureras un jour au-delà du simple NAT, du DHCP et des règles de firewall. J'ai fini par trancher. Je vais te dire où.

Histoire commune, destins divergents

Les deux remontent à m0n0wall le minuscule firewall FreeBSD de Manuel Kasper sorti en 2003. pfSense en a forké en 2004. Puis en 2015, OPNsense a forké de pfSense. Et pas à l'amiable. C'était une brouille autour des accès commit et du degré réel d'ouverture du truc, et on sent encore le froid dans les vieux fils de forum. Sous le capot, ils sont taillés dans la même étoffe. Front-end en PHP, pf comme filtre de paquets, noyau FreeBSD. Ce qui est vraiment différent, c'est qui tient le volant. Netgate gère pfSense comme une entreprise : une Community Edition (CE) gratuite, puis un palier Plus payant qui récupère en général les nouveautés en premier. Deciso gère OPNsense comme un seul projet ouvert. Une édition, point. La « business edition » n'est qu'un contrat de support greffé par-dessus, même code, mêmes binaires. Tu paies juste pour que quelqu'un décroche le téléphone.

Le tableau face à face complet

L'UI et le vécu au quotidien

Connecte-toi à pfSense après l'avoir laissé de côté pendant cinq ans et tu te sentirais comme à la maison. Dense. Sérieux. Rien n'a bougé. Du Bootstrap 4 dessous, surtout des rechargements de page complets à l'ancienne. Chaque page de réglages a sa propre URL, et franchement, j'adore ça. Je peux la mettre en favori, faire un Ctrl-F dessus, et la page ne me piège jamais avec un état JavaScript à moitié chargé. Le revers est purement cosmétique. Les tableaux font un peu daté, les widgets du dashboard restent juste là sans bouger, et sur mon écran 4K le thème par défaut laisse des hectares de vide.

OPNsense a pris l'autre chemin, complètement. Ils ont reconstruit le front-end sur Phalcon, puis avec la 23.7 ils ont misé à fond sur un rendu réactif côté client. Les dashboards se mettent à jour en direct, les listes se virtualisent pour que mon firewall à 5 000 règles ne s'étrangle pas quand je scrolle, le mode sombre est juste là. Aucun plugin, aucune chasse au thème. Ça te coûte quoi ? Moins que tu ne crois. De temps en temps je dois double-cliquer sur un truc que pfSense aurait pris du premier coup, et il y a un petit bundle JS qui ajoute peut-être 200 ms au premier rendu sur un cache froid. Ce compromis, je le prends tous les jours.

Rythme des versions et transparence des mises à jour

Lis cette partie si tu sautes tout le reste. C'est là que les deux divergent vraiment, et pour moi c'est ce qui règle tout le débat.

• pfSense CE sort une version majeure tous les 18 à 24 mois, à la louche, avec des patchs parsemés entre. Plus reçoit les nouvelles fonctionnalités en premier. Netgate ne l'a pas caché ; ils ont dit sans détour que certaines mises à jour CE arrivent des mois après Plus. Tu as des changelogs, certes. Mais l'arbre Git n'est globalement qu'un miroir d'un dépôt privé, poussé par lots. Tu regardes depuis les places les moins chères.
• OPNsense sort deux majeures par an, calées sur janvier et juillet, plus une version stable à peu près toutes les deux semaines. Et l'arbre Git, c'est vraiment le projet. Chaque commit, chaque tag signé, chaque advisory, en plein air, là où tu peux réellement les lire.

Maintenant, si ton firewall est en gros un meuble (tu l'installes, tu l'oublies, tu n'y touches plus pendant trois ans), alors le rythme lent est vraiment un atout, et je ne vais pas le contester. Ce n'est juste pas comme ça que je gère le mien. Quand un sale CVE débarque en amont, je veux le correctif en quelques jours, pas le trimestre prochain, et OPNsense me le fournit. Peut-être que je suis plus nerveux sur le patching que je n'ai besoin de l'être, je veux bien l'admettre. Mais c'est la seule et plus grande raison pour laquelle c'est OPNsense que je garde sur ma propre bordure de réseau.

Plugins et écosystème

OPNsense liste autour de 200 paquets officiels, pfSense environ 70. Ne surinterprète pas cet écart. Il est loin d'être aussi déséquilibré qu'il en a l'air. pfSense a tendance à entasser plus de choses dans chaque paquet, et une grosse part de la liste OPNsense, ce sont des petits plugins mono-tâche. Dans la pratique, ce que tu vas réellement installer s'aligne presque un pour un. pfBlockerNG sur pfSense. Zenarmor et Sensei sur OPNsense. Puis les suspects habituels présents des deux côtés, HAProxy, Squid, Tailscale, Caddy. WireGuard est désormais de première classe sur les deux, et le client comme le serveur OpenVPN marchent tout seuls dans les deux cas.

Là où OPNsense prend de l'avance, c'est sur les paquets plus récents : os-acme-client pour Let's Encrypt, os-frr quand il te faut du vrai routage, os-wireguard avec une UI dans laquelle on s'installe vraiment avec plaisir. Là où pfSense garde l'avantage, c'est sur la profondeur. pfBlockerNG a des réglages à n'en plus finir, et Snort te donne davantage à peaufiner. Ironie de l'histoire, ces deux-là sont nés sur pfSense et ont été portés vers OPNsense plus tard. L'avantage du terrain.

Performances sur matériel prosumer

J'ai fait tourner les deux sur le même mini-PC Intel N100, 8 Go de RAM, en échangeant juste le disque de boot entre eux pour que rien d'autre ne bouge. Voici ce que les chiffres ont dit :

Regarde ces chiffres. À une erreur d'arrondi près, tous autant qu'ils sont. Donc si quelqu'un te raconte que l'un des deux est sensiblement plus rapide que l'autre sur du matériel prosumer en 2026, va voir ce qu'il essaie de te vendre. Le silicium se fiche pas mal du logo affiché sur la page de login.

Support matériel et appliances

Ils tournent sur le même genre de matériel. N'importe quel boîtier x86_64 avec deux NIC ou plus, ce qui couvre quasiment tout ce qui traîne dans un homelab. Les différences n'apparaissent qu'à la marge. Netgate vend ses propres boîtiers (1100, 2100, 4100, 6100, 8200) optimisés pour pfSense Plus, et oui, la CE y tourne parfaitement bien aussi. Deciso vend ses propres boîtiers (DEC650, DEC700, DEC840, DEC2700) optimisés pour OPNsense, déchargement crypto compris. Côté ARM, les deux gèrent l'ARM64 en 2026, mais je donnerais l'avantage à pfSense Plus ici. Son image ARM officielle est la plus aboutie des deux, ou du moins elle l'était la dernière fois que j'ai vérifié. Pour les montages DIY, en revanche ? Un mini-PC, un vieux thin client repêché d'une benne, les deux démarrent sans broncher. pfSense publie une liste de compatibilité matérielle plus longue, mais dans la vraie vie, toutes les NIC Intel et Realtek courantes que j'ai balancées à l'un comme à l'autre ont marché du premier coup.

Le verdict, par cas d'usage

• Tu veux une stabilité « installer et oublier » et un boîtier Netgate que tu peux expédier à ton père sans jamais plus y repenser ? Prends pfSense. C'est le seul cas où j'irais le chercher sans hésiter une seconde.
• Tu veux l'UI moderne, des mises à jour toutes les deux semaines, un arbre Git public que tu peux réellement grepper ? OPNsense. C'est ce qui tourne sur ma propre bordure de réseau.
• Tu veux un IDS inline sans bricoler des paquets en plus ? OPNsense. Déjà dans la boîte.
• Tu veux la doc la plus fouillée et le plus gros forum pour te sortir d'un trou à minuit ? pfSense prend encore celle-là.
• Tu montes une petite stack de service managé que tu vas automatiser ? OPNsense, rien que pour l'API REST que tu n'as pas à payer en plus pour la déverrouiller.
• Tu es nerveux à l'idée qu'une seule entreprise détienne les clés ? OPNsense. Une édition, pas de palier Plus derrière un paywall, rien à remettre en question à 2h du mat'.
• Déjà content sur pfSense Plus et tu connais la doc par cœur ? Alors reste où tu es. Je le pense vraiment. Le mal de crâne de la migration ne vaut pas le peu que tu y gagnerais.

Sources et lectures complémentaires

• pfSense, documentation
• OPNsense, documentation

Questions fréquentes