Un pare-feu Palo Alto neuf se négocie facilement au-dessus de 3 000 € hors licences, alors que la même famille de matériel se trouve en reconditionné pour une fraction de ce prix. Mais le vrai sujet n'est pas le prix du boîtier : ce sont les licences, la version PAN-OS et la date de fin de support. Ce guide sur le Palo Alto d'occasion vous donne les critères techniques pour choisir entre PA-220, PA-820 et PA-3220, les questions à poser au revendeur et les pièges qui transforment une bonne affaire en équipement inutilisable. Vous saurez quel modèle correspond à votre taille d'entreprise, ce qu'un pare-feu de nouvelle génération (NGFW) apporte réellement par rapport à un pare-feu classique, et comment vérifier qu'un appareil est sain avant livraison. Pour la vue d'ensemble du marché, consultez aussi notre guide des firewalls d'occasion.
Un pare-feu Palo Alto est un pare-feu de nouvelle génération (NGFW) qui identifie les applications, les utilisateurs et les contenus au-delà des simples ports et adresses IP, grâce au moteur App-ID et au système PAN-OS.
Ce que vous devez vraiment savoir avant d'acheter
Voici les 7 points à contrôler avant d'acheter un Palo Alto d'occasion :
- Les licences ne suivent pas le matériel. Threat Prevention, URL Filtering, WildFire, DNS Security et GlobalProtect sont des abonnements liés au numéro de série et au compte. Partez du principe que le boîtier est livré sans abonnement actif.
- Le boîtier reste utilisable sans licence. Routage, NAT, zones et règles de sécurité fonctionnent, mais les signatures de menaces et le filtrage d'URL ne sont plus mis à jour.
- La version PAN-OS dépend du modèle. Le PA-220 ne reçoit plus les dernières branches ; contrôlez la matrice de compatibilité et le bulletin de fin de vie sur le site du constructeur.
- Le support constructeur est incertain. Un échange standard (RMA) Palo Alto suppose un contrat de support actif sur le numéro de série. Sans contrat, le recours est la garantie du revendeur.
- Réinitialisation complète. Exigez un retour aux paramètres d'usine (factory reset) et la suppression de toute configuration et clé d'un ancien propriétaire.
- Panorama et haute disponibilité. Une paire HA exige deux boîtiers identiques en modèle et en version ; pour une gestion centralisée, prévoyez Panorama.
- Débits réels. Les chiffres commerciaux (firewall throughput) chutent nettement dès que Threat Prevention, déchiffrement SSL et App-ID sont activés ; dimensionnez sur le débit « threat prevention ».
Questions à poser au revendeur : le numéro de série est-il enregistrable sur un nouveau compte ? Quelle version PAN-OS est installée ? Un test de charge a-t-il été réalisé ? La garantie couvre-t-elle l'alimentation et les ports ? Pour comparer avec des alternatives, lisez nos guides FortiGate d'occasion et SonicWall d'occasion.
Comparatif des modèles Palo Alto d'occasion
| Modèle | Points forts | Limites | Prix indicatif reconditionné |
|---|---|---|---|
| PA-220 | Format compact sans ventilateur, 8 ports RJ45 Gigabit, environ 500 Mbps de débit firewall, prise en main simple | Modèle en fin de vie, pas de SFP, environ 150 Mbps avec Threat Prevention, branche PAN-OS limitée | 250 à 450 € |
| PA-820 | 8 ports RJ45 + 4 SFP, environ 940 Mbps firewall, bon rapport performances/prix pour PME | Pas de SFP+, environ 610 Mbps avec Threat Prevention, licences à racheter | 900 à 1 600 € |
| PA-850 | Environ 1,9 Gbps firewall, alimentation redondante possible, plus de sessions simultanées | Pas de 10G, dimensionnement à vérifier pour le déchiffrement SSL | 1 500 à 2 500 € |
| PA-3220 | Ports SFP+ 10G, plusieurs Gbps de débit, forte capacité de sessions, double alimentation | Encombrant (rack 2U), consommation élevée, prix des licences | 3 500 à 6 000 € |
Les débits ci-dessus sont issus des fiches techniques constructeur (arrondis) et varient selon la configuration ; les prix sont indicatifs, hors licences, et dépendent du stock. Le calendrier officiel de fin de vie Palo Alto Networks reste la référence pour vérifier le statut d'un modèle.
Critères de sélection selon votre usage
PME de moins de 20 postes. Un PA-220 suffit pour un accès Internet de 300 à 500 Mbps avec filtrage applicatif simple. Comme il est en fin de vie, réservez-le à un site secondaire ou à un budget très serré, et prévoyez un remplacement à 2-3 ans. Pour un petit réseau sans besoin applicatif avancé, un modèle plus simple peut suffire : voir notre guide du pare-feu pour PME.
PME de 20 à 100 postes. Le PA-820 (ou PA-850) est le meilleur compromis : ports SFP pour la fibre, débit confortable jusqu'à 1 Gbps et assez de sessions pour du VPN nomade GlobalProtect. Comptez sur le débit « threat prevention » pour dimensionner, pas sur le débit brut.
ETI et sites multiples. Le PA-3220 apporte le 10G, la capacité de sessions et la redondance électrique. Associé à un second boîtier identique en haute disponibilité et à Panorama, il sert de pare-feu de datacenter ou de siège.
Ce que garantit itandoffice.com
Chaque pare-feu passe par une série de tests avant expédition : contrôle du numéro de série, démarrage complet et lecture de la version PAN-OS, burn-in de 48 h sous charge, test de chaque port RJ45 et SFP, test des alimentations et ventilateurs, puis remise aux paramètres d'usine. Le matériel est couvert par la garantie satisfait ou remboursé 30 jours. Le stock est physiquement en France, disponible immédiatement, avec livraison rapide en Europe (France, Belgique, Luxembourg, Suisse, Royaume-Uni, Allemagne, Pays-Bas, Espagne, Italie, Portugal) et reste du monde sur demande.
Exemple de TCO sur 3 ans pour un PA-820 : neuf, comptez environ 3 500 € de matériel plus les abonnements ; en reconditionné, le boîtier se situe entre 900 et 1 600 €, soit 55 à 75 % de moins, les abonnements étant à souscrire dans les deux cas. Nos prix se situent 30 à 70 % sous le neuf selon le modèle et la génération. Consultez les références disponibles dans notre collection firewalls et pare-feu d'occasion.
FAQ — Les 5 questions les plus posées
Un Palo Alto d'occasion fonctionne-t-il sans licence ?
Oui pour le routage, le NAT et le filtrage par règles. Sans abonnements actifs (Threat Prevention, URL Filtering, WildFire, GlobalProtect), les fonctions avancées et les mises à jour de contenu ne sont plus disponibles : il faut souscrire de nouvelles licences auprès de Palo Alto Networks ou d'un partenaire.
Les licences Palo Alto sont-elles transférables ?
Les abonnements sont liés au numéro de série et au compte client. Leur transfert n'est pas automatique et dépend des conditions du constructeur. Considérez qu'un équipement d'occasion est livré sans licence valide, sauf mention écrite contraire.
Quelle version de PAN-OS pour un PA-220 ?
Le PA-220 est en fin de vie : sa dernière branche PAN-OS supportée est antérieure aux versions 11.x. Vérifiez la matrice de compatibilité et les dates de fin de support sur le portail Palo Alto avant l'achat.
PA-220, PA-820 ou PA-3220 : lequel choisir ?
Le PA-220 convient aux petits sites jusqu'à une vingtaine de postes, le PA-820 aux PME de 20 à 100 postes avec fibre SFP, le PA-3220 aux ETI qui exigent un débit multi-gigabit et un grand nombre de sessions simultanées.
Quelle garantie sur un pare-feu Palo Alto reconditionné chez itandoffice.com ?
Chaque équipement est testé (burn-in 48 h, ports, alimentations) puis couvert par la garantie satisfait ou remboursé 30 jours, avec stock en France et livraison rapide en Europe.
Conclusion
Le Palo Alto d'occasion est une option sérieuse si vous acceptez trois règles : racheter les licences, vérifier la version PAN-OS et la fin de vie du modèle, et dimensionner sur le débit avec Threat Prevention activé. PA-220 pour un petit site, PA-820 pour la PME, PA-3220 pour l'ETI. Découvrez nos pare-feux Palo Alto, Fortinet et SonicWall en stock.