Un voisin qui venait « juste checker son mail » chez moi pendant trois semaines. C'est la première chose que je regarde quand j'arrive dans un logement ou un bureau : combien de personnes sont connectées au réseau, et si je reconnais tous les appareils. Dans ce cas-là, non. J'ai ouvert l'interface de la box, et j'ai compté neuf appareils actifs pour trois habitants. Le type de détail qu'on ne voit jamais, parce que personne ne pense à vérifier.
Sécuriser sa connexion wifi à la maison et au bureau, ce n'est pas une histoire de mot de passe à rallonge qu'on note sur un post-it derrière la box. C'est une petite série de décisions concrètes, dont la plupart se prennent une fois et qu'on oublie. Le problème, c'est que les réglages par défaut d'une box opérateur sont pensés pour que tout marche en cinq minutes, pas pour qu'on soit protégé. Et ça, franchement, ça se paie.
Points clés à retenir
- Le WPA3 remplace progressivement le WPA2 depuis quelques années, mais beaucoup de box sont encore livrées en WPA2 mixte.
- Le WPS est le trou dans la porte le plus courant sur les box grand public. À désactiver systématiquement.
- Un réseau invité séparé n'est pas un gadget : c'est ce qui isole les objets connectés et les visiteurs de vos appareils personnels.
- Sur un réseau pro, la segmentation (VLAN) fait plus pour la sécurité que n'importe quel mot de passe sophistiqué.
- Vérifier la liste des appareils connectés reste le contrôle le plus rapide et le plus parlant.
- Un VPN ne sécurise pas votre wifi. Il chiffre votre trafic au-dessus d'un réseau que vous ne contrôlez pas.
Sécuriser son wifi à la maison et au bureau : par où commencer vraiment
La première fois que j'ai mis le nez dans une interface de Freebox, j'ai passé vingt minutes à chercher le menu de sécurité. Il n'est pas caché, mais il n'est pas mis en avant non plus. Et c'est révélateur : les opérateurs ne veulent pas qu'on y touche.
Pourtant, trois réglages suffisent à éliminer l'immense majorité des incursions opportunistes. Pas les attaques ciblées d'un professionnel, on est d'accord. Mais le gars qui se gare dans la rue avec un laptop, ça oui, à cent pour cent.
Le chiffrement, d'abord
Ouvrez l'interface de votre box (en général 192.168.1.1 ou 192.168.0.1, les identifiants sont au dos de l'appareil). Cherchez le menu « wifi », « sécurité » ou « sans fil ». Vous verrez une ligne du type : WPA2-PSK / WPA3-PSK / WPA2-WPA3 mixte / WEP / Aucune.
Si vous voyez WEP, changez immédiatement. Ce protocole se casse en quelques minutes avec les bons outils, il date d'une autre époque et il n'a plus aucune raison d'être actif. Si vous voyez WPA2 seul, c'est acceptable. Si votre box propose WPA3, activez-le — à condition que tous vos appareils le supportent, ce qui n'est pas garanti sur du matériel un peu ancien.
Le mode WPA2/WPA3 mixte est le compromis que je recommande la plupart du temps. Il accepte les vieux appareils sans les exclure, tout en offrant le WPA3 à ceux qui le gèrent.
Désactiver le WPS : deux minutes, gros effet
Le WPS, c'est ce bouton sur la box qui permet d'appairer un appareil sans taper le mot de passe. Pratique. Sauf que la méthode par code PIN, quand elle est activée, se casse par force brute en quelques heures.
Dans la même interface, cherchez « WPS » et désactivez-le. Sur certaines box, l'option est planquée dans un sous-menu « paramètres avancés ». Sur d'autres, c'est un bouton physique qu'on peut désactiver via l'interface. Peu importe où il est : coupez-le.
La contrepartie ? Vous taperez votre mot de passe à chaque nouvel appareil. C'est tout. À mon avis, ce désagrément minuscule vaut largement le risque évité.
Un mot sur les noms de réseau, d'ailleurs. Changer le SSID par défaut ne renforce rien en soi, mais éviter « Freebox-XXXXX » ou « LIVEBOX-XXXX » enlève un indice sur le matériel utilisé. Un attaquant qui connaît votre modèle de box sait quelles failles chercher. Ce n'est pas de la paranoïa, c'est du bon sens.
Le mot de passe de la clé wifi, concrètement
Trente caractères. C'est ce que je mets maintenant sur les réseaux que j'administre, après avoir testé différentes approches. Pas des suites de symboles impossibles à retenir, mais trois ou quatre mots sans rapport collés ensemble, plus deux chiffres et un caractère spécial.
Exemple du genre : chaise-mercure-7jour-tulipe!. C'est long, ça ne veut rien dire, et ça résiste à une attaque par dictionnaire bien mieux qu'un « P@ssw0rd2024 » qui coche toutes les cases de complexité mais figure dans mille listes de mots de passe courants.
Pourquoi ça marche mieux ? Parce qu'un attaquant qui teste des combinaisons à l'aveugle se heurte à l'espace de recherche. Chaque mot supplémentaire multiplie les possibilités par plusieurs milliers. Les règles de « 8 caractères minimum avec majuscule et chiffre » produisent en réalité des mots de passe plus faibles que des phrases longues.
Et l'identifiant d'administration de la box ?
Beaucoup de gens changent le mot de passe wifi et laissent le compte admin en « admin/admin ». C'est une erreur que je vois encore régulièrement en audit. Si quelqu'un accède à l'interface d'administration, il peut changer votre clé wifi, rediriger des ports, ou installer un accès à distance. Changez ce mot-là aussi, et gardez-le différent du mot de passe wifi.
Comment sécuriser son wifi Orange, Freebox, Canalbox
Chaque opérateur range ses menus différemment, mais la logique est la même. Voici comment je m'y prends sur les trois principaux que je croise chez des clients.
| Opérateur | Où trouver les réglages | Point de vigilance |
|---|---|---|
| Orange (Livebox) | Interface locale ou appli Ma Livebox, rubrique « wifi » | Le WPS est activé par défaut. À désactiver manuellement. |
| Free (Freebox) | mafreebox.freebox.fr, rubrique « wifi » | Le mode « WPA2/WPA3 » est récent selon les modèles. Vérifiez qu'il est bien sélectionné. |
| Canalbox | Interface web de la box, menu « réseau » | Certaines versions plus anciennes partent encore en WPA2 seul. Acceptable, mais à faire évoluer. |
Sur une Livebox, par exemple, la page wifi liste bien les appareils connectés. C'est là que j'ai repéré le fameux voisin, justement. Tout appareil inconnu doit vous alerter. Vous pouvez le bloquer directement depuis cette liste.
Sur une Freebox, le menu « réseau » permet aussi de créer un réseau invité séparé. Sur Canalbox, selon les modèles, l'option existe parfois sous un autre nom. Explorez les menus, même ceux qui ne servent « jamais ». C'est souvent là que se cachent les réglages de sécurité.
Réseau invité et segmentation : la vraie différence entre maison et bureau
Un wifi à la maison et un wifi au bureau ne suivent pas la même logique. À la maison, vous vous protégez surtout contre l'extérieur. Au bureau, vous vous protégez aussi contre l'intérieur — un stagiaire qui branche sa clé USB douteuse, un téléphone personnel infecté, une imprimante qui traîne.
Séparer les objets connectés de vos appareils
Les ampoules connectées, prises intelligentes, caméras, télés : la plupart de ces appareils ont des mises à jour de sécurité inexistantes ou presque. Un appareil IoT compromis est une porte d'entrée vers votre réseau. Le placer sur un réseau séparé limite les dégâts.
Sur la plupart des box récentes, cette séparation se fait via le réseau invité. Il a un SSID distinct, son propre mot de passe, et ne voit pas les autres appareils. C'est imparfait — le réseau invité partage souvent la même bande passante — mais c'est déjà énorme.
VLAN en entreprise : quand ça devient indispensable
En entreprise, la segmentation propre s'appelle le VLAN. L'idée : plusieurs réseaux logiques sur la même infrastructure physique. Le réseau des postes de travail, celui des invités, celui des caméras de surveillance et celui des objets métiers ne communiquent pas entre eux, sauf règles explicites.
Concrètement, ça change la donne le jour où un équipement est compromis. L'attaquant reste enfermé dans son VLAN. J'ai vu une PME perdre deux jours d'activité à cause d'une imprimante réseau non isolée qui servait de pivot. Après segmentation, ce scénario ne se reproduit plus.
Si vous n'avez ni l'envie ni les compétences pour gérer un VLAN, un routeur pro avec fonctionnalité de sous-réseaux invités est une alternative raisonnable.
Sécuriser un répéteur wifi : le point qu'on oublie
Un répéteur mal configuré peut annuler tout ce que vous venez de faire. C'est le classique : on verrouille la box, on se sent en sécurité, et l'extension au fond du couloir est restée en configuration d'usine.
Ce qu'il faut vérifier sur chaque répéteur :
- Le protocole de chiffrement doit être aligné sur celui de la box (si la box est en WPA2/WPA3, le répéteur doit suivre).
- Le mot de passe doit être différent de celui par défaut, même si le SSID est identique.
- L'accès à l'interface d'administration du répéteur doit être protégé par un mot de passe fort.
- Les mises à jour firmware doivent être appliquées. Beaucoup de modèles en reçoivent encore.
- Le mode WPS doit être désactivé ici aussi.
Beaucoup de répéteurs bon marché n'ont jamais reçu de mise à jour depuis leur sortie. Dans ce cas, la meilleure mesure est simplement de les remplacer.
VPN, wifi public, télétravail
Un VPN ne sécurise pas votre wifi. Il chiffre votre trafic entre votre appareil et un serveur distant, ce qui protège vos données quand vous passez par un réseau que vous ne contrôlez pas — wifi d'hôtel, gare, coworking.
La nuance compte. Sur votre réseau domestique bien configuré, un VPN ne vous apporte pas grand-chose de plus. En déplacement, en revanche, il devient utile. Un wifi public non chiffré permet à quelqu'un qui écoute le trafic de voir quels sites vous consultez, même en HTTPS, via la résolution DNS.
Pour le télétravail, un VPN d'entreprise qui redirige votre trafic vers le réseau du bureau vous remet dans un environnement contrôlé. C'est la vraie raison pour laquelle les services informatiques en imposent un.
Faut-il un VPN personnel à la maison ?
Franchement, non, si votre box est correctement configurée. Le VPN a du sens pour le voyage, pour contourner une censure, ou pour sortir de son réseau local avec une adresse IP différente. Sur votre propre wifi, il chiffre un trafic qui circule déjà sur votre lien.
Les vérifications que je fais tous les six mois
Rien de compliqué, mais c'est ce qui maintient un réseau propre dans le temps. Le premier passage prend une heure. Les suivants, dix minutes.
- Ouvrir l'interface de la box et lister les appareils connectés. Identifier chaque appareil. Bloquer l'inconnu.
- Vérifier que le chiffrement est toujours en WPA2/WPA3 et que le WPS est bien désactivé (certaines mises à jour réactivent des options).
- Contrôler le firmware de la box, du répéteur et du routeur.
- Passer en revue les mots de passe. Celui du réseau invité doit être changé s'il a circulé chez des visiteurs.
- Vérifier la liste des ports redirigés. Si vous n'en avez pas ajouté, il ne devrait rien y avoir.
Le point deux surprend souvent : certaines mises à jour automatiques remettent des options par défaut. Ce n'est pas fréquent, mais je l'ai déjà constaté deux fois. Ça vaut le coup de vérifier.
Sécuriser son wifi, ce n'est pas une opération qu'on fait une fois et qu'on oublie. C'est un entretien léger, régulier, qui prend peu de temps si on sait où regarder. Le jour où vous ouvrirez la liste des appareils connectés et que vous ne reconnaîtrez pas tout, vous saurez pourquoi ça compte. Et ce jour-là, vous taperez un peu plus vite votre mot de passe de trente caractères.
