Sécuriser ses objets connectés à la maison : 7 réflexes indispensables

Le boîtier de votre box internet clignote tranquillement dans l'entrée, et quelque part derrière ce petit plastique blanc, une vingtaine d'appareils attendent sagement qu'on leur parle. Une caméra qui surveille le jardin, un thermostat qui a appris vos horaires, une enceinte qui écoute un mot d'éveil toutes les dix secondes. Chacun d'eux est un petit ordinateur. Chacun d'eux est une porte.

La question qu'on me pose le plus souvent n'est pas « comment ça marche » mais « est-ce que je risque vraiment quelque chose ». Et la réponse honnête est : pas parce qu'un attaquant vous vise personnellement. Parce que vous êtes une cible facile, rejointe automatiquement dans un balayage.

Sécuriser ses objets connectés à la maison : commencez par le routeur, pas par les objets

Quand on parle de sécuriser ses objets connectés à la maison, tout le monde saute directement à la caméra, à la prise intelligente, à la montre. C'est une erreur de débutant. Et je l'ai commise.

Ma première année avec une maison semi-connectée, j'ai passé des heures à changer des mots de passe sur des périphériques, à fouiller des applications mobiles mal fichues, à chercher des réglages que les fabricants avaient planqués au fin fond d'un menu. Résultat : trois semaines perdues, deux objets abandonnés en cours de route, et une faille béante que je n'avais même pas regardée — la configuration de ma box.

Pourquoi le routeur concentre tous les risques

Un objet connecté est rarement attaqué pour lui-même. Il est attaqué pour ce qu'il permet d'atteindre. Une prise connectée mal protégée donne accès au réseau Wi-Fi. Le réseau Wi-Fi donne accès aux ordinateurs, aux téléphones, aux NAS, parfois au compte de messagerie qui traîne dans un navigateur. La chaîne est simple, et elle passe presque toujours par la même pièce : le routeur.

Le problème est que la configuration par défaut d'une box, telle qu'elle sort de chez l'opérateur, est pensée pour que « ça marche tout de suite ». Pas pour que ce soit fermé. Beaucoup de box arrivent encore avec le WPS activé, l'UPnP ouvert, un SSID qui indique le modèle exact du matériel, et une interface d'administration accessible depuis le réseau local avec des identifiants imprimés sur une étiquette.

Ce n'est pas une fatalité. Mais il faut mettre les mains dedans.

Les réglages à changer, dans l'ordre

1. Le mot de passe de l'interface d'administration. Pas celui du Wi-Fi. Celui de la page à laquelle on accède en tapant une adresse dans le navigateur. S'il est encore sur l'étiquette du carton, changez-le ce soir.
2. Renommez le SSID. « Livebox-4A7F » ou « Freebox-de-Julien » disent à n'importe qui quel matériel vous utilisez et parfois qui vous êtes. Un nom neutre suffit.
3. Désactivez le WPS. Cette fonction qui permet de connecter un appareil en appuyant sur un bouton est pratique et c'est précisément ce qui la rend problématique.
4. Coupez l'UPnP. L'Universal Plug and Play laisse les appareils ouvrir eux-mêmes des ports vers l'extérieur. Certains objets connectés en abusent sans vous demander votre avis.
5. Passez le Wi-Fi en WPA2 ou WPA3. Si la box propose encore du WEP ou du WPA tout court, c'est un signe qu'il faut la remplacer.

Ces cinq points prennent une demi-heure. Ils éliminent la majorité des scénarios d'intrusion qu'on voit en pratique.

Comment fonctionne un objet connecté (et pourquoi ça change tout pour la sécurité)

Un objet connecté, ce n'est pas un petit ordinateur. C'est un ordinateur avec un système d'exploitation figé, un processeur minimal, et une mémoire minuscule. Et cette contrainte matérielle est la source de tous les problèmes de sécurité qu'on rencontre.

L'anatomie cachée d'une prise ou d'une caméra

À l'intérieur, on trouve généralement :

• un microcontrôleur ou un petit processeur ARM,
• un module Wi-Fi ou Zigbee qui gère la communication,
• un firmware, c'est-à-dire le logiciel embarqué, qui ne change presque jamais après la sortie d'usine,
• un capteur, une LED, un haut-parleur, selon l'usage,
• et souvent, un serveur distant chez le fabricant, sans lequel l'objet devient inutile.

C'est ce dernier point qui déroute le plus les gens. Beaucoup d'objets ne communiquent pas directement avec votre téléphone : ils envoient leurs données à un serveur, qui les renvoie à l'application. Le trajet passe donc par Internet. Votre caméra de salon envoie une vidéo à un datacenter en Asie ou en Europe, qui la stocke, et votre téléphone la récupère.

Vous voyez le problème ?

Firmware, fin de support, et objets zombies

Le firmware est le point faible principal. Un fabricant qui sort un objet à 25 euros n'a aucun intérêt économique à maintenir le firmware pendant dix ans. Beaucoup arrêtent au bout de deux ou trois ans, parfois moins. C'est ce qu'on appelle la fin de support, ou end of life.

Un objet en fin de support continue à fonctionner. Il continue à envoyer des données. Il continue à être accessible depuis Internet s'il était configuré ainsi. Mais plus personne ne corrige ses failles. Quand une vulnérabilité est découverte publiquement, elle reste ouverte.

La bonne question à se poser, ce n'est pas « est-ce que cet objet est sécurisé ». C'est « est-ce que cet objet reçoit encore des mises à jour ». Si vous ne trouvez pas la réponse en quelques minutes, considérez que non.

Segmenter son réseau : la seule mesure qui change vraiment la donne

Il existe une technique qui fait plus pour la sécurité d'une maison connectée que toutes les autres réunies. Elle consiste à créer deux réseaux Wi-Fi séparés. Un pour les humains (ordinateurs, téléphones, tablettes, télétravail), un pour les machines (prises, ampoules, caméras, enceintes, robots aspirateurs).

Avec cette séparation, un objet compromis n'a plus accès à vos appareils personnels. Il est enfermé dans un réseau où il ne trouve que ses semblables. Le gain est considérable, et le coût est nul : la plupart des box récentes proposent un réseau invité, qu'il suffit d'activer et de dédier aux objets.

Mise en place concrète, sans matériel supplémentaire

1. Activez le réseau invité de votre box, avec un mot de passe long et unique.
2. Désactivez sur ce réseau toute option d'accès au réseau local (« isolation client » ou « client isolation » selon les interfaces).
3. Déconnectez chaque objet connecté du réseau principal et reconnectez-le au réseau invité.
4. Vérifiez depuis votre téléphone (resté sur le réseau principal) que vous ne pouvez plus joindre l'interface d'une caméra ou d'une prise par son adresse IP locale.
5. Si un appareil refuse de fonctionner sur le réseau invité — c'est fréquent avec certaines enceintes —, acceptez le compromis et notez-le quelque part, ou changez d'appareil à la prochaine occasion.

J'ai fait cette bascule en une soirée. Il m'a fallu trois tentatives pour reconnecter une enceinte qui refusait obstinément, et j'ai fini par la laisser sur le réseau principal. Mais les douze autres objets sont passés sans problème, et le test d'isolation a confirmé que la séparation tenait.

Et si je veux aller plus loin ?

Pour ceux qui ont un routeur dédié plutôt qu'une box opérateur, la segmentation peut se faire par VLAN. Un VLAN pour l'IoT, un pour les postes de travail, un pour les invités. C'est plus propre, c'est plus flexible, et ça demande un peu plus de compétence réseau. Pour une maison classique, le réseau invité bien configuré couvre 90 % du besoin.

Approche	Difficulté	Matériel requis	Gain de sécurité
Réseau invité de la box	Faible	Aucun	Élevé
Routeur dédié + VLAN	Moyenne à élevée	Routeur compatible	Très élevé
Point d'accès Wi-Fi séparé	Moyenne	Point d'accès	Élevé
Rien, tout sur un seul réseau	Aucune	Aucun	Faible

Les réglages qu'on oublie systématiquement

Une fois le réseau segmenté, il reste quelques habitudes à prendre. Elles ne sont pas spectaculaires, mais elles rattrapent les cas où le reste a échoué.

Des mots de passe uniques, vraiment

Le mot de passe par défaut d'un objet est souvent « admin/admin » ou une variation du genre. Il est documenté publiquement, dans les manuels, sur les sites des fabricants. Le changer est la première chose à faire, avant même de brancher l'objet à Internet si possible.

Et « unique » veut dire unique par appareil. Un même mot de passe réutilisé sur douze objets transforme une fuite en catastrophe. Un gestionnaire de mots de passe règle la question : vous n'en retenez qu'un seul, il génère les autres.

Couper ce qui ne sert pas

Beaucoup d'objets embarquent des fonctions activées par défaut que vous n'utiliserez jamais. Le micro d'une enceinte qui n'est pas utilisée en commande vocale. La fonction de partage à distance d'une caméra. L'accès depuis l'extérieur du réseau d'un thermostat. Chaque fonction active est une surface d'attaque. Ce qui ne sert pas doit être coupé.

Le piège du réseau invité mal configuré

Un détail que je n'avais pas anticipé : sur certaines box, le réseau invité est isolé du réseau principal pour les clients, mais pas pour l'interface d'administration. Autrement dit, un objet sur le réseau invité peut parfois encore atteindre la page de configuration de la box. C'est rare, mais ça arrive, et ça mérite un test après installation.

Savoir quand jeter un objet plutôt que le sécuriser

Il y a un moment où la bonne décision n'est pas de sécuriser, mais de débrancher. Ce moment arrive quand l'objet cumule plusieurs signaux : plus de mises à jour depuis longtemps, aucune information publique sur le support, application mobile abandonnée, fabricant disparu, ou fonctionnalités réseau impossibles à désactiver.

Dans ce cas, l'objet peut souvent être conservé en mode dégradé. Une caméra qu'on n'utilise plus en accès distant mais uniquement en local sur le réseau invité reste utilisable. Une prise connectée qui refuse le réseau invité peut finir sur une multiprise à interrupteur. Une enceinte qui exige un compte fabricant pour fonctionner peut devenir une enceinte Bluetooth classique.

C'est moins satisfaisant. C'est aussi, franchement, ce que je fais avec deux appareils chez moi. Ils fonctionnent encore, mais ils ne parlent plus à Internet, et cette décision me coûte moins que de les remplacer.

Ce que disent les autorités sur les données collectées

La CNIL a publié plusieurs recommandations sur les objets connectés, et le fil conducteur est toujours le même : l'utilisateur doit pouvoir savoir quelles données sont collectées, où elles vont, et pouvoir s'y opposer. Dans la pratique, c'est rarement le cas. Les applications demandent des permissions larges, les objets transmettent des données à des partenaires commerciaux, et les politiques de confidentialité sont illisibles.

Vous n'avez pas de prise directe sur ce que fait le fabricant une fois que les données ont quitté votre maison. Mais vous avez une prise sur ce qui sort. Un objet qui n'a pas besoin d'Internet pour fonctionner peut souvent être bloqué au niveau du routeur. Certains routeurs permettent de couper l'accès Internet à un appareil précis tout en le laissant sur le réseau local. C'est une option à regarder si vous voulez garder la fonction sans la collecte.

Le vrai sujet n'est pas la peur, c'est le nettoyage

Sécuriser ses objets connectés à la maison n'est pas un projet qu'on termine. C'est une hygiène. On vérifie les mises à jour une fois par trimestre. On retire un objet quand il ne reçoit plus rien. On change une box quand elle vieillit. On teste de temps en temps si un appareil est joignable depuis le mauvais réseau.

La bonne nouvelle, c'est que cette hygiène ne demande pas de compétence technique particulière. Une soirée au début, quelques minutes tous les trois mois, et vous êtes dans le haut du panier. La mauvaise, c'est que la plupart des gens ne le font pas. Ce qui veut dire que la cible facile, ce n'est pas vous. C'est le voisin.

Et tant que ce n'est pas vous, franchement, le reste peut attendre demain.