Sécuriser son Wi-Fi : la check-list complète

Contre quoi vous protégez-vous exactement

Le voisin qui « pirate votre Wi-Fi » pour télécharger est un scénario devenu rare. Les trois risques réels aujourd'hui sont ailleurs : un routeur dont l'interface d'administration est accessible depuis internet avec un mot de passe d'usine ; un objet connecté vulnérable qui sert de porte d'entrée vers vos ordinateurs et vos fichiers partagés ; un firmware jamais mis à jour dont les failles sont publiées et exploitées automatiquement. Aucun de ces trois problèmes ne se règle avec un mot de passe Wi-Fi plus long — ils se règlent avec les points 1, 5, 6 et 7 de la liste ci-dessous.

Bonne nouvelle : tout ce qui suit se fait depuis l'interface d'administration du routeur, en une vingtaine de minutes, une fois pour toutes. Si vous ne savez pas comment y entrer, commencez par notre guide accéder à l'interface de son routeur.

La check-list en neuf points

1. Changez le mot de passe d'administration du routeur. C'est le point le plus important de cette page, et le plus souvent négligé. Le mot de passe Wi-Fi protège l'accès au réseau ; le mot de passe d'administration protège le routeur lui-même. Les identifiants d'usine du type admin/admin sont publiés dans des bases consultables par n'importe qui. Choisissez un mot de passe différent de celui du Wi-Fi et notez-le.
2. Passez le chiffrement en WPA3, ou en WPA2/WPA3. Dans les réglages sans fil, remplacez « WPA2-PSK » par « WPA3-Personal » si tous vos appareils suivent, ou par le mode mixte « WPA2/WPA3 » dans le cas contraire. Supprimez toute trace de WEP et de WPA (première génération) : ces protocoles se cassent en quelques minutes. Le détail technique de ce que cela change est dans notre guide le WPA3 expliqué.
3. Utilisez une phrase de passe longue. La longueur compte davantage que la complexité : quatre mots sans rapport entre eux, soit une vingtaine de caractères, résistent bien mieux qu'un « P@ssw0rd! » de huit signes. Évitez votre nom, votre adresse et votre date de naissance, qu'un attaquant local connaît.
4. Désactivez le WPS. Le bouton d'appairage rapide repose sur un code à huit chiffres attaquable par force brute en quelques heures sur de nombreux modèles. Coupez-le et connectez vos appareils avec la phrase de passe : cela vous coûtera trente secondes de plus par appareil, une fois dans leur vie.
5. Coupez l'administration à distance et l'UPnP. L'administration à distance expose l'interface du routeur sur internet : personne n'en a besoin dans un foyer. L'UPnP, lui, permet à n'importe quelle application du réseau d'ouvrir un port vers l'extérieur sans vous demander votre avis. Désactivez-le et ouvrez manuellement les rares ports nécessaires ; si une console ou un jeu s'en plaint, ouvrez seulement ce qu'il demande.
6. Mettez le firmware à jour, et activez la mise à jour automatique. Un routeur est un ordinateur exposé en permanence. Activez la mise à jour automatique si elle existe, sinon prenez l'habitude de vérifier deux fois par an. Un modèle qui ne reçoit plus de correctifs doit être remplacé, quel qu'ait été son prix : c'est un critère majeur de notre guide comment choisir son routeur.
7. Créez un réseau invité pour les objets connectés et les visiteurs. Voir la section suivante : c'est la mesure au meilleur rapport effort/bénéfice de toute cette liste.
8. Passez en revue les appareils connectés. L'interface du routeur affiche la liste des équipements associés. Faites-en le tour une fois : renommez ceux que vous identifiez, cherchez ceux que vous ne reconnaissez pas. Une adresse inconnue signale soit un appareil oublié, soit un intrus — dans les deux cas, changez la phrase de passe et reconnectez vos équipements.
9. Choisissez vos serveurs DNS. Les DNS traduisent les noms de sites en adresses. En saisir d'autres que ceux de l'opérateur, avec filtrage des domaines malveillants, bloque une partie des tentatives d'hameçonnage pour tout le foyer d'un seul réglage. C'est aussi la base d'un contrôle parental efficace.

Le réseau invité, la mesure la plus rentable

Un réseau invité est un second SSID, avec son propre mot de passe, dont les clients ne peuvent pas voir le reste du réseau local. Il répond à deux besoins distincts.

Pour les visiteurs, il évite de communiquer la phrase de passe principale — celle qui, une fois donnée, reste enregistrée dans un téléphone qui repartira ailleurs. Pour les objets connectés, il joue un rôle plus important encore : une caméra bon marché ou une ampoule connectée à firmware douteux ne pourra pas atteindre votre NAS, vos partages de fichiers ni l'interface du routeur. C'est exactement la barrière qui manque quand un objet vulnérable est compromis.

Vérifiez simplement que l'option « isolation des clients » ou « accès au réseau local » est bien réglée pour interdire cet accès : sur certains routeurs, le réseau invité donne par défaut accès au réseau local, ce qui lui retire tout intérêt. Pensez aussi à le configurer en 2,4 GHz si vous y placez de la domotique, pour les raisons expliquées dans notre guide 2,4 GHz ou 5 GHz.

Deux mesures inutiles qu'on vous recommande encore

Masquer le SSID. Un réseau « caché » ne diffuse pas son nom dans les balises, mais il continue d'émettre, et le nom circule en clair dès qu'un appareil s'y connecte. N'importe quel outil d'analyse gratuit le révèle en quelques secondes. Pire : vos téléphones et ordinateurs, pour retrouver ce réseau invisible, se mettent à réclamer son nom en permanence, y compris à l'extérieur de chez vous — vous avez donc dégradé votre vie privée sans rien gagner en sécurité, tout en compliquant la connexion de vos appareils.

Filtrer les adresses MAC. L'idée consiste à n'autoriser que les appareils dont vous avez listé l'identifiant matériel. Le problème est que cet identifiant circule en clair dans chaque trame, y compris sur un réseau chiffré, et qu'il se copie en une commande. Un attaquant capable de casser votre Wi-Fi passera le filtrage MAC en trente secondes. En attendant, vous devrez ajouter manuellement chaque nouvel appareil, et vous vous heurterez aux adresses MAC aléatoires que les téléphones récents génèrent par défaut à chaque connexion.

Ces deux réglages ne sont pas dangereux, ils sont simplement une perte de temps qui donne un faux sentiment de sécurité. Le temps qu'ils vous coûtent est bien mieux investi dans les points 1, 5 et 6 de la check-list.

Aller plus loin, et à quel rythme

Trois compléments valent la peine selon votre situation. Un client VPN installé sur le routeur chiffre le trafic de tous les appareils du foyer d'un seul coup, y compris ceux qui ne savent pas gérer de VPN : la marche à suivre est dans notre guide installer un VPN sur son routeur, et les modèles capables de le faire sans effondrer le débit sont dans notre comparatif routeur VPN. Si vous conservez la box de l'opérateur en amont, désactivez son Wi-Fi pour ne pas laisser un second réseau moins bien réglé ouvert en parallèle — voyez routeur derrière une box.

Ensuite, tenez un rythme simple : une vérification des mises à jour et de la liste des appareils connectés deux fois par an, et un renouvellement de la phrase de passe Wi-Fi après tout départ d'un locataire, d'un prestataire ou d'un colocataire à qui vous l'aviez communiquée. C'est largement suffisant pour un foyer.