Le WPA3 expliqué simplement

Le défaut du WPA2 que le WPA3 vient corriger

Le WPA2 protège votre réseau depuis 2004 et son chiffrement, l'AES-CCMP, n'a jamais été cassé. Sa faiblesse est ailleurs : dans la façon dont l'appareil et le routeur se mettent d'accord sur la clé de session, une négociation en quatre messages appelée handshake.

Ces quatre messages circulent en clair au moment où un appareil se connecte. Quiconque se trouve à portée peut les capturer — et provoquer leur capture, en forçant une déconnexion pour obliger l'appareil à se reconnecter. Une fois cet échange enregistré, l'attaquant part chez lui et teste hors ligne des milliards de phrases de passe candidates contre l'enregistrement, sans jamais toucher à votre réseau. Une carte graphique moderne teste des centaines de milliers de combinaisons par seconde : une phrase de passe courte ou figurant dans un dictionnaire tombe en quelques heures.

Deuxième défaut : le WPA2 n'offre pas de confidentialité persistante. Le jour où votre phrase de passe est découverte, tout le trafic chiffré capturé auparavant devient déchiffrable rétroactivement.

SAE : ce que le WPA3 change concrètement

Le WPA3 remplace le handshake du WPA2 par SAE, pour « Simultaneous Authentication of Equals », parfois appelé « Dragonfly ». Le principe change de nature : au lieu d'échanger des éléments dont on peut ensuite vérifier hors ligne s'ils correspondent à une phrase de passe donnée, les deux parties se prouvent mutuellement qu'elles connaissent le secret sans jamais transmettre de quoi le tester ailleurs.

Deux conséquences directes. D'abord, l'attaque par dictionnaire hors ligne devient impossible : un attaquant qui capture l'échange n'en tire rien d'exploitable. Pour tester une phrase de passe, il doit désormais l'essayer en direct contre votre routeur, une tentative à la fois, ce que celui-ci détecte et ralentit. Ensuite, chaque session négocie une clé unique et jetable, ce qui apporte la confidentialité persistante : la découverte ultérieure de la phrase de passe ne permet pas de déchiffrer le trafic passé. Le WPA3 rend également obligatoire la protection des trames de gestion, ce qui bloque les déconnexions forcées utilisées pour déclencher une capture.

Le mode transition WPA2/WPA3 et ses compromis

Aucun foyer ne dispose uniquement d'appareils compatibles WPA3. Les constructeurs ont donc prévu un mode mixte, présenté selon les marques comme « WPA2/WPA3-Personal », « WPA3 transition » ou « WPA2+WPA3 » : un seul réseau, un seul mot de passe, et chaque appareil négocie le meilleur protocole qu'il sait gérer.

Le compromis est réel et mérite d'être compris. Le réseau reste globalement aussi attaquable que du WPA2, puisqu'un attaquant peut toujours capturer le handshake d'un client resté en WPA2 et travailler dessus hors ligne. Le gain n'est donc pas collectif : il est individuel, appareil par appareil. Vos équipements récents bénéficient réellement de SAE et de la confidentialité persistante ; les anciens restent au niveau de sécurité du WPA2, ni plus ni moins.

Le mode transition reste néanmoins le bon réglage par défaut en 2026 : il n'enlève rien et améliore la situation d'une partie du parc. Le WPA3 exclusif ne se justifie que lorsque vous avez vérifié que chaque appareil de la maison suit, ce qui suppose en pratique de n'avoir aucun objet connecté ancien.

Les appareils qui posent problème

Trois familles résistent régulièrement, et ce sont presque toujours les mêmes :

• Les objets connectés en 2,4 GHz. Prises commandées, ampoules, capteurs et volets embarquent des puces à bas coût dont le firmware ne gère que le WPA2 et ne sera jamais mis à jour. Certains vont plus loin et refusent de s'associer à un réseau annoncé en mode transition, échouant sans message explicite.
• Les imprimantes. C'est le cas le plus fréquent, y compris sur des modèles vendus récemment : la partie Wi-Fi est souvent la moins soignée d'une imprimante, et l'appairage échoue silencieusement dès qu'il rencontre le WPA3.
• Les appareils antérieurs à 2019. Consoles de génération précédente, téléviseurs, liseuses, anciens téléphones. Un pilote à jour suffit parfois sur un ordinateur ; sur un appareil fermé, il n'y a rien à faire.

La bonne réponse à ces cas n'est pas de renoncer au WPA3 sur tout le réseau, mais de créer un second réseau — invité ou dédié — en 2,4 GHz et en WPA2, isolé du réseau local, et d'y reléguer ces appareils. Vous conservez ainsi le WPA3 là où il compte, sur les équipements qui manipulent vos données. La logique de répartition est la même que celle décrite dans notre guide 2,4 GHz ou 5 GHz.

Wi-Fi Enhanced Open, pour les réseaux sans mot de passe

Le WPA3 s'accompagne d'une seconde nouveauté, moins connue : Wi-Fi Enhanced Open, fondé sur le chiffrement opportuniste OWE. Sur un réseau ouvert classique — hôtel, café, aéroport, camping — tout circule en clair et n'importe qui à portée peut lire ce que transmettent les autres. Enhanced Open chiffre chaque session individuellement, sans demander de mot de passe : l'utilisateur ne voit aucune différence, mais son voisin ne peut plus l'écouter.

Cela concerne surtout ceux qui exploitent un réseau ouvert, mais aussi vous en tant qu'utilisateur : il n'authentifie pas le point d'accès, donc il ne protège pas contre un faux réseau créé pour vous piéger. Sur un Wi-Fi public, la seule protection sérieuse reste un tunnel chiffré, via un VPN ou un routeur de voyage qui l'embarque.

La marche à suivre

Connectez-vous à l'interface d'administration — notre guide accéder à l'interface de son routeur donne l'adresse et les identifiants par marque. Ouvrez les réglages sans fil, et pour chaque bande, remplacez le mode de sécurité par « WPA2/WPA3-Personal ». Conservez la même phrase de passe : vous éviterez de reconnecter toute la maison. Enregistrez, puis testez successivement chaque appareil, en commençant par ceux qui ne se signalent jamais quand ils tombent — imprimante, caméra, volets, thermostat.

Si un appareil refuse de se reconnecter, ne revenez pas au WPA2 pour tout le monde : basculez cet appareil sur un réseau secondaire en WPA2. Et si votre routeur ne propose tout simplement pas le WPA3, c'est le signe qu'il date d'avant 2019 et qu'il ne reçoit probablement plus de correctifs de sécurité — le remplacer est l'amélioration réseau la plus rentable que vous puissiez faire. Tous les modèles de nos comparatifs Wi-Fi 6 et routeur pas cher le gèrent, y compris les premiers prix comme le TP-Link Archer AX55.