On verrouille sa porte d'entrée sans y penser ; on laisse souvent son réseau Wi-Fi avec les réglages d'usine. Pourtant, un réseau mal protégé expose les mêmes risques à la maison qu'en entreprise : intrus qui pioche dans la bande passante, appareil connecté compromis qui sert de porte d'entrée, rançongiciel qui se propage d'un poste à l'autre. Ce dossier donne les bons réflexes, du foyer à la PME.

Il fait partie de notre univers Réseau & Connectivité. Le rayon pare-feu & sécurité réseau est en ligne.

Le socle : sécuriser le Wi-Fi

  • Changez le mot de passe administrateur de la box ou du routeur : le mot de passe d'usine, souvent identique sur toute une série, est connu.
  • Chiffrement WPA3, ou WPA2 au minimum si certains appareils anciens ne supportent pas WPA3 — jamais de réseau ouvert ni de vieux WEP.
  • Mot de passe Wi-Fi long (une phrase plutôt qu'un mot), différent du mot de passe administrateur.
  • Désactivez le WPS, ce bouton d'appairage rapide qui est une faille connue.
  • Mettez à jour le firmware régulièrement : les correctifs de sécurité comptent autant que les nouvelles fonctions.

Séparer les réseaux : la mesure la plus efficace

La segmentation limite les dégâts si un appareil est compromis : un objet piraté dans un réseau isolé n'atteint pas le reste. En pratique :

  • Réseau invité : pour les visiteurs, isolé du réseau principal — la plupart des box et routeurs le proposent nativement.
  • Réseau objets connectés (IoT) : caméras, prises connectées, téléviseurs — souvent les moins bien sécurisés du foyer ou du bureau. Un routeur ou un switch manageable permet de les isoler dans leur propre VLAN.
  • Réseau professionnel : postes de travail et serveurs, séparés du reste. En entreprise, cette segmentation devient indispensable dès qu'on dépasse quelques postes.

Le pare-feu : au-delà de celui de la box

Toute box et tout routeur embarquent un pare-feu basique, suffisant pour un usage domestique standard. Une PME, un cabinet ou un commerce qui traite des données sensibles gagne à passer sur un pare-feu dédié :

  • filtrage plus fin par règle, par application, par plage horaire ;
  • VPN de site à site pour relier plusieurs agences en toute sécurité ;
  • détection d'intrusion (IPS) qui repère un comportement anormal sur le réseau ;
  • filtrage web pour bloquer les sites dangereux ou non professionnels.

Voir notre rayon pare-feu & sécurité réseau pour les modèles disponibles, à associer à un switch manageable pour la segmentation.

Les mots de passe : la première ligne de défense

  • un mot de passe différent pour chaque compte important (Wi-Fi, administration du routeur, messagerie, comptes professionnels) : la réutilisation d'un même mot de passe partout est la faille la plus exploitée ;
  • un gestionnaire de mots de passe retient des mots de passe longs et uniques sans effort de mémorisation — plus sûr qu'un carnet ou qu'un fichier texte ;
  • l'authentification à deux facteurs partout où elle est proposée : même un mot de passe volé ne suffit alors plus à accéder au compte.

Reconnaître les attaques courantes

La plupart des incidents ne viennent pas d'un piratage sophistiqué du réseau, mais de gestes simples détournés :

  • Le hameçonnage (phishing) : un e-mail ou un message qui imite une banque, un opérateur ou un service connu pour voler un mot de passe. Vérifiez toujours l'adresse exacte de l'expéditeur et ne cliquez pas sur un lien pressant à « agir immédiatement ».
  • Le point d'accès Wi-Fi piégé : un faux réseau au nom proche d'un vrai (café, aéroport) qui intercepte le trafic. En cas de doute, demandez le nom exact du réseau officiel.
  • L'appareil connecté par défaut : une caméra ou une prise avec son mot de passe d'usine jamais changé, la cible la plus facile pour un balayage automatisé du réseau.

Le télétravail et l'accès distant

Se connecter au réseau du bureau depuis l'extérieur est courant ; le faire en toute sécurité l'est moins.

  • Privilégiez un VPN (intégré au routeur ou au pare-feu) plutôt qu'une ouverture directe de ports, la principale porte d'entrée exploitée par les attaques automatisées.
  • Un NAS ou un serveur accessible à distance doit passer par le même principe : VPN plutôt que redirection de port en direct — voir NAS : partager et sauvegarder.
  • Authentification à deux facteurs sur tous les accès distants sensibles.

Le Wi-Fi public : café, hôtel, aéroport

Un réseau Wi-Fi public non chiffré expose potentiellement votre trafic à d'autres utilisateurs du même réseau. Les réflexes :

  • évitez de saisir des mots de passe ou des données bancaires sur un Wi-Fi public sans protection supplémentaire ;
  • utilisez un VPN pour chiffrer votre trafic si vous devez travailler depuis ce type de réseau ;
  • désactivez le partage de fichiers et le mode « réseau de confiance » sur votre ordinateur quand vous êtes sur un réseau public ;
  • préférez, quand c'est possible, le partage de connexion de votre téléphone à un Wi-Fi public inconnu pour une tâche sensible.

Les caméras et objets connectés : la faille silencieuse

Une caméra IP ou une prise connectée mal sécurisée, avec un mot de passe par défaut jamais changé, est une cible facile : une fois compromise, elle sert de point d'entrée vers le reste du réseau. Trois réflexes : changer systématiquement les mots de passe par défaut, isoler ces appareils dans leur propre réseau (VLAN ou Wi-Fi invité dédié), et vérifier que le fabricant fournit encore des mises à jour de sécurité.

Surveiller son réseau

  • Consultez de temps en temps la liste des appareils connectés dans l'interface de la box ou du routeur — un appareil inconnu est un signal à vérifier.
  • Sur un routeur avancé, les journaux (logs) et les alertes de connexion inhabituelle aident à repérer une tentative d'intrusion.
  • En entreprise, un switch manageable avec VLAN donne une vue claire de qui parle à qui sur le réseau.

Cas concret : le commerce avec caisse, TPE et caméras

Un commerce type combine plusieurs réseaux qui n'ont aucune raison de se voir :

  • le Wi-Fi client, isolé, accès internet uniquement ;
  • le réseau caisse et TPE, séparé, jamais accessible depuis le Wi-Fi client : c'est là que transitent les données de paiement ;
  • le réseau caméras, isolé lui aussi : une caméra compromise ne doit pas pouvoir « rebondir » vers la caisse ;
  • le réseau bureautique (comptabilité, gestion), le plus protégé des quatre.

Cette segmentation se met en place avec un routeur ou un pare-feu capable de gérer plusieurs réseaux (VLAN), associé à des switches manageables. Le coût reste modeste comparé au risque d'une fuite de données de paiement ou d'un commerce paralysé par un rançongiciel.

Former les personnes, pas seulement le réseau

La meilleure sécurité technique ne compense pas un mot de passe donné par téléphone à un faux technicien, ou une clé USB inconnue branchée « pour voir ce qu'il y a dessus ». Quelques règles simples, répétées à toute l'équipe :

  • ne jamais communiquer un mot de passe par téléphone ou par e-mail, même à un interlocuteur qui semble légitime ;
  • ne pas brancher de clé USB ou de disque d'origine inconnue ;
  • signaler tout comportement inhabituel (fenêtre suspecte, ralentissement soudain, e-mail douteux) plutôt que d'essayer de « régler ça soi-même » en cliquant partout.

Sécurité réseau et sauvegarde : deux protections complémentaires

Un réseau bien segmenté et un pare-feu à jour réduisent le risque d'intrusion, mais ne le suppriment jamais totalement. La dernière ligne de défense reste une sauvegarde fiable, hors ligne ou hors site, testée régulièrement : en cas de rançongiciel malgré tout, c'est elle qui évite la catastrophe. Voir sauvegarde des données en PME.

Mettre à jour ce que personne ne met à jour : le firmware

On met à jour les ordinateurs et les téléphones parce qu'ils le demandent. Les équipements réseau, eux, ne demandent rien : ils fonctionnent, donc on les oublie — parfois pendant des années. C'est aujourd'hui l'une des portes d'entrée les plus exploitées, précisément parce qu'elle reste ouverte longtemps.

  • Le routeur en premier. C'est le seul équipement exposé directement à internet : une faille non corrigée s'y attaque depuis n'importe où, sans que personne clique sur quoi que ce soit. Vérifiez tous les trimestres, et activez la mise à jour automatique quand le modèle la propose.
  • Les caméras et les objets connectés ensuite. Ce sont les appareils les moins suivis du marché, et ceux qu'on installe puis oublie complètement. Un modèle qui ne reçoit plus de correctifs doit être isolé sur un réseau séparé, à défaut d'être remplacé.
  • Le NAS. Il contient précisément ce que vous ne voulez pas perdre : c'est la cible de valeur d'un réseau domestique ou d'une PME. Ses mises à jour sont généralement bien documentées, il suffit de les appliquer.
  • Les switchs manageables et les points d'accès en entreprise : moins exposés, mais à intégrer au même calendrier.

Trois précautions au moment de la mise à jour : ne jamais l'interrompre — une coupure de courant pendant l'opération peut rendre l'appareil définitivement inutilisable, ce qui est un excellent argument pour brancher routeur et NAS sur un onduleur ; télécharger uniquement depuis le site du fabricant ; et la faire à un moment creux, l'équipement redémarrant à la fin.

Enfin, un critère d'achat qui découle directement de tout cela : la durée de suivi logiciel annoncée par le fabricant. Un routeur ou un NAS encore soutenu cinq ans plus tard vaut mieux qu'un modèle plus rapide abandonné au bout de dix-huit mois.

Checklist sécurité réseau

  • mot de passe administrateur changé, WPS désactivé ;
  • WPA3 (ou WPA2), mot de passe Wi-Fi long ;
  • réseau invité séparé, objets connectés isolés ;
  • firmware à jour sur box, routeur et switches ;
  • accès distant par VPN, jamais par redirection de port directe ;
  • pare-feu dédié et VLAN si le volume de données sensibles le justifie ;
  • sauvegarde testée en dernier recours.

Questions fréquentes

Le pare-feu de la box suffit-il pour un particulier ?

Dans la grande majorité des cas, oui, à condition d'appliquer les bons réflexes de base (mot de passe, WPA3, mises à jour). Un pare-feu dédié se justifie surtout en entreprise ou pour qui héberge des services accessibles depuis internet.

Un VPN gratuit protège-t-il suffisamment ?

Pour un usage occasionnel, mieux vaut un VPN gratuit sérieux que rien ; certains, en revanche, revendent les données de navigation qu'ils sont censés protéger. Pour un accès professionnel régulier, un VPN intégré à votre propre routeur ou pare-feu reste la solution la plus fiable.

Comment savoir si mon réseau a été compromis ?

Signes à surveiller : ralentissement inexpliqué, appareils inconnus dans la liste des connexions, activité inhabituelle la nuit, alertes de connexion depuis un lieu inattendu. Au moindre doute, changez tous les mots de passe (Wi-Fi, administrateur, comptes sensibles) et mettez à jour le firmware.

Une PME a-t-elle besoin d'un responsable sécurité dédié ?

Pas forcément un poste à temps plein en dessous d'une certaine taille, mais quelqu'un doit être clairement responsable : appliquer les mises à jour, gérer les accès des personnes qui partent, vérifier que les sauvegardes fonctionnent. Beaucoup de PME confient ce suivi à un prestataire informatique externe qui intervient régulièrement plutôt qu'en urgence.

Le VLAN est-il compliqué à mettre en place ?

La configuration demande un peu de méthode mais reste accessible avec un switch smart et un routeur qui les supporte : on définit les réseaux, on affecte les ports ou le Wi-Fi correspondant, et c'est fait. Pour une PME qui ne veut pas s'en charger elle-même, c'est une prestation ponctuelle rapide chez un installateur réseau.

En résumé

La sécurité réseau commence par des gestes simples et gratuits : mot de passe changé, WPA3, WPS désactivé, firmware à jour. Elle se renforce par la segmentation — réseau invité, objets connectés isolés — et, pour une PME, par un pare-feu dédié et un accès distant en VPN plutôt qu'en ports ouverts. Aucune protection n'étant absolue, une sauvegarde testée reste la dernière ligne de défense. Nos conseillers vous aident à sécuriser votre réseau, du foyer à la PME, dans notre rayon pare-feu & sécurité réseau. Pour bien choisir l'équipement de base, voir aussi choisir un routeur Wi-Fi.