Comment sécuriser ses objets connectés contre les piratages : le guide

La scène se joue chez un pote, un dimanche soir. Il me montre fièrement l'appli qui pilote ses ampoules, sa serrure, son thermostat. Je lui demande quel est le mot de passe Wi-Fi de son réseau. Il hausse les épaules : « Le même depuis huit ans, pourquoi ? »

Pourquoi. Parce que dans son salon, il y a désormais une trentaine d'appareils qui parlent à Internet, et que la plupart d'entre eux n'ont jamais été conçus avec un seul ingénieur sécurité dans la boucle. C'est tout le sujet : sécuriser ses objets connectés ne consiste pas à acheter un boîtier miracle, mais à reprendre la main sur des appareils qui, par défaut, ne vous demandent jamais votre avis.

Je ne suis pas chercheur en cybersécurité. Je suis quelqu'un qui a installé, cassé, mal configuré puis reconfiguré une bonne dose de ces machins, et qui a vu un NAS mal protégé se faire chiffrer en une nuit. Ce qui suit, c'est ce que j'aurais aimé lire avant.

Comment sécuriser ses objets connectés en comprenant d'abord où ça casse

Avant de toucher au moindre réglage, il faut accepter une réalité désagréable : un objet connecté est un petit ordinateur avec trois handicaps. Il est fabriqué à bas coût, il est rarement mis à jour, et il communique en permanence vers l'extérieur — souvent vers un serveur dans un pays que vous ne connaissez pas.

Le problème n'est presque jamais le matériel. C'est le logiciel qui ne bouge plus.

Un fabricant de caméras ou de prises vend des millions d'unités et cesse de maintenir le firmware au bout de deux ou trois ans. L'objet continue de fonctionner, il est juste devenu une passoire silencieuse que personne ne surveille.

Les trois failles qu'on retrouve partout

• Identifiants par défaut jamais modifiés (admin/admin, c'est encore monnaie courante sur du matériel d'entrée de gamme).
• Firmware obsolète, avec des failles connues publiquement depuis des mois.
• Ports ouverts vers Internet « pour accéder à distance », alors qu'aucun besoin réel ne le justifiait.

J'ai fait l'erreur, il y a quelques années, d'exposer l'interface d'un NAS sur Internet pour y accéder depuis le boulot. Pratique. Trois semaines plus tard, je recevais des tentatives de connexion en rafale dans les journaux. Rien de cassé, mais j'ai compris la leçon : l'accès distant doit être un choix réfléchi, pas un réflexe de confort.

Pourquoi le réseau compte plus que l'objet

Voici l'idée qui change tout : si un objet est compromis, le dégât dépend de ce qu'il peut atteindre. Sur votre réseau principal, il voit vos ordinateurs, votre box, parfois vos partages de fichiers. Isolé sur un réseau séparé, il ne voit rien.

Et ça, ça ne coûte pas un centime de matériel supplémentaire.

Isoler son réseau : la manipulation qui fait 80 % du boulot

La plupart des box récentes proposent un réseau Wi-Fi invité. C'est le premier réflexe, gratuit et immédiat : vous y branchez tous vos objets, ils accèdent à Internet mais pas à votre ordinateur.

Limite : le Wi-Fi invité isole souvent les appareils entre eux, donc certains objets ne peuvent plus communiquer avec votre téléphone. Selon les modèles, ça casse la domotique.

Le VLAN dédié, pas à pas, pour ceux qui ont un routeur un peu sérieux

Un VLAN, c'est un réseau logique séparé sur le même matériel physique. Concrètement, vous créez un réseau « IoT » que vos appareils rejoignent, puis vous filtrez ce qui en sort.

1. Créer un VLAN dédié (par exemple le VLAN 20) et lui associer un SSID Wi-Fi distinct.
2. Y connecter tous les objets : imprimante, caméras, thermostats, prises, badgeuse.
3. Autoriser ce VLAN vers Internet, mais bloquer les accès entrants depuis l'extérieur.
4. N'autoriser que les flux sortants strictement nécessaires (le port utilisé par l'appli du fabricant suffit).
5. Garder une règle explicite qui empêche le VLAN IoT de joindre votre VLAN « ordinateurs ».

Ça m'a pris une soirée la première fois, avec deux ou trois heures à pester contre la documentation du routeur. Depuis, je n'y touche plus.

Le segment qu'on oublie : les objets « invisibles » en entreprise

Sur les résultats qu'on trouve en ligne, tout tourne autour de la maison. En PME, la réalité est plus discrète et plus risquée : imprimantes réseau, routeurs secondaires installés par un prestataire, NAS de sauvegarde, pointeuses, équipements de production.

Personne ne les considère comme des « objets connectés ». Et pourtant, une imprimante avec un mot de passe par défaut peut servir de point d'entrée vers le reste du système d'information. C'est souvent le matériel que personne ne surveille qui crée le trou.

Quelles sont les trois bonnes pratiques pour éviter le piratage de compte en ligne ?

Trois, et elles tiennent sur une carte postale. Ce sont aussi celles qui protègent vos objets connectés, parce qu'un compte d'appareil, c'est un compte tout court.

• Un mot de passe unique par service, long, généré par un gestionnaire. Si un site fuit, les autres restent intacts.
• La double authentification partout où elle existe, en priorité sur la messagerie et les comptes cloud de vos objets.
• La vigilance sur les liens : on ne clique pas sur un lien de connexion reçu par SMS ou e-mail sans vérifier l'expéditeur.

Le gestionnaire de mots de passe n'est pas un luxe. Je l'ai adopté après avoir réutilisé le même mot de passe pendant des années. Passer à des mots de passe uniques, ça m'a pris un après-midi pour tout migrer, et je n'y pense plus depuis.

Un mot de passe par objet, vraiment ?

Oui, vraiment. Chaque caméra, chaque prise, chaque hub a ses propres identifiants. Notez-les dans le gestionnaire, avec le nom de l'appareil. Ça paraît fastidieux, ça prend vingt minutes, et ça évite qu'une seule fuite ouvre toutes les portes.

Comment sécuriser mon usage numérique au quotidien ?

La sécurité, ce n'est pas une config qu'on fait une fois. C'est une habitude qui se répète.

Le cycle de vie : ce qu'on fait d'un objet abandonné

Un objet qui ne reçoit plus de mises à jour depuis deux ans n'est plus sécurisable. Il faut décider : le garder isolé sur le VLAN IoT, ou le remplacer. Une caméra qui ne reçoit plus de correctifs est une caméra qu'il faut débrancher, pas un objet qu'on laisse traîner.

Révoquer les accès qu'on a oubliés

On oublie toujours quelque chose. Comptes cloud tiers créés lors de l'installation, applications mobiles qui ont accès à vos caméras, appareils Bluetooth encore appairés alors que vous ne les utilisez plus. Faites le tri une ou deux fois par an.

Le framework Zero Trust — « ne faites confiance à rien par défaut » — n'est pas qu'un slogan marketing. Appliqué à la maison ou à une petite structure, il se résume à : vérifier, restreindre, revérifier.

Ce que le cadre change (et ce qu'il ne change pas)

Le Cyber Resilience Act européen impose progressivement aux fabricants de garantir un minimum de sécurité et de mises à jour sur leurs produits. Sur le papier, c'est une bonne nouvelle. Dans les faits, ça concerne surtout les objets vendus après l'entrée en application, donc pas les vieux appareils déjà installés chez vous.

Conclusion : vous restez responsable de ce qui tourne chez vous.

Comment protéger son téléphone contre le piratage ?

Le téléphone est le centre de commande de tous vos objets. S'il tombe, tout tombe.

• Mises à jour système et applications installées automatiquement.
• Verrouillage biométrique ou code long, jamais quatre chiffres.
• Double authentification sur le compte Google ou Apple, qui centralise tout.
• Filtrage des applications : on n'installe que ce qui vient des stores officiels.

Un téléphone à jour est votre meilleure défense, et c'est aussi celle qu'on néglige le plus. Le mien est réglé pour s'installer les correctifs la nuit, sans me demander mon avis.

Que faire quand ça arrive quand même

Un jour ou l'autre, ça arrive. Un objet qui clignote bizarrement, une alerte de connexion inconnue, un débit qui grimpe.

1. Déconnectez l'appareil suspect du réseau.
2. Changez les mots de passe liés à son compte cloud.
3. Documentez ce que vous avez constaté, avec les dates.
4. Signalez l'incident sur Cybermalveillance.gouv.fr, qui propose des guides et un parcours d'assistance.

Un dernier point qui sort souvent des discussions : vos objets collectent des données personnelles, et vous avez des droits dessus (accès, effacement, portabilité). Les demandes auprès des fabricants restent trop rares. Ce n'est pas de la paranoïa, c'est du bon sens.

Ce qui reste quand on a tout verrouillé

Il y a une chose que j'ai fini par admettre après avoir tout reconfiguré, isolé, segmenté : le risque zéro n'existe pas. La sécurité de vos objets connectés, ce n'est pas une forteresse, c'est une hygiène. On lave, on range, on refait, régulièrement.

Et la vraie question n'est peut-être pas « suis-je totalement protégé », mais « si demain un appareil tombe, combien de temps mettrai-je à m'en rendre compte ? ». La réponse, pour beaucoup de foyers et de petites structures, est vertigineuse.

Alors peut-être que le premier pas n'est pas technique. C'est simplement de regarder, ce soir, combien d'appareils chez vous demandent encore le mot de passe par défaut.