Sécuriser son réseau domotique à la maison : le guide essentiel

Un client m'appelle un mardi soir, paniqué. Sa fille de treize ans regardait une série sur la télé connectée du salon, quand soudain toutes les lumières de la maison se sont allumées en rouge. Puis la serrure du garage s'est déverrouillée. Le lendemain matin, il découvrait qu'un inconnu avait pris la main sur son compte d'assistant vocal et, depuis, pouvait commander les ampoules, la climatisation, et jusqu'à la porte d'entrée. Il n'avait jamais rien fait de mal. Il avait juste tout branché, tout connecté, tout laissé par défaut.

C'est ça, le vrai problème de la maison connectée. Personne ne vient vous le dire au moment de l'achat. On vend une ampoule « intelligente » à quinze euros comme on vend une ampoule normale, sauf que l'une des deux est un ordinateur branché en permanence sur votre réseau, souvent avec un mot de passe universel que des milliers d'autres appareils partagent. Sécuriser son réseau domotique, ce n'est pas de la paranoïa. C'est juste décider qui a le droit d'appuyer sur l'interrupteur.

Sécuriser votre réseau domotique commence par votre routeur, pas par un VPN

Sur les forums, la réponse par défaut à « comment sécuriser sa maison connectée » est toujours la même : prenez un VPN. Franchement, c'est un mauvais point de départ. Un VPN protège ce qui sort de chez vous vers Internet. Il ne fait rien pour un capteur qui parle directement à votre ordinateur portable sur le même Wi-Fi. Le vrai point d'entrée, celui que 90 % des gens ignorent, c'est la boîte qui distribue le réseau dans le salon.

Changez les identifiants d'administration du routeur

Quand j'ai commencé à regarder sérieusement ce sujet il y a quelques années, je pensais naïvement que ma box était protégée parce que le Wi-Fi avait un mot de passe. Sauf qu'un réseau Wi-Fi protégé et une interface d'administration protégée, ce sont deux choses différentes. L'interface d'admin, c'est la page qu'on ouvre dans le navigateur pour configurer la box. Beaucoup de modèles sont livrés avec des identifiants du type admin / admin ou admin / motdepasse, et ces combinaisons sont documentées publiquement. Je l'ai vérifié sur mon propre routeur : deux minutes pour trouver la liste en ligne, deux secondes pour entrer.

La première chose à faire, avant même de connecter quoi que ce soit : ouvrez l'interface, changez le mot de passe administrateur pour quelque chose qu'aucun voisin ne devinera, et désactivez l'accès à cette interface depuis Internet si l'option existe. Vous n'en avez besoin que depuis chez vous.

Désactivez l'UPnP, cette fonction dont personne ne sait qu'elle existe

L'UPnP (Universal Plug and Play) permet aux appareils d'ouvrir tout seuls des ports sur votre box pour communiquer vers l'extérieur. Pratique. Absurde du point de vue de la sécurité, parce que si un objet connecté est compromis, il peut ouvrir une porte vers votre réseau sans demander la permission à personne. C'est exactement le genre de mécanisme qu'exploitent les logiciels qui scannent les adresses IP à la recherche de portes ouvertes.

Vous la trouvez dans les paramètres avancés du routeur, souvent sous « UPnP » ou « NAT traversal ». Désactivez-la. Si un appareil se plaint de ne plus fonctionner, vous rouvrirez le port manuellement, en connaissance de cause. C'est plus pénible et infiniment plus sûr.

La segmentation : le geste que personne ne fait et qui change tout

Il y a deux ans, un de mes clients m'a montré sa configuration : trente-deux appareils connectés sur un seul réseau. Caméras, imprimante, ordinateurs du travail, téléphones des enfants, thermostats, prise connectée pour le sapin de Noël. Tout au même niveau. Il m'a demandé ce qui pouvait mal tourner.

Réponse courte : tout. Un seul appareil compromis, et l'attaquant se retrouve sur le même réseau que votre ordinateur qui contient vos factures.

Créez un réseau invité dédié à la domotique

La plupart des box et des routeurs modernes proposent un réseau invité, isolé du réseau principal. Beaucoup de gens l'activent pour les amis de passage et ne pensent jamais à y mettre leurs objets connectés. C'est une erreur, parce que c'est exactement l'endroit où ils devraient être.

L'idée : vos appareils du quotidien (ordinateurs, téléphones, NAS) restent sur le réseau principal. Les ampoules, caméras, prises, thermostats, robots aspirateurs et télés intelligentes vont sur le réseau invité. Résultat, si une caméra se fait pirater, l'attaquant se retrouve dans un couloir fermé, sans accès à vos données personnelles.

Un point important : sur un réseau invité isolé, vos appareils ne se verront plus entre eux. Si vous avez besoin qu'une ampoule parle à une enceinte, il faudra vérifier que votre matériel gère un vrai VLAN IoT et non un simple mode invité bridé. Tous les routeurs ne se valent pas là-dessus. Le mien m'a coûté 40 € de plus pour avoir cette fonction. C'est le meilleur investissement réseau que j'aie fait à la maison.

Pourquoi séparer plutôt que tout durcir sur un seul réseau

Un objet connecté, ce n'est pas un ordinateur. Il n'a souvent pas d'antivirus, pas de mise à jour régulière, pas d'utilisateur qui surveille. Vous ne pouvez pas le « durcir » comme un PC. En revanche, vous pouvez limiter ce à quoi il a accès si jamais il tombe aux mains de quelqu'un d'autre. C'est tout l'intérêt de la segmentation : vous ne l'empêchez pas de tomber, vous l'empêchez de tomber en entraînant le reste.

L'hygiène des appareils : les réglages qu'on oublie systématiquement

Quand on branche une nouvelle caméra, on est content qu'elle marche. On ne pense pas à vérifier trois détails qui prennent cinq minutes.

• Changez les identifiants par défaut de chaque appareil, pas seulement du routeur. Une caméra nommée « admin » avec le mot de passe « 12345 » est un classique.
• Désactivez l'accès cloud si vous n'en avez pas besoin. Une caméra qui n'est visible qu'en local, c'est beaucoup moins de surface à attaquer.
• Coupez le micro et la caméra sur les appareils qui en ont et qui n'en ont pas l'usage au quotidien. Un assistant vocal qui écoute en permanence, c'est une décision à prendre consciemment.
• Cherchez la page de mise à jour du fabricant et notez quelque part la date de la dernière. Si vous n'avez pas de mise à jour depuis deux ans, l'appareil ne sera probablement jamais corrigé.

Une anecdote qui m'a marqué : j'ai gardé une prise connectée d'une marque assez connue pendant près de dix-huit mois sans jamais y penser. Un jour, j'ai voulu vérifier le firmware par curiosité. Dernière mise à jour disponible : trois ans plus tôt. Je l'ai débranchée ce soir-là. Elle faisait le café.

Les mises à jour de firmware, encore et toujours

C'est le conseil le plus répété et le plus ignoré, parce qu'il n'y a jamais un bon moment pour le faire. Sauf qu'un firmware non mis à jour, c'est une porte dont la serrure date d'il y a trois ans, alors que la clé circule. La plupart des attaques réussies sur des objets connectés exploitent des failles connues et corrigées, pas des zero-days exotiques. Le nom d'une faille circulant sur les forums techniques peut devenir un outil d'attaque à la portée de n'importe qui en quelques semaines.

Ma méthode, mise au point après plusieurs ratés : une fois par trimestre, un dimanche matin calme, j'ouvre l'application de chaque fabricant et je clique « mise à jour ». Ça me prend vingt minutes. C'est le meilleur rapport temps investi / risque évité de toute ma configuration.

Choisir un appareil connecté : le critère que personne ne regarde

La sécurité d'un objet connecté se joue à 70 % avant l'achat. Une fois qu'il est dans votre salon, vous ne pouvez que limiter la casse. C'est pour ça que je regarde désormais systématiquement un critère qu'aucun vendeur ne met en avant.

La norme ETSI EN 303 645, votre meilleur filtre

C'est un référentiel européen qui définit des exigences de base pour les objets connectés grand public : pas de mot de passe universel, possibilité de mise à jour, mécanisme pour signaler une vulnérabilité, protection des données personnelles. Un appareil qui revendique la conformité à cette norme part avec des réflexes corrects d'usine. Ce n'est pas une garantie absolue, mais c'est un premier tri qui élimine les pires.

Le Cyber Resilience Act européen impose par ailleurs des obligations de cybersécurité aux fabricants de produits comportant des éléments numériques, avec une mise en application progressive. Concrètement, acheter un appareil récent d'un fabricant qui communique sur cette mise en conformité, c'est s'épargner des années de rustines.

Les questions à poser avant de payer

1. Le fabricant publie-t-il des mises à jour ? À quelle fréquence ? Depuis combien de temps l'appareil existe-t-il ?
2. Y a-t-il une page publique qui documente les vulnérabilités et leur correction ?
3. L'appareil peut-il fonctionner sans passer par un cloud tiers ?
4. La conformité à l'ETSI EN 303 645 est-elle mentionnée quelque part dans la fiche produit ?

Le premier critère, à lui seul, élimine déjà la moitié des références qu'on trouve à petit prix en ligne. C'est dur, mais c'est le prix de la tranquillité.

Faut-il un VPN pour sécuriser sa domotique ? La vraie réponse

Un VPN a toute sa place, mais pas celle qu'on lui prête souvent.

Usage	Utile pour la domotique ?	Pourquoi
Accéder à distance à votre maison (caméras, NAS)	Oui, très	Un VPN d'accès, type WireGuard ou OpenVPN installé sur le routeur ou un petit serveur local, vous permet de vous connecter chez vous depuis l'extérieur sans ouvrir de port sur Internet.
Chiffrer tout votre trafic vers Internet	Peu utile ici	Le HTTPS chiffre déjà la majorité des échanges. Un VPN commercial ne protège pas les appareils entre eux sur votre réseau local.
Empêcher un objet connecté de parler au cloud	Non	Un VPN ne bloque pas ce type de flux. Il faut passer par un pare-feu, un DNS filtrant ou un réseau isolé.
Sécuriser le Wi-Fi lui-même	Non	Ce sont deux sujets distincts. Le Wi-Fi se protège avec un bon mot de passe et WPA3 si disponible.

Dans mon installation, j'utilise un VPN d'accès pour consulter mes caméras quand je ne suis pas chez moi. Je ne compte pas sur lui pour isoler mes ampoules. Ces deux besoins sont différents, et les mélanger conduit à des configurations bancales.

Et le Wi-Fi lui-même ?

Le mot de passe du Wi-Fi reste la base. Un mot de passe long, unique, qui n'est pas le même qu'ailleurs. Et si votre routeur propose WPA3, activez-le. C'est plus récent, plus solide, et de plus en plus répandu sur les appareils sortis ces dernières années. Si un vieil objet connecté refuse de se connecter en WPA3, gardez une bande WPA2 dédiée à ces appareils sur votre réseau invité, plutôt que de rétrograder toute la maison.

Comment vérifier que tout va bien (sans devenir expert)

Une fois les réglages en place, un contrôle tous les six mois suffit. Ma routine tient en quatre points :

1. Je me connecte à l'interface du routeur et je regarde la liste des appareils connectés. Y en a-t-il que je ne reconnais pas ?
2. Je vérifie que le réseau invité est toujours actif et que mes objets connectés y sont bien rattachés.
3. Je passe en revue les mises à jour disponibles sur chaque application de fabricant.
4. Je note dans un carnet les dates de dernière mise à jour de chaque objet. Ceux qui stagnent depuis trop longtemps sortent de la maison.

Ce dernier point est probablement le plus utile. Un objet connecté qui ne reçoit plus de correctifs est un objet qui appartient au passé de la sécurité. Il ne faut pas le jeter tout de suite, mais il faut décider consciemment de ce qu'on accepte ou non qu'il puisse faire.

Le pire, dans l'histoire de mon client aux lumières rouges, ce n'est pas ce qui s'est passé. C'est ce qui aurait pu se passer et qui ne s'est pas produit uniquement parce que l'attaquant cherchait juste à s'amuser. Le lendemain, on a passé deux heures à tout reprendre : identifiants changés, réseau invité activé, appareils non mis à jour débranchés. Depuis, sa fille lui dit que la maison est « parano ». Lui appelle ça dormir tranquille. Je ne sais pas quelle version vous préférez. La mienne, c'est la sienne.