Comment sécuriser un objet connecté domestique sans prise de tête

Une ampoule connectée à 15 euros. Un thermostat à 200. Une caméra de baby-phone à 40. Voilà ce que j'ai trouvé sur le réseau Wi-Fi d'un ami quand je lui ai rendu visite l'hiver dernier—oui, je suis ce type de personne qui scanne le réseau de ses amis. Sa box affichait 23 appareils connectés. Il en connaissait peut-être six. Et parmi les dix-sept autres, un vieux répéteur Wi-Fi dont il avait perdu le mot de passe depuis deux ans.

Le problème n'est pas qu'il soit négligent. Le problème, c'est qu'un objet connecté domestique est livré pour fonctionner, pas pour être sécurisé. C'est vous qui devez reprendre la main. Bonne nouvelle : en une soirée, on peut colmater l'essentiel. Mauvaise nouvelle : sans méthode, on tourne en rond.

Comprendre ce qu'est vraiment un objet connecté avant de vouloir le sécuriser

Un objet connecté (Internet of Things, ou IoT) est un matériel électronique relié directement ou indirectement à Internet, capable d'envoyer ou de recevoir des informations par le réseau. Enceintes, montres, ampoules, thermostats, téléviseurs, réfrigérateurs, caméras, alarmes, baby-phones… la liste s'allonge chaque année, dans la domotique comme dans le sport ou la santé.

Quels sont les 3 éléments nécessaires pour constituer un objet connecté ?

Trois briques, toujours les mêmes : un capteur ou un actionneur (ce qui mesure ou agit—une sonde de température, un moteur de serrure), une connectivité (Wi-Fi, Bluetooth, Zigbee, 4G…) et un traitement, local ou dans le cloud, qui transforme la donnée en action ou en affichage. Retirez l'un des trois et vous n'avez plus un objet connecté, juste un objet.

C'est cette troisième brique qui pose problème. Un capteur ne « pense » pas, il envoie. Et tout ce qui envoie quelque chose peut être intercepté, détourné, réutilisé—par un voisin curieux comme par un botnet à la recherche de relais.

Pourquoi un objet connecté est-il plus exposé qu'un ordinateur ?

Parce qu'il est conçu pour durer dix ans avec un processeur de quelques centimes. Un PC reçoit des correctifs chaque mois; une caméra à 40 euros, souvent jamais. Le firmware est figé à la sortie d'usine, les mots de passe par défaut sont identiques pour toute une série, et l'interface d'administration est parfois accessible depuis l'extérieur sans qu'on le sache. Voilà le cocktail.

Comment sécuriser un objet connecté : la checklist dans l'ordre

Je vais être direct : la plupart des guides vous listent des principes. Voici la séquence que j'applique réellement, dans cet ordre, à chaque nouvel appareil qui entre chez moi.

Étape 1 : changer le mot de passe par défaut, et le mot de passe Wi-Fi qui va avec

Sur chaque objet, l'interface d'administration se trouve généralement via l'application du fabricant. Le mot de passe par défaut (« admin », « 1234 », le nom du modèle) est public—il figure dans la notice, donc sur Internet. Remplacez-le par une phrase longue et unique, et surtout pas par celui de votre boîte mail.

Et un détail que j'ai raté pendant des mois : le mot de passe du Wi-Fi lui-même. Si un objet se connecte à votre réseau principal avec un mot de passe faible, tout le reste est décoratif.

Étape 2 : isoler les objets sur un réseau séparé

C'est le levier que je considère comme le plus sous-estimé—et j'irai jusqu'à dire que sans lui, vous ne sécurisez qu'à moitié. La plupart des box récentes proposent un réseau invité. Mettez-y tous vos objets connectés. Ils continuent de fonctionner, mais n'ont plus accès à votre ordinateur, votre NAS, vos partages de fichiers.

Pour les plus bricoleurs, un routeur dédié avec des VLAN permet de cloisonner encore plus finement. Je ne vais pas vous mentir : ma première tentative de VLAN a fini par couper Internet à toute la maison un dimanche soir. Mais une fois que ça marche, vous ne revenez plus en arrière.

Étape 3 : désactiver tout ce qui ne sert pas

Trois choses à vérifier systématiquement :

• le UPnP et la redirection de ports—souvent activés d'office, ils ouvrent des portes vers l'extérieur sans que vous l'ayez demandé;
• les accès tiers (partage avec une application de suivi, un service d'assistant vocal) : révoquez ce qui n'est pas strictement nécessaire;
• les fonctions de collecte de données et de télémétrie dans les paramètres de l'application.

Avouons-le : on n'y pense pas. Et pourtant, chaque fonction laissée active est une surface d'attaque ouverte. J'ai découvert un jour qu'une enceinte que je croyais hors service remplissait son rôle de micro-espion pour un service de recommandation musicale. Réglé depuis.

Étape 4 : vérifier les mises à jour, et débrancher ce qui n'en reçoit plus

Activez la mise à jour automatique quand elle existe. Une fois par trimestre, jettez un œil à la version du firmware. Et si un appareil n'a reçu aucune mise à jour depuis des années, la meilleure décision est parfois de le retirer du réseau. Un objet qui ne peut plus être corrigé devient un passif.

Quels sont les inconvénients des objets connectés ?

L'inconvénient numéro un n'est pas le piratage. C'est la collecte silencieuse. Une montre de sport qui mesure votre sommeil en sait plus sur votre santé qu'un médecin de famille. Une caméra intérieure en sait plus sur votre domicile qu'un serrurier.

Le deuxième, c'est la durée de vie. Un objet qui n'est plus suivi par son fabricant est une faille qui se promène dans votre salon. Le troisième : l'interopérabilité bancale—chaque marque veut son application, son cloud, son compte. On finit par installer cinq apps pour piloter la maison.

Reste à gérer la partie données personnelles. La CNIL rappelle régulièrement que les objets connectés collectent souvent plus que nécessaire. Dans les applications, désactivez les partages, lisez au moins la première page des conditions, et supprimez les comptes inutilisés. Ce n'est pas sexy, mais c'est efficace.

Comment puis-je sécuriser mon réseau domestique ?

Le réseau, c'est la fondation. Si le Wi-Fi principal est mal protégé, sécuriser chaque objet séparément revient à verrouiller les portes d'une maison sans toit.

Les règles de base, dans l'ordre

1. Changez le mot de passe administrateur de la box (celui qui donne accès aux réglages), pas seulement celui du Wi-Fi.
2. Utilisez un chiffrement WPA2 au minimum, idéalement WPA3 si votre matériel le permet.
3. Désactivez le WPS—ce bouton de connexion rapide est une porte dérobée notoire.
4. Activez le réseau invité pour les objets, et cloisonnez-le du réseau principal.
5. Mettez à jour le firmware de la box elle-même. Oui, la box aussi.

Combien ça coûte ? Rien, à part une soirée de configuration. Combien ça rapporte ? La tranquillité. Et un détail : le filtrage MAC (réserver l'accès à des adresses physiques connues) ajoute une couche, mais il est facilement contournable. Ne comptez pas dessus comme d'une forteresse—plutôt comme d'un panneau « propriété privée ».

Comparatif des leviers de sécurisation

Levier	Effort	Efficacité	Pour qui ?
Changer les mots de passe par défaut	Faible (10 min/appareil)	Élevée	Tout le monde
Réseau invité dédié aux IoT	Faible (15 min)	Très élevée	Quiconque possède une box récente
VLAN / routeur dédié	Moyen à élevé	Très élevée	Bricoleurs avertis
Filtrage MAC	Moyen	Modérée	Couche complémentaire
Désactiver UPnP et accès tiers	Faible	Élevée	Tout le monde

Choisir avant d'acheter : le réflexe qui évite 80 % des ennuis

Le meilleur moment pour sécuriser un objet connecté, c'est avant de l'acheter. Deux questions à se poser : le fabricant publie-t-il des mises à jour régulières ? Propose-t-il un mode de fonctionnement local, sans cloud obligatoire ?

Un objet qui fonctionne en local—Home Assistant, par exemple, ou une passerelle Zigbee autonome—réduit considérablement la surface d'exposition. Vous n'avez plus besoin de faire confiance à un serveur distant pour éteindre votre lumière. C'est plus de travail au départ. C'est beaucoup moins de nuits blanches ensuite.

La sécurité d'un objet connecté domestique ressemble à l'hygiène dentaire : ce sont des gestes répétés, pas un exploit ponctuel. Un mot de passe changé aujourd'hui, un réseau invité configuré ce week-end, un firmware à jour le mois prochain. Rien de spectaculaire. Et pourtant, c'est exactement ce qui fera la différence le jour où un robot aspirateur commencera à scanner votre salon à votre insu.

Une dernière chose. La prochaine fois que vous installez un objet, demandez-vous : « si quelqu'un d'autre avait ce mot de passe, que pourrait-il faire ? » La réponse vous dira combien de temps y consacrer. Chez moi, elle m'a fait passer d'une connexion en cinq minutes à une demi-heure. Je ne le regrette pas.