Le voisin du dessus avait un débit de 8 Mb/s tous les soirs entre 19h et 23h. Chez lui, la fibre, l'abonnement correct, tout était normal. Sauf qu'il y avait un inconnu dans la liste des appareils connectés. Un seul. Une télé, deux téléphones, une imprimante, et un « Android-4a2f… » que personne n'a jamais identifié. Il a mis quatre mois à s'en rendre compte, parce que rien ne l'avait alerté. Le signal était là, tout le monde regardait le mauvais endroit.
Sécuriser sa connexion Wi-Fi à la maison, ce n'est pas une affaire de génie informatique. C'est surtout une question de savoir où cliquer, et dans quel ordre. La plupart des gens changent le mot de passe et s'arrêtent là. C'est déjà mieux que rien, mais ça laisse trois ou quatre portes grandes ouvertes.
Points clés à retenir
- Le mot de passe seul ne suffit pas : le WPS et l'administration à distance restent des portes d'entrée actives tant qu'on ne les coupe pas.
- L'interface d'admin se trouve presque toujours à la même adresse, mais les onglets changent complètement d'une marque à l'autre.
- Isoler les objets connectés sur un réseau invité est le geste que presque personne ne fait, et c'est celui qui rapporte le plus.
- Un intrus se détecte d'abord dans la liste des appareils, pas dans les paramètres de sécurité.
- Le chiffrement WPA3 est à activer quand l'équipement le propose, mais il faut vérifier la compatibilité des vieux appareils avant.
Comment sécuriser sa connexion Wi-Fi à la maison, concrètement
Tout part d'un constat simple : par défaut, une box ou un routeur est configuré pour fonctionner vite, pas pour être hermétique. Les fabricants veulent que vous soyez en ligne en cinq minutes. La sécurité, elle, demanderait dix minutes de configuration. Vous voyez le compromis.
Il y a un réflexe que j'ai vu revenir chez à peu près tous les gens qui m'ont demandé de l'aide : changer le nom du réseau et le mot de passe, puis considérer le dossier clos. Or une personne connectée au même réseau que vous peut surveiller ou intercepter votre trafic, en particulier sur les sites non cryptés, dont l'adresse ne commence pas par https://. Ça vaut pour le réseau du salon comme pour celui du café du coin.
Accéder à l'interface d'administration : le point de départ
Avant de sécuriser quoi que ce soit, il faut entrer dans les entrailles de la machine. L'adresse est presque toujours la même famille : 192.168.1.1 ou 192.168.0.1. Vous la tapez dans la barre d'adresse du navigateur, pas dans Google. Les identifiants par défaut sont collés sous la box, sur une étiquette.
Ce qui change, c'est la suite. Chez Orange, la page s'appelle généralement « Ma Livebox » et l'onglet réseau s'organise autour du Wi-Fi. Chez Free, il faut passer par l'interface de la Freebox, où le menu « Wi-Fi » regroupe le SSID, le mot de passe et le chiffrement. Bouygues et TP-Link utilisent des libellés proches de « Sans fil » et « Sécurité ». Canalbox, sur ses modèles récents, propose une interface simplifiée qui cache parfois certaines options avancées : il faut décocher le mode « basique » pour voir le WPS et le filtrage.
Un détail qui fait perdre du temps à tout le monde : si vous avez changé le mot de passe d'administration et que vous l'avez oublié, il faut réinitialiser la box avec un trombone. Vous perdez toute votre configuration au passage.
Le mot de passe du réseau : la base, mais faite correctement
Le premier geste reste le bon : changer le SSID par défaut et poser un mot de passe robuste. Le SSID, c'est le nom de votre réseau. S'il contient le modèle exact de votre box, vous donnez déjà une information utile à qui cherche une faille connue sur ce modèle précis.
Pour le mot de passe, la longueur compte plus que la complexité apparente. Une phrase de passe de quinze caractères, avec majuscules, chiffres et symboles, résiste infiniment mieux qu'un « Azerty2026! » que tout le monde devine. Et évitez le nom de famille, la date de naissance, le numéro de rue.
WPA2 ou WPA3 : comment vérifier et basculer
Le chiffrement, c'est ce qui rend vos échanges illisibles pour qui intercepte le signal. Le WEP est à oublier complètement : c'est un cadenas qu'on ouvre avec une pince. Le WPA2 reste le standard raisonnable. Le WPA3, quand votre matériel le propose, ajoute une protection contre les tentatives de devinette de mot de passe par force brute.
Comment savoir ce que vous avez ? Dans l'interface, direction l'onglet Wi-Fi ou Sécurité. Une ligne affiche « Sécurité » ou « Chiffrement », avec une valeur du type WPA2-PSK, WPA2/WPA3 mixte, ou WPA3-Personal.
Basculer vers WPA3 n'est pas toujours une bonne idée immédiate. J'ai fait le test chez moi, avec deux prises connectées achetées quelques années plus tôt : elles ont purement cessé de se connecter. Sur le papier, le mode mixte WPA2/WPA3 corrige ce genre de problème, mais tous les appareils ne le gèrent pas proprement. Ma règle, après plusieurs essais ratés : passez en WPA3 pur seulement si tous vos appareils ont moins de trois ou quatre ans. Sinon, mode mixte.
WPS, UPnP, administration à distance : les portes qu'on oublie de fermer
C'est ici que se joue la vraie différence entre un réseau « protégé » et un réseau réellement fermé. Trois fonctions sont activées par défaut sur une majorité de box, et deux d'entre elles sont des cadeaux pour qui sait s'en servir.
- Le WPS permet de connecter un appareil en appuyant sur un bouton, sans taper de mot de passe. Pratique. Mais il constitue un raccourci d'accès qui contourne la solidité du mot de passe : désactivez-le, vous ne le regretterez pas.
- L'UPnP laisse les applications ouvrir des ports toutes seules dans votre dos. À couper si vous n'en avez pas besoin.
- L'administration à distance (souvent étiquetée WAN ou accès distant) expose la page de configuration de votre box sur Internet. Sauf besoin précis, elle doit rester éteinte.
- Le filtrage MAC, lui, a mauvaise réputation : efficace contre un voisin curieux, inutile contre quelqu'un d'un peu outillé qui peut usurper une adresse autorisée. Ne comptez pas dessus comme d'une serrure principale.
Franchement, si vous ne devez retenir qu'une seule manipulation de cet article, c'est celle-là. Désactiver le WPS prend trente secondes et ferme une porte que beaucoup de gens ignorent complètement.
Le réseau invité : votre meilleur allié, et personne ne l'utilise
Voilà l'angle que je ne vois presque jamais cité, et c'est celui qui change le plus de choses dans une maison moderne. Vous avez probablement dix ou quinze objets connectés : ampoules, prises, caméra, enceinte, téléviseur, aspirateur robot. Chacun d'eux est un petit ordinateur, avec son propre logiciel, souvent mis à jour… rarement.
L'idée est simple : créez un SSID séparé pour tous ces appareils, ou basculez-les sur le réseau invité de votre box. Votre ordinateur, votre téléphone et vos données sensibles restent sur le réseau principal. Si un objet connecté est compromis, l'attaquant se retrouve coincé dans un couloir, sans accès à vos fichiers partagés ni à vos autres appareils.
La contrepartie, il faut la connaître : certains objets ne savent se connecter qu'à un réseau en 2,4 GHz, et quelques interfaces de box limitent les réglages du réseau invité. J'ai dû abandonner l'idée sur une vieille imprimante qui refusait obstinément le réseau invité. Résultat : elle est restée sur le principal, mais seule dans son coin, sans partage de fichiers activé.
Détecter un intrus, et que faire en cas de piratage avéré
Revenons au voisin. Le signal qui aurait dû l'alerter n'était pas dans les paramètres de sécurité. C'était dans la liste des appareils connectés, un onglet que la plupart des interfaces appellent « Baux DHCP », « Appareils connectés » ou « Clients ».
Les indices qui doivent vous mettre la puce à l'oreille :
- Un appareil que vous ne reconnaissez pas, avec un nom du type « Android- » suivi d'une suite de caractères.
- Une chute de débit inexpliquée, surtout le soir, quand tout le monde est rentré.
- Une box qui chauffe ou clignote plus que d'habitude, sans raison.
- Des voyants d'activité réseau qui s'agitent alors que tous vos appareils sont éteints.
Si vous confirmez une intrusion : coupez d'abord le Wi-Fi, changez immédiatement le mot de passe du réseau et celui de l'administration, désactivez le WPS, puis vérifiez le firmware. Si vous partagez des dossiers sur votre ordinateur, retirez ce partage le temps de faire le ménage.
Vérifier avant de valider : la checklist que j'utilise
Une fois les réglages faits, le piège classique est de tout casser sans s'en rendre compte. Changez un paramètre, enregistrez, testez la connexion depuis un téléphone. Puis un autre.
| Réglage | État souhaité | Impact si mal fait |
|---|---|---|
| Chiffrement | WPA2 ou WPA3 | Réseau lisible par un tiers |
| WPS | Désactivé | Contournement du mot de passe |
| UPnP | Désactivé si inutile | Ouverture de ports non contrôlée |
| Admin à distance | Désactivée | Page de config exposée sur Internet |
| Objets connectés | Réseau séparé | Propagation en cas de compromission |
| Firmware | À jour | Failles connues exploitables |
Le firmware mérite un mot. Il se met à jour depuis l'interface d'administration, dans une section souvent appelée « Maintenance » ou « Système ». Certaines box le font automatiquement, d'autres non. Un correctif de sécurité appliqué trois mois trop tard, c'est une faille déjà publique que n'importe qui peut exploiter.
Comment sécuriser un répéteur Wi-Fi
Un répéteur mal configuré annule une bonne partie de vos efforts, parce qu'il crée son propre point d'accès. Le principe est le même que pour la box : accédez à son interface, réglez un mot de passe différent de celui du réseau principal (ou une phrase de passe forte, si l'appareil la gère), activez le même chiffrement que sur la box, et désactivez le WPS s'il est présent. Évitez aussi de nommer le réseau étendu de façon à révéler votre adresse ou votre appartement.
Ce qui reste ouvert, même après tout ça
On peut tout verrouiller chez soi et se faire avoir ailleurs. Les réseaux Wi-Fi publics — café, bibliothèque, hôtel, gare — restent particulièrement à risque, surtout quand ils ne sont protégés par aucun mot de passe. C'est là que le hameçonnage se joue : une personne malveillante utilise le réseau pour vous rediriger vers une fausse page de connexion, par exemple celle de votre banque, et récupère vos identifiants.
D'où un réflexe simple : sur un réseau public, évitez toute connexion à un service sensible. Et coupez le Wi-Fi de votre ordinateur et de votre téléphone quand vous n'en avez pas besoin. Chaque radio allumée est une porte de plus.
La vérité, c'est qu'aucune configuration ne rend un réseau inviolable. Ce qu'elle fait, c'est rendre le travail d'entrée assez pénible pour que l'attaquant passe à la maison d'à côté. Et ça, honnêtement, c'est déjà l'essentiel. Le voisin, lui, a fini par changer son mot de passe et couper le WPS. Son débit est remonté le soir même.
