Le voyant clignote. Vous ne savez pas pourquoi. Et si je vous disais que la dernière fois que j'ai testé le Wi-Fi d'un ami, j'ai trouvé son mot de passe en moins de quatre minutes — un prénom, une date de naissance, un point d'exclamation. Il pensait avoir fait l'effort. Il avait fait semblant.
Renforcer la sécurité de son réseau Wi-Fi domestique, ce n'est pas une question de matériel dernier cri ni de logiciel miracle. C'est une série de décisions simples que 90 % des gens sautent parce qu'elles sont ennuyeuses. Et c'est précisément parce qu'elles sont ennuyeuses que les pirates s'en frottent les mains.
Points clés à retenir
- Le chiffrement WPA2 ou WPA3 est le socle minimum ; WEP et WPA sont à traiter comme inexistants.
- Le mot de passe par défaut de votre box (Orange, Free, Bouygues, SFR) est public — changez-le le jour de l'installation, pas « un jour ».
- Un réseau invité séparé pour les objets connectés évite qu'une ampoule compromise donne accès à votre ordinateur.
- Le WPS est une porte dérobée : désactivez-le, même s'il facilite la vie.
- Vérifiez la liste des appareils connectés au moins une fois par trimestre. Un inconnu y traîne plus souvent qu'on ne le croit.
Pourquoi votre Wi-Fi est plus vulnérable que vous ne le pensez
Ma voisine a un réseau qui s'appelle « Freebox-4F2A ». Le mien, à l'époque, s'appelait pareil — sauf que je n'avais pas changé le mot de passe administratif. Un après-midi, je me suis amusé à me connecter à la mienne depuis l'extérieur, juste pour voir. J'ai atterri sur l'interface d'administration sans forcer. L'identifiant était « admin », le mot de passe aussi. J'ai mis deux heures à réaliser l'ampleur du problème.
Ce n'est pas une question de chance. C'est une question de surface d'attaque. Un routeur par défaut expose plusieurs points d'entrée : le panneau d'administration, le réseau Wi-Fi lui-même, le WPS, les services UPnP ouverts, et parfois un serveur FTP ou une interface cloud mal configurée. Chaque porte non verrouillée est une invitation.
Ce qu'un voisin peut faire avec votre connexion
Le vol de bande passante est le désagrément le plus visible : votre streaming rame, vous accusez votre opérateur, et pendant ce temps quelqu'un télécharge tranquillement. Mais le vrai risque est ailleurs. Une personne connectée à votre réseau peut, dans certaines configurations, intercepter du trafic non chiffré, tenter d'accéder à vos partages de fichiers locaux, ou utiliser votre IP pour des activités illicites. C'est votre nom qui apparaît dans les logs, pas le sien.
J'ai connu un cas concret : un petit cabinet comptable dont le Wi-Fi d'entreprise reposait sur une box grand public avec le mot de passe inscrit au dos. Un stagiaire l'a photographié pour « retrouver la connexion plus vite ». Trois mois plus tard, un appareil inconnu pompait la connexion toutes les nuits. Personne ne s'en était rendu compte.
Comment sécuriser son wifi en pratique : par où commencer
Oubliez les listes de vingt conseils. Il y a une hiérarchie. Si vous ne faites que les trois premières actions ci-dessous, vous éliminez la grande majorité des attaques opportunistes — celles qui ne visent personne en particulier, mais qui scannent le quartier à la recherche du réseau le plus facile.
Chiffrement WEP, WPA, WPA2 : lequel choisir ?
Trois générations cohabitent encore dans les menus de nos box, et le choix par défaut n'est pas toujours le bon. Ce qu'il faut retenir :
- WEP : cassable en quelques minutes avec des outils grand public. S'il est encore proposé sur votre matériel, c'est que celui-ci a plus de quinze ans. Considérez-le comme non sécurisé.
- WPA (première version) : obsolète depuis longtemps, vulnérable aux attaques par dictionnaire sur les mots de passe courts.
- WPA2 : le standard confortable, solide avec une phrase de passe correcte. Le minimum acceptable aujourd'hui.
- WPA3 : la version la plus récente, qui protège mieux contre les attaques hors connexion. Si votre box le propose, activez-le — mais vérifiez que vos vieux appareils s'y connectent encore.
Le piège classique : passer en WPA3 et découvrir que l'imprimante de 2014 refuse de se connecter. Solution : un réseau invité en WPA2 pour les appareils récalcitrants, WPA3 pour le reste. Un peu de gymnastique, mais ça évite les compromis.
Comment sécuriser son wifi Orange, Freebox ou SFR
Chaque opérateur range ses réglages différemment, mais la logique est identique. Connectez-vous à l'interface d'administration (adresse habituellement de la forme 192.168.1.1 ou ma.box), puis cherchez les rubriques suivantes :
- Le mot de passe du Wi-Fi principal — changez-le pour une phrase de passe de 12 caractères minimum, sans mot du dictionnaire.
- Le mot de passe d'administration de la box — souvent oublié, il est pourtant distinct du premier.
- Le chiffrement — sélectionnez WPA2 ou WPA3, jamais « auto » si l'auto inclut du WEP.
- Le WPS — désactivez-le. Son code à huit chiffres est vulnérable par force brute, et beaucoup de box ne le signalent même pas.
- Le réseau invité — activez-le, avec un mot de passe différent.
Sur une Freebox, ces options vivent dans l'onglet « Réseau » puis « Wi-Fi ». Sur une Livebox Orange, direction « Réseau » puis « Wi-Fi ». Chez SFR, c'est dans « Réglages » puis « Wi-Fi ». Les noms changent, la structure non. Comptez vingt minutes la première fois, cinq les suivantes.
Les réglages avancés qu'on oublie toujours
Le filtrage MAC, le masquage du SSID, la réduction de portée : trois techniques souvent présentées comme des solutions. Franchement, leur efficacité réelle est limitée. Masquer le nom de votre réseau n'empêche personne de le détecter — les outils d'analyse le voient quand même. Le filtrage MAC se contourne en usurpant une adresse autorisée, ce qui prend quelques minutes à quelqu'un qui sait ce qu'il fait.
Est-ce que je les utilise ? Oui, pour le filtrage MAC, sur mon réseau secondaire. Pas parce que c'est infranchissable, mais parce que ça décourage le curieux. C'est un verrou de plus sur une porte par ailleurs solide — pas la porte elle-même.
Ce qui compte vraiment et qu'on oublie systématiquement, c'est la mise à jour du firmware de la box. Les opérateurs poussent ces mises à jour automatiquement, mais pas toujours sur les modèles anciens. Un routeur dont le micrologiciel n'a pas été touché depuis des années porte les failles de toutes ces années.
Isoler les objets connectés : la règle que personne ne suit
Comptez vos appareils connectés. Téléviseur, enceinte, thermostat, caméra, prise intelligente, montre, robot aspirateur. Chez moi, j'en avais dix-neuf avant de faire l'inventaire — et je ne les avais jamais comptés. Chacun est un ordinateur minuscule qui, une fois compromis, devient un point d'entrée vers votre réseau local.
La solution est simple : placez-les tous sur le réseau invité. Ce réseau les isole du reste, leur donne accès à Internet mais pas à vos ordinateurs, ni à votre NAS, ni à vos partages. Le réglage prend cinq minutes et élimine une catégorie entière de risques.
Si votre box ne propose qu'un seul réseau invité sans isolation réelle, une alternative consiste à désactiver les fonctions dont vous ne servez pas — partage de médias, serveur FTP, accès cloud — pour réduire la surface visible depuis l'extérieur.
Comment savoir si mon WiFi est sécurisé ?
Une vérification honnête prend dix minutes. Connectez-vous à l'interface d'administration et ouvrez la liste des appareils connectés. Vous devriez pouvoir identifier chaque nom : téléphone, ordinateur, tablette, la télé du salon. Si un appareil ne vous dit rien, notez son adresse MAC et cherchez-la sur un moteur de recherche — souvent, le préfixe identifie le fabricant. Un appareil générique sans nom, connecté à trois heures du matin, mérite votre attention.
Un autre signe : votre connexion est anormalement lente, surtout en soirée, sans raison apparente. Ce n'est pas une preuve, mais ça justifie un coup d'œil. Et ce n'est pas parce que votre bande passante est « illimitée » que quelqu'un d'autre ne l'utilise pas à vos frais.
Spoiler : dans 80 % des cas où j'ai fait ce contrôle chez des proches, la liste contenait au moins un appareil qu'ils ne reconnaissaient pas. Parfois c'était un vieux téléphone oublié, parfois non.
Comparaison rapide des niveaux de protection
| Réglage | Effort | Protection réelle | À faire en priorité ? |
|---|---|---|---|
| Changer le mot de passe Wi-Fi | 2 minutes | Élevée | Oui, immédiatement |
| Passer en WPA2/WPA3 | 5 minutes | Élevée | Oui |
| Désactiver le WPS | 3 minutes | Moyenne à élevée | Oui |
| Changer le mot de passe admin | 2 minutes | Élevée | Oui |
| Créer un réseau invité pour l'IoT | 10 minutes | Élevée | Recommandé |
| Filtrage MAC | 15 minutes | Faible | Optionnel |
| Masquer le SSID | 2 minutes | Très faible | Non |
Une chose que je n'avais pas anticipée la première fois : après avoir tout verrouillé, certains de mes appareils ont refusé de se reconnecter automatiquement. Il a fallu les oublier puis les reconnecter un par un. Fastidieux, mais l'occasion de vérifier au passage qu'aucun n'était un intrus.
Et le VPN dans tout ça ?
Un VPN ne protège pas votre réseau Wi-Fi domestique. Il chiffre le trafic entre votre appareil et un serveur distant, ce qui est utile sur un Wi-Fi public. Chez vous, avec un WPA2 solide, il n'apporte quasiment rien de plus hormis masquer votre adresse IP vis-à-vis des sites que vous visitez. C'est un autre sujet — et un autre débat.
Là où il prend du sens : quand vous accédez à distance à votre réseau domestique. Un serveur VPN personnel installé sur le routeur vous permet de revenir chez vous de façon chiffrée, au lieu d'ouvrir des ports à l'aveugle. C'est la seule configuration VPN qui touche à la sécurité de votre Wi-Fi.
Le reste tient en une phrase que je répète souvent : vos réglages ne valent que si vous les vérifiez. Un mot de passe changé il y a cinq ans sur un appareil dont le firmware n'a jamais bougé n'est pas une sécurité, c'est une impression.
