Sécuriser sa maison connectée : 7 réflexes à adopter dès maintenant

Un client m'appelle un matin, paniqué. Sa fille de 14 ans venait de lui montrer une appli sur son téléphone : le flux vidéo en direct de la caméra installée dans le salon. Sauf que l'appli n'était pas la sienne. Un inconnu s'était connecté au compte du fabricant et regardait chez lui depuis des semaines. Mot de passe par défaut jamais changé. Voilà comment on sécurise — ou plutôt comment on ne sécurise pas — sa maison connectée.

Ce n'est pas un cas isolé. Depuis que j'installe et que je casse des objets connectés chez moi (et chez quelques proches qui me le regrettent), je vois toujours les mêmes erreurs. Elles ne viennent pas d'une négligence spectaculaire. Elles viennent de la flemme, de la notice jamais lue, et d'une confiance aveugle dans le mot « sécurisé » imprimé sur la boîte.

Pourquoi votre maison connectée est une cible si facile

Une caméra IP grand public coûte moins de 40 euros. Dans cette boîte, il y a un petit ordinateur, un système d'exploitation souvent bricolé, et un mot de passe d'usine identique sur des milliers d'exemplaires. Un objet connecté mal configuré est un ordinateur exposé en permanence à internet, sans personne devant l'écran pour le surveiller.

Les attaques ne visent pas forcément votre intimité. Souvent, elles cherchent de la puissance. Un aspirateur robot ou un décodeur TV piraté peut être enrôlé dans un botnet et servir à saturer un site à votre insu. Vous ne remarquez rien. Votre box chauffe un peu, c'est tout.

Ce que les attaquants cherchent vraiment

Il faut sortir du fantasme du cambrioleur high-tech. Trois motivations reviennent plus que les autres :

1. Du calcul : détourner la puissance de vos objets pour lancer des attaques vers d'autres cibles.
2. Des données : carnet d'adresses, habitudes de présence, codes de serrure, images.
3. L'accès à votre réseau principal, pour remonter ensuite vers vos ordinateurs et vos comptes.

C'est ce troisième point qui fait le plus mal. Une fois qu'un objet est compromis sur votre Wi-Fi, il est à l'intérieur. Il voit vos autres appareils, il peut tenter de s'y connecter. J'ai mis deux soirées à comprendre pourquoi mon NAS clignotait à 3h du matin : un vieux thermostat connecté, oublié dans un placard, balançait du trafic sur le réseau local.

Par où commencer : la checklist que j'applique à chaque installation

Vous venez d'acheter un objet connecté. Avant même de le brancher, faites ces cinq choses. Dans cet ordre. Ça prend vingt minutes et ça élimine la grande majorité des scénarios catastrophes.

1. Changer le mot de passe avant tout

Le mot de passe admin par défaut (« admin/admin », « 1234 », le numéro de série) est public. Il traîne dans les notices PDF et dans des listes partagées entre attaquants. Changez-le sur l'objet lui-même, pas seulement dans l'appli. Beaucoup d'objets ont deux interfaces : une locale (via l'adresse IP) et une dans l'appli. Les deux doivent être protégées.

2. Activer la double authentification sur le compte fabricant

C'est le compte qui relie tous vos objets d'une même marque. S'il tombe, tout tombe. Activez la 2FA — par application d'authentification plutôt que par SMS, si vous avez le choix. J'ai vu des comptes de fabricants se faire prendre uniquement parce que le mot de passe était réutilisé ailleurs, sur un site piraté.

3. Créer un réseau Wi-Fi dédié à l'IoT

La plupart des box récentes proposent un réseau invité. Servez-vous en. Vos objets vont sur le réseau invité, vos ordinateurs, téléphones et NAS restent sur le réseau principal. Si un objet est compromis, il ne peut plus atteindre directement votre ordinateur.

4. Désactiver l'UPnP sur votre box

L'UPnP permet à un objet d'ouvrir tout seul un port vers l'extérieur, sans que vous validiez quoi que ce soit. Pratique pour les jeux en ligne, désastreux pour la domotique. Coupez-le, puis vérifiez les règles de redirection de ports déjà en place : il arrive qu'un objet en ait laissé une traîner.

5. Mettre à jour le firmware

Les fabricants corrigent des failles après coup, dans des mises à jour que personne n'installe. Activez les mises à jour automatiques quand l'option existe. Sinon, prenez l'habitude de vérifier tous les deux ou trois mois. C'est fastidieux, mais c'est ce qui comble les trous connus.

Comment garder un réseau sain dans la durée

Une installation propre, c'est bien. Une installation qui reste propre six mois plus tard, c'est mieux. Trois habitudes suffisent.

• Lisez la liste des appareils connectés sur votre box, une fois par mois. Tout ce que vous ne reconnaissez pas mérite une question.
• Supprimez les comptes des objets que vous avez jetés. Un objet à la poubelle, un accès qui reste ouvert, c'est une porte oubliée.
• Vérifiez les permissions que vous accordez dans les applis. Une caméra n'a pas besoin de votre position en permanence.

Cette dernière règle est celle que je vois le plus souvent violée, et celle qui me met le plus en rogne. Une appli de serrure connectée qui demande l'accès à vos contacts n'a aucune raison de le faire. Refusez. Si l'appli ne fonctionne plus sans, changez d'appli.

Le tableau des priorités

Gestes	Effort	Ce que ça bloque
Changer le mot de passe par défaut	5 minutes	La majorité des attaques automatiques et opportunistes
Activer la double authentification	10 minutes	La prise de contrôle du compte, même si le mot de passe fuite
Isoler l'IoT sur un réseau invité	15 minutes	La propagation vers vos ordinateurs et vos données
Désactiver l'UPnP	3 minutes	L'exposition directe de vos objets depuis internet
Automatiser les mises à jour de firmware	2 minutes	Les failles déjà corrigées mais toujours exploitées

Locataire ou propriétaire : vos contraintes ne sont pas les mêmes

Je l'ai appris en aidant une amie en location. Elle ne pouvait pas toucher à la box fournie par sa copropriété, ni changer le routeur. Résultat : impossible d'isoler ses objets sur un réseau dédié maison. On a contourné avec un routeur personnel branché derrière, en mode point d'accès, dédié à l'IoT. Ça fonctionne, ça tient en un câble, et ça ne demande aucune modification à l'installation existante.

Si vous êtes propriétaire, vous avez le champ libre. Un routeur un peu sérieux, un réseau invité bien configuré, et vous contrôlez qui parle à qui. C'est là que ça devient vraiment confortable : vous voyez le trafic, vous décidez des règles, et vous n'êtes plus à la merci des options bridées de votre opérateur.

Quand faut-il remplacer un objet plutôt que le sécuriser ?

Question que l'on me pose souvent, et la réponse est simple. Si le fabricant ne publie plus de mises à jour depuis deux ou trois ans, si l'appli n'a pas été mise à jour, si vous ne trouvez aucun réglage de mot de passe ou d'authentification, alors l'objet est un risque que vous ne pouvez pas fermer. Un objet ancien et abandonné n'a pas de correctif. La seule bonne décision, c'est de le débrancher. Et là, franchement, personne ne le regrette.

Ce qui compte vraiment au bout du compte

Sécuriser sa maison connectée, ce n'est pas acheter un antivirus miracle ni cocher une case. C'est accepter que chaque objet que vous branchez est un petit serveur, et que vous en êtes responsable. La bonne nouvelle, c'est que les cinq gestes de la checklist bloquent la quasi-totalité des intrusions réelles : votre mot de passe changé, votre compte protégé, votre réseau cloisonné.

Ce que j'ai fini par comprendre, à force de démonter des caméras et de traquer des thermostats fantômes, c'est que la sécurité d'une maison connectée n'est jamais un état. C'est une petite routine, répétée, un peu ennuyeuse, qui prend vingt minutes et qu'aucune pub ne met en avant parce qu'elle ne se vend pas. Le jour où un inconnu regardera chez vous en direct, en revanche, ces vingt minutes vous paraîtront le meilleur investissement de l'année.