Sécuriser son réseau wifi domestique : 7 étapes simples qui changent tout

Un de mes voisins avait un compte Netflix, pas d'abonnement fibre. Il se servait chez moi. Je l'ai su en ouvrant l'interface de ma box pour une raison toute bête : je voulais renommer le réseau. Dans la liste des appareils connectés, il y avait une télé Samsung, un iPhone et une enceinte connectée que je ne connaissais ni d'Ève ni d'Adam. Trois intrus. Pendant des mois. Ma clé Wi-Fi datait de l'installation, en 2019.

Depuis, j'ai sécurisé mon réseau wifi domestique, puis celui de mes parents, puis celui d'un pote qui gère un petit cabinet. Et honnêtement, la plupart des tutos que je lis passent à côté de l'essentiel. Ils vous disent de changer le mot de passe et de passer en WPA3. Très bien. Mais ils oublient le WPS, l'UPnP et la liste des baux DHCP — trois trucs qui, chez moi, ont compté bien plus.

Sécuriser son réseau wifi domestique : par quoi commencer vraiment

La réponse courte : la clé, puis le chiffrement, puis les protocoles que personne ne désactive. Dans cet ordre. Tout le reste — filtrage MAC, réseau invité, IP statiques — vient après, parce que ça ne sert à rien de construire un mur derrière une porte ouverte.

Comment entrer dans l'interface de gestion de votre box

Vous tapez l'adresse de la passerelle dans un navigateur. Le plus souvent 192.168.1.1 ou 192.168.0.1. Sur une Freebox, c'est plutôt mafreebox.freebox.fr. Sur une Bbox, l'adresse est souvent imprimée sous l'appareil. Les identifiants d'admin, eux, sont sur l'étiquette au dos — et si vous ne les avez jamais changés, ils y sont encore.

Première chose que je fais systématiquement : je modifie l'identifiant et le mot de passe de l'interface d'administration elle-même. Parce que la clé Wi-Fi et le mot de passe admin sont deux choses distinctes, et beaucoup de gens sécurisent la première en laissant la seconde en admin / admin.

Sur les box Orange, l'onglet s'appelle généralement « Réseau Wi-Fi ». Chez Free, tout passe par « Paramètres de la Freebox ». Chez SFR et Bouygues, c'est dans « Wi-Fi » ou « Réseau sans fil ». Les libellés changent, la logique ne change pas.

Choisir une clé Wi-Fi qui résiste

Une clé Wi-Fi solide, c'est au moins 12 caractères, avec majuscules, chiffres et symboles. Pas votre date de naissance. Pas le nom de votre chien. Pas « Freebox-2026 ». Le nombre de mots de passe que je vois encore passer en dépannage chez des amis me sidère à chaque fois.

Le chiffrement, ensuite. Le WEP est mort : une clé WEP se casse en quelques minutes avec les outils grand public actuels. Le WPA de première génération n'est guère mieux. Visez WPA2 au minimum, WPA3 si votre matériel le propose. Les box récentes le font, y compris côté Orange et Freebox.

Un détail que j'ai appris à la dure : quand vous changez de mode de chiffrement, tous vos appareils doivent se reconnecter avec la nouvelle clé. Si vous avez une imprimante ou une enceinte connectée récalcitrante, elle peut refuser. Prévoyez le moment où vous n'êtes pas pressé.

Les deux réglages que tout le monde oublie : WPS et UPnP

C'est ici que je diverge des tutos classiques. Sur les dix premières pages que j'ai pu lire sur le sujet, aucune ne parlait du WPS. Or c'est probablement le vecteur d'attaque le plus simple qui existe sur un réseau domestique mal configuré.

Pourquoi désactiver le WPS

Le WPS, c'est ce bouton « connexion facile » qui permet de brancher un appareil sans taper le mot de passe. Pratique. Sauf que le mécanisme repose sur un code PIN à huit chiffres, et que cette protection se contourne. Un attaquant qui se trouve à portée radio peut, avec les bons outils, retrouver ce PIN en quelques heures. Une fois le PIN obtenu, il récupère la clé Wi-Fi complète.

Sur ma box, l'option était activée par défaut. Je l'ai désactivée, et j'ai reconnecté mes appareils un par un, à la main. Vingt minutes de ma vie contre une porte d'entrée fermée. Le calcul est vite fait.

Le cas de l'UPnP

L'UPnP, lui, sert à ouvrir automatiquement des ports dans votre box quand une application le demande. Jeux en ligne, applications de visio, logiciels de partage. Le problème ? N'importe quel logiciel sur votre réseau peut demander une ouverture de port, et la box l'accorde souvent sans broncher. C'est une exposition silencieuse.

Si vous n'en avez pas besoin, coupez-le. Si vous en avez besoin pour un jeu précis, ouvrez les ports manuellement, un par un, et refermez-les après usage. C'est moins confortable, c'est plus sûr. Je sais, ce n'est pas ce qu'on a envie d'entendre.

Comment empêcher quelqu'un de se connecter à mon Wi-Fi ?

Pour bloquer l'accès à une personne — un voisin, un ancien colocataire, un invité devenu indésirable —, connectez-vous à l'interface de gestion de votre box, modifiez le mot de passe Wi-Fi et choisissez un chiffrement sécurisé en WPA2 ou WPA3. Vous pouvez aussi limiter les appareils autorisés grâce au filtrage d'adresses MAC. Ces deux actions combinées empêchent un intrus d'utiliser votre connexion sans autorisation.

Le filtrage par adresse MAC

Chaque appareil réseau possède une adresse MAC, une sorte d'identifiant matériel fixe. Dans l'interface de votre box, vous pouvez déclarer une liste blanche : seules les adresses inscrites peuvent se connecter, tout le reste est refusé.

• Récupérez l'adresse MAC de chaque appareil légitime (souvent affichée dans la liste DHCP de la box).
• Ajoutez-les une par une dans le filtrage MAC, en mode « liste blanche » et non « liste noire ».
• Vérifiez qu'aucun appareil essentiel n'est oublié — un aspirateur robot, une montre connectée, une alarme.

Le revers de la médaille : chaque nouvel invité doit être ajouté manuellement. Ce n'est pas pratique pour un foyer avec beaucoup de passage. C'est précisément pour ça que j'ai fini par réserver le filtrage MAC aux appareils fixes (PC, NAS, imprimante) et par laisser le réseau principal ouvert à la clé forte.

L'attribution d'adresses IP statiques

En complément, vous pouvez fixer l'adresse IP locale de vos appareils de confiance. Ça ne bloque pas directement un intrus, mais ça rend le réseau lisible : vous savez qui est qui, et une adresse IP inattendue saute aux yeux. C'est mon petit confort de paranoïaque : chaque IP connue correspond à un appareil connu.

Détecter un intrus sur votre réseau

La clé Wi-Fi de ma box actuelle fait 16 caractères. Je l'ai changée il y a dix-huit mois. Dans l'intervalle, j'ai trouvé un appareil inconnu une seule fois — une enceinte connectée que mon frère avait branchée lors d'une visite et jamais retirée.

Comment repérer une intrusion ? La liste des baux DHCP de la box affiche tous les appareils connectés avec leur adresse MAC et leur nom. Le problème, c'est que ces noms sont souvent illisibles (ESP_4A2C, android-dc4f1b). Une application mobile comme Fing, ou l'équivalent côté Samsung via SmartThings, donne une lecture plus claire et signale parfois le type d'appareil.

Ce que je fais une fois par trimestre :

1. J'ouvre la liste DHCP et je compare avec mes appareils connus.
2. Tout ce qui ne m'évoque rien, je le note et je cherche sur internet à partir de l'adresse MAC (les trois premiers octets identifient le fabricant).
3. Si l'appareil est vraiment inconnu, je change la clé Wi-Fi. Ça déconnecte tout le monde instantanément.
4. Je reconfigure ensuite mes appareils, en ajoutant au passage une couche de filtrage MAC si nécessaire.

Réseau invité et objets connectés : le sas de décompression

Le réseau invité, ce n'est pas qu'une question de politesse. C'est un mécanisme de cloisonnement. Un appareil connecté sur le réseau invité n'accède pas aux autres appareils de votre réseau principal : il ne voit pas votre NAS, votre imprimante, votre ordinateur.

Ce que je recommande : placez-y tout ce qui vient de l'extérieur. Téléphones d'invités, ordinateurs d'amis, mais aussi vos propres objets connectés si votre box le permet. Une ampoule connectée compromise ne donnera pas accès à votre PC de bureau. C'est le même principe qu'un VLAN, en version grand public.

Sur certaines box, le réseau invité est activé en un clic. Sur d'autres, il faut passer par les paramètres avancés et parfois configurer un SSID séparé à la main. Le temps investi est dérisoire au regard du gain.

Mises à jour : la partie que personne ne fait

Le firmware de votre box contient des failles qui se corrigent au fil des mises à jour de l'opérateur. Les box Orange, Free, SFR et Bouygues se mettent à jour automatiquement la plupart du temps. Mais un répéteur Wi-Fi ou un routeur tiers, lui, ne se met pas à jour tout seul.

Un répéteur mal configuré, c'est un trou dans le mur. J'en ai vu un chez un ami, branché depuis quatre ans, avec le mot de passe usine encore actif. Le SSID était identique à celui du réseau principal, ce qui fait que les appareils s'y connectaient sans distinction — et que la clé forte du routeur ne servait à rien, puisque le répéteur, lui, acceptait tout le monde.

Vérifiez donc :

• Le mot de passe admin du répéteur (pas seulement sa clé Wi-Fi).
• Sa version de firmware, dans son interface, accessible depuis un navigateur.
• Son chiffrement, aligné sur celui du réseau principal (WPA2/WPA3).
• Éventuellement, la désactivation du SSID diffusé si vous voulez le rendre invisible — gadget, mais ça décourage.

Comparatif : quel réglage pour quel risque

Réglage	Risque couvert	Effort	Priorité
Clé Wi-Fi robuste + WPA2/WPA3	Vol de connexion, interception	5 minutes	Indispensable
Mot de passe admin de la box	Prise de contrôle totale	3 minutes	Indispensable
Désactivation WPS	Contournement par PIN	2 minutes	Élevée
Désactivation UPnP	Exposition de ports	2 minutes	Moyenne
Filtrage MAC	Accès par appareil non autorisé	15 minutes	Moyenne
Réseau invité	Propagation depuis un appareil tiers	5 minutes	Élevée
Mise à jour du répéteur	Faille connue non corrigée	Variable	Élevée

Selon votre opérateur ou votre matériel

La logique est la même partout, les chemins diffèrent. Voici ce que j'ai constaté chez les principaux.

Sur une box Orange

Interface accessible via 192.168.1.1, identifiants sur l'étiquette. La section « Réseau Wi-Fi » regroupe le SSID, la clé et le chiffrement. Le WPS s'y désactive dans les paramètres avancés.

Sur une Freebox

Adresse : mafreebox.freebox.fr. Les réglages Wi-Fi sont dans « Paramètres de la Freebox », puis « Wi-Fi ». La Freebox propose souvent un réseau invité activable en un clic, ce qui est pratique.

Sur une box Canalbox

Canalbox utilise du matériel qui varie selon la zone. Le plus simple : chercher la passerelle dans les paramètres réseau de votre ordinateur (souvent 192.168.0.1 ou 192.168.1.1), puis suivre les onglets Wi-Fi. La structure est standard.

Sur un appareil Samsung ou un répéteur

Les téléphones et tablettes Samsung ne gèrent pas votre box. En revanche, l'application SmartThings peut vous montrer les appareils connectés à votre réseau domestique, ce qui aide à repérer un intrus. Pour un répéteur Wi-Fi, il faut passer par son interface propre, en général accessible via son adresse IP locale ou une application dédiée.

Le point que les tutos oublient

La sécurité d'un réseau domestique n'est pas un état, c'est un entretien. Vous changez la clé, vous désactivez le WPS, vous vérifiez les appareils connectés une fois par trimestre. C'est tout. Ce n'est pas glamour, ce n'est pas rapide, mais c'est ce qui marche.

Ce qui me frappe, c'est que la plupart des intrusions domestiques ne viennent pas d'un pirate en capuche. Elles viennent d'une clé faible, d'un WPS activé par défaut, d'un répéteur oublié. Des choses simples que personne ne pense à vérifier.

La prochaine fois que vous ouvrez l'interface de votre box, prenez cinq minutes. Regardez la liste des appareils connectés. Vous pourriez être surpris.