Trois objets connectés se gèrent au fil de l'eau. Vingt-cinq forment une petite infrastructure, avec ses adresses, ses micrologiciels et ses flux sortants. Cet article détaille les réglages qui comptent vraiment : réseau invité, mots de passe, chiffrement, mises à jour, ports ouverts et données du domicile, avec le temps que chacun demande réellement.
En bref
- Un réseau invité dédié aux objets se configure en 15 à 20 minutes et isole 25 appareils du reste du domicile.
- Le mode mixte WPA2/WPA3 conserve la compatibilité du matériel antérieur à 2019 tout en activant le chiffrement moderne sur les appareils récents.
- Une caméra en 1080p à 2 Mbit/s envoie environ 21 Go par jour, soit 650 Go par mois, vers un serveur distant.
Ce qui change entre trois objets et vingt-cinq
Trois objets connectés relèvent du détail de configuration, vingt-cinq relèvent de l’infrastructure. La box distribue en général les adresses automatiques dans une plage restreinte, souvent cinquante adresses, avec un bail de douze ou vingt-quatre heures. Vingt-cinq objets fixes, deux ordinateurs, trois téléphones et une imprimante en occupent déjà plus de la moitié. Les symptômes apparaissent progressivement : un capteur qui décroche la nuit, une prise qui répond en trois secondes au lieu de cent millisecondes, un appareil rallumé après une semaine qui réclame une adresse déjà attribuée.
La bande 2,4 GHz concentre l’essentiel du problème radio. La quasi-totalité des petits objets y travaillent, car elle traverse mieux le bâti : trente à quarante-cinq mètres en intérieur, contre dix à quinze mètres en 5 GHz dès qu’il y a deux cloisons. Mais l’Europe n’y dispose que de treize canaux, dont trois seulement ne se recouvrent pas, et l’immeuble entier les partage. Une box annonce parfois cent vingt-huit clients simultanés : en usage réel, au-delà de trente à quarante appareils actifs, la table d’association devient le facteur limitant.
La première mesure d’hygiène consiste donc à sortir du Wi-Fi tout ce qui peut en sortir. Les protocoles maillés basse consommation comme Zigbee ou Thread transportent deux cent cinquante kilobits par seconde, ce qui suffit très largement à un capteur d’ouverture ou à une vanne de radiateur, sur dix à vingt mètres en intérieur, avec une pile bouton qui tient douze à vingt-quatre mois. Quinze capteurs derrière une seule passerelle, c’est quinze clients Wi-Fi en moins et un seul appareil à tenir à jour.
Le réseau invité, la frontière la plus rentable
Presque toutes les box récentes savent diffuser un second réseau, souvent appelé réseau invité. Il porte un nom et un mot de passe distincts, et surtout il ne donne pas accès aux autres machines connectées à la box. C’est la frontière la moins coûteuse à installer : quinze à vingt minutes de configuration, aucun matériel supplémentaire. Le principe tient en une phrase : d’un côté ce qui contient vos fichiers et vos comptes, de l’autre ce qui allume une lampe ou mesure une température.
Vérifiez deux options dans l’interface. L’isolation des clients empêche les appareils du réseau invité de se voir entre eux, ce qui limite fortement l’effet domino si l’un d’eux tourne avec un micrologiciel ancien. La limitation de débit, quand elle existe, se règle autour de dix mégabits par seconde en montant : largement suffisant pour des capteurs et des prises, et cela plafonne mécaniquement un envoi massif de données. Donnez enfin au réseau invité un mot de passe aussi long qu’au réseau principal, et non un mot de passe de dépannage.
Cette séparation a un coût d’usage à connaître. Certaines applications de configuration ont besoin, le temps de l’appairage, de se trouver sur le même réseau que l’objet, parce qu’elles le découvrent par diffusion locale. La manœuvre consiste à basculer le téléphone sur le réseau invité pendant l’installation, puis à revenir ensuite sur le réseau principal. Les appareils qui exigent ce partage en permanence, comme certains systèmes de diffusion audio multipièce, restent du côté principal : c’est un arbitrage assumé, pas un oubli.
- Côté principal : ordinateurs, stockage réseau, imprimante, téléphones, poste de télétravail
- Côté invité : ampoules, prises, capteurs, passerelles, électroménager connecté, téléviseur
- Isolation des clients activée sur le réseau invité, limitation du débit montant vers 10 Mbit/s
- Mot de passe distinct de 20 caractères, renouvelé tous les 2 à 3 ans
Sept mesures classées par effort et par effet réel
| Mesure | Temps de mise en œuvre | Effort | Effet obtenu | À refaire |
|---|---|---|---|---|
| Réseau invité dédié aux objets connectés | 15 à 20 min | Faible | 25 objets isolés des ordinateurs et du stockage réseau | Une fois |
| Passage en mode WPA2/WPA3 mixte | 5 min | Faible | Authentification non rejouable hors ligne sur le matériel postérieur à 2019 | Une fois |
| Mot de passe Wi-Fi de 20 caractères aléatoires | 10 min, plus 30 à 60 min de reconnexions | Moyen | Attaque par dictionnaire sans objet | Tous les 2 à 3 ans |
| UPnP désactivé et redirections supprimées | 10 min | Moyen | Aucun port ouvert vers l'extérieur sans décision explicite | Vérification annuelle |
| Mises à jour de micrologiciel | 15 min par passage | Faible | 1 à 4 correctifs par an et par appareil effectivement appliqués | Chaque trimestre |
| Identifiants uniques et double authentification | 30 min | Moyen | Une fuite chez un prestataire n'ouvre pas les autres comptes | À chaque nouvel appareil |
| Enregistrement vidéo local plutôt que distant | 20 min et une carte de 128 Go | Moyen | 650 Go par mois qui ne quittent plus le domicile | Une fois |
Un mot de passe par appareil, jamais celui de la box
Trois mots de passe cohabitent et on les confond souvent : celui du Wi-Fi, celui de l’interface d’administration de la box, et celui de chaque compte en ligne associé à un objet. Le plus négligé est le deuxième. De nombreux équipements sortent d’usine avec un couple d’identifiants génériques, ou avec un mot de passe imprimé sur une étiquette collée sous l’appareil, donc connu de quiconque passe dans la pièce. Changez-le à la première configuration et notez-le ailleurs que sur cette étiquette.
Pour les comptes en ligne, la règle tient en une phrase : un mot de passe unique par service, seize à vingt caractères tirés au hasard, conservés dans un gestionnaire. Un mot de passe de huit caractères construit autour d’un mot courant se teste hors ligne en quelques heures sur du matériel grand public ; à seize caractères aléatoires, l’approche par dictionnaire n’a plus de sens. Activez la double authentification partout où elle est proposée : c’est le seul réglage qui survit à une fuite d’identifiants chez un prestataire.
Dernier point sur cette même page de réglages : désactivez le WPS. Cette fonction d’appairage simplifié repose sur un code à huit chiffres vérifié en deux moitiés, ce qui ramène l’espace de recherche à environ onze mille combinaisons, soit quelques heures d’essais automatisés. Le confort qu’elle apporte, appuyer sur un bouton au lieu de saisir une phrase de passe, ne vaut pas cette ouverture permanente. Une fois le réseau invité en place, l’appairage se fait de toute façon par mot de passe.
WPA2, WPA3 et le bon usage du mode mixte
Le WPA2, publié en 2004, chiffre les échanges en AES et reste solide dans son principe. Sa faiblesse connue est ailleurs : la phase d’authentification peut être capturée puis testée hors ligne, autant de fois que voulu, contre un dictionnaire. Le WPA3, publié en 2018, remplace cet échange par une négociation qui n’autorise qu’une tentative à la fois et impose la protection des trames de gestion. À mot de passe égal, la différence de robustesse est réelle et se règle en cinq minutes.
En pratique, le mode mixte WPA2/WPA3 est presque toujours le bon réglage à la maison. Les téléphones et ordinateurs postérieurs à 2019 négocient le WPA3, tandis que les ampoules et prises plus anciennes continuent en WPA2 sans rien casser. Basculer en WPA3 exclusif, c’est prendre le risque de perdre d’un coup une dizaine d’objets qui ne se réassocieront plus, avec une soirée entière de réappairage à la clé. Vérifiez simplement que la protection des trames de gestion reste réglée sur optionnelle et non sur obligatoire.
Trois réglages voisins méritent une vérification dans la foulée. Le WEP et le chiffrement TKIP, encore proposés sur du matériel ancien, sont à désactiver sans hésiter, car ils ramènent tout le réseau au niveau de son maillon le plus faible. Le réseau ouvert de secours, parfois actif par défaut, également. Enfin, beaucoup d’objets ne s’appairent qu’en 2,4 GHz : si votre box diffuse un nom unique pour les deux bandes, prévoyez de séparer temporairement les noms pendant l’installation.
Le micrologiciel, la seule maintenance qui compte vraiment
Une faille corrigée n’est dangereuse que sur les appareils qui n’ont pas reçu le correctif. Sur du matériel domestique, comptez une à quatre mises à jour de micrologiciel par an et par appareil, plus souvent sur les passerelles et les caméras que sur une ampoule. Le bon rythme n’est pas quotidien : une vérification par trimestre, quinze minutes montre en main, couvre l’essentiel. Notez la date dans un agenda partagé, faute de quoi l’intention se dissout au bout de deux trimestres.
Activez la mise à jour automatique quand elle existe, et fixez sa fenêtre entre trois et cinq heures du matin : un appareil qui redémarre pendant une mise à jour interrompt son service deux à cinq minutes, ce qui passe inaperçu la nuit et agace en pleine soirée. La box elle-même se met à jour de la même façon. Un redémarrage trimestriel volontaire, réalisé après les mises à jour, remet aussi à plat des tables d’adresses souvent encombrées par des appareils disparus depuis longtemps.
Reste le cas des appareils abandonnés. Le support d’un objet grand public s’arrête couramment deux à cinq ans après sa sortie, parfois sans annonce. La durée de support annoncée est d’ailleurs un critère d’achat aussi concret que la portée radio ou la consommation. Quand un appareil ne reçoit plus rien, deux options : le remplacer, ou le confiner au réseau invité en lui retirant tout accès sortant vers internet si la box le permet. Un objet purement local et non mis à jour reste utilisable longtemps.
- Chaque trimestre : passerelles, box et caméras en priorité, environ 15 minutes
- Chaque année : relecture des redirections de ports et de la liste des appareils associés
- À chaque achat : vérifier la durée de support annoncée, 3 à 5 ans est un repère raisonnable
- Fenêtre de mise à jour automatique réglée entre 3 h et 5 h du matin
Ports ouverts, vidéo distante et données du domicile
L’UPnP permet à un appareil d’ouvrir tout seul un port vers l’extérieur, sans vous prévenir. C’est commode et c’est exactement le problème : une redirection créée pour un usage ponctuel reste ouverte des années. Désactivez l’UPnP, puis ouvrez la liste des redirections de votre box et supprimez celles que vous ne pouvez pas justifier. Les ports habituellement concernés par du matériel domestique sont le 80, le 443, le 554 pour les flux vidéo et le 8080. Aucun d’eux n’a besoin d’être ouvert pour un usage normal.
Le flux vidéo distant mérite un calcul. Une caméra en 1080p à deux mégabits par seconde envoie environ vingt et un gigaoctets par jour, soit six cent cinquante gigaoctets par mois, qui transitent par un serveur tiers. En 2K à quatre mégabits par seconde, le volume double. Deux questions se posent alors : le flux est-il chiffré de bout en bout, et où sont conservés les enregistrements. L’alternative locale existe sur beaucoup de modèles : une carte mémoire de cent vingt-huit gigaoctets conserve environ dix à quinze jours d’enregistrement déclenché sur détection.
Côté RGPD, l’usage strictement personnel et domestique bénéficie d’une exception. Elle cesse dès que le champ d’un appareil dépasse votre domicile, par exemple une caméra qui filme le palier, le trottoir ou le jardin voisin, ou dès qu’une personne employée à domicile est concernée. Trois réflexes suffisent : masquer les zones qui ne vous appartiennent pas, limiter la conservation à sept ou trente jours selon l’usage, informer clairement les personnes présentes. Vous pouvez également demander à tout prestataire l’accès à vos données et leur effacement, avec un délai de réponse d’un mois.
Questions fréquentes
Faut-il acheter un routeur en plus de la box ?
Pas nécessairement. Une box récente sait diffuser un réseau invité, gérer le mode WPA2/WPA3 mixte et isoler ses clients, ce qui couvre l’essentiel du besoin. Un équipement dédié n’a d’intérêt que si votre box ne propose ni réseau secondaire ni isolation, ou si vous souhaitez segmenter plus finement avec plusieurs réseaux virtuels.
Le réseau invité ralentit-il les objets connectés ?
Pas de façon perceptible. Un capteur échange quelques kilooctets par jour et une prise commandée localement répond en cinquante à cent cinquante millisecondes, que le réseau soit principal ou invité. Le seul point d’attention concerne les objets qui diffusent de la vidéo ou de l’audio, pour lesquels une limitation de débit trop basse devient sensible.
Que faire d'un appareil qui ne reçoit plus de mises à jour ?
S’il fonctionne encore, placez-le sur le réseau invité et retirez-lui l’accès sortant vers internet si votre box le permet : il continuera de répondre aux commandes locales. S’il dépend entièrement d’un serveur distant pour fonctionner, son remplacement devient la seule option cohérente à moyen terme.
Mes ampoules achetées en 2018 fonctionneront-elles en WPA3 ?
Probablement pas en WPA3 exclusif. C’est précisément l’intérêt du mode mixte : les appareils récents négocient le WPA3, les plus anciens restent en WPA2 sur le même réseau. Vérifiez seulement que la protection des trames de gestion est réglée sur optionnelle et non sur obligatoire.
Une caméra d'intérieur relève-t-elle du RGPD à la maison ?
Dans un cadre strictement personnel et domestique, l’exception prévue par le texte s’applique. Elle tombe si le champ couvre un espace qui n’est pas le vôtre, ou si une personne employée à domicile est filmée. Dans ces cas, masquez les zones concernées, informez les personnes et limitez la durée de conservation.
