Une sonnette vidéo achetée 39 € sur une place de marché, installée en dix minutes, un mot de passe jamais changé parce que l'appli n'en demandait pas. Deux mois plus tard, le propriétaire découvre que le flux vidéo de son entrée était accessible depuis une adresse IP en Roumanie. Ce n'est pas un scénario catastrophe inventé pour l'article. C'est le genre de choses qu'on me raconte régulièrement, et à chaque fois la même phrase revient : « je pensais que c'était sécurisé par défaut ».
Non. Rien n'est sécurisé par défaut dans une maison connectée. Le piratage d'objets connectés ne ressemble pas au film qu'on imagine : personne ne « hacke » votre thermostat avec un ordinateur portable et des lignes de code vertes qui défilent. On exploite une porte laissée ouverte. Toujours.
Points clés à retenir
- La caméra IP et le routeur sont les deux appareils à traiter en priorité absolue — le reste peut attendre.
- Un mot de passe par défaut non changé est la faille n°1, loin devant toutes les autres.
- Isoler vos objets connectés sur un réseau séparé vous protège même quand un appareil tombe.
- Avant d'acheter, vérifiez la politique de mise à jour du fabricant : un objet sans mises à jour est un objet condamné.
- Un appareil en fin de support ne se « sécurise » pas, il se débranche.
Sécuriser ses objets connectés maison : par où commencer quand on en a quinze
La vraie question n'est pas « comment sécuriser », c'est « par quoi je commence ». Quand on a un routeur, deux caméras, un babyphone, une sonnette, un aspirateur robot et un thermostat, on ne traite pas tout en même temps. On hiérarchise. Et cette hiérarchie, quasiment aucun guide ne la donne.
Le classement par criticité que j'applique systématiquement
Voici ce que l'expérience m'a appris, après avoir repris l'installation d'amis, de proches, et la mienne. Deux appareils comptent plus que tous les autres réunis.
- Le routeur. C'est la porte d'entrée. S'il tombe, tout tombe avec lui. Mot de passe admin changé, firmware à jour, accès distant désactivé.
- Les caméras IP et la sonnette vidéo. Elles filment l'intérieur de votre vie. Une caméra compromise, c'est de l'image en direct chez vous. Traitez-les juste après le routeur.
- Le babyphone et tout ce qui contient un micro ou une caméra dans une chambre.
- Les objets « passifs » : thermostat, ampoules, prises connectées. Moins sensibles, mais ils servent de marchepied pour atteindre le reste.
- Les enceintes connectées et téléviseurs. À faire, sans urgence.
Vous avez quinze appareils ? Commencez par le routeur et les deux caméras. Vraiment. Le reste peut attendre un week-end pluvieux.
Le point de départ que tout le monde saute : le routeur
La box opérateur arrive avec des identifiants d'administration par défaut, souvent imprimés sur une étiquette collée dessous. Beaucoup de gens ne les changent jamais. Or c'est exactement ce que les outils automatisés cherchent : ils balaient les plages d'adresses, testent les combinaisons admin/admin, admin/1234, et passent au suivant.
Connectez-vous à l'interface de votre box, section administration, et remplacez ce mot de passe. Vérifiez au passage que l'accès à distance (WAN) est bien désactivé. Je l'ai déjà vu activé par défaut sur du matériel d'opérateur, sans que personne ne s'en rende compte.
Votre caméra IP est-elle vraiment « chez vous » ?
Posons la chose brutalement : une caméra connectée n'est pas reliée à votre box. Elle est reliée à un serveur du fabricant, quelque part, et l'application sur votre téléphone vient y chercher le flux. Ce détour change tout. Il signifie que la sécurité dépend aussi de la rigueur du fabricant, pas seulement de la vôtre.
Ce que vous contrôlez, en revanche, c'est tout le reste. Et ça suffit souvent.
- Changer le mot de passe de l'appareil lui-même, pas seulement celui du compte fabricant.
- Désactiver complètement l'accès à distance si vous n'en avez pas besoin — beaucoup d'utilisateurs ne consultent leurs caméras que depuis chez eux.
- Vérifier que le flux est chiffré et que la fonction « UPnP » (ouverture automatique de ports) est désactivée. C'est elle qui, la plupart du temps, expose l'appareil à l'extérieur sans que vous l'ayez demandé.
Avouons-le : je n'ai compris le rôle du UPnP qu'assez tard. C'est pourtant l'un des mécanismes les plus discrets et les plus problématiques des objets grand public.
Comment vérifier ce qui est ouvert sur votre réseau
Vous pouvez déjà observer, depuis l'interface de votre box, la liste des appareils connectés et les éventuels ports redirigés. Une redirection que vous n'avez pas créée volontairement est un signal d'alerte. Deuxième étape, plus parlante : depuis un réseau extérieur à votre domicile, essayez de joindre l'adresse IP publique de votre box sur le port de la caméra. Si vous obtenez une réponse, l'appareil est exposé. Dans le cas contraire, vous êtes tranquille de ce côté.
Comment puis-je sécuriser ma maison moi-même ?
La sécurité de votre maison repose d'abord sur des gestes simples, à faire dans l'ordre, et vérifiables à la main. Avant toute chose, si vous êtes en phase de visite d'un logement, à l'achat comme à la location, demandez ce qui est déjà installé : caméras de vidéo-surveillance, alarme filaire ou sans fil. Un système existe ? Assurez-vous qu'il est associé à un contrat avec une société de surveillance, et renseignez-vous sur sa fiabilité réelle avant de vous fier à lui. Côté extérieur, vérifiez la présence d'un visiophone à l'entrée du portail : il permet d'identifier qui sonne sans ouvrir, depuis l'intérieur comme depuis l'extérieur du logement.
Une fois chez vous, la logique est la même, transposée au numérique : vous fermez ce qui peut rester ouvert, vous vérifiez ce qui compte, et vous ne supposez jamais qu'un équipement est protégé parce qu'il est neuf.
Choisir un objet connecté sécurisé : les critères que personne ne vérifie
Le meilleur moyen de ne pas avoir à sécuriser un objet, c'est de ne pas acheter le mauvais. Sur ce terrain, le grand public est livré à lui-même. Aucune information claire sur la boîte, aucun logo compréhensible.
| Critère | Ce qu'il faut regarder | Signal d'alerte |
|---|---|---|
| Mises à jour | Le fabricant annonce une durée de support et publie des correctifs | Aucune mention, site muet depuis des mois |
| Norme de sécurité | Conformité à la norme ETSI EN 303 645, référence pour l'IoT grand public | Argumentaire marketing uniquement |
| Chiffrement | Flux chiffré, communication sécurisée annoncée clairement | Aucune information technique accessible |
| Compte | Authentification à deux facteurs possible | Pas de double vérification disponible |
| Fin de support | Politique connue à l'avance | Modèle silencieusement abandonné |
Dans mon cas, ce tableau a changé une décision d'achat l'an dernier : j'ai renoncé à une caméra moins chère parce que le fabricant ne publiait aucun historique de correctifs. Je ne suis pas sûr que ça l'aurait sauvée, mais je sais qu'un appareil sans suivi est un appareil qui se dégrade tout seul.
Isoler ses objets connectés sur un réseau séparé
C'est le conseil qui a le meilleur rapport protection/effort, et celui que le plus de gens ignorent. L'idée est simple : vos objets connectés n'ont aucune raison de communiquer avec votre ordinateur ou votre téléphone sur le même réseau. Un réseau séparé, même grossièrement configuré, empêche un appareil piraté de servir de tremplin vers le reste.
Sur beaucoup de box grand public, il existe un réseau invité activable en quelques clics. Mettez-y tous vos objets connectés. Votre ordinateur, votre téléphone et votre NAS restent sur le réseau principal. Ce n'est pas de la haute sécurité, c'est de la séparation de base, et ça suffit à casser la majorité des chaînes d'attaque opportunistes.
Sur un routeur plus avancé, on parle de VLAN IoT. Plus propre, plus flexible, mais franchement plus technique. Si vous débutez, le réseau invité fait déjà le travail.
Que faire d'un objet qui n'est plus mis à jour ?
Un objet dont le fabricant ne publie plus de correctifs est un objet condamné. Vous pouvez le laisser sur un réseau isolé, sans accès à Internet, si vous tenez à ses fonctions locales. Sinon, débranchez-le. C'est cash, mais c'est la réalité : une vulnérabilité non corrigée ne s'arrange pas avec le temps, elle s'aggrave.
Mots de passe et réflexes, jusqu'au bout de la chaîne
Les consignes en cas de cyberattaque et la gestion des mots de passe reviennent sans arrêt dans les recommandations officielles, et c'est justifié. Sur vos objets connectés, deux règles suffisent à éliminer la majorité des risques : un mot de passe unique par appareil, et l'activation de la double authentification partout où elle existe. Un gestionnaire de mots de passe règle le problème de mémoire. Le reste — réinitialisation des appareils d'occasion, vigilance sur les achats en ligne, prudence face aux courriels qui vous demandent vos identifiants — s'applique ici exactement comme partout ailleurs.
Et quand un appareil a été compromis, le réflexe est le même qu'après un cambriolage : on ne se contente pas de refermer la porte, on change la serrure. Réinitialisation complète, nouveau mot de passe, firmware à jour, et on vérifie ce qui a pu fuiter pendant ce temps.
Le vrai problème n'est pas technique
La sécurité de vos objets connectés ne demande presque aucune compétence avancée. Un mot de passe changé, un réseau séparé, une mise à jour appliquée, un appareil abandonné débranché : voilà l'essentiel. Aucune ligne de commande, aucun outil payant.
Le blocage est ailleurs. On installe un objet parce qu'il est pratique, on l'oublie, et il reste là pendant des années. La faille la plus dangereuse de votre maison n'est probablement pas dans un code, mais dans cet angle mort : l'appareil que vous avez cessé de regarder. Le jour où vous vous en souviendrez, ouvrez l'application et changez ce mot de passe.
