Laurence CadieuxMise à jour (août 2026) : Nous avons revisité ce billet et mis à jour les conseils pour le Wi-Fi domestique d’aujourd’hui — chiffrement plus solide, séparation des invités et de l’IdO, hygiène du micrologiciel, et plus encore — tout en conservant la structure originale en neuf conseils.
Dans un récent article sur les conseils de cybersécurité que les parents devraient enseigner à leurs enfants, nous avons souligné à quel point, contrairement à ce que beaucoup croient, les réseaux Wi-Fi domestiques peuvent être très peu sécurisés. Malheureusement, les seuls à s’en réjouir, ce sont les pirates.
Comme vous n’avez clairement pas envie de faire plaisir aux pirates, voici 9 conseils pour sécuriser votre réseau Wi-Fi domestique (au passage, un grand MERCI au membre de la communauté Scott Bowling pour l’idée de cet article!).
1. Utilisez un chiffrement Wi-Fi moderne (préférez WPA3)
Le problème : Presque tous les routeurs proposent le chiffrement, mais le mode activé (ou hérité d’une ancienne config) peut encore être faible. Les options obsolètes comme le WEP, ou les anciens modes WPA/TKIP, ne sont pas acceptables sur un réseau qui transporte des comptes bancaires, professionnels et personnels.
Que faire : Dans les paramètres du routeur, choisissez WPA3-Personal lorsque tous les appareils qui vous importent le prennent en charge. Si vous avez encore un mélange de vieux gadgets, utilisez le mode de transition WPA2/WPA3 uniquement comme pont temporaire, puis passez entièrement à WPA3 dès que possible. Évitez complètement le WEP et les anciens WPA/TKIP.
La Wi-Fi Alliance a conçu WPA3-Personal autour d’une authentification par mot de passe plus robuste (SAE), qui résiste mieux aux attaques par dictionnaire hors ligne que le classique WPA2-Personal PSK. Même ainsi, le chiffrement seul ne suffit pas : il vous faut aussi un mot de passe réseau solide. C’est le conseil n° 2.
2. Remplacez le mot de passe Wi-Fi par défaut par une phrase de passe robuste
Le problème : Garder le mot de passe Wi-Fi d’usine, c’est une invitation ouverte. Réutiliser un mot de passe court et prévisible que vous employez déjà pour le courriel ou les réseaux sociaux aussi. Sur WPA2 surtout, une phrase de passe faible reste une surface d’attaque réaliste.
Que faire : Définissez une phrase de passe Wi-Fi unique, longue et difficile à deviner. Visez quelque chose de mémorable pour vous et pénible pour un attaquant :
- Au moins 15 caractères (plus long, c’est mieux)
- Un mélange de mots peu courants suffit ; inutile d’une soupe de symboles illisible
- Pas de marches au clavier (
qwerty), de substitutions évidentes (P@ssw0rd), de mots de dictionnaire seuls, ni de détails personnels (noms, dates de naissance, adresse)
Comme nous l’avons déjà expliqué dans mots de passe vs phrases de passe, une phrase comme bluepoodleParisairplanepeanuts est en général plus facile à retenir et plus dure à craquer qu’un court mot de passe « complexe ».
Si vous ne voulez pas mémoriser les secrets du routeur, rangez-les dans un gestionnaire de mots de passe. Pour un usage personnel, Devolutions Password Manager (et plus largement le parcours des outils gratuits) est un bon point de départ pour que la clé Wi-Fi et le mot de passe admin ne vivent pas éternellement dans une app de notes.
3. Changez les identifiants d’administration par défaut du routeur
Le problème : Les portails d’admin des routeurs vivent souvent encore à des adresses comme http://192.168.1.1 ou http://192.168.0.1, et beaucoup sortent encore avec une paire nom d’utilisateur/mot de passe connue (ou un mot de passe sur l’étiquette qui n’est jamais changé). Si quelqu’un atteint ce portail, il peut modifier le DNS, ouvrir l’accès à distance ou vous verrouiller dehors.
Que faire : Changez le mot de passe admin pour quelque chose d’unique et robuste, différent de la phrase de passe Wi-Fi. Préférez une entrée de gestionnaire de mots de passe clairement étiquetée (Admin routeur maison) pour ne pas être tenté de réutiliser le mot de passe du SSID ou de l’écrire sur un Post-it collé sous le modem.
4. Désactivez la gestion à distance
Le problème : Certains routeurs permettent d’atteindre l’interface d’admin depuis Internet public. Même avec un mot de passe, cela expose une page de connexion (et ses éventuelles failles) au monde entier. Des identifiants admin faibles aggravent le risque.
Que faire : Désactivez la gestion à distance / l’administration distante / l’accès admin côté WAN dans l’interface du routeur. Ensuite, seuls les appareils déjà sur votre réseau local devraient atteindre le portail d’admin. Si vous avez vraiment besoin d’une gestion hors site, utilisez une approche d’accès à distance dédiée et sécurisée plutôt que de laisser le port d’admin du routeur ouvert sur Internet.
5. Désactivez le WPS
Le problème : Le Wi-Fi Protected Setup (WPS) devait faciliter l’appairage avec un bouton ou un NIP. En pratique, beaucoup d’implémentations sont faibles depuis des années, et le WPS par NIP en particulier a une longue histoire d’abus par force brute pouvant exposer la clé réseau.
Que faire : Désactivez le WPS. Connecter un nouvel appareil en saisissant une fois la phrase de passe Wi-Fi est un petit inconvénient face au fait de laisser ouverte une voie d’intégration connue pour sa faiblesse.
6. Gardez le micrologiciel du routeur à jour
Le problème : Le micrologiciel du routeur, c’est du logiciel. Il reçoit des CVE, comme les téléphones et les portables. Les attaquants scannent les modèles vulnérables connus ; une passerelle domestique non corrigée reste un point d’appui populaire.
Que faire :
- Consultez le site de support du fabricant pour le micrologiciel actuel et appliquez les mises à jour selon un calendrier
- Activez les mises à jour automatiques si votre routeur les propose et que vous faites confiance au canal du fabricant
- Si le fabricant a abandonné votre modèle il y a des années, voyez-y une raison de remplacer le matériel, pas d’espérer le meilleur
Les conseils de la CISA sur la sécurisation des réseaux sans fil restent une checklist de base utile pour les maisons et les petits bureaux.
7. Changez le nom de réseau par défaut (SSID)
Le problème : Les SSID par défaut affichent souvent la marque ou le modèle du routeur (NETGEAR42, LinksysXXXX). Cela aide les voisins à voir qui a laissé les réglages d’usine, et peut aider un attaquant à deviner quelles vulnérabilités connues ou quels schémas d’identifiants par défaut tenter. Les SSID personnels (Maison-Jean, 123-rue-Erable) fuient l’identité autrement.
Que faire : Renommez le SSID en quelque chose d’unique et banal qui n’inclut pas votre nom, votre adresse, votre numéro de téléphone ni le modèle exact du routeur. Gardez les blagues créatives pour un endroit qui ne diffuse pas dans la rue.
8. Placez les invités et les appareils IdO sur un réseau séparé
Le problème : Masquer le SSID était un « conseil » populaire, mais c’est surtout du théâtre sécuritaire. Les scanners capables trouvent encore les réseaux cachés, et beaucoup de clients sondent ensuite ce nom caché en clair, ce qui peut le fuiter quand même. Pendant ce temps, le vrai risque moderne est plus simple : les téléphones des amis, téléviseurs connectés, caméras, ampoules et autres gadgets IdO partagent le même LAN que les portables de travail et les ordinateurs personnels.
Que faire : Créez un réseau invité (ou un second SSID / VLAN IdO si votre routeur le permet) et placez-y les visiteurs ainsi que la plupart des appareils domotiques. Gardez téléphones, ordinateurs et tout ce qui contient des données de travail ou bancaires sur le réseau principal. Activez l’isolation des clients côté invité quand l’option existe, pour qu’une prise intelligente compromise soit moins utile comme pivot vers votre portable.
Ce seul changement apporte en général plus de protection réelle que le masquage du SSID n’en a jamais offert.
9. Gardez chaque appareil connecté à jour et allégé
Le problème : Même un routeur bien sécurisé ne vous sauvera pas si un téléphone, un portable ou une caméra compromis est déjà à l’intérieur du périmètre. Les réseaux domestiques collectent plus de points d’extrémité que jamais, et beaucoup d’appareils IdO cessent de recevoir des mises à jour bien avant que vous les jetiez.
Que faire :
- Gardez les mises à jour OS et applications à jour sur téléphones, tablettes et ordinateurs
- Utilisez une protection des points d’extrémité réputée là où c’est pertinent
- Retirez les appareils dont vous ne vous servez plus ; un gadget intelligent abandonné reste une surface d’attaque
- Préférez les fabricants qui publient encore des correctifs de sécurité, et mettez le reste sur le réseau invité/IdO du conseil n° 8
- Passez en revue les appareils réellement associés au Wi-Fi et éjectez tout ce que vous ne reconnaissez pas
En résumé
Les attaquants préfèrent les cibles faciles : mots de passe par défaut, micrologiciels antiques, WPS laissé activé, et un réseau plat rempli de gadgets non corrigés. Aucun des conseils ci-dessus n’exige un budget d’entreprise. Ils demandent juste un court passage dans les paramètres du routeur que la plupart des gens n’ouvrent plus après le jour de l’installation.
Verrouillez d’abord le chiffrement et les mots de passe, fermez l’admin à distance et le WPS, restez à jour, renommez les défauts banals, puis séparez invités et IdO des appareils qui comptent. Cette combinaison rend encore votre Wi-Fi domestique bien moins attrayant à sonder.
Si vous voulez un endroit plus sûr pour stocker les longues phrases de passe que ces conseils créent, essayez Devolutions Password Manager.
Mathieu Morrissette
Sebastien Duquette
Steven Lafortune