Sécuriser son Wi-Fi : réglages essentiels pour protéger sa box et son réseau

Le Wi-Fi est devenu invisible tellement il est partout. Téléphones, ordinateurs, téléviseurs, consoles, imprimantes, caméras, assistants vocaux, ampoules connectées : toute la maison s’y accroche joyeusement.

Justement, c’est le problème. Votre réseau sans fil donne accès à votre connexion Internet, mais aussi parfois à vos appareils, vos fichiers partagés, votre imprimante, votre NAS, vos caméras ou votre interface de box.

Un Wi-Fi mal configuré n’est donc pas seulement une porte ouverte pour le voisin qui veut économiser son forfait mobile. C’est aussi un point d’entrée vers votre réseau local.

La bonne nouvelle, c’est qu’il suffit souvent de quelques réglages propres pour améliorer fortement la sécurité. Pas besoin d’être ingénieur réseau. En revanche, il faut éviter les vieux conseils qui ont longtemps circulé : cacher le SSID, filtrer les adresses MAC, réduire vaguement la plage DHCP ou garder du WEP “par compatibilité”.

On va donc reprendre les bases, mais avec les bons réflexes actuels.

Le réglage le plus important : utiliser WPA3 ou WPA2-AES

Le chiffrement Wi-Fi protège les échanges entre vos appareils et votre point d’accès. C’est le cœur de la sécurité du réseau sans fil.

Dans l’interface de votre box ou de votre routeur, cherchez les options de sécurité Wi-Fi. Selon les modèles, vous verrez des noms comme :

• WPA3-Personal ;
• WPA2/WPA3-Personal ;
• WPA2-Personal AES ;
• WPA/WPA2 mixed ;
• WEP ;
• Open, sans mot de passe.

Le bon choix dépend de vos appareils.

Mode Wi-Fi	Recommandation
WPA3-Personal	À choisir si tous vos appareils sont compatibles.
WPA2/WPA3-Personal	Acceptable pour une transition, mais à surveiller.
WPA2-Personal AES	Bon choix si WPA3 casse la compatibilité.
WPA/WPA2 mixed	À éviter, car il garde souvent de vieux mécanismes.
WPA-TKIP	À éviter.
WEP	À bannir.
Réseau ouvert	À bannir pour un réseau privé.

En pratique, commencez par WPA3-Personal. Si certains appareils ne se connectent plus, testez WPA2/WPA3-Personal. Si cela reste instable, choisissez WPA2-Personal avec AES.

En revanche, ne gardez pas WEP, WPA ancien ou TKIP pour sauver un appareil préhistorique. À ce stade, le problème n’est plus le Wi-Fi. C’est l’archéologie.

Choisir un vrai mot de passe Wi-Fi

Le chiffrement ne vaut pas grand-chose si le mot de passe est faible. Un réseau WPA2 ou WPA3 avec une phrase secrète évidente reste attaquable.

Évitez absolument :

• le nom de famille ;
• l’adresse postale ;
• le nom du chien ;
• le numéro de téléphone ;
• le nom du réseau suivi de l’année ;
• motdepassewifi, qui mérite une minute de silence.

Utilisez plutôt une longue phrase de passe ou une clé aléatoire. Pour un réseau domestique, visez au minimum 16 caractères, et idéalement 20 à 63 caractères. Plus c’est long, mieux c’est, surtout si le mot de passe ne ressemble pas à une phrase du dictionnaire.

Exemples acceptables :

Velo!Tasse!Nuage!Piano!47
p3C!tM9v#Lw8@qZ6sR2nLangage du code : CSS (css)

Si vous voulez générer une clé solide dans le navigateur, vous pouvez aussi utiliser le générateur de clés WPA sécurisées.

Évitez simplement de coller le mot de passe Wi-Fi dans un document partagé ou une note non protégée. Un mot de passe fort devient faible dès qu’il traîne partout.

Désactiver WPS

WPS permet de connecter un appareil au Wi-Fi en appuyant sur un bouton ou en utilisant un code PIN. Sur le papier, c’est pratique. En sécurité, “pratique” signifie souvent “on va le regretter”.

Désactivez WPS dans les paramètres de votre box ou de votre routeur, surtout si l’option PIN est disponible.

Vous devrez peut-être connecter vos nouveaux appareils en saisissant le mot de passe Wi-Fi à la main. Ce n’est pas dramatique. Votre grille-pain connecté survivra à cette épreuve initiatique.

Changer le mot de passe d’administration de la box

Votre mot de passe Wi-Fi protège l’accès au réseau. Le mot de passe administrateur protège les réglages de la box ou du routeur. Ce sont deux choses différentes.

Connectez-vous à l’interface de votre box, généralement depuis une adresse locale comme :

http://192.168.1.1
http://192.168.0.1
http://mafreebox.freebox.fr
http://livebox
http://bbox
http://sfr.boxLangage du code : JavaScript (javascript)

Ensuite, changez le mot de passe administrateur si vous utilisez encore celui par défaut, celui imprimé sur une étiquette, ou celui que vous avez choisi il y a dix ans “temporairement”.

Utilisez un mot de passe unique, stocké dans un gestionnaire de mots de passe. Il ne doit pas être identique au mot de passe Wi-Fi.

Mettre à jour le firmware de la box ou du routeur

Une box Internet ou un routeur Wi-Fi est un petit ordinateur spécialisé. Il contient un système, des services réseau, une interface web, des pilotes et parfois des composants très sensibles.

Les mises à jour corrigent des bugs, des failles de sécurité et des problèmes de compatibilité. Elles améliorent parfois aussi la stabilité Wi-Fi.

Dans l’interface d’administration, cherchez une section comme :

• Système ;
• Mise à jour ;
• Firmware ;
• Maintenance ;
• Informations de la box.

Sur les box opérateur, les mises à jour sont souvent automatiques. Sur un routeur acheté séparément, vérifiez régulièrement le site du fabricant ou activez les mises à jour automatiques si l’option existe.

Si votre routeur ne reçoit plus de mises à jour depuis des années, remplacez-le. Un vieux routeur non maintenu est une jolie décoration avec des antennes.

Renommer le réseau Wi-Fi sans trop en dire

Le SSID est le nom visible de votre réseau Wi-Fi. Vous pouvez le changer pour éviter les noms par défaut du type Livebox-1234, NETGEAR_EXT ou TP-Link_ABC.

Un bon SSID doit être simple, mais pas trop bavard. Évitez :

• votre nom complet ;
• votre adresse ;
• le modèle exact du routeur ;
• le nom de votre entreprise si c’est un réseau privé ;
• les blagues agressives envers les voisins, même si la tentation existe.

Vous pouvez utiliser un nom neutre, par exemple :

Maison-5G
Atelier
Reseau-Famille
Bureau-Prive

Inutile de masquer le SSID. Le nom du réseau peut être retrouvé par observation du trafic Wi-Fi. Le masquer complique parfois la connexion des appareils sans apporter une vraie sécurité.

Créer un réseau invité

Le réseau invité est l’un des meilleurs réglages de sécurité domestique. Il permet de donner Internet à vos proches sans leur ouvrir tout le réseau local.

Activez un réseau invité séparé pour :

• les visiteurs ;
• les appareils peu fiables ;
• les objets connectés ;
• les équipements temporaires ;
• les clients si vous travaillez depuis chez vous.

Dans l’idéal, configurez ce réseau invité avec :

• un mot de passe différent du réseau principal ;
• l’isolation des clients activée si disponible ;
• l’accès au réseau local désactivé ;
• une bande passante limitée si l’option existe ;
• une désactivation automatique après quelques heures ou quelques jours si votre box le permet.

Le bon principe : vos invités ont Internet, mais ils ne doivent pas voir votre NAS, votre imprimante, vos machines de travail ou votre interface domotique.

Isoler les objets connectés

Les objets connectés sont pratiques, mais leur niveau de sécurité varie énormément. Une ampoule, une caméra ou une prise connectée ne mérite pas forcément de partager le même réseau que votre ordinateur professionnel.

Si votre box le permet, placez les objets connectés sur un réseau invité ou un réseau dédié. Certains routeurs avancés permettent de créer plusieurs VLANs, mais ce n’est pas indispensable pour un usage domestique classique.

La séparation logique suffit déjà à réduire les risques : si un appareil IoT se comporte mal, il aura moins de chances d’accéder au reste du réseau.

Désactiver l’administration à distance

L’administration à distance permet d’accéder à l’interface de la box depuis Internet. Dans la plupart des foyers, cette option ne sert à rien.

Désactivez-la, sauf besoin précis. Si vous devez administrer votre réseau à distance, utilisez plutôt un VPN, une solution fournie proprement par le fabricant, ou un accès sécurisé bien maîtrisé.

Une interface d’administration exposée à Internet, avec un mot de passe faible ou une faille non corrigée, transforme votre box en cible lumineuse. Et personne n’a envie que sa box devienne un panneau publicitaire pour botnet.

Vérifier les appareils connectés

Dans l’interface de votre box, cherchez la liste des appareils connectés. Elle peut se trouver dans une section appelée Réseau local, Wi-Fi, Clients, Appareils ou DHCP.

Repérez les appareils inconnus. Attention toutefois : les noms affichés sont parfois peu parlants. Un téléphone peut apparaître comme android-4f2a, une imprimante comme une suite de caractères, et certains appareils masquent volontairement leur adresse MAC réelle.

Si vous voyez un appareil clairement suspect :

• changez le mot de passe Wi-Fi ;
• désactivez WPS ;
• redémarrez la box ;
• reconnectez uniquement vos appareils légitimes ;
• vérifiez que le chiffrement est bien WPA3 ou WPA2-AES.

Ne vous contentez pas de bloquer une adresse MAC. Elle peut être usurpée. C’est utile pour faire du ménage, pas pour construire une sécurité sérieuse.

Le filtrage MAC : utile, mais pas vraiment sécurisant

Le filtrage MAC consiste à autoriser seulement certains appareils à se connecter au réseau. L’idée semble bonne, mais elle ne tient pas très bien face à quelqu’un qui sait observer le trafic Wi-Fi.

Une adresse MAC peut être copiée ou modifiée. De plus, les systèmes modernes utilisent souvent des adresses MAC privées ou aléatoires pour protéger la vie privée, ce qui complique la gestion.

Vous pouvez utiliser le filtrage MAC comme petit garde-fou domestique, par exemple pour éviter qu’un nouvel appareil se connecte par erreur. Mais ne le considérez pas comme une vraie barrière de sécurité.

La vraie protection reste le chiffrement moderne, le mot de passe fort, WPS désactivé, les mises à jour et la séparation des réseaux.

Faut-il réduire la puissance du signal Wi-Fi ?

Certains routeurs permettent de réduire la puissance d’émission. Cela peut limiter légèrement la portée du réseau hors du logement, mais ce n’est pas une mesure de sécurité principale.

Utilisez ce réglage seulement si le signal reste bon dans toutes les pièces utiles. Un Wi-Fi trop faible provoque des déconnexions, pousse les appareils à augmenter leur propre puissance d’émission et finit par agacer tout le monde.

Pour sécuriser, ne comptez pas sur les murs. Comptez sur WPA3, WPA2-AES et un vrai mot de passe.

Séparer les bandes 2,4 GHz, 5 GHz et 6 GHz

Les routeurs récents proposent souvent plusieurs bandes Wi-Fi :

• 2,4 GHz : meilleure portée, moins rapide, plus encombrée ;
• 5 GHz : meilleur débit, portée plus courte ;
• 6 GHz : disponible sur les équipements Wi-Fi 6E et Wi-Fi 7, très performant mais moins répandu.

Côté sécurité, le choix de la bande compte moins que le chiffrement. Un réseau 5 GHz en WPA faible reste mauvais. Un réseau 2,4 GHz en WPA3 ou WPA2-AES solide reste correct.

Vous pouvez garder un seul nom de réseau si le routeur gère correctement l’orientation automatique des appareils. En revanche, si certains objets connectés refusent de se connecter, créez éventuellement un SSID séparé en 2,4 GHz pour eux, avec un mot de passe différent et une isolation réseau si possible.

Choisir des DNS fiables

Le DNS traduit les noms de domaine en adresses IP. Par défaut, votre box utilise souvent les DNS de votre fournisseur d’accès. Cela fonctionne, mais vous pouvez choisir d’autres résolveurs si vous préférez.

Quelques exemples connus :

Fournisseur	DNS IPv4
Cloudflare	1.1.1.1 et 1.0.0.1
Quad9	9.9.9.9 et 149.112.112.112
Google Public DNS	8.8.8.8 et 8.8.4.4

Le DNS ne remplace pas le chiffrement Wi-Fi. Il peut toutefois améliorer la fiabilité, et certains services ajoutent du filtrage contre des domaines malveillants.

Pour un foyer, Quad9 est intéressant si vous voulez un filtrage DNS orienté sécurité. Cloudflare est souvent rapide. Google est très disponible. À chacun ses préférences, et son niveau de tolérance aux grands noms du web.

Faut-il utiliser un VPN sur son Wi-Fi ?

Un VPN ne sécurise pas directement votre point d’accès Wi-Fi. Il chiffre le trafic entre votre appareil et un serveur VPN.

Chez vous, sur un Wi-Fi bien configuré, il n’est pas indispensable pour tous les usages. En revanche, un VPN peut être utile pour accéder à votre réseau domestique depuis l’extérieur, ou pour protéger vos connexions sur un Wi-Fi public.

Si vous voulez héberger votre propre tunnel, vous pouvez créer un VPN moderne avec WireGuard sur Debian. C’est plus propre que de dépendre d’un service opaque quand on sait administrer un serveur.

Checklist rapide pour sécuriser votre Wi-Fi

• Utilisez WPA3-Personal si tous vos appareils sont compatibles.
• Sinon, utilisez WPA2-Personal AES.
• Évitez WEP, WPA ancien, TKIP et les réseaux ouverts.
• Choisissez un mot de passe Wi-Fi long et unique.
• Désactivez WPS.
• Changez le mot de passe administrateur de la box.
• Mettez à jour le firmware du routeur.
• Créez un réseau invité.
• Isolez les objets connectés.
• Désactivez l’administration à distance.
• Vérifiez régulièrement les appareils connectés.
• Ne comptez pas sur le filtrage MAC comme mesure principale.

FAQ

Quel est le meilleur mode de sécurité Wi-Fi ?

Le meilleur choix est WPA3-Personal si tous vos appareils sont compatibles. Sinon, utilisez WPA2-Personal avec AES. Évitez WEP, WPA ancien, TKIP et les modes mixtes trop permissifs.

WPA2 est-il encore sécurisé ?

WPA2-Personal avec AES reste acceptable pour un réseau domestique, à condition d’utiliser un mot de passe long et unique. WPA3 est préférable quand il est disponible et compatible avec vos appareils.

Faut-il cacher le nom du réseau Wi-Fi ?

Non. Masquer le SSID n’apporte pas une vraie sécurité et peut compliquer la connexion de certains appareils. Utilisez plutôt un chiffrement moderne et un mot de passe solide.

Le filtrage MAC protège-t-il vraiment mon Wi-Fi ?

Pas vraiment. Une adresse MAC peut être copiée ou modifiée. Le filtrage MAC peut servir de petit contrôle supplémentaire, mais il ne remplace jamais WPA3, WPA2-AES et un bon mot de passe.

Dois-je désactiver WPS ?

Oui. WPS facilite l’ajout d’appareils, mais il affaiblit la sécurité globale, surtout avec le mode PIN. Désactivez-le et connectez vos appareils avec le mot de passe Wi-Fi.

Que faire si un appareil inconnu apparaît sur mon réseau ?

Changez le mot de passe Wi-Fi, désactivez WPS, vérifiez le mode de chiffrement, redémarrez la box, puis reconnectez uniquement vos appareils. Ensuite, contrôlez de nouveau la liste des clients connectés.

Articles connexes

• WiFi : générateur de clés WPA sécurisées
• Configurer Webmin en HTTPS avec un certificat TLS
• Serveur dédié : mettre en place DNSSEC
• Apache HTTPS : activer TLS 1.3 et la Perfect Forward Secrecy

Conclusion

Sécuriser son Wi-Fi ne consiste plus à cacher son SSID ou à réduire vaguement le nombre d’adresses DHCP disponibles. Ces réglages peuvent rassurer, mais ils ne font pas le vrai travail.

La base moderne est simple : WPA3 quand c’est possible, WPA2-AES sinon, un mot de passe long, WPS désactivé, une box à jour, un réseau invité et des objets connectés isolés.

Avec ces réglages, votre réseau domestique devient nettement plus sérieux. Il ne devient pas invincible, mais il cesse d’être la maison aux portes ouvertes avec une pancarte “servez-vous”. Et c’est déjà un très bon début.

Sources

• CNIL — Sécurité : protéger le réseau informatique
• Wi-Fi Alliance — Wi-Fi security
• Wi-Fi Alliance — Wi-Fi CERTIFIED WPA3
• Wired — Wi-Fi is about to get one of its biggest ever security updates
• What a Mesh: Formal Security Analysis of WPA3 SAE Wireless Authentication

Report a typo