La première fois qu'une de mes prises connectées a redémarré toute seule à 3 h du matin, j'ai mis ça sur le compte d'une coupure de courant. La deuxième fois, j'ai commencé à me poser des questions. La troisième, j'ai ouvert l'interface d'administration de mon routeur et j'ai découvert une quinzaine d'appareils que je n'avais jamais configurés, dont certains avec le mot de passe usine encore intact.
Sécuriser ses objets connectés au quotidien, ce n'est pas une affaire de spécialistes en cybersécurité. C'est une série de gestes simples, souvent négligés parce qu'on pense que le risque concerne les autres. Sauf que la maison connectée d'aujourd'hui, c'est une petite entreprise avec des dizaines d'entrées potentielles, et la plupart ferment à clé de l'intérieur.
Points clés à retenir
- L'étape la plus rentable reste le changement des mots de passe par défaut, sur chaque appareil, sans exception.
- Séparer votre réseau Wi-Fi principal de celui de vos objets connectés limite la casse en cas d'intrusion.
- La mise à jour du firmware n'est pas un détail : un objet non suivi par son fabricant devient une porte ouverte.
- Un objet connecté n'a besoin que des autorisations strictement nécessaires à sa fonction, rien de plus.
- Les balises de localisation relèvent d'une vigilance différente : elles peuvent suivre quelqu'un sans son consentement.
Pourquoi sécuriser ses objets connectés au quotidien devient urgent
Le parc mondial d'objets connectés se compte désormais en dizaines de milliards d'unités, et une part importante de ces appareils n'a jamais été reconfigurée après la sortie du carton. C'est le point aveugle du sujet.
Le problème n'est pas tant l'objet lui-même que ce qu'il permet d'atteindre. Une ampoule connectée mal protégée n'intéresse personne pour sa lumière. Ce qui intéresse un attaquant, c'est le réseau sur lequel elle est branchée, et tout ce qui y circule.
Ce qui se passe réellement quand un objet est compromis
Un objet connecté détourné peut servir à plusieurs choses. Lancer des attaques massives depuis votre connexion, sans que vous vous en aperceviez. Servir de point d'entrée vers vos autres appareils, ordinateur compris. Ou, plus simplement, collecter des données sur vos habitudes : heures de présence, rythme de vie, absence prolongée.
Cette dernière catégorie est celle qu'on sous-estime le plus. Une maison vide qu'on devine à distance n'a rien d'un scénario de film.
La procédure pas-à-pas pour sécuriser votre installation
Voici l'ordre dans lequel j'ai procédé chez moi, après plusieurs mois de tâtonnements et quelques erreurs dont je parlerai plus bas. Aucune de ces étapes ne demande de compétence technique particulière.
Changer systématiquement les mots de passe par défaut
C'est la première chose à faire, et celle que le plus grand nombre saute. Les identifiants d'usine sont souvent identiques d'un appareil à l'autre, parfois imprimés dans la notice ou trouvables en ligne.
- Un mot de passe unique par appareil, sans réutilisation
- Une phrase de passe longue plutôt qu'une suite de caractères illisible
- Un gestionnaire de mots de passe pour ne pas tout retenir de tête
Activer la double authentification quand elle existe
Certains fabricants proposent une vérification en deux étapes dans leur application. Quand l'option est là, activez-la. Quand elle n'existe pas, notez ce détail : il vous dit quelque chose sur le sérieux du suivi de l'appareil.
Mettre à jour le firmware, et pas seulement au début
Un objet connecté acheté en 2022 et jamais mis à jour aujourd'hui, c'est une porte dont la serrure n'a pas bougé depuis quatre ans. Le fabricant corrige parfois des failles critiques, parfois il abandonne purement et simplement le produit.
Avouons-le, c'est la partie la plus fastidieuse. J'ai laissé traîner cette tâche pendant des mois avant d'installer des rappels automatiques. Depuis, deux appareils sur cinq chez moi ne reçoivent plus aucune mise à jour, ce qui m'a conduit à les débrancher définitivement.
Segmenter le réseau : le geste qui change tout
La plupart des box récentes permettent de créer un réseau invité séparé. Branchez tous vos objets connectés dessus, jamais sur votre réseau principal. Si l'un d'eux est compromis, l'attaquant se retrouve enfermé dans un couloir sans porte.
| Pratique | Effet réel | Effort |
|---|---|---|
| Mot de passe par défaut changé | Bloque la majorité des scripts automatisés | Faible |
| Réseau séparé pour l'IoT | Limite la propagation en cas d'intrusion | Moyen |
| Firmware à jour | Corrige les failles connues | Récurrent |
| UPnP désactivé | Empêche l'ouverture automatique de ports | Faible |
Ce que la CNIL et les autorités rappellent sur vos données
La CNIL insiste régulièrement sur un point que beaucoup oublient : un objet connecté est d'abord un collecteur de données. Ce n'est pas un effet secondaire de son fonctionnement, c'est souvent sa raison d'être commerciale.
Les recommandations publiques des autorités françaises tournent autour de quelques principes simples. Vérifier ce que l'appareil collecte réellement. Se demander si ce traitement est nécessaire à la fonction qu'on en attend. Lire ce qu'on accepte au moment de l'installation, même rapidement.
Le principe de minimisation appliqué à la maison
Une montre qui mesure votre sommeil n'a aucune raison d'accéder à vos contacts. Une enceinte qui joue de la musique n'a pas besoin de votre géolocalisation permanente. Chaque autorisation accordée "au cas où" est une porte de plus.
J'ai désinstallé l'application d'un tracker d'activité quand j'ai réalisé qu'elle demandait l'accès à mes SMS, sans qu'aucune fonction annoncée ne le justifie.
Balises connectées : un risque différent, celui du suivi à l'insu
Les balises de localisation, type AirTag ou SmartTag, posent une question à part. Leur fonction même est le suivi, donc la parade n'est pas la même que pour une prise connectée.
- Vérifier régulièrement les notifications d'alerte : la plupart des téléphones signalent la présence d'une balise inconnue qui voyage avec vous
- En cas de doute, lancer une recherche de proximité depuis votre téléphone
- Ne jamais ignorer un signalement, même si l'explication semble banale
Le vrai enjeu ici n'est pas technique. C'est de savoir reconnaître le signal quand il apparaît. Beaucoup de personnes découvrent l'existence d'un dispositif de suivi non pas en cherchant, mais parce qu'un téléphone a fini par sonner.
Questions qu'on me pose souvent
Qu'est-ce qu'un objet connecté, au fond ?
C'est un appareil du quotidien équipé d'une connexion réseau lui permettant d'envoyer ou de recevoir des données, via Wi-Fi, Bluetooth ou réseau mobile. La définition tient en une phrase, mais elle englobe aussi bien une ampoule qu'un implant médical.
Quels sont les avantages et les inconvénients d'un objet connecté ?
Le confort et le suivi en temps réel d'un côté. De l'autre, une surface d'exposition qui augmente avec chaque appareil ajouté, et une dépendance à un fabricant qui peut cesser son support sans préavis. C'est un arbitrage, pas un choix évident.
Comment détecter un objet connecté inconnu sur son réseau ?
L'interface d'administration de votre box liste tous les appareils connectés. Un nom que vous ne reconnaissez pas, une adresse MAC inconnue : ce sont les indices à vérifier.
Sur mon propre réseau, j'ai découvert une enceinte que j'avais oubliée, mais aussi un appareil sans nom identifiable qui s'est avéré être un vieux boîtier d'ancien opérateur jamais débranché.
Les erreurs que j'ai faites en voulant bien faire
J'ai cru un moment qu'il suffisait de tout changer d'un coup, mot de passe par mot de passe, appareil par appareil. Résultat : j'ai fini par perdre la trace de ce que j'avais modifié, et j'ai dû repartir de zéro sur deux appareils.
Deuxième erreur, plus sournoise : garder des objets "au cas où", alors qu'ils ne recevaient plus aucune mise à jour depuis longtemps. J'en avais cinq dans cette situation. J'en ai débranché trois.
Troisième erreur : activer l'UPnP sur ma box, à une époque où je ne savais même pas ce que c'était. Cette fonction permet à des appareils d'ouvrir automatiquement des ports vers l'extérieur. Je l'ai désactivée en cinq minutes, et je ne l'ai jamais réactivée.
La routine qui tient dans le temps
Une checklist appliquée une fois ne sert pas à grand-chose. Ce qui compte, c'est ce qu'on répète. Chez moi, ça tient à quatre gestes.
- Vérifier une fois par mois les appareils connectés à mon réseau, et repérer les noms inconnus
- Installer les mises à jour dès qu'elles apparaissent, pas "plus tard"
- Refuser une autorisation quand aucune fonction ne la justifie
- Débrancher un objet qui ne reçoit plus aucun correctif
Le dernier point est celui qui dérange. On a payé l'appareil, on l'aime bien, on se dit qu'il fera encore l'affaire. Mais un objet sans mise à jour n'est plus un objet connecté : c'est une porte qu'on a oublié de fermer, et qui ne se refermera jamais toute seule.
