Sécuriser son réseau wifi domestique contre les intrusions : le guide

Le voyant de votre box clignote plus vite que d'habitude. Votre Netflix charge en 480p le samedi soir. Un voisin un peu trop curieux a peut-être le code Wi-Fi que vous avez communiqué à votre belle-sœur en 2019 — et que vous n'avez jamais changé depuis.

C'est le point de départ de 80 % des intrusions domestiques. Pas un hacker en capuche dans un van. Juste un mot de passe devenu public sans que vous l'ayez décidé.

Pourquoi votre wifi domestique attire plus que vous ne le pensez

Je vais vous dire un truc que les fournisseurs d'accès évitent de mettre en avant : une box par défaut, c'est un routeur configuré pour être facile à installer, pas pour être difficile à attaquer. Les deux objectifs ne se marient pas.

Ce qui rend votre réseau intéressant pour un intrus, ce n'est pas vos données personnelles en elles-mêmes. C'est votre bande passante et votre adresse IP. Une adresse IP résidentielle vaut de l'argent sur certains marchés gris : elle sert à faire passer du trafic pour légitime, à contourner des blocages géographiques, à héberger des choses qu'on ne veut pas voir remonter jusqu'à soi.

Concrètement, trois scénarios reviennent tout le temps :

• Le voisin opportuniste qui a récupéré le code via un ami commun.
• Le script automatisé qui balaie les réseaux d'un quartier à la recherche d'un SSID connu avec un mot de passe faible.
• Le proche mal intentionné ou l'appareil infecté — la console de jeu d'occasion, la webcam achetée sur une marketplace, le répéteur reconditionné.

Ce que vous risquez réellement

Pas le scénario hollywoodien. Plutôt :

• Une connexion qui rame aux heures de pointe parce que quelqu'un streame en 4K sur votre fibre.
• Des lettres d'ayants droit qui arrivent à votre nom pour des téléchargements que vous n'avez pas faits.
• Un accès latéral à vos autres appareils — NAS, imprimante, disque réseau — si l'isolation n'est pas faite.

Le point qui me dérange le plus, personnellement : la plupart des gens découvrent l'intrusion après avoir reçu une notification, jamais avant. Ce qui signifie que le réseau a été ouvert pendant des semaines, parfois des mois.

Les cinq réglages qui changent vraiment quelque chose

Il existe une trentaine de recommandations qu'on retrouve partout. La réalité, c'est que cinq d'entre elles couvrent la quasi-totalité du risque réel. Le reste, c'est de la marge.

1. Le mot de passe admin de la box, pas juste celui du wifi

L'interface d'administration — celle qu'on atteint en tapant 192.168.1.1 ou 192.168.0.1 dans un navigateur — sort d'usine avec des identifiants souvent identiques d'un modèle à l'autre (admin/admin, admin/password…). Tant qu'ils sont en place, tout le reste de votre configuration est théorique.

Chez Orange, c'est dans Paramètres avancés → Gestion de la Livebox. Chez Free, dans Système → Mot de passe depuis l'interface mafreebox.freebox.fr. Chez SFR et Bouygues, l'entrée s'appelle souvent "Gestion" ou "Administration". Le libellé change, la logique est la même.

2. Désactiver le WPS — tout de suite

Le WPS, c'est cette fonction qui permet d'appairer un appareil en appuyant sur un bouton ou en entrant un code à 8 chiffres. Pratique. Et cassable. Le code PIN à 8 chiffres se devine en quelques heures avec un outil grand public, et le mécanisme autorise souvent plus d'essais qu'il ne devrait.

Sur certaines box, le WPS est activé par défaut et non désactivable via l'interface. Si c'est votre cas : regardez dans les paramètres avancés, ou envisagez un routeur personnel en mode bridge. J'ai vu des installateurs le laisser actif parce que "ça ne sert à rien de compliquer". C'est faux.

3. Passer en WPA3, ou au minimum WPA2-AES

Regardez ce que votre box propose dans les options de sécurité sans fil. Si vous voyez encore WEP ou WPA/TKIP, il faut changer immédiatement : ces protocoles se cassent en quelques minutes avec les bons outils, et le matériel nécessaire tient dans une poche.

WPA3 est le standard propre en 2026. Toutes les box récentes le proposent, y compris côté opérateurs français. Un piège : le mode "WPA2/WPA3 mixte" désactive certaines protections de WPA3 pour rester compatible avec les vieux appareils. Si tous vos terminaux supportent WPA3, forcez WPA3 seul.

4. Un réseau invité pour tout ce qui n'est pas vous

La télé connectée, la console, la domotique, l'imprimante, la tablette des enfants, le robot aspirateur… Tous ces appareils ont une chose en commun : ils sont mis à jour rarement, voire jamais. Les isoler sur un SSID invité les empêche de voir votre ordinateur principal, votre NAS, vos partages réseau.

Sur les box Orange et Free, le réseau invité s'active en deux clics depuis l'interface. Sur certaines Livebox, il faut passer par l'application mobile. Le principe : un SSID séparé, un mot de passe différent, une case "isoler les clients" cochée.

5. Les mises à jour, encore et toujours

Les firmwares de box corrigent régulièrement des failles critiques. Chez Orange, la mise à jour est automatique la nuit. Chez d'autres opérateurs, il faut parfois la déclencher manuellement dans l'interface. Vérifiez que la vôtre est bien à jour — et si votre box a plus de cinq ou six ans et qu'elle ne reçoit plus de correctifs, c'est un signal qu'il faut la remplacer.

Comparatif : quelle méthode pour quel profil

Vous n'avez pas tous le même niveau de paranoïa ni le même temps à y consacrer. Voici comment je classerais les approches selon le profil.

Profil	Effort	Gain réel	Ce qui reste à faire
Utilisateur standard	30 min, une fois	Élevé	Mots de passe forts + WPS off + mises à jour
Famille avec objets connectés	1 h	Élevé	Ajouter le réseau invité + isolation
Télétravail sensible	2-3 h	Très élevé	VLAN, routeur personnel en bridge, journalisation
Passionné / réseau avancé	Variable	Marginal au-delà d'un point	WPA3 forcé, 6 GHz, monitoring, VLAN segmentés

Ce que je veux dire par là : passé un certain seuil, chaque heure supplémentaire apporte de moins en moins. Le gros du risque, c'est la configuration par défaut. Fermez-la, et vous êtes déjà plus solide que 9 foyers sur 10.

Détecter une intrusion déjà en cours

Vous soupçonnez un problème ? La première chose à faire n'est pas de changer le mot de passe. C'est de regarder qui est connecté maintenant.

La liste des appareils connectés

Chaque box expose une liste des baux DHCP — c'est-à-dire tous les appareils qui ont reçu une adresse IP du routeur. On y accède depuis l'interface, souvent sous "Appareils", "Réseau" ou "Mes équipements".

Parcourez la liste nom par nom. Vous y reconnaîtrez :

• Les appareils identifiés par leur marque (Apple, Samsung, Philips Hue…), faciles à valider.
• Les appareils en "unknown" ou "generic device" — pas forcément suspects, mais à vérifier.
• Les adresses MAC que vous n'avez jamais vues et qui apparaissent la nuit. Ce sont celles-là qui posent question.

Une app sur le téléphone vaut mieux qu'un doute

Installez Fing ou un équivalent sur votre smartphone. L'app scanne le réseau local et liste tout ce qui y est connecté, avec fabricant et type d'appareil. En quelques secondes, vous savez si quelque chose cloche.

Astuce qui m'a servi plusieurs fois : comparez la liste de l'app avec celle de la box. Si un appareil apparaît chez l'une et pas chez l'autre, il est peut-être connecté en Wi-Fi au réseau invité ou sur une bande différente.

Que faire après une intrusion confirmée

Ne vous contentez pas de changer le mot de passe Wi-Fi. Si quelqu'un a eu accès à votre réseau pendant des semaines, il a pu :

1. Modifier des paramètres de la box (DNS, redirections de ports).
2. Installer une porte dérobée sur un appareil connecté.
3. Récupérer des identifiants stockés dans un navigateur synchronisé.

La seule réponse propre : réinitialiser la box aux paramètres d'usine, puis tout reconfigurer à la main — mot de passe admin fort, mot de passe Wi-Fi neuf et unique, WPS désactivé, mises à jour vérifiées. Ensuite, changez les mots de passe de vos comptes sensibles (mail, banque) si vous suspectez un accès latéral.

Trois cas particuliers qui méritent un détour

Comment sécuriser son wifi Freebox

Sur une Freebox, l'interface mafreebox.freebox.fr reste accessible depuis le réseau local seulement. La bonne pratique : mot de passe admin long et unique, WPA3 activé seul si tous vos appareils le supportent, réseau invité activé pour les objets connectés, et — point souvent oublié — désactivation de l'accès à l'interface depuis l'extérieur si vous n'utilisez pas les services Free à distance.

La Freebox propose aussi une option "veille Wi-Fi" qui coupe la diffusion la nuit. Utile pour la sobriété énergétique, anecdotique pour la sécurité.

Comment sécuriser son wifi Orange

Chez Orange, on accède à la Livebox via 192.168.1.1. Depuis l'interface : Réseau → Wi-Fi → Sécurité pour le chiffrement, et Paramètres avancés → Gestion de la Livebox pour le mot de passe administrateur. Le réseau invité s'active depuis Réseau → Wi-Fi → Réseau invité.

Attention au nom du SSID par défaut, du type Livebox-XXXX : il indique le modèle de box aux scripts automatisés. Le renommer retire déjà une couche d'information facile à exploiter.

Comment sécuriser un répéteur wifi

Un répéteur mal configuré est un trou dans le mur. Il étend la couverture, mais aussi la portée des attaques. Trois règles :

• Le répéteur doit utiliser le même chiffrement et un mot de passe fort, jamais un "mode ouvert" pour simplifier l'appairage.
• Désactivez le WPS sur le répéteur s'il en propose un. Souvent oublié, souvent actif.
• Placez-le à l'intérieur de la zone de couverture principale, pas à la limite — sinon il diffuse votre réseau encore plus loin de chez vous, jusque dans la rue.

Dernier point : les répéteurs un peu anciens ne supportent parfois que du WPA2-TKIP. Dans ce cas, remplacez-les. Un répéteur récent coûte moins cher qu'un incident.

Ce qu'il faut retenir, sans se mentir

Il n'existe pas de réseau wifi domestique "inviolable". Il existe des réseaux que l'attaquant lambda abandonne au bout de deux minutes parce qu'ils sont mal configurés, et des réseaux qui résistent assez longtemps pour qu'il passe au suivant. C'est ça, la vraie sécurité : déplacer le curseur d'effort de l'autre côté.

Si vous ne faites qu'une seule chose après avoir lu ces lignes, faites-la bien : changez le mot de passe admin de votre box et désactivez le WPS. Ces deux gestes éliminent l'écrasante majorité des intrusions opportunistes.

Le reste, c'est du raffinement. Et sur ce terrain-là, chacun son seuil — je connais des gens qui segmentent en VLAN pour le plaisir, et honnêtement, tant que la Livebox du salon tient la route, personne ne peut leur jeter la pierre.