En bref
- Chaque appareil de maison connectée — caméra, sonnette, serrure, enceinte, ampoule, aspirateur, réfrigérateur — est un petit ordinateur avec un microphone ou un capteur constamment connecté à internet.
- Chacun est une porte d'entrée potentielle dans ton réseau domestique. Ton Wi-Fi n'est que aussi sûr que l'appareil le moins bien protégé qui y est connecté.
- La mesure la plus utile est de placer les appareils IoT sur leur propre réseau Wi-Fi, séparé de tes téléphones, ordinateurs portables et disques de sauvegarde. La plupart des routeurs modernes le permettent en quelques clics.
- Les appareils les moins chers sont parfois les plus dangereux — abandonnés par leurs fabricants, pleins de failles, et surveillés par des personnes qui ne sont pas toi.
- La confidentialité n'est pas la même chose que la sécurité. Un appareil d'une entreprise de confiance peut quand même être peu sûr ; un appareil parfaitement sécurisé peut quand même envoyer des enregistrements dans un pays dont tu n'as jamais lu les lois.
Ce que c'est
L'« Internet des objets » est le terme général pour les objets du quotidien connectés à internet. Une ampoule connectée. Un aspirateur robot. Une sonnette avec caméra. Une enceinte qui répond à ta voix. Un babyphone Wi-Fi. Un réfrigérateur connecté. Un robot tondeuse. Un four connecté. Un jouet pour enfants avec microphone. Une caméra pour animaux. Une imprimante.
La plupart sont de petits ordinateurs Linux avec une seule tâche et une seule connexion réseau. Cela les rend vraiment utiles. Cela les rend aussi vraiment risqués de trois façons :
- Ils écoutent, regardent et rapportent. Microphones, caméras, capteurs de mouvement, capteurs de température, capteurs de présence. Presque tous envoient des données vers le cloud du fabricant — et de là vers divers annonceurs, partenaires analytiques, et parfois d'autres organisations.
- Ils peuvent être piratés. Beaucoup d'appareils bon marché sont livrés avec des mots de passe par défaut, des mises à jour de sécurité lentes et des vulnérabilités évidentes. Les attaquants scrutent tout internet à la recherche de ces appareils. Quand l'un des tiens apparaît, il est ajouté à un botnet — une flotte d'appareils compromis utilisés pour attaquer d'autres personnes, parfois aussi pour te surveiller en retour.
- Ils sont des portes vers ton réseau domestique. Une fois qu'un attaquant est sur l'appareil, il est sur ton Wi-Fi. De là, il peut scanner les autres choses sur ton réseau — ton ordinateur portable, ton stockage réseau, ton téléphone, ta serrure connectée.
C'est pourquoi la sécurité des maisons connectées est à moitié un sujet physique (où tu places l'appareil, ce qu'il voit) et à moitié un sujet numérique (comment son logiciel, son compte et son réseau sont configurés).
Comment repérer un problème
Quelques signes qu'un appareil IoT a un problème, ou n'en a jamais eu :
- Chaleur, lenteur ou trafic réseau inhabituellement élevé. Une sonnette qui contacte internet des centaines de fois par minute fait quelque chose que le manuel ne promettait pas.
- Des voix étranges depuis l'enceinte, des sons qui ne viennent pas de toi. Les intrusions signalées sur des babyphones bon marché sont bien documentées. Traite immédiatement ces incidents comme des appareils compromis.
- Des notifications d'un appareil que tu ne possèdes pas, ou de fonctions que tu n'as pas activées.
- L'application compagnon ne reçoit plus de mises à jour et le site web du fabricant n'a pas été touché depuis un an. Le produit est probablement abandonné. Remplace-le ; ne continue pas à l'utiliser.
- L'appareil demande des permissions bien au-delà de sa fonction. Une ampoule connectée qui veut accéder à ton microphone, tes contacts et ta localisation n'est plus une ampoule connectée.
Comment tout configurer en toute sécurité
Si tu ne fais rien d'autre, fais ceci — une fois, quand tu configures un nouvel appareil. Cela t'évitera bien des soucis à long terme.
- Choisis l'appareil délibérément. Des laboratoires de tests indépendants (Stiftung Warentest, Consumer Reports, Which?, Que Choisir, tests IoT d'AV-TEST) publient des avis spécifiques aux IoT. Un appareil qui promet 5 ans de mises à jour vaut plus qu'un appareil deux fois moins cher qui n'a rien promis.
- Lis la politique de collecte de données en langage simple, ou demande à une IA de la résumer. Qu'est-ce qu'il enregistre ? Qu'est-ce qui est envoyé depuis l'appareil ? Qui le voit ? Pendant combien de temps ?
- Change le mot de passe par défaut avant que l'appareil touche internet. Certains sont encore livrés avec
admin / admin. Beaucoup de routeurs aussi. - Mets à jour son firmware immédiatement. La version livrée n'est presque jamais la dernière.
- Crée un mot de passe fort et unique pour le compte fabricant. Active l'authentification à deux facteurs sur ce compte si elle est proposée.
- Mets-le sur un réseau Wi-Fi séparé pour les appareils IoT (souvent appelé réseau invité ou SSID IoT sur les routeurs grand public). Cela empêche une ampoule compromise d'accéder à ton ordinateur portable et ton disque de sauvegarde.
- Désactive les fonctions que tu n'utiliseras pas — accès à distance, enregistrement cloud, activation vocale, intégrations tierces.
- Vérifie l'emplacement de l'appareil. Une caméra dans un couloir est une chose. Une caméra dans la chambre d'un enfant, c'est une tout autre conversation.
- Note ce que tu as acheté et où il se trouve. Dans un an, tu ne te souviendras plus si la caméra à la porte de derrière est encore en marche. Une simple note empêche un vieux appareil de devenir une faille oubliée.
Quand l'appareil est un microphone ou une caméra
Ceux-ci méritent une réflexion supplémentaire.
- La position compte. Qu'est-ce qui est dans le cadre ? Les portes visibles depuis la rue sont différentes de ta salle de bain.
- Le stockage compte. L'enregistrement local (carte SD ou enregistreur réseau) est plus privé que le cloud uniquement. Le cloud uniquement est plus pratique mais fait confiance pour toujours à la sécurité du fabricant.
- Le consentement compte. Toute personne que tu enregistres — invités, artisans, enfants assez grands pour comprendre — doit savoir que l'appareil est là. Dans certains pays, les caméras cachées à l'intérieur du domicile sont illégales même si tu filmes ta propre famille.
- Les chambres à coucher et les salles de bain sont rarement une bonne idée. Le coût pour la vie privée dépasse presque toujours le bénéfice pour la sécurité. D'autres appareils (capteurs de porte, capteurs de mouvement, prises connectées) peuvent répondre aux mêmes questions sans microphone ni objectif.
Les bases du réseau
La plupart des risques liés à la maison connectée vivent sur ton Wi-Fi. Un peu d'hygiène réseau fait beaucoup.
- Change le mot de passe administrateur du routeur par rapport à ce qui était écrit sur l'étiquette.
- Mets à jour le firmware du routeur quand c'est proposé ; si ton routeur ne propose jamais de mises à jour, il est trop vieux pour un usage sérieux.
- Utilise le chiffrement WPA3 ou WPA2 sur chaque réseau (pas WEP, pas « Ouvert »).
- Crée au moins deux réseaux : un pour tes appareils personnels de confiance (téléphones, ordinateurs portables), un pour l'IoT. Beaucoup de routeurs le font en deux clics ; consulte le manuel de ton routeur ou demande à une IA de te guider pour ta marque spécifique.
- Désactive WPS, UPnP et l'administration à distance sauf si tu en as vraiment besoin. Ils sont pratiques et souvent exploités.
- Choisis un routeur encore supporté par son fabricant. La plupart des routeurs grand public reçoivent environ cinq ans de mises à jour après leur lancement ; les vieux routeurs devraient être mis à la retraite même s'ils fonctionnent encore.
Ce qu'il ne faut PAS faire
- N'achète pas la caméra, la sonnette ou la serrure sans marque la moins chère. Le prix se paie avec ta vie privée et la sécurité du reste de ton réseau. Les marques réputées avec des engagements publics de mises à jour valent le coût supplémentaire.
- Ne connecte pas un appareil à ton Wi-Fi principal si tu peux le mettre sur un réseau IoT séparé.
- N'utilise plus un appareil dont le fabricant a disparu. Pas de mises à jour signifie pas de défense contre les failles nouvellement découvertes.
- N'ignore pas la notification de mise à jour du firmware. C'est ta protection gratuite pour éviter que la vulnérabilité d'hier ne devienne la compromission de demain.
- Ne réutilise pas les mots de passe entre les comptes fabricants. Une fuite chez le cloud d'une entreprise ne devrait pas permettre d'accéder à tes caméras à la maison.
- Ne fais pas confiance au marketing « propulsé par l'IA » ou « chiffrement de niveau militaire ». Cherche audité, standard ouvert et supporté pendant X années. Le reste, c'est du texte de vente.
- Ne place pas une caméra là où tu serais gêné que le monde entier voie, un jour. Les flux de caméras intérieures bon marché se retrouvent sur des sites agrégateurs chaque année.
Utilise l'IA pour t'aider
Faire l'audit de ta configuration actuelle :
« J'ai les appareils de maison connectée suivants sur mon réseau domestique : [liste chacun — marque, modèle, pièce, ce qu'il fait]. Mon routeur est [marque, modèle] et il propose [liste des fonctions — réseau invité, WPA3, SSIDs séparés, etc.]. Fais l'audit de ma configuration et dis-moi (a) quels appareils présentent le plus de risques et pourquoi, (b) quels changements de configuration je devrais faire en premier, par ordre de priorité, et (c) quels appareils je devrais envisager de remplacer parce que le fabricant ne les supporte plus. »
Planifier un réseau IoT séparé :
« Je veux mettre mes appareils de maison connectée sur un réseau Wi-Fi séparé de mes ordinateurs et téléphones. Mon routeur est [marque, modèle]. Guide-moi étape par étape pour configurer un réseau IoT séparé sur ce routeur spécifique. Note les limites ou considérations pour que les appareils continuent de fonctionner comme prévu. »
Un rappel : l'IA ne connaît pas le firmware actuel de ton routeur ni les avis de vulnérabilité actuels pour un appareil spécifique. Utilise-la comme outil de planification, puis vérifie chaque étape avec la documentation officielle du fabricant.
Qui appeler
- Le support du fabricant de l'appareil pour les mises à jour firmware, la récupération spécifique à l'appareil et les notifications de fuite.
- Ton fabricant de routeur pour l'aide à la configuration réseau (souvent chat ou e-mail gratuit).
- Le centre de cybersécurité de ton pays pour des guides spécifiques à l'IoT. Points de départ utiles pour l'espace francophone : ANSSI et Cybermalveillance.gouv.fr (France), Centre for Cybersecurity Belgium / safeonweb.be (Belgique), OFCS/NCSC (Suisse, ncsc.admin.ch), Luxembourg House of Cybersecurity / bee-secure.lu (Luxembourg), AMSN (Monaco). L'ENISA publie aussi des référentiels IoT au niveau de l'UE.
- Les organisations indépendantes de test consommateurs pour les comparatifs d'appareils actuels (voir la fiche sécurité physique du domicile pour la liste par pays).
Quand aller au-delà du chat
- Une caméra ou un microphone montre des signes clairs de compromission — des voix de l'appareil qui ne viennent pas de toi, des enregistrements qui vont quelque part que tu ne reconnais pas, des alertes de mouvement que tu n'as pas déclenchées. Déconnecte l'appareil immédiatement, change tous les mots de passe liés, signale à la police locale si des enfants sont impliqués ou si des images ont pu être enregistrées et exfiltrées. Conserve les journaux et l'appareil comme preuves si possible ; ne fais pas de réinitialisation d'usine avant d'avoir parlé avec la police.
- Une serrure connectée a été ouverte sans ton action — traite comme une possible intrusion physique. Change les serrures et les codes ; consulte les journaux du fabricant (la plupart conservent quelques semaines d'événements de porte) ; dépose une plainte.
- Un fabricant a été compromis et tes appareils pourraient être exposés — change le mot de passe du compte fabricant, remplace les jetons d'authentification, active tout nouveau 2FA proposé, et relie les appareils. Surveille ensuite une augmentation des tentatives de phishing.
- Un enfant rapporte que « l'enceinte me parle la nuit » — prends-le au sérieux, ne le rejette pas comme une invention, déconnecte l'appareil et traite-le comme compromis.
Sources et lectures complémentaires
- ENISA — référentiel de sécurité IoT
- Mozilla Foundation — guide d'achat annuel « Privacy Not Included »
- AV-TEST — tests de sécurité périodiques des appareils IoT
- Krebs on Security — rapports publics sur les botnets IoT grand public et les fuites
- EU Cyber Resilience Act — obligations des fabricants à partir de 2027