Un réseau domestique n'a pas été conçu, à l'origine, pour héberger un poste de travail professionnel exposé quotidiennement à des données d'entreprise sensibles. Le sécuriser correctement demande une démarche méthodique et rigoureuse, pas seulement un mot de passe Wi-Fi choisi au hasard un jour d'installation.
La home de ce site le rappelle explicitement : accéder aux données de l'entreprise depuis un réseau non sécurisé figure parmi les trois principaux facteurs de risque identifiés du télétravail. Ce que la plupart des collaborateurs en télétravail ignorent, c'est que la sécurisation d'un réseau domestique repose en réalité sur un nombre restreint de réglages concrets et bien identifiés, souvent négligés simplement parce qu'ils demandent d'accéder une seule fois à l'interface d'administration du routeur.
La quasi-totalité des routeurs grand public sont livrés avec un identifiant et un mot de passe administrateur par défaut, souvent identiques sur des milliers d'unités du même modèle et documentés publiquement. Un attaquant présent sur le même réseau, ou parvenant à s'y connecter via une faille du Wi-Fi lui-même, peut accéder à cette interface d'administration sans effort particulier si ce mot de passe n'a jamais été changé. Modifier ce mot de passe administrateur, distinct du mot de passe Wi-Fi utilisé pour se connecter au réseau, constitue la première étape, souvent oubliée, d'une sécurisation sérieuse.
Le protocole de chiffrement du Wi-Fi lui-même
Le protocole de sécurité utilisé pour chiffrer les communications Wi-Fi a connu plusieurs générations : WEP, aujourd'hui considéré comme cassable en quelques minutes et à proscrire totalement, WPA2, encore largement répandu et globalement solide s'il est correctement configuré, et WPA3, la norme actuelle, qui corrige plusieurs faiblesses structurelles de son prédécesseur. Vérifier, dans les paramètres du routeur, quel protocole est actuellement actif, et basculer vers WPA3 lorsque le matériel le permet, réduit significativement la surface d'attaque du réseau domestique.
Un réseau invité séparé pour les appareils non professionnels
La plupart des routeurs récents permettent de créer un réseau Wi-Fi "invité", techniquement isolé du réseau principal. Cette fonctionnalité, souvent utilisée pour les visiteurs, a un usage tout aussi pertinent pour un foyer en télétravail : elle permet d'isoler les appareils personnels et familiaux (télévisions connectées, consoles de jeu, objets connectés domestiques) du poste de travail professionnel, sur un segment réseau distinct. Un appareil connecté compromis sur le réseau invité ne peut alors pas atteindre directement le poste professionnel, contrairement à une configuration où tous les appareils du foyer partagent le même réseau sans séparation.
Le micrologiciel (firmware) d'un routeur fait l'objet de correctifs de sécurité réguliers de la part des fabricants, au même titre qu'un système d'exploitation. Contrairement à un ordinateur, un routeur n'affiche généralement aucune notification visible lorsqu'une mise à jour est disponible, ce qui explique pourquoi une grande partie du parc installé fonctionne avec un firmware obsolète, parfois vulnérable à des failles publiquement documentées et exploitées. Vérifier manuellement la disponibilité d'une mise à jour tous les quelques mois, via l'interface d'administration du routeur ou l'application du fabricant, reste une bonne pratique simple et rarement suivie.
Un point d'attention supplémentaire concerne les routeurs fournis par les opérateurs télécom : certains modèles ne reçoivent plus de mises à jour de sécurité après quelques années, une fois leur génération remplacée dans le catalogue commercial de l'opérateur. Se renseigner sur la politique de support du modèle utilisé, et envisager son remplacement si le support a cessé, mérite d'être intégré à une politique de sécurité du télétravail à l'échelle d'un foyer.
De nombreux routeurs activent par défaut des fonctionnalités qui augmentent la surface d'attaque sans apporter de bénéfice réel à un usage domestique standard : l'administration à distance depuis Internet, qui permet en théorie de gérer le routeur depuis l'extérieur du réseau local, ou le protocole UPnP (Universal Plug and Play), qui permet à des appareils du réseau d'ouvrir automatiquement des ports sans validation manuelle. Ces deux fonctionnalités, rarement nécessaires pour un usage de télétravail classique, méritent d'être désactivées si elles ne sont pas activement utilisées, réduisant d'autant, et sans réel inconvénient pratique, les points d'entrée potentiels exposés inutilement.
Le protocole WPS (Wi-Fi Protected Setup), conçu pour simplifier la connexion d'appareils via un code PIN ou un bouton physique, présente des faiblesses connues qui permettent, dans certaines conditions, de retrouver le mot de passe Wi-Fi par une attaque automatisée. Désactiver cette fonctionnalité, au profit d'une connexion classique par mot de passe, élimine efficacement ce vecteur d'attaque spécifique et bien documenté, sans complexifier de façon significative l'usage quotidien du réseau pour l'ensemble du foyer.
Sécuriser le réseau Wi-Fi domestique protège la couche locale de la connexion, mais ne couvre pas ce qui se passe une fois que le trafic quitte le domicile pour rejoindre les serveurs de l'entreprise via Internet. C'est précisément le rôle que joue un VPN pour le télétravail, qui chiffre cette portion du trajet, complémentaire et non substituable à la sécurisation du réseau local elle-même. Un réseau domestique parfaitement sécurisé sans VPN pour accéder aux données de l'entreprise, ou un VPN actif sur un réseau domestique laissé aux réglages par défaut, laissent chacun un maillon de la chaîne insuffisamment protégé.
Au-delà du simple réseau invité, certains routeurs plus avancés, notamment ceux orientés vers un usage semi-professionnel, permettent de créer des réseaux virtuels distincts (VLAN) au sein d'un même équipement physique. Cette segmentation plus fine permet, par exemple, d'isoler un poste de travail traitant des données particulièrement sensibles sur un segment dédié, séparé non seulement des appareils personnels mais aussi des autres équipements professionnels du foyer si plusieurs personnes télétravaillent sous le même toit. Si cette configuration dépasse les compétences techniques habituelles d'un utilisateur non spécialisé, elle mérite d'être envisagée en concertation avec le service informatique de l'entreprise pour les postes à plus fort enjeu de confidentialité.
Un réseau Wi-Fi émet au-delà des murs du domicile, parfois de façon suffisante pour être détecté depuis la rue, un palier d'immeuble, ou une propriété voisine. Réduire la puissance d'émission du routeur, lorsque cette option est disponible dans les paramètres avancés, ou simplement repositionner l'équipement plus au centre du logement plutôt que près d'une fenêtre donnant sur l'extérieur, limite l'exposition physique du réseau à des tentatives de connexion depuis l'extérieur du domicile. Ce réglage, purement matériel et indépendant de toute configuration logicielle, complète utilement les mesures précédentes sans nécessiter de compétence technique particulière.
La sécurisation d'un réseau domestique pour le télétravail ne demande pas une expertise technique approfondie, mais une série de vérifications ponctuelles : changer le mot de passe administrateur par défaut, activer WPA3 ou à défaut WPA2 avec un mot de passe robuste, créer un réseau invité pour les appareils non professionnels, vérifier et appliquer les mises à jour de firmware disponibles, désactiver l'administration à distance, l'UPnP et le WPS si non nécessaires, et enfin maintenir un VPN actif pour toute connexion aux ressources de l'entreprise. Cette liste, une fois appliquée avec méthode, ne demande ensuite qu'une vérification périodique de quelques minutes tous les trimestres, plutôt qu'une surveillance constante et chronophage au quotidien.