Sécuriser le Wi-Fi d’une TPE : routeur, WPA3 et réseau invité

La box installée derrière la caisse relie parfois ordinateurs, imprimante, terminal métier, caméras, téléphones et Wi-Fi clients. Un mot de passe long ne suffit pas si l’administration reste exposée ou si les visiteurs peuvent atteindre les équipements internes. Ce guide traite la configuration et la vérification du réseau sans fil d’une petite entreprise, pas l’ensemble de sa cybersécurité.

1. Dessinez les connexions avant de modifier la box

Listez la box opérateur, le routeur, les bornes, répéteurs, commutateurs et contrôleurs. Relevez marque, modèle, numéro de série, emplacement, version, fin de support, propriétaire et prestataire. Une borne oubliée dans un étage peut conserver un ancien mot de passe ou créer un passage direct vers le réseau interne.

Ajoutez les appareils et leur usage : postes, mobiles professionnels, caisse, imprimante, stockage, téléphonie, caméras, thermostat, écran, objets connectés et appareils personnels. L’inventaire du parc informatique fournit la structure ; le schéma réseau ajoute qui parle à quoi.

Identifiez les noms des réseaux sans fil, leurs zones, méthodes d’authentification et sous-réseaux. Un nom différent ne prouve pas une séparation : deux SSID peuvent conduire au même réseau interne. Demandez au prestataire le plan logique et les règles d’isolation, puis vérifiez-les.

Notez les dépendances : téléphone IP, terminal géré par un fournisseur, imprimante découverte automatiquement ou appareil qui exige une fréquence particulière. Ne modifiez pas au hasard un réseau pendant l’ouverture. Préparez une fenêtre, une configuration sauvegardée et un moyen de revenir en arrière.

2. Fermez la porte d’administration avant de changer le Wi-Fi

Changez immédiatement le nom d’utilisateur et le mot de passe par défaut lorsque l’équipement le permet. Utilisez un secret long et unique conservé dans un gestionnaire. Ne réutilisez pas le mot de passe du Wi-Fi. Créez des comptes nominatifs pour les administrateurs et activez la double authentification sur le contrôleur cloud si disponible.

Désactivez l’administration depuis Internet sauf besoin démontré. Si un prestataire intervient à distance, privilégiez un accès temporaire, restreint et journalisé, via un mécanisme sécurisé. Vérifiez les services exposés, les applications mobiles liées et les comptes de support. Une interface non visible dans le navigateur peut rester joignable par un autre protocole.

Limitez l’administration à un réseau ou poste dédié. Les clients connectés au Wi-Fi invité ne doivent pas atteindre la page du routeur. Les utilisateurs ordinaires n’ont pas besoin du mot de passe administrateur pour rejoindre le réseau. Séparez authentification d’accès et administration.

Sauvegardez la configuration de façon protégée avant et après les changements. Notez comment réinitialiser l’appareil, où se trouve le code de récupération et qui peut contacter l’opérateur. Ne laissez pas l’unique secret dans la boîte e-mail du prestataire. Testez le scénario où le dirigeant ou l’installateur est absent.

3. Utilisez WPA3, ou WPA2-AES pour les équipements compatibles

WEP est obsolète et ne doit pas être utilisé. Évitez également les configurations reposant sur TKIP. Choisissez WPA3 lorsque l’ensemble du parc et l’infrastructure le supportent correctement. Sinon, WPA2 avec AES reste le repli courant. Un mode de transition WPA2/WPA3 peut faciliter la migration, mais sa sécurité et son comportement doivent être testés.

Pour une très petite équipe, un mot de passe partagé robuste peut être acceptable si la configuration et la rotation sont maîtrisées. Utilisez une phrase longue, aléatoire ou non devinable, sans nom du commerce, téléphone ou adresse. Changez-la après une divulgation, le départ d’une personne qui la connaît ou selon un cycle fondé sur le risque.

Pour une équipe plus grande ou des accès sensibles, WPA-Enterprise avec authentification individuelle permet de retirer une personne sans changer le secret de tous. Il nécessite une infrastructure et des compétences adaptées. Une installation mal configurée qui invite les utilisateurs à accepter n’importe quel certificat peut créer un autre risque ; faites-la concevoir et tester.

Désactivez WPS, en particulier l’association par code PIN. Cette commodité peut fragiliser l’accès et n’est pas nécessaire après l’installation. Désactivez aussi les anciens protocoles et réseaux de compatibilité devenus inutiles. Si un appareil métier ancien les impose, isolez-le, documentez l’exception et planifiez son remplacement.

Masquer le nom du réseau n’est pas une mesure de sécurité suffisante et complique parfois la connexion. Utilisez un SSID neutre qui ne révèle pas une information sensible, mais comptez sur l’authentification, le chiffrement, la segmentation et les mises à jour.

4. Séparez les usages qui n’ont pas le même niveau de confiance

Créez au minimum un réseau professionnel et un réseau invité réellement isolé. Selon l’équipement, ajoutez un segment pour les objets connectés, caméras, caisse ou imprimantes. Le but n’est pas de multiplier les noms, mais de limiter le déplacement d’un appareil compromis vers les données importantes.

Définissez les flux nécessaires. Un poste de gestion peut imprimer ; un visiteur ne le doit pas. Une caméra envoie son flux vers l’enregistreur ; elle n’a pas besoin de consulter les dossiers clients. Un terminal géré suit les exigences de son fournisseur sans ouvrir tout le réseau. Bloquez par défaut entre segments, puis autorisez les exceptions documentées.

La « séparation client » ou « isolation AP » empêche souvent deux appareils invités de se contacter. Activez-la si elle correspond à l’usage. Vérifiez également que le réseau invité ne peut pas joindre l’interface de la box, les noms internes, les partages, imprimantes ou appareils de diffusion.

Coordonnez la segmentation avec les contrôles cybersécurité de la TPE. Elle limite l’impact d’un incident, mais ne remplace ni la mise à jour, ni l’authentification, ni la sauvegarde. Un ordinateur infecté conserve l’accès aux ressources que son segment autorise.

5. Configurez un Wi-Fi invité utilisable sans ouvrir le réseau métier

Donnez un SSID distinct, un sous-réseau séparé, une isolation entre clients et aucun accès aux ressources internes. Limitez la bande passante ou la durée si l’activité en a besoin, sans rendre le service inutilisable. Affichez le nom exact du réseau pour éviter que les clients rejoignent un faux point d’accès au nom similaire.

Choisissez l’authentification selon le contexte : secret renouvelé, code temporaire, portail ou autre mécanisme proposé. Un portail avec case à cocher ne sécurise pas à lui seul le trafic radio. Les pages en HTTPS restent protégées de bout en bout, mais le réseau doit encore empêcher les accès internes et limiter les abus.

En France, un café, commerce, hôtel ou autre organisme qui offre effectivement un accès Internet aux visiteurs est soumis aux obligations de conservation des données de trafic rappelées par la CNIL. Les données techniques permettant d’identifier la source de la connexion ou l’appareil sont conservées un an ; les données nécessaires à la sécurité du réseau peuvent l’être jusqu’à trois mois. Le contenu des messages et des pages consultées n’est pas concerné. Un Wi-Fi réservé aux seuls salariés ne relève pas de cette obligation, mais le réseau visiteurs d’un employeur y est soumis.

Il n’existe pas d’obligation générale d’identifier civilement chaque utilisateur. Si l’établissement choisit cette identification pour un motif justifié, les données d’identité civile sont conservées cinq ans. Avant l’ouverture, écrivez avec l’opérateur ou le prestataire qui collecte et conserve chaque journal, où il est stocké, qui répond aux droits et aux réquisitions, comment il est sécurisé et comment il est supprimé à l’échéance. Un contrat technique n’efface pas la responsabilité de l’organisme qui fournit l’accès.

Publiez des conditions courtes : service offert, sécurité, usages interdits, données traitées, contact et limites de disponibilité. Elles ne remplacent pas la configuration. Gardez un moyen de couper le réseau invité séparément sans arrêter le système métier pendant un incident.

6. Mettez les objets connectés et appareils anciens dans un périmètre limité

Les imprimantes, caméras, enceintes, écrans et thermostats possèdent souvent une interface d’administration, un compte cloud et un firmware. Changez les secrets par défaut, désactivez les fonctions inutiles et mettez à jour. Si le fabricant ne maintient plus le produit, traitez-le comme une fin de support et planifiez son remplacement.

Placez les objets dans un segment qui peut joindre seulement les services indispensables. Une imprimante n’a pas besoin d’atteindre l’ensemble du stockage ; un téléviseur connecté n’a pas besoin du CRM. Si la découverte automatique traverse mal les segments, configurez une exception précise au lieu de fusionner les réseaux.

Pour les appareils personnels, définissez s’ils accèdent au réseau professionnel ou seulement au réseau invité. La politique BYOD en TPE traite les conditions d’accès, la séparation et le départ. Ne donnez pas le secret interne à tous les téléphones par facilité.

Vérifiez les ports physiques. Segmenter le Wi-Fi ne sert pas si une prise accessible au public donne directement le réseau métier. Protégez les locaux techniques, désactivez les prises inutilisées lorsque le risque le justifie et étiquetez sans exposer de secret.

7. Prouvez l’isolation avec des tests simples et autorisés

Connectez un appareil de test au réseau invité. Vérifiez qu’il accède à Internet mais pas à l’interface du routeur, aux imprimantes, partages, caméras, postes ou services internes. Essayez depuis plusieurs emplacements et après un redémarrage. Documentez les adresses et résultats sans lancer de scan agressif sur un réseau qui ne vous appartient pas.

Connectez ensuite un poste professionnel et testez ses fonctions métier : Internet, impression, stockage, caisse et téléphonie. Vérifiez que les règles de segmentation n’ont pas créé une dépendance cachée. Utilisez des données fictives pour les essais lorsque possible.

Testez l’authentification : ancien mot de passe, appareil non autorisé, compte désactivé et code invité expiré. Vérifiez les journaux et alertes sans conserver plus de données que nécessaire. Une configuration affichant « isolation activée » n’est pas une preuve si le chemin passe par une autre borne.

Mesurez la couverture hors des locaux. Il n’est pas toujours possible de contenir complètement les ondes, mais réduisez une puissance excessive et placez les bornes selon le besoin. Ne sacrifiez pas la disponibilité au point de provoquer l’usage de partages de connexion personnels non maîtrisés.

8. Organisez les mises à jour, revues et incidents

Abonnez-vous aux bulletins du fabricant ou du prestataire et inscrivez les firmwares à la procédure de mise à jour de sécurité. Vérifiez les versions réellement installées, les échecs et les dates de fin de support. Une box gérée par l’opérateur n’exonère pas de demander comment les correctifs et remplacements sont traités.

Chaque trimestre ou selon le risque, revoyez administrateurs, comptes cloud, réseaux, exceptions de flux, appareils connectés et visiteurs permanents. Après le départ d’un salarié ou prestataire, retirez ses comptes d’administration, sessions et applications. Changez le secret partagé s’il le connaissait et ne peut pas être révoqué individuellement.

Préparez l’incident : contact opérateur, sauvegarde de configuration, plan papier minimal, matériel de repli et ordre de redémarrage. Le plan de continuité d’activité doit identifier ce qui fonctionne sans Wi-Fi, combien de temps et par quel canal.

En cas de borne suspecte ou de connexion inconnue, ne réinitialisez pas tout immédiatement. Isolez, relevez heures, journaux et configuration, changez les accès compromis, vérifiez les autres systèmes puis reconstruisez proprement si nécessaire. Si des données personnelles ont été exposées, déclenchez l’analyse RGPD séparée.

9. Exemple hypothétique : un café avec caisse, équipe et clients

Un café fictif utilise une box, une borne, deux tablettes de prise de commande, une caisse, une imprimante et un Wi-Fi clients. Tous partagent initialement le même réseau. Le mot de passe figure près du comptoir et l’installateur conserve le compte administrateur par défaut.

L’entreprise sauvegarde la configuration et planifie la bascule après la fermeture. Elle crée un réseau professionnel pour caisse et tablettes, un segment limité pour l’imprimante et un réseau invité isolé. Le client peut accéder à Internet, mais pas à l’adresse de la box, à l’imprimante ni aux appareils métier. WPS est désactivé, le firmware mis à jour et le secret administrateur placé dans le gestionnaire.

Le prestataire obtient désormais un accès nominatif activé pour les interventions. Le Wi-Fi invité a un secret distinct et une information courte. Le café documente avec son opérateur la conservation pendant un an des données techniques d’identification, la durée maximale de trois mois des journaux de sécurité concernés, les accès et la réponse aux demandes. Il n’identifie pas civilement les visiteurs et n’enregistre pas le contenu des navigations.

Après le test, une tablette ne voit plus l’imprimante. Plutôt que de rouvrir tous les flux, l’installateur autorise seulement la communication nécessaire. Le schéma, la configuration et le résultat sont datés. Ce scénario montre qu’un réseau invité sécurisé est une séparation testée, pas un simple second nom.

1. Inventorier équipements, versions, réseaux et appareils.
2. Sauvegarder la configuration et préparer le retour arrière.
3. Protéger l’administration et mettre les firmwares à jour.
4. Choisir WPA3 ou WPA2-AES et désactiver WPS.
5. Séparer professionnel, invités et objets selon les besoins.
6. Pour un accès public, attribuer par écrit collecte, conservation et réponse aux demandes.
7. Tester les flux autorisés et bloqués depuis chaque réseau.
8. Documenter, revoir les accès et planifier la fin de support.

Sources officielles et primaires : CNIL — protéger le réseau informatique ; CNIL — fournir un accès Internet public ; ANSSI et MesServicesCyber — sécuriser les accès Wi-Fi ; NIST — SP 800-153, sécurisation des réseaux sans fil. Consultées le 3 août 2026. Les réglages disponibles dépendent du matériel ; faites valider les architectures et obligations particulières par les interlocuteurs compétents.

En résumé

Un Wi-Fi professionnel sûr combine administration protégée, chiffrement actuel, réseaux séparés, firmwares maintenus et tests réels. Le réseau invité doit donner Internet sans ouvrir le métier ; les objets connectés ne doivent parler qu’aux services utiles. Documentez les exceptions et le retour arrière : la disponibilité fait partie de la sécurité d’une TPE.