Sécuriser son Wi-Fi : WPA2, WPA3 et 8 réflexes simples

Un réseau Wi-Fi mal protégé, c’est une porte d’entrée directe vers vos données, vos appareils et parfois vos comptes en ligne. Le mot de passe fourni par défaut n’est pas toujours suffisant. Voici huit réflexes pour verrouiller correctement votre box.

Pourquoi le mot de passe par défaut ne suffit pas

Les box des opérateurs arrivent avec une clé Wi-Fi prête à l’emploi, imprimée sur une étiquette. Pratique, mais pas infaillible :

elle est parfois dérivée d’informations lisibles sur la box (référence, adresse MAC), donc devinable par des outils automatisés ;
le WPS (Wi-Fi Protected Setup), activé par défaut sur beaucoup de box, permet une mise en relation d’une simple pression de bouton, mais son protocole est vulnérable à des attaques par force brute ;
le mot de passe d’administration de la box reste souvent à sa valeur d’usine.

Verrouiller ces trois points change radicalement la donne. Tous les réglages ci-dessous se trouvent dans l’interface d’administration de la box, accessible depuis un navigateur : 192.168.1.1 pour une Livebox, 192.168.0.1 (ou mafreebox.freebox.fr) pour une Freebox, 192.168.0.1 pour une SFR Box, 192.168.1.254 pour une Bbox — le détail des identifiants par opérateur est dans notre guide sur le mot de passe Wi-Fi oublié.

1. Changez le mot de passe Wi-Fi et le nom du réseau (SSID)

Le SSID est le nom visible de votre réseau. Gardez-le sobre (sans prénom ni adresse) et remplacez la clé d’origine par une phrase de passe longue, au moins 16 caractères, mêlant mots et signes. Plus c’est long, plus c’est résistant aux attaques.

2. Désactivez le WPS

Le WPS est confortable (un bouton pour connecter un appareil) mais sa version par code PIN est défaillante : elle peut être craquée en quelques heures. Désactivez-le dans l’interface de la box, section Wi-Fi.

3. Préférez WPA3, sinon WPA2-AES

Le chiffrement (WPA) protège les données qui transitent entre vos appareils et la box.

WPA3 : norme récente, plus solide, notamment sur les mots de passe simples.
WPA2-AES : reste fiable si WPA3 n’est pas disponible.

Évitez le WEP (obsolète et cassable en minutes) et le TKIP. Dans l’interface de la box, choisissez le niveau le plus élevé supporté par vos appareils.

4. Mettez à jour le micrologiciel de la box

Le firmware est le logiciel interne de la box. Les mises à jour corrigent des failles de sécurité découvertes après sa fabrication. Les box opérateurs se mettent à jour toutes seules la nuit ; vérifiez tout de même dans l’interface qu’aucune mise à jour n’est en attente. Avec votre propre routeur, consultez régulièrement le site du fabricant.

5. Masquer le SSID : un bénéfice limité

Cocher « masquer le SSID » empêche le nom du réseau d’apparaître dans les listes. C’est trompeur : un auditeur malveillant peut quand même le récupérer en écoutant le trafic. C’est un petit plus, pas une vraie protection.

6. Créez un réseau invité pour vos visiteurs

Quand des amis, de la famille ou des prestataires viennent chez vous, évitez de leur donner la clé principale. Activez le réseau invité proposé par la plupart des box récentes, généralement dans une rubrique Wi-Fi ou Réseau invité de l’interface d’administration (le nom exact varie selon l’opérateur) : il est isolé de vos appareils personnels et peut être désactivé en un clic une fois le visiteur parti.

7. Désactivez l’administration à distance

L’interface de la box est parfois accessible depuis Internet (WAN). C’est pratique pour l’opérateur, c’est inutile et risqué pour vous. Désactivez l’administration à distance dans les paramètres d’administration. L’interface reste accessible depuis chez vous, en local — c’est suffisant.

Attention : ne changez pas le mot de passe d’administration de la box sans le noter. Si vous le perdez, seule une remise à zéro matérielle le rétablira.

8. Redémarrez la box de temps en temps

Un simple redémarrage mensuel permet à la box d’appliquer certaines mises à jour, de vider sa mémoire et de renégocier sa connexion. Coupez l’alimentation 30 secondes, rebranchez, patientez deux minutes. C’est bête, mais efficace.

En résumé

Le mot de passe par défaut est devinable et le WPS reste vulnérable.
Changez la clé Wi-Fi et le SSID, désactivez le WPS.
Préférez WPA3, sinon WPA2-AES ; oubliez le WEP.
Maintenez le firmware de la box à jour.
Le SSID masqué n’apporte qu’un faux sentiment de sécurité.
Activez le réseau invité et désactivez l’administration à distance.
Un redémarrage mensuel complète la routine.