Sécuriser sa maison connectée contre les intrusions : le guide ultime

Un ami m'appelle un samedi matin, la voix un peu tendue. Sa femme a reçu une notification sur son téléphone : mouvement détecté dans le salon. Sauf qu'ils étaient tous les deux au marché, à quinze minutes de là. Il ouvre l'appli de sa caméra intérieure. L'image tremble, se charge lentement. Et là, il voit sa propre cuisine. De l'autre côté, quelqu'un regarde sa cuisine aussi. Mais ce n'est pas lui.

Il ne s'est rien passé de grave ce jour-là. Le "mouvement détecté" venait d'un rideau mal fixé qui bougeait avec le chauffage. Mais l'histoire qu'il m'a racontée après, celle qui m'a vraiment marqué, c'est la suivante : quelques semaines plus tôt, il avait reçu un mail d'alerte de sa caméra lui signalant une connexion depuis une adresse IP qu'il ne connaissait pas. Il avait fermé le mail. Il n'avait rien fait.

Voilà le vrai problème avec la maison connectée. Pas la technologie. Le fait qu'on ne sait pas quoi faire quand elle nous parle. Et qu'on ne sait pas non plus tout ce qu'elle raconte derrière notre dos.

Quand on parle de sécuriser sa maison connectée contre les intrusions, on mélange en réalité deux choses qui n'ont presque rien à voir : l'intrusion physique (quelqu'un entre chez vous) et l'intrusion numérique (quelqu'un entre dans vos appareils). Les deux existent. Les deux sont graves. Mais les parades sont différentes, et c'est là que la plupart des articles vous laissent tomber.

Deux intrusions, deux logiques : ce que la plupart des guides oublient de distinguer

Un cambrioleur qui entre chez vous et un pirate qui pilote votre serrure depuis l'autre bout du monde n'ont pas le même profil, pas les mêmes techniques, pas les mêmes motivations. Les confondre conduit à des erreurs bêtes.

L'intrusion physique, c'est votre voisin qui a repéré que vous partiez toujours le vendredi soir. C'est aussi, de plus en plus, un individu qui a vu sur les réseaux sociaux que vous étiez en vacances, ou qui a repéré votre planning grâce à une caméra mal configurée. Le cambriolage classique reste majoritairement opportuniste : environ 80 % des effractions se font par une porte ou une fenêtre mal fermée, en moins de cinq minutes.

L'intrusion numérique, elle, ne nécessite pas de se déplacer. Elle cherche des appareils mal protégés, connectés à internet, avec des identifiants par défaut. Une caméra IP achetée 40 euros sur une marketplace, jamais mise à jour, avec le mot de passe "admin/admin" : voilà la cible idéale. Et le but n'est pas toujours de vous cambrioler. Parfois, c'est simplement d'utiliser votre connexion pour attaquer quelqu'un d'autre. Vous devenez un relais involontaire.

Pourquoi vos objets connectés parlent plus que vous ne le pensez

Une box internet standard voit passer en moyenne plusieurs milliers de requêtes réseau par jour pour un foyer équipé. La majorité vient de vos appareils connectés : téléviseur, enceinte, thermostat, caméra, prise. Chacun communique avec un serveur quelque part dans le monde. Certains le font correctement, en chiffrant les échanges. D'autres pas du tout.

Ce qui m'a le plus surpris, quand j'ai commencé à regarder ce trafic de près sur mon propre réseau, c'est le nombre d'appareils qui continuaient à envoyer des données alors que je les croyais éteints. Une enceinte qui interrogeait son serveur toutes les trente secondes. Une prise connectée qui n'avait aucune raison de parler à cette heure-là. Rien d'illégal, mais une surface d'attaque que je n'avais jamais mesurée.

Le point important : votre maison n'a pas un problème de sécurité parce qu'elle est connectée. Elle a un problème parce qu'elle est connectée sans que vous sachiez à quoi.

Quelle est la meilleure protection anti-intrusion pour une maison ?

La meilleure protection anti-intrusion pour une maison n'est pas un seul appareil. C'est une combinaison : une alarme certifiée avec détection périmétrique, une serrure mécanique de qualité, et un réseau domestique segmenté. Aucun de ces trois éléments ne suffit seul.

Beaucoup de gens pensent qu'acheter une alarme connectée haut de gamme résout tout. C'est faux. Une alarme connectée qui communique sur un réseau non sécurisé, avec un mot de passe faible, peut être désactivée à distance par un attaquant. Elle devient alors un faux sentiment de sécurité. J'ai vu un cas concret, chez un proche, où l'alarme a été désactivée pendant une semaine sans que personne ne s'en aperçoive, parce que l'appli mobile affichait toujours "système actif".

Les critères qui comptent vraiment

• Certification NF&A2P ou équivalent européen pour le volet intrusion physique — pas un label marketing.
• Chiffrement des communications de bout en bout, vérifiable dans les paramètres de l'appareil (pas seulement "chiffré" sur la boîte).
• Mises à jour automatiques du firmware, activées par défaut, avec historique consultable.
• Authentification à deux facteurs sur l'application de pilotage, sans exception.
• La possibilité de fonctionner en local, sans dépendre entièrement du cloud du fabricant — un critère que personne ne regarde et qui change tout.

Ce dernier point est celui sur lequel je me suis le plus trompé au début. J'ai longtemps privilégié les appareils "intégrés à l'écosystème", en pensant que c'était plus sûr. En réalité, plus un appareil dépend d'un cloud propriétaire, plus la surface d'attaque est grande, et plus vous êtes dépendant de la sécurité d'un tiers que vous ne contrôlez pas.

Les cinq failles que personne ne vérifie avant qu'il ne soit trop tard

Voilà le cœur du sujet, et c'est ce que la majorité des articles évitent d'aborder en profondeur. Pas parce que c'est compliqué, mais parce que c'est technique, et que ça ne fait pas de jolies phrases.

Faute n°1 : les identifiants par défaut

C'est la cause numéro un des intrusions dans une maison connectée. Un appareil sur deux, dans les foyers que j'ai pu observer, tourne encore avec le mot de passe fourni à l'achat. "admin", "1234", le nom du modèle... Les attaques automatisées scannent le web à la recherche de ces identifiants. Elles n'ont pas besoin de vous connaître. Elles cherchent, elles trouvent, elles entrent.

Changez-les tous. Tous. Y compris celle dont vous pensez qu'elle n'est pas assez importante pour être attaquée.

Faute n°2 : un seul réseau pour tout le monde

Votre ordinateur de travail, la tablette de vos enfants, votre caméra de surveillance et votre imprimante partagent le même réseau Wi-Fi. C'est une erreur. Si un seul de ces appareils est compromis, l'attaquant a accès à tout le reste. Votre caméra peut scanner votre ordinateur. Votre imprimante peut voir votre disque réseau.

La solution s'appelle la segmentation réseau. Sur la plupart des box récentes, vous pouvez activer un réseau invité séparé et y connecter uniquement vos objets connectés. Coût : zéro. Temps : dix minutes. Efficacité : considérable. J'ai fait ce changement sur mon propre réseau et j'ai découvert que trois appareils communiquaient entre eux de manière totalement inutile. Ils ne le font plus.

Faute n°3 : le firmware jamais mis à jour

Les fabricants corrigent des failles en permanence. Ces correctifs arrivent via des mises à jour de firmware. La plupart des gens ne les installent jamais, parce qu'ils ne savent pas qu'elles existent, ou parce que l'interface est mal fichue.

Activez les mises à jour automatiques partout où c'est possible. Pour les appareils plus anciens qui n'en proposent pas, vérifiez manuellement une fois par mois. Oui, c'est fastidieux. Mais une faille corrigée il y a deux ans reste exploitable si vous n'avez jamais installé le correctif.

Faute n°4 : l'UPnP laissé activé

L'UPnP, ou Universal Plug and Play, est une fonction pratique qui permet à vos appareils d'ouvrir automatiquement des ports sur votre box pour communiquer avec l'extérieur. Le problème : elle ouvre ces ports sans contrôle, et parfois sans que vous le sachiez. Un appareil compromis peut s'en servir pour se rendre accessible depuis internet.

Désactivez l'UPnP dans les paramètres de votre box. C'est dans les réglages avancés, souvent enterré dans un sous-menu. Si un appareil cesse de fonctionner après, vous saurez lequel, et vous pourrez ouvrir le port manuellement, en connaissance de cause.

Faute n°5 : le chiffrement Wi-Fi obsolète

Si votre box est encore configurée en WPA2, ou pire, en WEP, c'est un problème. Le standard de référence aujourd'hui est le WPA3. Il corrige des failles connues du WPA2, notamment liées au handshake. Toutes les box récentes le proposent. Vérifiez dans les paramètres Wi-Fi, et basculez si c'est possible.

Attention toutefois : si vous avez des appareils anciens qui ne supportent pas le WPA3, ils risquent de ne plus se connecter. Dans ce cas, gardez deux réseaux séparés : un en WPA3 pour les appareils récents, un en WPA2 pour les anciens, mais isolés du reste.

Matter, Thread, Zigbee : quels protocoles choisir pour limiter les risques

Le protocole de communication de vos appareils a un impact direct sur leur niveau de sécurité. Tous ne se valent pas, et le choix se fait rarement en connaissance de cause.

Zigbee et Z-Wave : le maillage local

Ces deux protocoles fonctionnent en réseau maillé, sur des fréquences locales. Ils ne passent pas par internet pour communiquer entre eux. Cela réduit mécaniquement la surface d'attaque : un attaquant distant ne peut pas atteindre directement un capteur Zigbee s'il n'a pas d'abord compromis le hub qui le pilote.

Le point faible est justement ce hub. S'il est mal protégé, tout le réseau tombe avec lui. Zigbee 3.0 intègre un chiffrement AES-128, ce qui est solide. Z-Wave propose un mode S2, plus récent, qui ajoute une couche d'authentification. Tous les appareils ne le supportent pas, mais ça vaut la peine de vérifier avant d'acheter.

Matter et Thread : la promesse récente

Matter est un standard relativement récent qui vise à faire communiquer les écosystèmes entre eux. Thread, son protocole de transport privilégié, fonctionne également en maillage local. L'avantage, en théorie, c'est un niveau de sécurité homogène : chiffrement obligatoire, authentification, mises à jour standardisées.

Attention cependant aux appareils "Matter-ready" vendus avant que la certification soit complète. J'ai acheté une prise annoncée compatible Matter qui, après vérification, ne l'était pas encore via une mise à jour. Elle fonctionnait en Wi-Fi classique. Ce n'était pas un mensonge du fabricant, juste un calendrier optimiste. Lisez les petites lignes.

Que faire si vous pensez avoir été victime d'une intrusion ?

C'est la question que tout le monde se pose, et à laquelle presque personne ne répond. Voici la procédure, dans l'ordre.

Étape 1 : couper l'accès réseau, pas l'alimentation

C'est contre-intuitif, mais c'est important. Si vous débranchez complètement un appareil compromis, vous perdez les journaux (logs) qui pourraient vous indiquer comment l'attaquant est entré, et ce qu'il a fait. Coupez plutôt son accès réseau : désactivez son Wi-Fi, débranchez son câble Ethernet, ou bloquez-le depuis l'interface de votre box.

Étape 2 : consulter les journaux

Votre box, votre caméra, votre alarme : tous conservent des journaux de connexion. Cherchez des adresses IP inconnues, des connexions à des heures inhabituelles, des tentatives d'authentification échouées en rafale. Ces traces sont précieuses, autant pour comprendre que pour d'éventuelles démarches.

Étape 3 : révoquer tous les accès

Changez le mot de passe de l'appareil concerné, mais aussi de tous les appareils partageant le même compte ou le même réseau. Supprimez les sessions actives dans les applications mobiles. Réinitialisez le routeur aux paramètres d'usine si vous avez le moindre doute sur sa configuration.

Étape 4 : déclarer et documenter

Si vous constatez une intrusion physique en lien avec une faille numérique (par exemple, une serrure connectée ouverte à distance), c'est un délit. Portez plainte. Rassemblez les journaux, les captures d'écran, les notifications. Votre assurance habitation peut couvrir certains préjudices, mais elle exigera des preuves. Sans documentation, le dossier est compliqué.

Une chose que j'ai apprise à mes dépens : la réactivité compte plus que la perfection technique. Une intrusion détectée et traitée dans l'heure laisse beaucoup moins de traces qu'une intrusion traitée trois jours plus tard.

Ce que j'ai fini par comprendre après des années à bricoler tout ça

La sécurité d'une maison connectée n'est pas un produit qu'on achète. C'est une hygiène qu'on entretient. Les gens qui se font pirater ne sont pas ceux qui ont le matériel le moins cher. Ce sont ceux qui n'ont jamais ouvert les paramètres de leur box.

Ce qui m'a le plus frustré, dans tout ce que j'ai testé, c'est la complexité inutile des interfaces. Les fabricants cachent les options de sécurité importantes dans des sous-menus incompréhensibles. Ils activent par défaut des fonctions pratiques mais risquées. Ils vous vendent du "tout-en-un" qui, en réalité, expose tout d'un coup.

Et pourtant, les cinq mesures que j'ai détaillées plus haut — changer les mots de passe, isoler le réseau, mettre à jour, désactiver l'UPnP, passer en WPA3 — prennent moins d'une heure au total. Une heure. Pour éliminer la quasi-totalité des scénarios d'attaque opportuniste.

Le vrai risque, ce n'est pas que votre maison soit connectée. C'est de croire qu'elle est sécurisée parce que vous avez acheté une alarme.

Un dernier point, plus inconfortable. La meilleure protection anti-intrusion, celle qui fonctionne vraiment, c'est aussi la moins technologique : connaître ses voisins. La caméra détecte un mouvement et vous envoie une notification que vous ne verrez peut-être pas. Le voisin, lui, il regarde par la fenêtre. Ça ne remplace pas la technique. Mais ça la complète, et honnêtement, dans les cas que je connais, c'est souvent ce qui a fait la différence.