Comment sécuriser ses objets connectés maison sans devenir expert

Un collègue m'envoie un message un mardi soir : sa télévision connectée s'est rallumée toute seule à 2 h du matin. Pas une panne. Un inconnu, quelque part, avait trouvé l'adresse IP de l'écran, testé le mot de passe par défaut, et s'amusait. Je connaissais ce scénario. Je l'ai vécu aussi, avec une caméra d'entrée achetée d'occasion. Le vendeur m'avait laissé le compte "admin / admin". J'ai mis trois jours à comprendre d'où venait la lumière qui bougeait sur l'application à minuit.

Bref. Une maison connectée, c'est un tas de petits ordinateurs qui parlent à Internet sans vous demander l'avis. Et dans 90 % des cas, le problème n'est pas la technologie. C'est ce qu'on oublie de configurer après avoir déballé le carton.

Sécuriser ses objets connectés maison : la checklist que personne ne donne dans le bon ordre

On trouve partout des listes de conseils en vrac, du genre "mettez à jour, changez les mots de passe, activez le WPA3, désactivez le WPS". Sauf que l'ordre compte. Si vous commencez par ajouter un objet au Wi-Fi avant d'avoir touché au mot de passe, vous avez déjà laissé passer le loup.

Étape 1 : le mot de passe par défaut, tout de suite

Sur les objets connectés, le mot de passe par défaut est le trou numéro un. Les fabricants livrent souvent le même identifiant d'un appareil à l'autre (admin/admin, root/root, ou un code imprimé sur une étiquette). Et ces combinaisons circulent, elles sont documentées, testées automatiquement par des outils qui scannent Internet en continu.

Ma règle, après une mauvaise expérience : aucun appareil ne touche mon Wi-Fi avant que j'aie changé son mot de passe. Pas même un thermostat. Pas même une ampoule. Ça prend deux minutes, ça évite une nuit blanche.

Concrètement :

• J'ouvre l'application constructeur ou l'interface web locale (souvent une adresse du type 192.168.1.x).
• Je remplace le mot de passe par défaut par une phrase longue, unique, stockée dans mon gestionnaire.
• Je désactive le compte administrateur par défaut si le fabricant le permet, et je crée un compte à mon nom.
• Je désactive l'administration à distance quand elle existe : une caméra pilotable depuis l'autre bout du monde, c'est aussi une caméra pilotable par n'importe qui.

Étape 2 : isoler les objets sur un réseau séparé

Votre box fournit en général un réseau invité. Beaucoup de gens l'utilisent pour les amis, ce qui est une erreur de priorité : il sert mieux à parquer les objets connectés. L'idée est simple. Si un objet est compromis, il ne peut pas atteindre votre ordinateur, votre NAS ou vos fichiers.

Sur ma box, j'ai créé un réseau dédié "IoT" il y a un moment maintenant. Résultat mesurable : quand j'ai découvert qu'une prise connectée faisait des requêtes toutes les dix secondes vers un serveur inconnu, je l'ai coupée sans avoir à déplacer quoi que ce soit d'autre. Le confinement a fait son travail.

Attention, ce n'est pas magique. Un objet sur le réseau invité qui discute avec le cloud reste exposé à ce cloud. Mais on limite la casse en local, et c'est déjà énorme.

Étape 3 : les mises à jour, et la question du cycle de vie

La mise à jour de firmware corrige les failles connues. C'est répété partout, et c'est vrai. Le vrai angle mort, celui que je n'ai jamais vu traité correctement, c'est ce qui se passe quand le fabricant arrête de publier ces mises à jour.

Un objet connecté a une durée de support. Un fabricant sérieux la publie, parfois deux ans, parfois cinq. Au-delà, votre appareil continue de fonctionner mais ne reçoit plus de correctifs. C'est le moment où il faut le débrancher ou le remplacer, pas le garder "parce qu'il marche encore".

J'ai un détecteur de fuite d'eau qui a cessé de recevoir des mises à jour il y a un peu plus d'un an. Je l'ai retiré du réseau. Il fonctionne toujours en local, sans application, sans cloud. C'est le compromis que j'assume. Mais je le sais — c'est toute la différence.

Étape 4 : limiter ce que l'objet peut toucher

Une caméra n'a aucune raison de parler à votre ordinateur. Une enceinte n'a aucune raison d'accéder à vos dossiers partagés. Coupez les accès croisés. Dans l'interface de votre box ou de votre routeur, vous pouvez souvent voir quel appareil parle à quel autre. Un coup d'œil aux ports ouverts sur chaque objet révèle parfois des surprises : des services d'administration exposés là où on n'en attendait pas.

Sur mon installation, j'ai fini par fermer quatre ports sur trois appareils différents. Trois d'entre eux étaient ouverts par défaut et ne servaient à rien.

Quels sont les risques des objets connectés ?

Le piratage n'est que la partie visible. La partie immergée, c'est la donnée. Un objet connecté est défini comme un dispositif capable de recevoir, stocker, traiter et transmettre des données — et ces données ont une valeur marchande. Ce n'est pas de la paranoïa : c'est un modèle économique.

Le piratage et la prise de contrôle

Une caméra détournée peut devenir un œil braqué chez vous. Un routeur compromis peut rediriger votre trafic. Un objet connecté mal protégé devient une porte d'entrée vers les autres appareils du foyer. Ce sont les risques les plus médiatisés, et ils sont réels, mais ils ne sont pas les seuls.

L'usage commercial des données personnelles

Votre montre connectée enregistre votre rythme cardiaque. Votre thermostat enregistre vos horaires de présence. Votre assistant vocal enregistre... beaucoup de choses. Ces données peuvent être utilisées à des fins commerciales, revendues, agrégées. La CNIL, qui encadre ces sujets en France, rappelle régulièrement que l'objet connecté est un collecteur de données avant d'être un gadget.

Ma position, et je l'assume : lisez les conditions d'utilisation avant l'achat, pas après. Si un objet exige un compte cloud pour fonctionner en local, c'est un signal. Si la politique de confidentialité indique une revente à des partenaires sans possibilité d'opt-out, c'est un autre signal.

L'objet fantôme sur le réseau

Un appareil que vous avez oublié, qui n'est plus mis à jour, et qui continue de parler à Internet. Ça arrive plus souvent qu'on ne le croit. Un vieux jouet connecté, une prise intelligente que vous n'utilisez plus, une télévision que vous avez déménagée au sous-sol. Chacun est une surface d'attaque. Faire le ménage de temps en temps, ce n'est pas de la maniaquerie, c'est de l'hygiène.

Quels sont les inconvénients d'une maison connectée ?

Personne ne vous le dira en magasin, mais une maison connectée impose une charge mentale réelle. Ce n'est pas un achat unique, c'est un abonnement à la vigilance.

Une sécurité qui demande du travail

Je vais être franc : sécuriser ses objets connectés, c'est un travail continu. Une mise à jour qui casse une intégration, un mot de passe à changer, un objet qui disparaît du réseau, une fonctionnalité qui saute après une mise à jour. J'ai passé une soirée entière à reconnecter une ampoule après une mise à jour ratée. Une ampoule.

La dépendance au cloud et au fabricant

Beaucoup d'objets connectés fonctionnent uniquement via l'application du fabricant et son serveur. Si le fabricant disparaît, ferme son service, ou décide de facturer un abonnement, votre objet devient une brique. C'est arrivé à plusieurs reprises sur des produits dits "intelligents" qui coûtaient quand même quelques centaines d'euros.

L'incompatibilité entre marques

Une ampoule d'une marque, un thermostat d'une autre, une caméra d'une troisième : rien ne garantit qu'elles se parlent. Les protocoles de communication ne sont pas interchangeables. Résultat, une application par appareil, ou une usine à gaz pour tout coordonner.

Quels sont les inconvénients des objets connectés face aux alternatives classiques ?

Avant d'acheter un objet connecté, une question simple tranche souvent le débat : est-ce que la version non connectée ferait le même travail, sans le risque ? Voici ce que j'ai fini par comparer, après plusieurs achats regrettés.

Critère	Objet connecté	Équivalent non connecté
Fonctionnement	Dépend de l'app, du cloud, du Wi-Fi	Fonctionne seul
Mises à jour	Nécessaires, avec une fin de support	Aucune
Risque de piratage	Réel, surface d'attaque à couvrir	Inexistant
Données collectées	Souvent nombreuses	Aucune
Durée de vie utile	Limitée par le support	Jusqu'à la panne
Confort	Élevé quand ça marche	Modéré

Mon verdict, et je resterai là-dessus : pour tout ce qui touche à la sécurité physique (détecteurs de fumée, serrures), la version non connectée reste plus fiable. Pour le confort (éclairage, chauffage), le connecté a du sens si vous acceptez le travail de maintenance.

Les questions qu'on me pose le plus souvent

Comment fonctionne un objet connecté ?

Un objet connecté est un appareil qui se connecte à un réseau (Wi-Fi, Bluetooth, 5G) pour recevoir, stocker, traiter et transmettre des données. Il peut fonctionner seul ou via un smartphone ou une tablette qui le contrôle. C'est cette capacité à transmettre qui crée à la fois son intérêt et son risque.

Faut-il déclarer ses objets connectés à la CNIL ?

Non. En tant que particulier, vous n'avez aucune déclaration à faire. La CNIL encadre les fabricants et les responsables de traitement, pas les utilisateurs. En revanche, elle publie des recommandations utiles pour savoir ce qui se passe avec vos données.

Un objet connecté d'occasion est-il sûr ?

Rarement, sans précaution. Un appareil reconditionné peut conserver les identifiants de son ancien propriétaire, un compte cloud non dissocié, ou un mot de passe inchangé. La première chose à faire : réinitialiser l'appareil aux paramètres d'usine, puis reprendre toute la procédure depuis le début. C'est ce que j'aurais dû faire avec ma caméra.

Ce qui reste quand on a tout sécurisé

Il y a un paradoxe que j'aime bien dans cette histoire. Plus on sécurise ses objets connectés, plus on se rend compte qu'on en a moins besoin qu'on ne le croyait. Trois de mes appareils ont fini débranchés, pas par peur, mais parce que le confort qu'ils apportaient ne valait pas la surveillance qu'ils demandaient.

Une maison connectée n'est pas dangereuse en soi. Elle est dangereuse par défaut — au sens littéral, celui des réglages d'usine qu'on n'a jamais touchés. La différence entre un foyer exposé et un foyer tranquille ne tient pas à un produit miracle. Elle tient à une demi-heure passée à changer des mots de passe et à fermer des ports, un dimanche après-midi, avant que le carton ne soit rangé au grenier.

Et si vous ne devez retenir qu'une chose de tout ça : la prochaine fois qu'un appareil se rallume tout seul à 2 h du matin, vous saurez où regarder.