Audit sécurité objets connectés maison : le guide qui vous protège

Une lampe connectée achetée 19 euros. Une caméra intérieure à 29 euros. Un thermostat à 80 euros. Voilà ce que j'ai trouvé branchés sur le réseau Wi-Fi de mes parents un dimanche après-midi, quand ils m'ont demandé de « jeter un œil, parce que le wifi rame ». Trois appareils, trois mots de passe d'usine jamais changés, un UPnP activé par défaut sur la box, et une caméra qui répondait depuis l'extérieur. Personne n'avait rien fait de mal. C'est justement ça, le problème.

Un audit sécurité objets connectés maison ne consiste pas à jouer au hacker. Il consiste à répondre à deux questions simples : qu'est-ce qui est branché chez vous, et qu'est-ce qui est joignable depuis l'extérieur sans que vous le sachiez ? La bonne nouvelle, c'est que 80 % du travail se fait avec un navigateur et un peu de méthode. La mauvaise, c'est que presque personne ne le fait.

Un audit sécurité objets connectés maison : par où commencer concrètement

Avant les outils, il y a une étape que tout le monde saute : l'inventaire. Vous ne pouvez pas sécuriser ce que vous ne voyez pas. Et chez la plupart des foyers, il y a plus d'appareils que ce que les gens imaginent.

Lister les appareils connectés sans en oublier

L'interface de votre box list e normalement tous les appareils ayant obtenu une adresse IP. C'est le point de départ le plus fiable. Ouvrez-la, notez chaque nom, et surtout : méfiez-vous de ce que vous ne reconnaissez pas.

Ce que j'ai trouvé chez mes parents ce jour-là :

• Une caméra IP sous un nom générique du type « IPC-360 »
• Une lampe connectée qui apparaissait deux fois (une fois en Wi-Fi, une fois via un pont propriétaire)
• Une enceinte vocale dont le nom ne contenait aucun indice
• Et un appareil que personne n'a jamais réussi à identifier — probablement un ancien répéteur Wi-Fi oublié

Ce dernier point est révélateur. La plupart des foyers connectés trimballent des appareils fantômes : un vieux smartphone qui garde une connexion, un répéteur débranché mais encore associé, une tablette donnée à un enfant. Chacun est une porte laissée entrouverte.

Vérifier ce qui est visible depuis internet

Ici, un outil public change la donne : les moteurs de recherche d'appareils connectés (le plus connu étant Shodan, mais il en existe d'autres). Tapez votre adresse IP publique dans un moteur de recherche classique, puis vérifiez si votre box apparaît. Mieux : utilisez un moteur spécialisé pour voir quels services répondent chez vous.

Le résultat chez mes parents m'a franchement surpris. La caméra était visible de l'extérieur, avec une page de connexion accessible sans authentification. Mot de passe d'usine. Le tout via UPnP, que la box avait activé tout seul, sans prévenir personne.

UPnP, c'est le coupable silencieux. Ce protocole permet aux appareils d'ouvrir des ports sur votre routeur sans intervention. Pratique pour les jeux en ligne. Désastreux pour une caméra ou un NAS. Désactivez-le si vous n'en avez pas besoin — et vous n'en avez probablement pas besoin.

Les critères qui comptent vraiment dans un audit maison

Les grilles d'audit professionnelles pèsent des dizaines de contrôles. Pour un foyer, il faut tailler dans le gras. Voici ceux qui font réellement la différence, classés par impact réel plutôt que par élégance théorique.

Contrôle	Impact réel	Effort
Mot de passe d'usine changé	Très élevé	Faible
UPnP désactivé	Très élevé	Faible
Firmware à jour	Élevé	Moyen
Appareils isolés sur réseau invité	Élevé	Moyen
Authentification à deux facteurs	Moyen	Faible
Ports inutilisés fermés	Moyen	Moyen
Chiffrement du stockage local	Faible à moyen	Variable

Le mot de passe d'usine, la faille qui ne meurt pas

Franchement, je pensais que c'était réglé. Que depuis le temps, les fabricants imposaient un mot de passe unique par appareil. Eh bien non. Sur les objets bon marché, le couple admin/admin reste d'actualité, et sur les caméras chinoises génériques c'est encore plus fréquent qu'on ne le croit.

La conséquence est mécanique : ces mots de passe sont documentés publiquement, parfois même dans les notices PDF. N'importe qui peut les essayer. Et les robots le font, en permanence, sur toutes les adresses IP exposées.

Ma règle personnelle : si un appareil ne me laisse pas changer le mot de passe, il retourne au carton. Pas de négociation. J'ai renvoyé une fois une caméra pour cette raison exacte, et j'assume.

Mettre à jour le firmware, plus important que la marque

Un appareil d'une marque inconnue mais mis à jour vaut mieux qu'une marque connue abandonnée depuis trois ans. Les failles critiques (je pense aux dépassements de tampon dans les services web embarqués, très répandus sur les caméras) sont corrigées par des mises à jour. Sans mise à jour, l'appareil reste vulnérable indéfiniment.

Concrètement, où trouver la version ?

1. Dans l'application mobile du fabricant, section « À propos » ou « Système »
2. Dans l'interface web locale de l'appareil (tapez son adresse IP dans un navigateur)
3. Sur le site du fabricant, si tant est qu'il existe encore

Un test rapide : si vous ne trouvez pas la version du firmware en moins de deux minutes, c'est mauvais signe. Cela signifie souvent que le fabricant ne suit pas ses propres appareils.

Isoler les objets sur un réseau séparé

C'est la mesure que je considère comme la plus sous-estimée de tout l'audit. Presque toutes les box modernes proposent un réseau Wi-Fi invité. Mettez-y vos objets connectés. Point.

Pourquoi ça marche ? Parce que le scénario d'attaque le plus courant ne cible pas votre objet, mais ce qu'il peut atteindre. Une caméra compromise peut balayer votre réseau local et chercher votre ordinateur portable, votre NAS, une imprimante avec un mot de passe faible. Sur un réseau invité, ce balayage tombe dans le vide.

J'ai appliqué ça chez moi voilà un moment, après avoir réalisé que ma télévision connectée pouvait techniquement voir mon ordinateur de travail. Aucune raison valable que ce soit le cas.

Les outils concrets pour auditer sans être administrateur réseau

Bonne nouvelle : vous n'avez pas besoin d'un diplôme en sécurité pour faire 90 % du boulot. Voici ce qui fonctionne réellement, dans l'ordre où je le ferais.

Scan du réseau local avec un outil grand public

Sur smartphone, des applications comme Fing font un balayage complet du réseau en quelques secondes. Elles listent les appareils, leur fabricant, les ports ouverts. C'est gratuit et ça suffit pour un premier passage. Sur ordinateur, Nmap est plus puissant mais demande un peu plus de doigté.

Ce que vous cherchez : les appareils dont le fabricant est inconnu, ceux qui exposent des ports qui ne devraient pas être là (du style 23 pour Telnet, 21 pour FTP, ou 8080 pour une interface web non sécurisée).

Vérifier l'exposition externe

Une recherche sur votre adresse IP publique dans un moteur spécialisé donne une idée claire. Si vous voyez apparaître votre routeur ou votre caméra, il y a un problème. La solution est généralement dans l'interface de la box, section NAT ou redirection de ports.

Et pour être exhaustif : demandez aussi à un ami à l'étranger, ou simplement quelqu'un d'autre sur le réseau, de taper cette même recherche. Ce n'est pas parce que vous ne voyez rien depuis chez vous que l'extérieur est aveugle.

Ce que la CNIL et le RGPD imposent vraiment aux objets connectés

Beaucoup de gens ignorent que les objets connectés domestiques sont soumis à des obligations claires. La CNIL s'est exprimée à plusieurs reprises sur le sujet : un fabricant doit garantir la sécurité par défaut, minimiser la collecte de données, et informer l'utilisateur de ce qui est enregistré.

Mais attention à ne pas confondre : ces règles s'appliquent au fabricant, pas à vous. En tant qu'utilisateur, vous n'avez aucune obligation technique de conformité. Ce qui ne vous empêche pas de faire valoir vos droits : si un objet collecte des données sans le dire (c'est fréquent avec les caméras et les enceintes), vous pouvez demander l'arrêt ou la suppression.

Un point souvent négligé : le micro des assistants vocaux. Certains enregistrent en continu, même si l'audio n'est transmis qu'après un mot-clé. La présence d'un voyant lumineux n'est pas une garantie absolue. J'ai désactivé la fonction d'enregistrement sur mon enceinte après avoir constaté un stockage local qui datait de plusieurs mois. Je ne l'utilisais pas, mais le stockage tournait.

Faut-il jeter ses objets connectés pour autant ?

Non, et cette réponse est volontairement tranchée. Les objets connectés offrent de vrais bénéfices : confort, économies d'énergie, surveillance ponctuelle, automatisation. Les avantages existent et sont réels. La sécurité est un coût de fonctionnement, pas une raison d'abandonner.

Ce qui change tout, c'est d'accepter une réalité simple : un objet connecté n'est pas un objet de décoration, c'est un ordinateur posé sur votre étagère. Il a un système d'exploitation, des services en écoute, et un accès à votre réseau. Une fois qu'on a ça en tête, les bonnes décisions deviennent évidentes.

Le bon compromis, à mon sens : privilégier les appareils mis à jour régulièrement, isoler le reste, et se méfier des objets trop bon marché qui n'ont pas de politique de mise à jour. Un thermostat connecté peut être un excellent investissement — s'il continue à recevoir des correctifs deux ans après l'achat.

Combien de temps prend un audit maison ?

Une soirée, une vraie. Comptez une heure pour l'inventaire et le scan réseau, une heure pour les mots de passe et les mises à jour, une heure pour l'isolation et la vérification de l'exposition externe. Le tout sans outil payant et sans compétence réseau particulière.

Ce qui prend du temps, en réalité, ce n'est pas le travail. C'est de retenir où se trouve chaque interface. Pensez à tout noter quelque part — un simple fichier texte avec les adresses IP et les identifiants fait l'affaire.

Une dernière chose. Si vous avez un doute sur un appareil, débranchez-le. Un objet qui n'est pas là ne peut pas être compromis, et vous verrez en quelques jours s'il vous manque. C'est le test le plus simple et le plus honnête que je connaisse.