Wi-Fi invités, imprimantes, caméras : quelles portes d'entrée personne ne surveille ?
Ce sont de petits ordinateurs que personne ne met à jour : la borne Wi-Fi des visiteurs, le copieur multifonction, les caméras et leur enregistreur. Ils gardent souvent leur mot de passe d'usine et partagent le même réseau que vos PC. Il faut les inventorier, changer leurs mots de passe, les mettre à jour et cloisonner les visiteurs sur un réseau à part, comme le recommande l'ANSSI. Pour les caméras, les règles de la CNIL s'ajoutent.
Le scénario en bref
Exemple, inventé pour illustrer. Une PME fictive de vingt-cinq salariés. Un seul réseau Wi-Fi, dont le mot de passe est affiché à l'accueil pour les visiteurs. Un copieur multifonction en location, installé par le fournisseur, qui envoie les numérisations par mail. Quatre caméras posées par l'électricien, avec un enregistreur que le gérant consulte depuis son téléphone.
Personne n'a commis de faute, et tout fonctionne. Mais un visiteur assis dans la salle d'attente est sur le même réseau que la comptabilité. Le copieur a encore son mot de passe d'administration d'usine. Et l'enregistreur des caméras est joignable depuis Internet, parce qu'on l'a « ouvert » pour l'application du téléphone.
| Appareil | Ce qu'on croit | Ce qui se passe souvent |
|---|---|---|
| Wi-Fi des visiteurs | « Il a un mot de passe, donc il est protégé » | Le visiteur voit les PC, le copieur et les dossiers partagés |
| Copieur multifonction | « C'est une photocopieuse » | C'est un ordinateur, avec un disque, une interface d'administration et un compte mail |
| Caméras et enregistreur | « C'est de la sécurité » | Mot de passe d'usine, jamais mis à jour, visible depuis Internet |
Pourquoi ces appareils sont des portes d'entrée
Une borne Wi-Fi, un copieur ou une caméra sont de petits ordinateurs. Ils ont un logiciel interne (le « micrologiciel », ou firmware) qui a des failles, comme tout logiciel. La différence avec vos PC : personne ne les met à jour, personne ne regarde qui s'y connecte, et ils restent allumés jour et nuit.
Le danger le plus connu est le mot de passe d'usine. Il est souvent le même pour tous les appareils d'un modèle et figure dans la notice. En 2016, le virus Mirai a pris le contrôle de routeurs, de caméras et d'enregistreurs vidéo en essayant une courte liste de 62 identifiants et mots de passe par défaut, selon l'agence américaine de cybersécurité (CISA). Les appareils piratés ont ensuite servi à une attaque de plus de 620 gigabits par seconde contre un site d'information.
Les imprimantes ne sont pas en reste. En 2023, la CISA et le FBI ont signalé l'exploitation d'une faille critique dans PaperCut, un logiciel de gestion d'impression, à partir de mi-avril 2023. Un groupe de rançongiciel (un logiciel qui chiffre vos fichiers et réclame une rançon) s'en est servi pour entrer dans des réseaux d'établissements d'enseignement.
Le dispositif national Cybermalveillance.gouv.fr rappelle les gestes de base pour tout objet connecté : changer le mot de passe par défaut dès la première utilisation, installer les mises à jour sans tarder, désactiver les partages inutiles, et isoler si possible ces objets sur un réseau séparé.
Le Wi-Fi des visiteurs : cloisonner, pas seulement mettre un mot de passe
Un mot de passe Wi-Fi empêche le voisin de se connecter. Il ne dit rien de ce que voit la personne une fois connectée. Si le Wi-Fi des visiteurs et celui des salariés forment un seul réseau, le fournisseur de passage, le stagiaire ou le client en salle d'attente sont « dans le bureau », informatiquement parlant.
La solution s'appelle un réseau invités cloisonné : un deuxième réseau Wi-Fi qui donne accès à Internet et à rien d'autre. Techniquement, on le place dans un compartiment séparé du réseau (un « VLAN »), et le pare-feu, le filtre entre les réseaux, bloque tout passage vers vos PC et vos appareils. C'est exactement ce que demande l'ANSSI, l'agence nationale de la sécurité des systèmes d'information, dans sa fiche « Les essentiels : sécurisation des réseaux Wi-Fi » d'août 2026 : un réseau invité « dédié et cloisonné des autres réseaux ».
Les réglages recommandés par l'ANSSI
- Un réseau par usage : un pour les postes de travail, un pour les objets connectés (caméras, automates) qui ne supportent pas les normes récentes, un pour les invités. Chacun dans son compartiment, avec un filtrage entre eux.
- Un chiffrement robuste : WPA3 de préférence, en évitant le mode mixte WPA3/WPA2 qui affaiblit la sécurité.
- Le WPS désactivé (ce bouton qui permet de se connecter sans mot de passe), ainsi que l'UPnP, une fonction qui laisse les appareils s'ouvrir eux-mêmes sur Internet, si vous ne l'utilisez pas.
- Les mots de passe par défaut changés, y compris celui d'administration de la borne, qui n'est pas le mot de passe Wi-Fi.
- Un nom de réseau modifié : ni le nom d'usine, ni un libellé qui révèle votre activité. Inutile en revanche de le masquer, précise l'ANSSI.
- Aucune borne Wi-Fi personnelle branchée sur le réseau de l'entreprise.
Le test qui ne trompe pas : connectez votre téléphone au Wi-Fi des visiteurs et essayez d'imprimer sur le copieur du bureau, ou d'ouvrir un dossier partagé. Si ça marche, le réseau invités n'est pas cloisonné.
Wi-Fi ouvert à vos clients : une obligation en plus
Si votre Wi-Fi est proposé au public (clients, patients, visiteurs), la CNIL rappelle deux choses. Vous devez le sécuriser en le séparant de votre réseau interne. Et vous devez conserver un an les données techniques de connexion (adresses IP, identifiants des appareils), jamais le contenu des échanges ni les sites consultés. Le Wi-Fi fourni à vos seuls salariés n'est pas concerné par cette conservation.
Le copieur multifonction : un ordinateur qu'on oublie
Un copieur moderne a une interface d'administration accessible depuis le réseau, souvent protégée par un mot de passe d'usine. Il utilise un compte mail pour envoyer les numérisations, et garde parfois le mot de passe de ce compte. Beaucoup ont aussi un disque dur interne, qui peut contenir des copies des documents numérisés et imprimés.
- Changer le mot de passe d'administration du copieur, et le ranger dans votre coffre de mots de passe, pas sur un post-it.
- Demander les mises à jour du micrologiciel au fournisseur, et les inscrire dans le contrat de maintenance.
- Désactiver les fonctions inutiles : impression depuis Internet, partage de dossiers, protocoles anciens.
- Prévoir l'effacement des données à la fin de la location. La CNIL demande de supprimer de façon sécurisée les données des matériels avant leur mise au rebut, leur envoi en réparation chez un tiers ou en fin de contrat de location.
Le piège : laisser le loueur repartir avec l'ancien copieur sans document qui atteste l'effacement. Bulletins de paie, contrats et courriers numérisés pendant des années peuvent partir avec lui.
Les caméras : une question de sécurité et de droit
Une caméra mal protégée peut filmer pour quelqu'un d'autre. Les gestes de base sont ceux de Cybermalveillance.gouv.fr : remplacer le mot de passe d'usine par un mot de passe long et complexe dès la première utilisation, installer les mises à jour de l'appareil et de son application, et vérifier les paramètres de sécurité.
Le point le plus souvent oublié est l'accès à distance. Pour voir les images sur le téléphone, l'installateur « ouvre » parfois l'enregistreur sur Internet. Il devient alors visible par n'importe qui, et attaquable jour et nuit. Préférez l'application officielle du fabricant, tenue à jour, ou une connexion sécurisée vers le bureau (un VPN, c'est-à-dire un tunnel chiffré), et demandez à votre informaticien de vérifier qu'aucun appareil n'est exposé directement. La CNIL exige d'ailleurs que l'accès aux images soit sécurisé, y compris à distance.
Ce que la CNIL demande
Pour la vidéosurveillance au travail, la CNIL fixe les règles suivantes.
| Règle | Ce qu'il faut faire | Précision |
|---|---|---|
| Formalité | Lieu ouvert au public (accueil, boutique) : autorisation du préfet du département | Lieu fermé au public : pas de formalité CNIL, mais inscription au registre des traitements |
| Information | Panneaux visibles avec pictogramme : finalité, durée de conservation, contact, droits | S'il existe un CSE, les représentants du personnel sont informés et consultés avant l'installation ; dans tous les cas, chaque salarié est informé |
| Limites | Ne pas filmer les salariés à leur poste en continu, ni les zones de pause, les toilettes ou les locaux syndicaux | Sauf circonstances particulières |
| Conservation | En principe un mois maximum | Quelques jours suffisent souvent |
| Accès aux images | Réservé aux personnes habilitées | Accès à distance sécurisé (mot de passe robuste, connexion chiffrée) |
Faire l'inventaire : tout ce qui est branché chez vous
On ne protège pas ce qu'on ne connaît pas. La première étape est une liste simple, tenue à jour, que vous ou votre informaticien remplissez en une heure.
| Appareil | Emplacement | Installé par | Mot de passe d'usine changé ? | Dernière mise à jour | Réseau |
|---|---|---|---|---|---|
| Borne Wi-Fi | Couloir | Fournisseur d'accès | Oui | Mars | Salariés et invités mélangés |
| Copieur multifonction | Accueil | Société de location | Non | Inconnue | Salariés |
| Enregistreur des caméras | Local technique | Électricien | Non | Jamais | Salariés, ouvert sur Internet |
Ce tableau est un exemple : chaque case « Non », « Inconnue », « Jamais » ou « mélangés » est une tâche. Pensez aussi aux appareils qu'on ne voit plus : écran de la salle de réunion, thermostat connecté, badgeuse, alarme, visiophone.
Ce qui change à l'achat avec le Cyber Resilience Act
Le règlement européen sur la cyberrésilience (Cyber Resilience Act) impose aux fabricants que leurs produits connectés soient conçus, mis à jour et maintenus de façon sûre. Selon la Commission européenne, il est en vigueur depuis le 10 décembre 2024. Les obligations de signalement s'appliquent depuis le 11 septembre 2026, et les obligations principales s'appliqueront à partir du 11 décembre 2027.
D'ici là, une question simple à poser avant chaque achat : pendant combien d'années le fabricant fournira-t-il des mises à jour de sécurité ? Cybermalveillance.gouv.fr conseille justement de se renseigner sur l'objet connecté et ses failles connues avant de l'acheter.
À faire lundi matin
- Lister tous les appareils branchés au réseau, avec le tableau ci-dessus.
- Changer chaque mot de passe d'usine encore en place : borne Wi-Fi, pare-feu, copieur, enregistreur des caméras.
- Créer ou vérifier le réseau invités cloisonné, puis faire le test du téléphone qui essaie d'imprimer.
- Désactiver le WPS sur les bornes, et l'UPnP s'il ne sert à rien.
- Vérifier qu'aucun appareil n'est ouvert directement sur Internet, en commençant par l'enregistreur des caméras.
- Vérifier l'affichage, le registre et, pour un lieu ouvert au public, l'autorisation préfectorale de vos caméras.
- Relire le contrat du copieur : mises à jour comprises, effacement des données en fin de location.
Aucun de ces gestes ne demande d'acheter du matériel. Ils demandent surtout de savoir ce qui est branché, et de décider qui s'en occupe.
Faire l'inventaire de vos appareils→
Questions fréquentes
Un mot de passe sur le Wi-Fi des visiteurs ne suffit-il pas ?
Non. Le mot de passe empêche les inconnus de se connecter, mais une fois connecté, un visiteur voit tout ce qui est sur le même réseau : PC, copieur, dossiers partagés. L'ANSSI demande un réseau invité dédié et cloisonné des autres réseaux, qui donne accès à Internet et à rien d'autre.
Comment savoir si mon réseau invités est vraiment cloisonné ?
Connectez un téléphone au Wi-Fi des visiteurs et essayez d'imprimer sur le copieur du bureau ou d'ouvrir un dossier partagé. Si l'un ou l'autre fonctionne, le réseau n'est pas cloisonné et le pare-feu doit être réglé pour bloquer ces passages.
Proposer le Wi-Fi à mes clients m'oblige-t-il à garder des données ?
Oui, selon la CNIL : un organisme qui offre un accès Internet au public conserve un an les données techniques de connexion (adresses IP, identifiants des appareils), jamais le contenu des échanges ni les sites consultés. Il doit aussi séparer ce Wi-Fi de son réseau interne. Le Wi-Fi réservé aux salariés n'est pas concerné par cette conservation.
Que faut-il faire avant d'installer des caméras dans l'entreprise ?
Définir la finalité, informer les salariés et, s'il existe, consulter le CSE, poser des panneaux d'information et inscrire le dispositif au registre des traitements. Si les caméras filment un lieu ouvert au public, il faut une autorisation du préfet. Les images se conservent en principe un mois au maximum.
Que faire du disque dur du copieur à la fin de la location ?
Exiger l'effacement sécurisé des données, avec une attestation. La CNIL demande de supprimer de façon sécurisée les données des matériels en fin de contrat de location, avant une réparation chez un tiers ou une mise au rebut.