Sécuriser ses objets connectés domestiques : 7 réflexes à adopter

Une lampe connectée à 12 €. C'est le prix que j'ai payé pour la première pièce de ce que certains appellent une maison intelligente. Six mois plus tard, en fouillant les logs de mon routeur par curiosité, j'ai découvert que cette lampe communiquait avec un serveur en Chine toutes les 90 secondes. Pas pour allumer la lumière. Juste pour dire « je suis là ».

Voilà le vrai sujet de la sécurité des objets connectés : ce n'est pas le cambriolage high-tech dont on vous parle dans les JT. C'est le bruit de fond permanent, cette conversation discrète entre vos appareils et le reste du monde, que personne ne vous a jamais expliquée. Et une fois qu'on a compris ça, sécuriser ses objets connectés domestiques devient beaucoup plus concret.

Je ne suis pas expert en cybersécurité. Je suis quelqu'un qui a bricolé sa domotique, qui a fait des erreurs, et qui a fini par comprendre que la plupart des conseils qu'on lit en ligne sont soit trop vagues, soit pensés pour des ingénieurs réseau. Cet article, c'est ce que j'aurais aimé lire au début.

Quels sont les risques réels des objets connectés ?

La question revient à chaque dîner de famille. Et la réponse honnête, c'est qu'il y a trois niveaux de risque, qu'on mélange systématiquement.

Le piratage direct : ce qu'on imagine tous

Un inconnu prend le contrôle de votre caméra, de votre serrure ou de votre thermostat. C'est spectaculaire, ça fait la une, et statistiquement, ça reste rare. Mais « rare » ne veut pas dire « impossible ».

Ce qui rend ce scénario crédible, ce n'est pas la puissance des attaquants — c'est la paresse des fabricants. Un objet vendu 15 € n'a souvent ni mises à jour, ni journal de sécurité publié, ni procédure de signalement de faille. J'ai un thermostat dont le dernier firmware date de… je ne sais même pas. L'application ne l'indique pas. C'est déjà un signal.

L'exploitation commerciale des données : le risque invisible

Votre montre connectée connaît votre rythme cardiaque au repos. Votre assistant vocal sait à quelle heure vous vous couchez. Votre balance sait ce que vous avez mangé la veille au soir. Ces données, agrégées, valent de l'argent — pas auprès d'un hacker, mais auprès de courtiers en données dont vous n'avez jamais entendu parler.

Ce n'est pas un vol, c'est un consentement que vous avez signé en cochant une case sans la lire. Franchement, c'est le risque le plus répandu, et personne n'en parle parce qu'il ne fait pas de bruit.

La multiplication des points d'entrée : le risque le plus sous-estimé

Chaque appareil connecté est une porte sur votre réseau. Un objet compromis peut devenir un cheval de Troie : l'attaquant entre par la lampe, puis explore votre ordinateur, vos fichiers, votre boîte mail. C'est ce qu'on appelle le mouvement latéral, et c'est là que le vrai danger se joue.

Une maison avec 8 objets connectés, c'est 8 portes. Une maison avec 25, c'est 25. Le problème n'est pas la porte la plus solide, c'est la plus faible — et il y en a forcément une.

Quels sont les inconvénients des objets connectés ?

Au-delà de la sécurité, il y a une réalité que les vendeurs oublient de mentionner : la domotique est chronophage. Pas à l'installation. À l'usage.

• La maintenance perpétuelle. Un appareil non mis à jour devient une passoire. Il faut donc vérifier régulièrement, pour chaque marque, sur chaque application.
• Le cimetière des applications. J'ai compté : 9 applications mobiles pour piloter 11 appareils. Aucune ne communique avec les autres.
• Les incompatibilités. Matter et Thread devaient tout résoudre. En pratique, le support est inégal et le « ça marche » dépend souvent de la chance.
• La dépendance au cloud de l'éditeur, qui peut fermer son service du jour au lendemain et transformer votre matériel en brique.
• Le coût caché : compte premium, abonnement caméra, stockage cloud. Une caméra « à 30 € » peut finir à 8 €/mois.

Avouons-le : quand tout fonctionne, c'est magique. Mais « quand tout fonctionne » est une condition qui tient sur un fil.

Quels sont les inconvénients d'une maison connectée ?

Une maison connectée, c'est un système. Et un système, ça se fragilise par ses dépendances.

La surface d'attaque augmente en même temps que le confort

Plus vous automatisez, plus vous créez de scénarios, de règles et d'appareils qui communiquent entre eux. Chaque règle est un chemin supplémentaire. Chaque appareil est un maillon. J'ai passé une soirée entière à comprendre pourquoi mon éclairage s'allumait à 3 h du matin : une scène mal configurée déclenchait une autre scène, qui déclenchait une troisième. Trois objets, une cascade.

La perte de contrôle quand le réseau tombe

Sans internet, votre assistant vocal ne répond plus. Votre caméra n'enregistre plus. Votre serrure connectée, elle, a normalement un mode manuel — mais combien de personnes savent où se trouve la clé de secours, ou même qu'elle existe ?

C'est le point que je trouve le plus gênant. On accepte de dépendre d'une infrastructure qu'on ne maîtrise pas, pour des gestes qu'on faisait très bien à la main il y a dix ans.

Comment sécuriser mon usage numérique, concrètement ?

Voici la procédure que j'applique maintenant, dans l'ordre. Elle prend une soirée la première fois, dix minutes par nouveau appareil ensuite.

La checklist, étape par étape

1. Changer le mot de passe par défaut avant même la première utilisation. Pas après. Avant. Un mot de passe unique par appareil, jamais réutilisé.
2. Activer la double authentification (2FA) partout où l'application le propose. Si elle ne le propose pas, c'est un mauvais signe.
3. Créer un réseau Wi-Fi invité dédié aux objets connectés. Vos ordinateurs et téléphones restent sur le réseau principal. Une lampe piratée ne peut plus voir votre ordinateur.
4. Vérifier le chiffrement Wi-Fi. WPA3 si votre box le permet, WPA2 au minimum. Et surtout, jamais de réseau ouvert, même « temporairement ».
5. Désactiver l'UPnP sur la box. C'est une fonction qui ouvre des ports automatiquement — pratique, et risquée.
6. Mettre à jour le firmware dès qu'une notification arrive. Programmez un rappel mensuel si le fabricant n'en envoie pas.
7. Désactiver les fonctions inutilisées : micro d'un assistant, caméra d'une télé, partage de données « pour améliorer le service ».

Franchement, ces sept points éliminent la grande majorité des scénarios d'attaque réels. Pas tous, mais la majorité.

Ce qui change selon le type d'appareil

Tout le monde répète « sécurisez vos objets » sans jamais distinguer les cas. Voici les différences qui comptent.

Type d'appareil	Vecteur principal	Réglage critique
Caméra IP	Mot de passe faible, flux non chiffré	Désactiver l'accès distant si inutile, activer le chiffrement du flux
Serrure connectée	Partage de codes, cloud compromis	Codes temporaires, alerte d'ouverture, clé physique gardée accessible
Assistant vocal	Micro toujours actif, historique stocké	Bouton mute matériel, purge régulière de l'historique
Thermostat / ampoule	Firmware obsolète, cloud tiers	Vérifier la politique de mise à jour avant achat
Montre / bracelet	Données de santé revendues	Réglages de partage par défaut à revoir ligne par ligne

Ce tableau, je l'ai construit après avoir acheté une caméra sans vérifier qu'elle proposait la 2FA. Elle ne la proposait pas. Elle est repartie au bout de deux jours.

Ce qu'il faut vérifier avant d'acheter

La meilleure façon de sécuriser un objet connecté, c'est de ne pas acheter le mauvais. Mais comment savoir ?

Il existe un label européen, Cyber Secure, adossé à la norme ETSI EN 303 645, qui impose un certain nombre de pratiques minimales : pas de mot de passe universel, procédure de signalement de faille, engagement de mise à jour. Tous les fabricants ne le suivent pas. Mais sa présence est un bon indicateur.

Ce que je regarde maintenant, systématiquement :

• La durée de support firmware annoncée. Si la fiche produit ne la mentionne pas, la réponse est probablement « aucune ».
• L'existence d'une page de sécurité chez le fabricant. C'est un signal faible mais révélateur.
• La compatibilité avec les standards ouverts (Matter, Thread, Zigbee) : un appareil local peut souvent fonctionner sans cloud, donc sans dépendance à un serveur distant.
• La politique de confidentialité, en survolant la section « partage avec des tiers ».

Un appareil vendu deux fois moins cher qui tombe en panne de support au bout d'un an coûte plus cher qu'un appareil durable. J'ai appris ça à mes dépens avec trois ampoules d'une marque disparue.

Ce que la sécurité ne résoudra pas

Même parfaitement configurés, vos objets connectés resteront des objets connectés. Ils enverront des données. Ils dépendront d'un serveur quelque part. Ils auront une faille, un jour.

La vraie question n'est donc pas « comment tout sécuriser », mais « qu'est-ce que j'accepte de connecter, et pourquoi ». Un capteur de température extérieure, franchement, le risque est nul. Une serrure d'entrée, la question mérite d'être posée sérieusement — parce qu'une serrure connectée mal configurée est plus dangereuse qu'une serrure à clé, pas moins : elle donne l'illusion d'être protégée.

Le confort a un prix. Ce prix n'est pas en euros. Il est en attention, en maintenance, en complexité. Tant qu'on le sait, on peut décider. Ce qui est dangereux, c'est de l'ignorer.

Cette lampe à 12 €, je l'ai gardée. Mais elle est sur le réseau invité, avec un mot de passe unique, et je vérifie son firmware une fois par mois. C'est le compromis que j'ai accepté.