Sécuriser votre réseau

A. Vérifier que le pare-feu est activé

1. Ouvrez « Sécurité Windows » : cliquez sur le menu Démarrer, tapez « Sécurité Windows » et ouvrez l'application.

   Démarrer›Sécurité Windows

   Microsoft : « recherchez-la dans le menu Démarrer ». Sous Windows 10 : « Démarrer > Paramètres > Mise à jour et sécurité > Sécurité Windows ».

2. Sur la page d'accueil, regardez la rubrique « Pare-feu et protection réseau » : elle doit être verte. Microsoft : « Le vert signifie que nous ne recommandons pas d'action de votre part pour le moment. » Cliquez dessus.

   Sécurité Windows›Pare-feu et protection réseau

   Le libellé et le code couleur viennent de la page de Microsoft aux libellés français propres, « Rester protégé avec Sécurité Windows » (« Pare-feu et protection réseau », décrite ainsi : « Gérez les paramètres de pare-feu et surveillez les événements liés à vos réseaux et à vos connexions Internet. ») ; les pages de 2026, traduites automatiquement, écrivent « Pare-feu & protection réseau », calque de l'anglais « Firewall & network protection ». Nous n'avons pas pu voir la forme exacte sur un écran en français.

3. La page liste trois profils de réseau, avec pour chacun l'état du pare-feu : le réseau avec domaine (réservé aux entreprises qui ont un serveur de domaine), le réseau privé et le réseau public. Sous chacun, lisez l'état du pare-feu ; le profil du réseau en cours est signalé comme actif.

   Microsoft : « Sélectionnez un profil réseau : Réseau de domaine, réseau privé ou réseau public. » (page traduite automatiquement ; l'écran peut écrire « Réseau avec domaine »). Le marquage du profil actif et les phrases d'état exactes n'ont pas pu être confirmés sur un écran en français.

4. Si un profil indique que le pare-feu est désactivé, cliquez sur ce profil, puis, sous « Pare-feu Microsoft Defender », mettez l'interrupteur sur « Activé ». Faites-le pour chacun des trois profils.

   Pare-feu et protection réseau›profil›Pare-feu Microsoft Defender›Activé

   Microsoft : « Sous Pare-feu Microsoft Defender, mettez le paramètre sur Activé pour activer le Pare-feu Windows. » et « La désactivation du Pare-feu Windows peut rendre votre appareil plus vulnérable aux accès non autorisés. » Si l'interrupteur est grisé, l'ordinateur est géré par une organisation ou un prestataire : partie C.

5. Laissez décochée, sur chaque profil, la case « Bloquer toutes les connexions entrantes, y compris celles de la liste des applications autorisées », sauf sur un réseau que vous ne connaissez pas (partie B) : Microsoft écrit que l'activer « increases your security but might cause some apps to stop working ».

6. Revenez à la page « Pare-feu et protection réseau » et regardez les liens du bas : « Autoriser une application via le pare-feu » (la liste de ce que vous avez laissé passer), « Paramètres avancés » et « Restaurer les pare-feu par défaut ». Ne touchez pas aux « Paramètres avancés », qui ouvrent le « Pare-feu Windows Defender classique » et ses règles : Microsoft déconseille d'y modifier ce que l'on ne maîtrise pas.

   Pare-feu et protection réseau›Autoriser une application via le pare-feu

   Les pages de Microsoft, traduites automatiquement, écrivent « Autoriser une application à travers le pare-feu » et « Restaurer les paramètres par défaut des pare-feu » (en anglais « Allow an app through firewall » et « Restore firewalls to default ») ; les libellés exacts à l'écran n'ont pas pu être confirmés.

7. Si vous ne reconnaissez pas une application autorisée, ou si quelqu'un a modifié des règles que vous ne comprenez pas, cliquez sur « Restaurer les pare-feu par défaut » et confirmez : le pare-feu revient à sa configuration d'origine.

   Pare-feu et protection réseau›Restaurer les pare-feu par défaut

   Microsoft : ce lien sert « si quelqu'un ou quelque chose a apporté des modifications aux paramètres de votre Pare-feu Windows ». Le bouton de confirmation n'est pas décrit par Microsoft. Un logiciel que vous aviez autorisé devra peut-être l'être de nouveau.

8. Refaites les étapes 1 à 4 sur chaque ordinateur, les portables de télétravail compris. Ce que vous constatez (rubrique verte, pare-feu activé sur chaque profil) est la réponse à la question du diagnostic sur le pare-feu de Windows ou de macOS.

B. Réseau public ou réseau privé : le profil du réseau

Windows applique un réglage de pare-feu différent selon qu'il considère le réseau comme privé ou public. Microsoft Learn : « Le profil de réseau public est conçu avec une plus grande sécurité à l'esprit pour les réseaux publics, comme les points d'accès Wi-Fi, les cafés, les aéroports, les hôtels, etc. Il s'agit du profil par défaut pour les réseaux non identifiés. » ; « Le profil de réseau privé est conçu pour les réseaux privés tels qu'un réseau domestique. » Sur un réseau public, l'ordinateur est invisible pour les autres appareils ; sur un réseau privé, il accepte le partage de fichiers et d'imprimantes.

1. Ouvrez « Paramètres » › « Réseau et Internet », puis « Wi-Fi » et le nom du réseau auquel vous êtes connecté, ou « Ethernet » si l'ordinateur est branché par câble.

   Paramètres›Réseau et Internet›Wi-Fi›votre réseau

   Microsoft : « Pour Wi-Fi connexion, sélectionnez Wi-Fi, puis sélectionnez le réseau Wi-Fi auquel vous êtes connecté. » ; « Pour une connexion Ethernet, sélectionnez Ethernet. » (page traduite automatiquement ; le libellé « Réseau et Internet » n'y figure pas tel quel).

2. Sous « Type de profil réseau », choisissez « Réseau public (recommandé) », sauf si vous partagez des fichiers ou une imprimante entre les ordinateurs de l'entreprise sur ce réseau : alors « Réseau privé », et seulement sur le réseau de l'entreprise.

   votre réseau›Type de profil réseau›Réseau public (recommandé)

   Microsoft : « When you first connect to a network in Windows 11, it's set as public by default. » ; réseau public : « Use this for networks you connect to at home, work, or in a public place. » ; réseau privé : « You should know and trust the people and devices on the network. » Un réseau de café, d'hôtel, de gare ou de client reste toujours public.

3. Sur un ordinateur portable qui se connecte souvent à des réseaux que vous ne connaissez pas, vous pouvez, en plus, cocher sur le profil « Réseau public » du pare-feu la case qui bloque toutes les connexions entrantes (partie A, étape 5) : rien ne doit entrer sur un réseau inconnu.

C. Un antivirus payant avec pare-feu, et le poste géré par un prestataire

1. Si vous avez installé un antivirus payant qui comprend son propre pare-feu, c'est lui qui filtre, et il peut mettre une partie du pare-feu de Windows en retrait. Microsoft Learn : « Non-Microsoft firewall software can programmatically disable only the rule types of Windows Firewall that need to be disabled for compatibility. » et « You shouldn't disable the firewall yourself for this purpose. » Ne désactivez donc jamais le pare-feu de Windows à la main : laissez l'antivirus faire, et vérifiez dans sa fenêtre que son pare-feu est activé.

   Ce que « Sécurité Windows » affiche alors n'est pas documenté par Microsoft. Un seul pare-feu doit filtrer, comme un seul antivirus doit protéger (guide Antivirus) ; à l'expiration de l'abonnement, désinstallez l'antivirus et refaites la partie A pour vérifier que le pare-feu de Windows est de nouveau activé sur chaque profil.

2. Si un prestataire gère vos ordinateurs, ou s'ils sont gérés par un service d'entreprise (Microsoft 365, par exemple), les interrupteurs du pare-feu peuvent être grisés : Microsoft écrit que « les paramètres de stratégie peuvent vous empêcher de modifier la configuration du pare-feu Windows. » Faites tout de même la partie A en lecture (rubrique verte, pare-feu activé sur chaque profil) : c'est votre vérification. Demandez-lui le reste : que le pare-feu est activé sur chaque poste, et quelles exceptions il a ajoutées.

3. Windows Famille ou Pro, Windows 10 ou 11 : Microsoft écrit que le pare-feu est « activé par défaut sur toutes les éditions de Windows ». CyFun ne demande aucune édition particulière.

   Le tableau des éditions de Microsoft Learn ne cite que Pro, Entreprise et Éducation ; nous n'avons pas pu vérifier que les écrans sont identiques sous Windows Famille.

A. Activer le coupe-feu

1. Ouvrez le menu Pomme › « Réglages Système », cliquez sur « Réseau », puis sur « Coupe-feu » (il faut parfois faire défiler la page vers le bas).

   Réglages Système›Réseau›Coupe-feu

   Apple : « Vous devrez peut-être faire défiler la page vers le bas ».

2. Activez l'interrupteur « Coupe-feu ». Apple décrit le réglage ainsi : « Empêchez les connexions indésirables en provenance d'Internet ou d'autres réseaux. »

   Coupe-feu›activé

   Apple : « Activez le coupe-feu. » Si le réglage demande le mot de passe d'un administrateur, c'est celui du compte d'administration du Mac (guide Compte standard).

3. Cliquez sur « Options » pour voir les réglages fins (Apple : « Si le bouton Options est désactivé, activez d'abord le coupe-feu. »). Laissez « Bloquer toutes les connexions entrantes » décoché : Apple décrit ce réglage ainsi, « Empêchez les connexions entrantes vers les apps et services non essentiels. », ce qui coupe aussi le partage de fichiers et d'écran dont vous pourriez avoir besoin.

   Coupe-feu›Options

   Le bouton s'écrit « Options » dans le guide d'utilisation du Mac.

4. Laissez cochées « Autoriser automatiquement les logiciels intégrés à recevoir des connexions entrantes » et « Autoriser automatiquement les logiciels signés téléchargés à recevoir des connexions entrantes » : les apps d'Apple et les apps signées par un éditeur connu passent sans rien demander.

5. Cochez « Activer le mode furtif », puis cliquez sur OK. Apple : « Empêchez votre Mac de répondre aux requêtes de recherche pouvant être utilisées pour révéler son existence. » Le Mac devient invisible aux balayages du réseau, sans rien perdre.

   Options›Activer le mode furtif›OK

6. Si une app que vous utilisez cesse de recevoir des connexions (un logiciel de caisse, un partage de fichiers), revenez dans « Options », cliquez sur « Ajouter » sous la liste, choisissez l'app, et vérifiez qu'elle est réglée pour recevoir les connexions entrantes ; ne désactivez pas le coupe-feu pour cela.

   Options›Ajouter

   Apple décrit un réglage par flèches pour autoriser ou bloquer chaque app de la liste ; le libellé exact n'a pas pu être vérifié. Apple : « Ajoutez une app ou un service pour autoriser les connexions entrantes. » et « Blocking an app's access through the firewall could interfere with or affect the performance of the app. » (page en anglais).

7. Refaites les étapes 1 à 5 sur chaque Mac, les portables compris. Un coupe-feu activé sur chaque Mac est la réponse à la question du diagnostic sur le pare-feu de Windows ou de macOS.

B. Lire le type de sécurité du Wi-Fi depuis le Mac

1. Maintenez la touche Option enfoncée et cliquez sur l'icône Wi-Fi dans la barre des menus : le Mac affiche les détails du réseau en cours, dont le standard de sécurité. Il doit contenir « WPA2 » ou « WPA3 » ; sinon, la section « La box et le routeur » dit quoi régler.

   Option + clic sur le menu Wi-Fi

   Apple : en maintenant la touche Option, le menu montre « le standard de sécurité et le protocole 802.11 ». Le texte exact de la ligne n'a pas pu être vérifié.

2. Si le Mac affiche un avertissement de sécurité sous le nom d'un réseau Wi-Fi, ce réseau utilise un chiffrement dépassé (WEP, TKIP) : Apple écrit, dans sa page sur les routeurs, qu'une telle connexion « peut exposer les informations de votre appareil ». Pour votre propre réseau, réglez la box ; pour un réseau étranger, n'y travaillez pas (section Le télétravail et les déplacements).

   Un avertissement de confidentialité signale autre chose : un réseau au nom masqué. Apple : « When connected to a hidden network, your device might show a privacy warning because of this privacy risk. » (page en anglais).

A. Ouvrir l'interface et changer le mot de passe d'administration

Le mot de passe d'administration ouvre les réglages de la box ou du routeur : celui qui le connaît peut ouvrir des portes vers internet, lire le mot de passe du Wi-Fi, rediriger votre trafic. Celui d'origine est souvent imprimé sur l'étiquette, ou identique pour tous les appareils du modèle ; le NCSC (Irlande) : « Almost all routers will come with generic administrator credentials to ease the initial setup. » Le livret demande qu'il soit « modifié lors de l'installation et régulièrement par la suite ».

1. Depuis un ordinateur connecté à la box ou au routeur (par câble de préférence), ouvrez un navigateur et tapez l'adresse de l'interface : celle de l'étiquette sous l'appareil, ou, pour un routeur acheté, tplinkwifi.net pour TP-Link, routerlogin.net pour Netgear, asusrouter.com pour Asus, ou l'adresse en chiffres, souvent 192.168.0.1 ou 192.168.1.1. Pour une box d'opérateur, voyez l'annexe : chez certains, les réglages sont dans l'espace client ou l'application, pas dans une interface locale.

   Navigateur›adresse de l'étiquette (tplinkwifi.net, routerlogin.net, asusrouter.com, 192.168.0.1, 192.168.1.1)

   TP-Link : « http://tplinkwifi.net » ; les adresses de Netgear et d'Asus ont été relevées sur leurs pages pour le guide Mises à jour.

2. Connectez-vous avec le mot de passe d'administration actuel : celui que vous avez choisi, ou celui de l'étiquette s'il n'a jamais été changé. Les routeurs récents demandent de créer ce mot de passe à la première connexion ; TP-Link : « Lors du premier accès au système, définissez un mot de passe administrateur sécurisé. » ; Asus : « vous devez d'abord définir le compte et le mot de passe de connexion du routeur. »

   Mots de passe d'origine documentés par les fabricants : TP-Link, « Sur certains modèles, le nom d'utilisateur et le mot de passe par défaut sont admin/admin. » ; Netgear, « Le nom d'utilisateur par défaut est admin, le mot de passe est password. » ; Asus, « Le nom d'utilisateur et le mot de passe par défaut sont [admin]. » Si personne n'a le mot de passe, l'aide du fabricant ou de l'opérateur explique comment réinitialiser l'appareil, ce qui efface tous ses réglages, Wi-Fi compris : prévoyez de tout reconfigurer.

3. Changez le mot de passe d'administration pour une phrase de passe longue, différente du mot de passe du Wi-Fi, et notez-la dans votre gestionnaire de mots de passe. TP-Link : « Avancé » › « Système » › « Administration » (modem-routeur : « Avancé » › « Outils système » › « Administration ») ; Netgear : « AVANCÉ » › « Administration » › « Définir le mot de passe » ; Asus : « Administration » › onglet « Système », bouton « Changer » à côté du mot de passe.

   TP-Link : Avancé›Système›Administration ; Netgear : AVANCÉ›Administration›Définir le mot de passe ; Asus : Administration›Système

   Asus : « Définissez des mots de passe séparés pour votre réseau sans fil et le Web GUI » et « choisissez des mots de passe de plus de 10 caractères ». Dans les applications : TP-Link Tether, « Plus » › « Système » › « Gérer le mot de passe » ; ASUS Router, « Paramètres » › « Paramètres du système » › « Configuration de la connexion au routeur ». Netgear écrit « Set Password (AVANCE > Administration > Nouveau mot de passe) » sur une page et « Définir le mot de passe » sur une autre, tantôt « AVANCE », tantôt « AVANCÉ » : c'est le même menu et le même écran. Pour une box d'opérateur, voyez l'annexe.

4. C'est la réponse au conseil du diagnostic sur le mot de passe d'administration de la box : il est changé, et rangé. Mettez un rappel dans votre agenda pour le changer de nouveau de temps en temps, et à chaque départ d'une personne qui le connaissait.

B. Régler le Wi-Fi en WPA2 ou WPA3, avec un mot de passe long

1. Dans l'interface, ouvrez les réglages du Wi-Fi : TP-Link, « Avancé » › « Sans fil » › « Paramètres sans fil » ; Netgear, « Wifi » (« Wireless » sur les pages en anglais) ; Asus, « Sans fil » › « Général » (ou « Réseau » › « Profil du réseau principal » sur les microprogrammes récents). Pour une box d'opérateur, voyez l'annexe.

   TP-Link : Avancé›Sans fil›Paramètres sans fil ; Netgear : Wifi ; Asus : Sans fil›Général

   Netgear : « Sélectionnez Wifi. » et, en anglais, « Select Wireless. » ; Asus : « [Sans Fil] > [Général] » ou « [Réseau] > [Profil du réseau principal] ».

2. Lisez le réglage de sécurité (TP-Link : « Option de sécurité », Netgear : « Options de sécurité », Asus : « Méthode d'autorisation ») et choisissez WPA3 Personnel si tous vos appareils l'acceptent, sinon le mode mixte WPA2/WPA3, sinon WPA2 avec AES. Jamais WEP, WPA seul, TKIP ou « ouvert ».

   Option de sécurité›WPA3-Personal ou WPA2/WPA3 (WPA2-PSK [AES] à défaut)

   Libellés des fabricants : TP-Link, « Nous vous recommandons de choisir WPA2-PSK[AES] ou WPA3-Personal+WPA2-PSK[AES] . » ; Netgear, « sélectionnez WPA3-Personal » et « We recommend using WPA2 or WPA3 when they are available. », « WEP security is easily decoded. » ; Asus, options « WPA3-Personnel » et « WPA2/WPA3-Personnel », « Définissez le chiffrement de votre réseau sans fil sur WPA2-AES ». L'ANSSI préfère WPA3 seul et écrit « éviter le mode mixte WPA3/WPA2 ou les configurations de transition. » ; Apple accepte le mode transitionnel « for compatibility with older devices » (page en anglais) : prenez WPA3 seul si rien ne se déconnecte, le mode mixte sinon. Asus prévient : « WPA3 ne prend pas en charge Wi-Fi Protected Setup (WPS). », ce qui tombe bien.

3. Si le réglage était sur WEP, WPA ou un réseau ouvert, changez aussi le mot de passe du Wi-Fi (TP-Link : « Mot de passe WiFi », Netgear : « Passphrase » ou mot de passe du réseau, Asus : « Clé WPA-PSK ») : choisissez une phrase de passe longue, d'au moins six mots, que vous rangez dans le gestionnaire de mots de passe. Netgear et Asus acceptent de 8 à 63 caractères (TP-Link n'indique pas de règle) ; l'ANSSI conseille « un mot de passe long (une vingtaine de caractères par exemple) et complexe ». Enregistrez : tous les appareils devront se reconnecter.

   Apple : « Quel que soit le réglage choisi, définissez toujours un mot de passe robuste pour la connexion au réseau. » Le livret : « Ne communiquez à personne vos mots de passe WIFI. » : les visiteurs auront le réseau invité (partie C).

4. Profitez-en pour donner au réseau un nom qui ne dit ni la marque de la box ni le nom de l'entreprise, et laissez-le visible : Apple : « N'utilisez pas de noms communs ni de noms par défaut comme linksys, netgear, dlink, wireless ou 2wire. » et, pour le réseau masqué, « Définir sur Désactivé. » ; l'ANSSI : « Ne pas cacher le SSID lors de la configuration des réseaux Wi-Fi. » et « Modifier le SSID proposé par défaut. »

   Apple : « Le fait de masquer le nom du réseau ne masque pas la détection du réseau et ne le protège pas contre tout accès non autorisé. » De même, le filtrage par adresse MAC ne protège pas : « Les adresses MAC peuvent facilement être copiées, usurpées ou modifiées. »

5. Vérifiez le résultat depuis un ordinateur connecté au Wi-Fi : sur Windows 11, « Paramètres » › « Réseau et Internet » › « Wi-Fi » › propriétés du réseau connecté, où le type de sécurité est indiqué ; sur Mac, Option + clic sur le menu Wi-Fi (section Mac, partie B). Il doit contenir « WPA2 » ou « WPA3 » : c'est la réponse à la question du diagnostic sur la protection du Wi-Fi.

   Paramètres›Réseau et Internet›Wi-Fi›propriétés du réseau

   Microsoft ne documente pas cette ligne des propriétés du réseau : son nom (« Type de sécurité ») et ses valeurs (par exemple « WPA2-Personnel », « WPA3-Personnel ») n'ont pu être vérifiés ni sur une page Microsoft ni sur un écran ; sa page sur les réseaux non sécurisés dit que Windows avertit quand un réseau utilise « des normes de sécurité obsolètes telles que WEP ou TKIP ». Si vous ne trouvez pas la ligne, le réglage de la box fait foi.

C. Donner un réseau invité aux visiteurs

Le livret : « Si nécessaire, séparez le réseau WIFI de vos invités/visiteurs de votre réseau professionnel. » Un réseau invité est un second Wi-Fi, avec son propre mot de passe, dont les appareils ne voient pas les vôtres : un client, un fournisseur ou un téléphone personnel s'y connecte sans toucher à vos ordinateurs, à l'imprimante ou au NAS. Le NCSC (Irlande) : « The guest network feature on some routers is designed for this purpose. »

1. Ouvrez les réglages du réseau invité : TP-Link, « Avancé » › « Réseau invité » ; Netgear, « Réseau invité » ; Asus, « Réseau invité ». Pour une box d'opérateur, voyez l'annexe : toutes n'en proposent pas.

   TP-Link : Avancé›Réseau invité ; Netgear : Réseau invité ; Asus : Réseau invité

   TP-Link : « Accédez à Avancé > Réseau invité » ; Netgear : « Sélectionnez Réseau invité. » ; Asus : « Cliquez sur Réseau invité ».

2. Activez-le, donnez-lui un nom différent du Wi-Fi principal, réglez sa sécurité sur WPA2 ou WPA3 et un mot de passe propre, que vous pourrez donner sans gêne : il ne sert qu'à internet.

   Réseau invité›Activer le réseau invité›nom›sécurité WPA2 ou WPA3›mot de passe

   TP-Link : case « Activer le réseau invité » ; Asus : « Il est recommandé de choisir WPA2-Personal pour une sécurité plus élevée. » Apple conseille une durée de bail courte pour les invités ; peu importe ici.

3. Vérifiez que les invités sont bien isolés de votre réseau : chez TP-Link, laissez décochées « Permettre aux invités de se voir » et « Autoriser les invités à accéder à mon réseau local » ; chez Asus, laissez « Accéder à l'intranet » sur « Désactivé » (« La valeur par défaut est [Désactivé] ») ; chez Netgear, la séparation est la règle : « votre routeur assure la séparation du réseau entre votre réseau invité et votre réseau sans fil principal. »

   L'ANSSI : « Dans le cas d'un réseau Wi-Fi invité, celui-ci est dédié et cloisonné des autres réseaux. » Le livret Basic : « Guest networks should be isolated from internal systems ». Les libellés TP-Link viennent de la page des modem-routeurs câble ; sur un routeur Wi-Fi, les cases peuvent s'appeler autrement.

4. Donnez désormais ce réseau à tout visiteur, et gardez le mot de passe du Wi-Fi principal pour les appareils de l'entreprise : c'est la réponse au conseil du diagnostic sur le Wi-Fi donné aux visiteurs. Si la box ne propose pas de réseau invité, ne donnez pas votre Wi-Fi : proposez le partage de connexion d'un téléphone, ou changez le mot de passe du Wi-Fi après le passage du visiteur.

D. Fermer ce qui doit rester fermé : WPS, gestion à distance, UPnP, redirections de port

1. Désactivez le WPS, ce bouton qui connecte un appareil sans mot de passe : TP-Link, « Outils système » › « Paramètres système » › « WPS », décochez « Activer WPS » ; Netgear, dans les réglages sans fil avancés ; Asus, dans l'onglet WPS des réglages sans fil, mettez le WPS sur désactivé. L'ANSSI : « Désactiver systématiquement la fonction Wi-Fi Protected Setup (WPS) des points d'accès. » ; Netgear : « NETGEAR recommends disabling this function to protect your network from attacks. »

   TP-Link : Outils système›Paramètres système›WPS›Activer WPS décoché

   Netgear : « The WPS PIN connection method is susceptible to brute force attacks. » Le chemin exact chez Netgear (« Advanced Setup » › « Wireless Settings », d'après un fil de la communauté Netgear, sans page officielle) et le libellé de l'interrupteur chez Asus n'ont pas pu être confirmés ; Asus écrit « éteignez la fonction WPS ». Si l'option n'existe pas ou reste grisée, passez en WPA3 seul : Asus, « WPA3 ne prend pas en charge Wi-Fi Protected Setup (WPS). »

2. Vérifiez que la gestion à distance de l'interface est désactivée, pour que personne ne puisse ouvrir les réglages de la box depuis internet : TP-Link, « Avancé » › « Système » › « Administration », section « Gestion à distance », « Désactiver la gestion à distance » ; Netgear, désactivée par défaut (« Par défaut, la gestion à distance est désactivée. ») ; Asus, « Administration » › « Système » › « Configuration d'accès à distance », laissez « Enable Web Access from WAN » désactivé (Asus : « Désactiver l'accès depuis le WAN »).

   TP-Link : Avancé›Système›Administration›Gestion à distance›Désactiver ; Asus : Administration›Système›Configuration d'accès à distance

   TP-Link : « Attention : l'activation de l'accès à distance expose votre routeur à Internet. » et « Pour désactiver la gestion à distance (par défaut) : » ; Asus, en anglais : « Keeping WAN access disabled helps improve router security. » L'application du fabricant (Tether, Nighthawk, ASUS Router) permet de régler la box depuis l'extérieur sans ouvrir l'interface sur internet ; protégez ce compte par la double authentification quand elle existe (guide Double authentification). Chez Netgear, cet accès par l'application est actif d'origine (« Anywhere Access is enabled by default to give you reliable access to your router ») : protégez le compte Netgear, ou désactivez-le dans l'application (« Tap SETTINGS > Anywhere Access. »).

3. Désactivez l'UPnP si rien ne le réclame, pour qu'aucun appareil ni programme n'ouvre seul une porte vers internet : TP-Link, « Avancé » › « Redirection de port » (ou « Transfert NAT »), « UPnP » ; Netgear, « AVANCÉ » › « Configuration avancée » › « UPnP », décochez « Activer UPnP » ; Asus, « WAN » › « Connexion Internet », « Activer UPnP » sur non.

   TP-Link : Avancé›Redirection de port›UPnP ; Netgear : AVANCÉ›Configuration avancée›UPnP ; Asus : WAN›Connexion Internet›Activer UPnP

   Netgear : « Par défaut, cette case est cochée. », « Un virus ou un programme malveillant peut utiliser UPnP pour compromettre la sécurité de votre réseau local. » et « Nous vous recommandons de configurer manuellement le redirection de port au lieu d'activer UPnP. » ; TP-Link : « si vous n'avez pas besoin d'UPnP, envisagez de le désactiver. » Une console de jeu ou une caméra peut cesser de fonctionner de l'extérieur : c'est le signe qu'elle s'ouvrait une porte ; décidez alors en connaissance de cause.

4. Ouvrez la liste des redirections de port (TP-Link : « Avancé » › « Transfert NAT » › « Serveurs virtuels » ou « Transfert de port » ; Netgear : « AVANCÉ » › « Configuration avancée » › « Redirection de port/Déclenchement de port » ; Asus : « WAN » › « Virtual Server/Port Forwarding ») et lisez chaque ligne : une règle vers un ordinateur sur le port 3389, c'est un bureau à distance ouvert sur internet (section Les accès à distance) ; une règle vers le NAS, c'est le NAS exposé (section Serveur ou disque réseau). Notez chaque règle et son usage.

   TP-Link : Avancé›Transfert NAT›Serveurs virtuels ; Netgear : AVANCÉ›Configuration avancée›Redirection de port ; Asus : WAN›Virtual Server/Port Forwarding

   Netgear : « By default, your NETGEAR router's firewall blocks all inbound traffic » ; une redirection de port est une exception à cette règle.

5. Supprimez toute règle dont vous ne connaissez pas l'usage (cherchez une corbeille ou un bouton « Supprimer » au bout de la ligne), puis vérifiez que la « DMZ » est désactivée : elle expose un appareil entier.

   TP-Link : Avancé›Transfert›DMZ ; Netgear : ADVANCED›Setup›WAN Setup›Default DMZ Server ; Asus : WAN›DMZ

   Asus : « Ne pas activer le DMZ » ; TP-Link : avec la DMZ, « tous les ports UDP et TCP sont ouverts et exposés. » ; Netgear : « WARNING: DMZ servers pose a security risk. » Le bouton pour supprimer une règle n'est pas décrit par les fabricants.

6. Laissez le pare-feu du routeur activé, et ses réglages par défaut : TP-Link, « Le pare-feu SPI peut empêcher les cyberattaques », « Cette fonction est activée par défaut » ; Asus, « Pare-feu », « Activer le pare-feu : par défaut [Oui] » ; Netgear, le pare-feu « blocks all inbound traffic » par défaut. Et tenez la box ou le routeur à jour : le guide Mises à jour explique comment, et c'est la condition pour que le pare-feu reste efficace.

7. Notez dans votre agenda un rendez-vous, par exemple le jour du mois que vous consacrez aux mises à jour, pour relire la liste des redirections de port et des appareils connectés : une porte ouverte « pour un test » ne doit pas rester ouverte.

A. Trouver ce qui est ouvert sur internet

1. Reprenez la liste de vos accès à distance (guide Double authentification, section « Accès à distance ») : pour chacun, l'outil, qui s'en sert, et par où il passe. Ajoutez-y ce que vous n'avez pas installé vous-même : l'accès du prestataire, le NAS, une caméra, un logiciel de caisse ou de comptabilité « accessible de partout ».

2. Ouvrez la liste des redirections de port de la box ou du routeur (section La box et le routeur, partie D, étape 4). Chaque ligne est une porte ouverte depuis internet vers un appareil précis. Une ligne vers un ordinateur avec le port 3389 est un bureau à distance ouvert sur internet ; Microsoft : « En règle générale, le port est 3389 : il s'agit du port par défaut utilisé par les connexions Bureau à distance. » Une ligne vers le NAS expose le NAS. Notez chaque ligne et son usage.

   Interface de la box›redirections de port (serveurs virtuels, transfert de port, NAT)

   Si la liste est vide, que l'UPnP est désactivé et que la DMZ l'est aussi, rien n'est ouvert : passez à la partie C. Chez certains opérateurs, les redirections se règlent dans l'espace client : voyez l'annexe.

3. Sur chaque ordinateur sous Windows Pro, regardez si le Bureau à distance est activé : « Paramètres » › « Système » › « Bureau à distance ». S'il est activé sans que personne ne s'en serve, désactivez-le ; Microsoft Learn : « L'activation du Bureau à distance ouvre un port sur votre PC ».

   Paramètres›Système›Bureau à distance

   Microsoft documente l'activation (« Sélectionnez Bureau à distance, activez l'option Activer le Bureau à distance. », puis « Confirmer ») ; le même interrupteur sert à le désactiver, mais son libellé dans ce sens n'est pas documenté. Windows Famille n'a pas de bureau à distance entrant : « les éditions Windows Home ne peuvent pas servir d'hôtes Bureau à distance ».

B. Fermer le bureau à distance ouvert sur internet

1. Supprimez dans la box ou le routeur la redirection de port qui mène au bureau à distance (port 3389, ou tout autre port vers un ordinateur), et vérifiez que la DMZ est désactivée. Si un prestataire l'a ouverte, demandez-lui de la fermer, par écrit, en citant l'exigence 4.3 du livret CyFun Small ; le NCSC (Irlande) : « Ideally internet-facing RDP should be disabled » et « Provide RDP access to required resources via a Virtual Private Network (VPN) solution. »

   Interface de la box›redirections de port›supprimer la règle

   Changer le port ne suffit pas : les robots balaient tous les ports. Le NCSC (Royaume-Uni) : « disable RDP if it's not needed » et « enable MFA at all remote access points into the network ».

2. Gardez le bureau à distance pour l'intérieur du réseau seulement, et laissez activée l'authentification au niveau du réseau (en anglais NLA), une option de la page « Bureau à distance » ; Microsoft Learn : « L'authentification au niveau du réseau ajoute une couche de sécurité supplémentaire aux connexions Bureau à distance. » et « Pour une meilleure sécurité, maintenez NLA activé chaque fois que possible. » Si personne ne s'en sert de l'intérieur non plus, désactivez-le (partie A, étape 3).

   Le libellé exact de cette option n'a pas pu être vérifié sur un écran en français.

3. Changez le mot de passe des comptes qui avaient accès à ce bureau à distance : ils ont peut-être été essayés des milliers de fois. Microsoft Learn : « Assurez-vous que tous les comptes disposant d'un accès à distance ont des mots de passe forts et uniques ». Si vous constatez des connexions que vous n'expliquez pas, des fichiers chiffrés ou un comportement anormal, débranchez l'ordinateur du réseau (câble et Wi-Fi) sans l'éteindre et appelez vos contacts en cas d'incident, votre prestataire d'abord ; le guide Précautions de base y reviendra.

C. Passer par un VPN ou un logiciel de prise en main, avec la double authentification

1. Pour atteindre un ordinateur ou des fichiers de l'extérieur, passez par un VPN : vous vous connectez d'abord au tunnel, puis vous utilisez le bureau à distance ou les dossiers partagés comme si vous étiez au bureau, sans rien ouvrir sur internet. Microsoft : « Si vous vous connectez à votre réseau local à l'aide d'un réseau privé virtuel (VPN), vous n'avez pas besoin d'ouvrir votre PC sur l'Internet public. » Selon l'équipement, le VPN propose ou non la double authentification : celui d'une box ou d'un petit routeur ne l'a souvent pas, d'après la documentation des fabricants relue pour le guide Double authentification ; vérifiez-le, demandez-la à votre prestataire si c'est lui qui l'a installé, et suivez le guide Double authentification, section « Accès à distance », qui dit quoi faire dans chaque cas.

   Cybermalveillance.gouv.fr : « Systématisez les connexions sécurisées à vos infrastructures par l'utilisation d'un « VPN » » et « La mise en place d'une double authentification sur ces connexions VPN sera également à privilégier ». Le livret Basic demande la double authentification pour tout accès à distance et écrit « SMS and email-based MFA should be avoided due to security weaknesses. » : une application d'authentification ou une clé d'accès.

2. Ou passez par un logiciel de prise en main (TeamViewer, AnyDesk, Bureau à distance Chrome), qui passe par les serveurs de l'éditeur et ne demande pas de redirection de port dans la box : activez la double authentification sur le compte et sur l'accès sans surveillance (guide Double authentification, section « Accès à distance »), et limitez qui peut se connecter. TeamViewer : « Sécurité ➜ Liste de blocages et d'autorisations », où « seuls ces comptes peuvent se connecter à votre ordinateur » ; AnyDesk : la liste de contrôle d'accès, « All devices outside of your Access Control List are automatically blocked. »

   TeamViewer : Paramètres›Sécurité›Liste de blocages et d'autorisations

   TeamViewer conseille de « restreindre l'accès à distance » et de « revoir régulièrement la configuration de votre accès sans utilisateur distant ». La documentation d'AnyDesk en français n'a pas pu être lue : les libellés viennent de la documentation en anglais.

3. Ne laissez pas un accès permanent dont personne ne se sert : retirez des listes les ordinateurs et les comptes qui ne servent plus, et, pour un ordinateur qui n'a jamais besoin d'être pris en main, n'installez pas d'accès sans surveillance du tout.

4. Un appel qui vous demande d'installer TeamViewer, AnyDesk ou un autre outil « pour réparer votre ordinateur » est une arnaque : AnyDesk, « Aucune banque, ni aucune entreprise ne vous demandera par téléphone de télécharger un logiciel ! » et « Ne donnez jamais l'accès à vos appareils à quelqu'un que vous ne connaissez pas. » ; TeamViewer, « TeamViewer ne fournit pas de services de télé-assistance, quels qu'ils soient. » Raccrochez ; si quelqu'un a déjà pris la main, coupez la session comme le conseille AnyDesk, « Mettez fin à toute session à distance en éteignant votre appareil ! », puis suivez Cybermalveillance.gouv.fr : « DÉSINSTALLEZ LE PROGRAMME DE GESTION À DISTANCE » et changez vos mots de passe depuis un autre appareil.

D. Le prestataire qui se connecte à distance

1. Demandez à votre prestataire, par écrit, comment il se connecte (VPN, logiciel de prise en main, autre), que cet accès a la double authentification, et qu'il est au nom d'une personne, pas d'un compte partagé ; l'ANSSI : « les comptes d'accès doivent être nominatifs ». Le livret Basic : « All remote access, including access by third-party vendors and contractors, should require MFA. »

2. Convenez que l'accès est retiré quand il ne sert plus, et notez-le dans votre liste ; le NCSC (Royaume-Uni), sur les fournisseurs : « These accesses should be reviewed periodically, and removed when no longer required. » Un prestataire sérieux a déjà tout cela pour lui-même.

3. Faites le point : la liste des accès à distance, la façon dont on s'y connecte, aucun bureau à distance ouvert sur internet, la double authentification partout. C'est la réponse aux questions du diagnostic sur l'accès à distance et sa double authentification, et ce que vous montrerez plus tard à l'évaluateur du niveau Basic.

A. L'ordinateur portable

1. Vérifiez que le pare-feu de l'ordinateur portable est activé (sections Windows et Mac) ; l'ANSSI : « Il est indispensable d'activer le pare-feu local sur le poste nomade pour bloquer tous les flux entrants et sortants ». Le livret Basic ajoute : « Local firewalls should remain active even when using VPNs or cloud services. »

2. Sur Windows, laissez chaque réseau extérieur en « Réseau public (recommandé) » (section Windows, partie B) : l'ordinateur reste invisible pour les autres appareils du réseau. Le NCSC (Royaume-Uni) : « Make sure you use a software firewall on devices which are used on untrusted networks, such as public wifi hotspots. »

3. Travaillez avec les appareils de l'entreprise, pas avec un ordinateur personnel : Cybermalveillance.gouv.fr écrit que « leurs équipements personnels ne pourront jamais avoir un niveau de sécurité vérifiable ». Si c'est inévitable, appliquez-lui tout ce guide et les guides Antivirus, Mises à jour et Compte standard.

B. La box du domicile

1. Faites sur la box du domicile ce que vous avez fait sur celle du bureau (section La box et le routeur) : Wi-Fi en WPA2 ou WPA3 avec un mot de passe long, mot de passe d'administration changé, WPS et gestion à distance désactivés, aucune redirection de port, box à jour (guide Mises à jour). Les visiteurs et les objets connectés de la maison vont sur le réseau invité, s'il existe.

2. Si vous accédez de la maison aux ordinateurs ou aux fichiers du bureau, passez par le VPN ou le logiciel de prise en main avec la double authentification (section Les accès à distance) : jamais par une porte ouverte dans la box du bureau.

C. Chez les clients, dans les transports, à l'hôtel

1. Préférez le partage de connexion de votre téléphone à un Wi-Fi public ou à celui d'un client. Sur iPhone : « Ouvrez Réglages, puis touchez Partage de connexion (ou Données cellulaires, puis Partage de connexion). », activez « Autoriser d'autres utilisateurs » et connectez l'ordinateur avec le « Mot de passe Wi‑Fi » affiché.

   iPhone : Réglages›Partage de connexion›Autoriser d'autres utilisateurs

   L'ANSSI recommande ce repli pour le nomadisme : « une connexion au réseau mobile (4G, 5G, etc.) », « via un partage de connexion d'un autre périphérique (téléphone professionnel) ». Certains forfaits limitent ou facturent le partage de connexion : vérifiez auprès de l'opérateur mobile.

2. Sur Android : « Appuyez de manière prolongée sur Point d'accès » dans les réglages rapides, « Activez Point d'accès Wi-Fi. », puis connectez l'ordinateur avec le mot de passe du point d'accès (« Pour rechercher ou modifier le nom ou le mot de passe de votre point d'accès, appuyez dessus. »).

   Android : réglages rapides›Point d'accès›Point d'accès Wi-Fi

   Gardez un mot de passe sur le point d'accès (Google décrit comment le retirer, « Sous "Sécurité", appuyez sur Aucune. » : ne le faites pas) ; Cybermalveillance.gouv.fr : « sécuriser le partage de connexion de vos appareils à l'aide d'un mot de passe ». Le chemin depuis « Paramètres » varie selon la marque du téléphone.

3. Si vous devez tout de même utiliser un Wi-Fi que vous ne maîtrisez pas, connectez-vous d'abord au VPN de l'entreprise si vous en avez un, et ne faites rien de sensible sans lui ; l'ANSSI : « Se connecter uniquement à des réseaux Wi-Fi maîtrisés ; si cela est impossible (par exemple dans les gares, aéroports ou les cafés), utiliser un VPN maîtrisé par l'entité. » Ne vous connectez jamais à un réseau sans mot de passe ou marqué comme peu sûr par votre appareil.

   Le livret Basic : « VPNs should be used when connecting to unknown or unsecured networks. » Le NCSC (Irlande) : « For data transferred over public networks, such as hotel or airport Wi-Fi networks, ensure that data is encrypted ».

4. Désactivez le Wi-Fi et le Bluetooth quand vous ne vous en servez pas, et retirez de l'ordinateur et du téléphone les réseaux enregistrés que vous ne reverrez pas (hôtels, cafés) : l'appareil ne tentera plus de s'y reconnecter tout seul. L'ANSSI : « Désactiver les interfaces sans fil telles que le Wi-Fi, le Bluetooth, le NFC et la localisation si elles ne sont pas en cours d'utilisation. »

A. Ne pas exposer le NAS : la box

1. Dans la box ou le routeur, supprimez toute redirection de port qui mène au NAS, et vérifiez que l'UPnP et la DMZ sont désactivés (section La box et le routeur, partie D). QNAP : « Connectez-vous au routeur ou demandez à votre FAI de vous aider à vérifier et à désactiver les paramètres suivants : » « Désactivez UPnP », « Désactivez DMZ », « Désactivez le réacheminement de port ». Synology, dans son livre blanc QuickConnect : « port forwarding can also expose the private LAN to greater cybersecurity risks ».

   Interface de la box›redirections de port›supprimer les règles vers le NAS

2. Côté NAS, empêchez-le d'ouvrir lui-même des ports dans la box : chez Synology, « Panneau de configuration » › « Accès externe » › « Configuration du routeur », ne créez aucune règle ; chez QNAP, dans myQNAPcloud, désactivez le transfert de port automatique du routeur (QNAP : « Step 2: Disable the UPnP function of the QNAP NAS », en décochant « Enable UPnP Port forwarding » sous « Auto Router Configuration »).

   Synology : Panneau de configuration›Accès externe›Configuration du routeur ; QNAP : myQNAPcloud›configuration automatique du routeur

   Les libellés français de myQNAPcloud (« Transfert de port automatique du routeur ») n'ont pas pu être confirmés ; QNAP : « It's advised to turn off UPnP on QNAP NAS as well. »

3. Pour accéder au NAS depuis l'extérieur, utilisez le relais du fabricant, qui n'ouvre aucun port : Synology, QuickConnect « permet aux applications clientes de se connecter à votre Synology NAS via Internet » « sans avoir à configurer de règles de redirection de port » ; QNAP, myQNAPcloud Link, « Le NAS n'a pas besoin d'être exposé à Internet ». Ou passez par le VPN de l'entreprise (section Les accès à distance). Et si personne n'a besoin du NAS de l'extérieur, désactivez le relais aussi.

B. Synology (DSM) : pare-feu, blocage automatique, double authentification

1. Ouvrez DSM, puis « Panneau de configuration » › « Sécurité » › « Pare-feu » : cochez « Activer le pare-feu » et cliquez sur « Appliquer ». Synology : « Le profil de pare-feu par défaut sera appliqué à votre DSM. »

   Panneau de configuration›Sécurité›Pare-feu›Activer le pare-feu›Appliquer

   Synology ne dit pas si le pare-feu est activé à la sortie de la boîte : regardez la case. Son conseil de 2019 reste la règle : « enable Firewall in Control Panel and only allow public ports for services when necessary. »

2. Dans « Panneau de configuration » › « Sécurité » › « Protection » › « Blocage automatique », cochez « Activer le blocage automatique » : une adresse qui échoue trop de fois à se connecter est bloquée. Synology : « Enable Auto Block in Control Panel to block IP addresses with too many failed login attempts. »

   Panneau de configuration›Sécurité›Protection›Blocage automatique›Activer le blocage automatique

3. Activez la double authentification sur chaque compte qui ouvre DSM, à commencer par le compte d'administration : menu « Personnel » › « Sécurité ». Synology : « Pour renforcer la sécurité de votre compte, activez l'option d'authentification à deux facteurs. » Le guide Compte standard a déjà fait désactiver le compte « admin » d'origine.

   Personnel›Sécurité›authentification à 2 facteurs

4. Lancez le « Conseiller de sécurité » › « Vue d'ensemble » et suivez ses recommandations ; dans ses « Paramètres avancés », cochez « Activer la planification des analyses régulières ». Il signale notamment les mots de passe faibles (Synology : « Run Security Advisor to make sure there is no weak password in the system. ») ; lisez chaque recommandation.

   Conseiller de sécurité›Vue d'ensemble

   L'aide en ligne du Conseiller de sécurité n'a pas pu être relue : la liste exacte de ses contrôles sous DSM 7.4 n'est pas confirmée.

C. QNAP (QTS, QuTS hero) : QuFirewall, compte admin, double authentification

1. Ouvrez QTS et vérifiez que « QuFirewall » est installé et activé (sinon, installez-le depuis l'App Center) ; ouvrez-le et vérifiez que le profil « Protection de base » est activé. QNAP : « Vous pouvez activer QuFirewall pour fournir une protection basique de pare-feu ; » et « Allez sur la page profils QuFirewall et vous verrez que la « Protection de base » est activée. »

   QuFirewall›Protection de base

   QNAP décrit le profil « Protection de base » ainsi : « Autorise tous les ports sur le sous-réseau LAN du NAS et la région sélectionnée ». L'installation depuis l'App Center et les libellés internes de QuFirewall sous QTS 5.2 n'ont pas pu être relus dans la documentation QNAP.

2. Vérifiez que le compte « admin » d'origine est désactivé et que vous utilisez un compte d'administration à votre nom (guide Compte standard). QNAP : « Il est fortement recommandé de désactiver ce compte « admin » et de créer un nouveau compte. » ; « Les modèles avec QTS 5.0.1 / QuTS hero h5.0.1 (ou ultérieur) intégré, « admin » est désactivé par défaut. »

3. Activez la vérification en deux étapes sur chaque compte qui ouvre QTS, et lancez un contrôle de Security Center (anciennement Security Counselor), qui signale un NAS « directly accessible from an external IP address » : si c'est le cas, revenez à la partie A.

   QNAP : « Securely access your QNAP NAS via the Internet through myQNAPcloud Link: » et « immediately update QTS to the latest available version. » : le guide Mises à jour dit comment tenir le NAS à jour.

Proximus

Internet Box (Wi-Fi 6) et Internet Box+ (Wi-Fi 7) ; anciennes b-box 3 et 3V+. Proximus écrit, sur son blog : « Sur l'Internet Box, le WPA3-Personal-Transition est activé par défaut pour les nouveaux clients. » et « si vous avez un ancien modem, vous pouvez activer vous-même cette norme de sécurité via MyProximus » ; « évitez les anciennes normes comme le WEP et le WPA ». L'Internet Box n'a pas d'interface locale : un modérateur du forum officiel, « Avec la nouvelle internet box, il n'est plus possible de se connecter sur l'adresse 192.168.1.1 » ; les réglages passent par MyProximus et l'app Proximus, protégés par le mot de passe de ce compte.

1. Le Wi-Fi se gère dans l'app Proximus : « Internet » › « Gérer mon wi-fi » (nom et mot de passe, 15 caractères au plus), « Partager mon wi-fi » (code QR), « Gérer mes appareils » ; le type de sécurité se vérifie dans les paramètres de l'Internet Box, dans MyProximus (« Paramètres de votre internet Box »).

   App Proximus›Internet›Gérer mon wi-fi

   Proximus limite le mot de passe du Wi-Fi à 15 caractères : la phrase de passe de six mots n'y tient pas ; prenez 15 caractères tirés au hasard par votre gestionnaire de mots de passe.

2. Réseau invité : d'après le forum officiel, il n'était pas disponible sur l'Internet Box à la dernière réponse d'un Community Manager (avril 2024 : « le guest wifi n'est pas encore utilisable, nous ne savons toujours pas quand il le sera. ») ; nous n'avons pas trouvé d'état plus récent. Regardez dans l'app ; à défaut, ne donnez pas votre Wi-Fi (section La box et le routeur, partie C, étape 4).

   Proximus conseille lui-même, sur son blog : « envisagez de créer un réseau d'invités distinct. »

3. Redirections de port : page d'aide « Redirection de ports sur votre b-box ou Internet Box », dans MyProximus, « Paramètres avancés » ; le corps de la page n'a pas pu être lu à la date de vérification. Vérifiez qu'aucune règle n'y figure sans raison. b-box 3 : interface à l'adresse 192.168.1.1, profil « User », mot de passe « en regard de “User” à l'arrière ou sous la bbox3 ».

   WPS, UPnP, gestion à distance et mot de passe d'administration de l'Internet Box : non documentés par Proximus à la date de vérification ; le pare-feu de l'Internet Box a un niveau de sécurité, rapporté par des utilisateurs comme « moyen » par défaut, sans page officielle.

Telenet

Modem Telenet et 360° Fiberbox : « Nous fournissons un modem (ou une 360° Fiberbox) sur mesure. » Tous les réglages passent par MyTelenet (site ou app), sans interface locale documentée. Telenet prévient : « Attention : toute modification des paramètres avancés s'effectue toujours à vos risques et périls ! »

1. Le Wi-Fi se gère dans l'app MyTelenet, « Réseau wifi » › « Gérer » › « Paramètres réseau », ou sur le site MyTelenet, « Votre réseau domestique » (données sous « Passeport wifi ») ; Telenet : « Choisissez un mot de passe d'au moins 8 caractères ». Le type de sécurité est derrière le cadenas « Paramètres experts » (« Les paramètres avancés (p. ex. filtrage MAC, sécurité, WPS, signal) sont indiqués par un cadenas. ») ; Telenet Business : « Accédez à MyTelenet et repassez de WPA 2 à WPA 3 via les paramètres. »

   App MyTelenet›Réseau wifi›Gérer›Paramètres réseau

2. WPS : rien à faire, Telenet le coupe de lui-même : « Vous pouvez uniquement l'activer via MyTelenet. » et « En raison des risques accrus en matière de sécurité, nous désactivons le WPS après quelques minutes. » ; sur la 360° Fiberbox et le modem le plus récent, « nous ne prenons pas en charge cette fonction ».

3. Pare-feu et redirections de port : MyTelenet › « Votre réseau domestique » › « Paramètres avancés » ; « Paramètres du pare-feu » : « configurés par défaut de manière optimale » ; « Port forwarding » et « UPnP » sont dans la même rubrique : vérifiez qu'aucune redirection n'y figure sans raison.

   Réseau invité : jamais mentionné sur les pages de Telenet à la date de vérification ; à défaut, ne donnez pas votre Wi-Fi (section La box et le routeur, partie C, étape 4). Avec un modem personnel, Telenet écrit : « Telenet ne fournit aucune autre aide. » : traitez-le comme un routeur acheté.

VOO

Quatre modems : « Le modem Netgear VOO. », « Le modem Technicolor VOO. », « Le modem CGA4233 VOO. », « Le modem CGA437A Orange, fourni par VOO. » Interface locale : 192.168.0.1 (Netgear, CGA) ou 192.168.100.1 (Technicolor), identifiant « voo » en minuscules, mot de passe de l'étiquette (« Password (WPA) », « user password »), le même que le Wi-Fi d'origine. Le manuel Technicolor : le modem « est équipé d'un pare-feu (ou firewall) dont le paramétrage initial bloque toute communication initiée depuis l'extérieur. » et « Gestion de la configuration à distance est inactif pour raison de sécurité. »

1. Changez le mot de passe du Wi-Fi dans l'interface : Netgear, zone « Sécurité (mot de passe) » › « Sauvegarder » ; Technicolor, « Configurer votre modem » › « Wifi » › « WPA Pre-shared Key » › « Appliquer » (pour chaque bande) ; CGA4233, « Configurer votre modem » › « Sans fil » › « Mot de passe réseau » › « Appliquer » ; CGA437A, champ « Mot de passe ». VOO ne documente pas de choix WPA3 : le vocabulaire des pages est « WPA/WPA2 ».

   Interface du modem›Configurer votre modem›Wifi

2. Réseau invité, sur Technicolor et CGA (pas sur Netgear) : interface › Wi-Fi › « Réseau invité », activez-le, donnez un nom et une clé WPA ; le CGA437A a aussi un « wifi invité ».

   Interface du modem›Wifi›Réseau invité

3. Mot de passe d'administration du CGA437A : l'option « mot de passe oublié » de l'interface permet d'en définir un à vous, validé par un appui sur le bouton WPS du modem (« De valider le renouvellement du mot de passe de votre interface d'administration. »). Sur les autres modems, VOO ne décrit pas de changement de ce mot de passe.

   Interface du modem›mot de passe oublié›bouton WPS

4. Redirections de port sur le CGA437A : « Votre réseau local » › « Ouverture de port » (le « + » ajoute une règle), section « UPnP » en bas de la page, onglet « Hôte DMZ » : vérifiez qu'aucune règle n'y figure sans raison, laissez l'UPnP sur OFF et la DMZ désactivée. VOO : « En activant la fonction "UPnP", vous ne contrôlez pas qui fait quoi sur votre réseau. » et « N'oubliez pas de protéger votre équipement des attaques venant d'internet. »

   Votre réseau local›Ouverture de port

   Désactivation du WPS et niveaux du pare-feu du CGA437A : non documentés par VOO à la date de vérification.

Orange

Modem « Livebox » Wi-Fi 6 d'Orange Belgique. VOO documente par ailleurs « Le modem CGA437A Orange, fourni par VOO. » ; nous n'avons pas pu vérifier qu'il s'agit du même matériel que la Livebox. Manuel d'Orange : interface locale « http://192.168.0.1 », « Le login est « admin » et le mot de passe est votre mot de passe WIFI par défaut. », « Vous pouvez retrouver ces informations sur l'étiquette située sous votre modem. » Le manuel cite le « WiFi invité (WiFi guest) » parmi les fonctions de l'interface, sans en décrire les étapes.

1. Nom et mot de passe du Wi-Fi : dans l'interface, « Votre WiFi » sous « Configuration de base », champ « Nom du WiFi », bouton « Modifier » pour le mot de passe, puis « Appliquer » ; tous les appareils devront se reconnecter.

   Interface du modem›Configuration de base›Votre WiFi›Modifier›Appliquer

2. Le reste (type de sécurité WPA2 ou WPA3, changement du mot de passe « admin », réseau invité, WPS, pare-feu, redirections de port) n'est pas documenté par Orange à la date de vérification : cherchez ces rubriques dans l'interface, sur le modèle de la section La box et le routeur, et, si votre modem est un CGA437A, suivez les étapes publiées par VOO ci-dessus, avec l'identifiant du manuel Orange (« admin ») si « voo » ne passe pas. Avec un modem personnel : « Orange ne peut pas garantir la qualité de service quand vous utilisez votre propre modem. » : traitez-le comme un routeur acheté.