Votre routeur a deux mots de passe, et presque personne ne le sait.
L’un est celui du Wi-Fi : celui que vous dictez au téléphone, celui qui est noté sur un bout de papier dans la cuisine, celui que vous lisez au plombier. L’autre est le mot de passe d’administration de l’appareil lui-même, celui qui ouvre le panneau où tout se configure. À ce second-là, on ne touche presque jamais, et si vous n’y avez jamais touché, c’est encore exactement celui qui était imprimé sur l’étiquette en dessous.
Les deux protègent des choses différentes et échouent de manières différentes. Il vaut la peine de les séparer, parce que vingt ans de conversation sur « le mot de passe du Wi-Fi » ont surtout servi, entre autres, à cacher l’autre.
Celui que vous savez par cœur et celui que vous n’avez jamais regardé
La clé du Wi-Fi décide qui peut se connecter au réseau. C’est un droit d’entrée : avec elle, un appareil entre dans votre réseau local et cohabite avec les autres.
Le mot de passe d’administration décide qui peut changer le fonctionnement du réseau. Depuis ce panneau, on touche au nom du réseau, au type de chiffrement, aux serveurs DNS qu’utilise toute la maison, aux ports ouverts vers l’extérieur et à la possibilité d’administrer le routeur depuis internet. Ce n’est pas une porte de plus : c’est la porte depuis laquelle on reconfigure les autres.
Voilà l’asymétrie gênante. Si quelqu’un a la clé du Wi-Fi, il est sur votre réseau. Si quelqu’un a celle d’administration, votre réseau est à lui : il peut changer la clé du Wi-Fi, abaisser le chiffrement ou détourner par où sort votre trafic, et vous le découvririez par l’effet, jamais par une alerte.
La recommandation de CISA sur ce point est sans nuance : changez l’identifiant et le mot de passe d’accès au routeur, parce que les informations d’usine peuvent être publiques et à la portée de n’importe qui, et mettez-en un long, aléatoire et unique. Ajoutez-y une règle que presque tout le monde enfreint sans s’en rendre compte : que ce ne soit pas le même que celui du Wi-Fi. Ce sont deux choses distinctes, et elles se partagent de façon très différente — l’une, la moitié du quartier la connaît ; l’autre, personne ne devrait la connaître.
2011 le bouton qui avait l’air pratique
Il y a un troisième secret dans votre routeur dont on ne parle presque jamais : le code PIN du WPS, le système d’appairage rapide qui apparaît sous forme de bouton sur l’appareil et de nombre à huit chiffres sur l’étiquette.
En décembre 2011, le CERT/CC a publié la note de vulnérabilité VU#723755, à partir des travaux de Stefan Viehböck, sur une faiblesse de conception dans la vérification de ce code. Ce qui compte pour vous n’est pas le détail technique : c’est la réponse officielle, qui reste la même quinze ans plus tard. Il n’y avait pas de correctif ; il y avait un interrupteur. La recommandation était — et reste — d’aller dans la configuration et de désactiver le WPS. CISA la reprend aujourd’hui dans son guide pour les réseaux domestiques, sur la même liste où elle demande de désactiver l’administration à distance.
C’est la partie la plus rentable de tout cet article : deux cases à décocher une fois, et qui ne vous embêteront plus jamais.
2015 quand la clé d’usine arrivait déjà calculée
Un mot de passe d’usine n’est pas votre secret. C’est une valeur choisie par le fabricant, imprimée sur l’appareil, reprise dans le manuel, et souvent identique sur toutes les unités d’un même modèle.
Et il existe des cas publiés de pire encore : des clés d’usine qui n’étaient pas aléatoires mais calculées à partir de données que le routeur lui-même diffuse dans l’air. Le catalogue du NIST contient le CVE-2015-0558, à propos d’un routeur domestique qui générait sa clé WPA à partir d’une chaîne fixe et de son adresse MAC. Peu après, un avis public de SEARCH-LAB sur un modem câble très répandu en Europe le résumait en une phrase : « le SSID et le mot de passe par défaut sont dérivés uniquement de l’adresse MAC. Comme l’adresse MAC de l’appareil est diffusée par le Wi-Fi, le mot de passe par défaut peut être calculé facilement. » L’opérateur a fini par écrire à ses clients pour leur demander de le changer.
Pas besoin de savoir comment tout cela se faisait — et ce ne sera pas raconté ici — pour retenir la seule chose qui compte : une clé que le fabricant a pu générer, quelqu’un d’autre a pu la reproduire. Votre clé d’usine n’est pas aléatoire parce qu’elle est longue et moche. Elle est moche parce qu’elle est sortie d’un procédé, et les procédés, ça s’étudie.
Le mot de passe le plus facile à rallonger que vous aurez jamais
Maintenant la bonne nouvelle, et elle est rare, parce qu’un conseil de sécurité ne sort presque jamais gratuit.
Tous les mots de passe de votre vie traînent le même ennemi caché : il faut les taper. Souvent à la main, sur un téléphone, dans l’urgence. C’est pour ça que les gens les font courts, et c’est pour ça que « mettez-en un de trente caractères » sonne comme une punition.
Celui du Wi-Fi n’a pas ce problème. Vous le saisissez une fois par appareil et vous ne le revoyez plus : le téléphone, l’ordinateur portable et la télé s’en souviennent pour toujours. Et quand il faut le donner à quelqu’un, la plupart des téléphones et une bonne partie des routeurs modernes le partagent par QR code, sans que personne ne tape quoi que ce soit.
Autrement dit : la longueur est pratiquement gratuite, et il n’y a donc aucune excuse pour qu’il soit court. La norme IEEE 802.11i, qui définit cela depuis 2004, admet des phrases de passe allant jusqu’à 63 caractères. Presque personne n’atteint la moitié.
Quoi mettre, alors ? CISA propose quelque chose de très concret et très simple à suivre : une phrase de passe mémorisable de cinq à sept mots sans rapport entre eux, seize caractères au minimum au total, et que vous n’utilisez sur aucun autre compte. C’est la logique de diceware appliquée à votre salon. Si vous préférez une chaîne aléatoire et laisser le QR code faire le travail, c’est encore mieux : sortez-la du générateur et ne la regardez plus jamais. Et si celle que vous avez aujourd’hui vous fait douter, passez-la au vérificateur avant de décider quoi que ce soit.
2018 ce qu’est le WPA3 et pourquoi il change les comptes
En 2018, la Wi-Fi Alliance a présenté le WPA3, la relève du WPA2. Il est aujourd’hui obligatoire pour tout équipement qui veut porter le label Wi-Fi CERTIFIED.
Le changement de fond porte un nom moche, SAE, et une conséquence très facile à comprendre. Avec le WPA2, quelqu’un se trouvant à proximité pouvait capter la poignée de main initiale entre votre téléphone et le routeur, rentrer chez lui et essayer contre ce fichier des millions de clés par seconde, sans limite de tentatives et sans que personne ne s’en aperçoive. C’est exactement le problème d’une fuite de mots de passe : quand la matière est sur le disque de l’attaquant, il n’y a plus personne en face pour dire non.
Le WPA3 casse ça. Selon les mots de la Wi-Fi Alliance elle-même, « le WPA3-Personal remplace la clé pré-partagée du WPA2 (WPA2-PSK) par Simultaneous Authentication of Equals (SAE). Contrairement au WPA2-PSK, SAE résiste aux attaques par dictionnaire hors ligne. » Chaque tentative oblige à reparler au routeur, et un routeur qui reçoit des milliers de tentatives ratées peut le remarquer et freiner.
Et puis il y a la partie honnête, que le même document prend soin de dire. Cette résistance signifie que « la charge de la sécurité du mot de passe ne repose plus sur les utilisateurs », et qu’exiger des majuscules et des symboles n’est plus une exigence valable avec SAE. Mais ce n’est pas une autorisation d’en mettre un mauvais : l’attaque active existe toujours, et la spécification le dit sans détour — les mots de passe utilisés avec SAE doivent être extrêmement difficiles à deviner. C’est ce que le NIST répète depuis des années à propos de tous vos autres mots de passe : la longueur prime sur la contorsion.
Deux avertissements pratiques. Si votre routeur ne va pas jusqu’au WPA3, CISA tient pour bons le WPA3 Personal et le WPA2 avec AES, et ces deux-là seulement ; un réseau ouvert, du WEP ou du TKIP ne sont pas un mot de passe faible, c’est ne pas en avoir. Et si vous activez le mode de transition, votre réseau accepte à la fois le WPA3 et le WPA2 pour laisser entrer les vieux appareils : décision raisonnable dans une maison avec une imprimante de 2013, mais il faut savoir ce que c’est — tant qu’il est activé, votre réseau conserve une porte WPA2. Si tout ce que vous avez passe en WPA3, enlevez-le.
2024 la loi passe sous l’étiquette
Pendant des décennies, c’était un problème de conseils. C’est maintenant aussi un problème de réglementation.
Le 29 avril 2024 est entré en vigueur au Royaume-Uni le régime de la PSTI, la loi sur la sécurité des produits connectés, qui interdit les mots de passe par défaut universels sur les appareils grand public : fini le modèle où toutes les unités d’un produit sortaient d’usine avec la même clé. La loi admet en revanche un mot de passe par défaut unique par unité, ce qui est précisément le cas de l’étiquette portant une chaîne différente sur chaque routeur. Dans l’Union européenne, les exigences de cybersécurité de la directive sur les équipements radioélectriques — le règlement délégué (UE) 2022/30 — sont d’application obligatoire depuis le 1er août 2025.
Deux choses en découlent, et ce ne sont pas les mêmes. La première : les routeurs neufs arriveront en meilleur état d’usine. La seconde, celle qui vous concerne : rien de tout cela ne s’applique rétroactivement à l’appareil déjà posé dans votre salon. S’il est là depuis six ans, chez vous c’est encore le monde d’avant qui règne.
Le réseau invité, ou arrêter de dicter votre clé
Pensez au nombre de gens qui connaissent votre clé Wi-Fi. Le beau-frère, la baby-sitter, l’ami venu dîner en 2022 et dont le téléphone est toujours configuré, le technicien monté installer quelque chose.
Aucun d’eux n’a seulement obtenu un droit d’aller sur internet : chacun a un appareil à l’intérieur de votre réseau local, à côté de votre disque réseau, de votre imprimante et de vos caméras. Et vous n’avez aucune idée de l’état de cet appareil.
Le réseau invité est la réponse, et c’est une fonction que vous avez déjà et que vous n’utilisez pas. CISA le dit noir sur blanc : si votre routeur propose un réseau invité, activez-le, donnez-lui son propre mot de passe — long, aléatoire et unique — et faites-le servir à tous ceux qui ne se connectent pas régulièrement à votre Wi-Fi. Et ajoutez ce que presque personne ne fait : envoyez-y aussi les objets connectés — la prise intelligente, la télé, l’aspirateur — si tout ce dont ils ont besoin est un accès à internet, pour qu’ils ne puissent pas découvrir le reste des appareils de la maison.
C’est le principe de tout ce blog appliqué au salon : un identifiant par endroit. Votre Wi-Fi principal est un endroit. Les visiteurs en sont un autre.
Quoi faire, dans l’ordre
- Entrez dans le panneau du routeur et changez le mot de passe d’administration. C’est le seul de cette liste auquel vous n’avez probablement jamais touché, et celui qui commande le plus. Long, aléatoire et différent de celui du Wi-Fi.
- Mettez une clé Wi-Fi longue. Cinq à sept mots sans rapport, ou une chaîne du générateur. Vous la tapez une fois, ensuite vous la partagez par QR.
- Passez au WPA3 si votre routeur le permet. Sinon, WPA2 avec AES.
- Désactivez le WPS et l’administration à distance. Deux cases, une seule fois.
- Activez le réseau invité et envoyez-y les visiteurs et les objets connectés.
- Mettez à jour le firmware et laissez les mises à jour automatiques si elles existent.
- Ne réutilisez aucun des deux ailleurs. Si vous doutez de l’un de ceux que vous utilisez déjà, passez-le au vérificateur.
Rien de tout ça ne prend plus de vingt minutes, et ce sont vingt minutes qu’on ne passe qu’une fois.
Le routeur est l’appareil le plus important de votre maison et le seul qui s’administre tout seul tant que personne ne l’administre. Il est allumé dans un coin depuis des années, il fait son travail sans se plaindre, et c’est précisément pour ça que ce n’est jamais le moment de le regarder.
Le mot de passe d’usine n’est pas mauvais parce qu’il est court ou moche. Il est mauvais parce qu’il n’est pas le vôtre. Quelqu’un d’autre l’a choisi, l’a imprimé sur un autocollant et l’a expédié dans des milliers de foyers identiques au vôtre. Le changer, c’est ce qui ressemble le plus, en informatique domestique, à changer la serrure quand on emménage.
Sources : CISA, « Project Upskill · Module 5: Securing Your Home Wi-Fi », du Joint Cyber Defense Collaborative — changer l’identifiant et le mot de passe d’accès au routeur parce que les informations d’usine peuvent être publiques, phrase de passe de cinq à sept mots sans rapport et d’au moins seize caractères, WPA3 Personal ou WPA2 AES comme seuls chiffrements considérés comme sûrs, désactiver le WPS et l’administration à distance, et activer le réseau invité, y compris pour les objets connectés · Wi-Fi Alliance, « WPA3 Security Considerations Overview » (avril 2019), sur le remplacement du WPA2-PSK par SAE, sa résistance aux attaques par dictionnaire hors ligne et l’exigence que les mots de passe restent extrêmement difficiles à deviner · CERT/CC, note de vulnérabilité VU#723755 (27 décembre 2011), signalée par Stefan Viehböck, dont la solution recommandée est de désactiver le WPS · NVD (NIST), CVE-2015-0558, à propos d’un routeur domestique qui générait sa clé WPA à partir d’une chaîne fixe et de son adresse MAC · avis public de SEARCH-LAB (Gergely Eberhardt) sur le modem Ubee EVW3226, publié sur Full Disclosure en juillet 2016 · IEEE 802.11i, qui définit la phrase de passe entre 8 et 63 caractères · Royaume-Uni, régime du Product Security and Telecommunications Infrastructure Act, en vigueur depuis le 29 avril 2024 · Union européenne, règlement délégué (UE) 2022/30 de la directive sur les équipements radioélectriques, d’application obligatoire depuis le 1er août 2025 · NIST SP 800-63B, sur la longueur face à la complexité.
Photo de Jakub Zerdzicki · Pexels