Wi-Fi invités : pourquoi ne jamais donner le code de votre réseau principal
« Vous avez le Wi-Fi ? » C'est la question que posent presque tous les visiteurs, qu'il s'agisse d'un client en salle d'attente, d'un prestataire en réunion ou d'un ami venu dîner. Par politesse, on donne le code du réseau principal, sans y penser davantage. Or ce code ne donne pas seulement accès à Internet : il ouvre la porte de tout ce qui est branché chez vous ou dans votre entreprise. Une solution simple existe, déjà présente dans la plupart des équipements, et elle ne coûte rien.
1.Ce que le code Wi-Fi donne réellement à vos visiteurs
Lorsqu'un appareil rejoint votre réseau principal, il se retrouve dans le même espace que vos ordinateurs, votre serveur de fichiers ou NAS, votre imprimante, vos caméras ou votre téléphonie. Selon la configuration, il peut découvrir ces équipements, tenter de s'y connecter, voire accéder à des dossiers partagés dont la protection est faible ou inexistante. Le visiteur n'a pas forcément de mauvaises intentions, mais son téléphone ou son ordinateur portable, lui, peut être infecté sans qu'il le sache. Un logiciel malveillant présent sur son appareil profitera alors de votre réseau pour chercher d'autres machines à atteindre. Vous ne choisissez pas ce que les appareils de vos invités font une fois connectés : c'est précisément ce qui rend le partage du code principal risqueux.
2.Un code partagé est un code qui ne vous appartient plus
Un mot de passe Wi-Fi communiqué oralement, écrit sur un papier ou affiché derrière un comptoir finit par circuler. Il est mémorisé par des dizaines de personnes, conservé sur leurs appareils et parfois transmis à d'autres. Vous ne pouvez pas le retirer à une seule personne : pour cela, il faudrait le changer, puis reconfigurer chaque appareil de l'entreprise, ce qui est fastidieux et que l'on repousse donc volontiers. En pratique, de nombreux réseaux professionnels conservent le même code pendant des années, alors que d'anciens employés, des prestataires et des clients occasionnels l'ont toujours en mémoire. Il y a aussi un enjeu de responsabilité : si une personne connectée à votre accès Internet commet une infraction, par exemple en téléchargeant illégalement des contenus, c'est votre abonnement qui est identifié. Pour une entreprise, le sujet n'est donc pas seulement technique, il est aussi juridique.
3.Activer un réseau invités : la solution sans investissement
La grande majorité des box Internet et des routeurs récents proposent une fonction « réseau invités » ou « Wi-Fi invités », accessible depuis l'interface d'administration de l'équipement. Le principe est simple : l'appareil diffuse un second réseau, avec son propre nom et son propre mot de passe, qui donne accès à Internet mais pas à vos équipements internes. Selon les modèles, l'option se trouve dans les réglages Wi-Fi ou dans une rubrique dédiée. Quelques réglages méritent votre attention :
Choisissez un nom clairement identifiable, par exemple le nom de votre structure suivi de « Invités », afin que personne ne confonde les deux réseaux. Protégez ce réseau par un mot de passe robuste en WPA2 ou WPA3 plutôt que de le laisser ouvert, et vérifiez que l'isolation des appareils entre eux est bien activée si votre équipement la propose, car elle empêche les invités de se voir mutuellement. Changez régulièrement le code, plus facilement qu'avec le réseau principal puisque seuls des appareils occasionnels sont concernés. Si votre matériel permet de limiter la durée de connexion ou la bande passante, cela évitera qu'un invité monopolise la ligne. Enfin, testez le résultat : connectez un téléphone au réseau invités et vérifiez qu'il ne peut ni afficher votre imprimante ni ouvrir les partages du NAS.
4.Quand la box ne suffit pas, et comment bien utiliser ce réseau
Certains équipements anciens, ou des box fournies par certains opérateurs, ne proposent pas de réseau invités, ou le limitent à une durée courte. Dans ce cas, un routeur ou un point d'accès Wi-Fi d'entrée de gamme, d'un prix modéré, peut suffire à créer un réseau séparé, à condition qu'il prenne bien en charge cette fonction. Les structures plus exposées, comme un cabinet médical, un commerce avec caisse connectée ou une entreprise manipulant des données clients, auront intérêt à aller plus loin avec un réseau séparé au niveau du routeur lui-même (VLAN), configuré avec soin. Ce dispositif est plus technique et peut justifier l'intervention d'un professionnel. Une règle utile pour tous : le réseau invités ne sert qu'aux visiteurs. Vos propres appareils, y compris vos téléphones personnels, restent sur le réseau principal, et les objets connectés peu sécurisés, tels que caméras, ampoules ou téléviseurs, peuvent au contraire être déplacés sur le réseau invités pour les isoler du reste. Un réseau invités bien configuré se met en place en quelques minutes, ne coûte généralement rien et supprime l'un des risques les plus courants, et les plus faciles à éviter, dans les petites structures.
