Sécuriser sa maison connectée : notre guide complet

Votre maison connectée est probablement moins sécurisée que vous ne le pensez. Les trois risques principaux : l’accès non autorisé à vos caméras (quelqu’un peut regarder chez vous en temps réel), le piratage de votre réseau domestique via un objet mal configuré, et le vol de données personnelles stockées dans vos applications domotiques.

Les 3 actions prioritaires à mettre en place dès aujourd’hui :

Créer un réseau Wi-Fi dédié aux objets connectés, séparé de votre réseau principal
Changer tous les mots de passe par défaut de chaque appareil
Installer un VPN sur votre routeur pour chiffrer l’ensemble du trafic sortant de votre domicile

Notre guide fait par nos experts du Blog Maison vous explique comment faire, étape par étape, sans être informaticien.

État des lieux : la maison connectée en France, et pourquoi elle attire les hackers

Des millions de foyers équipés et souvent mal protégés

En 2025, près de 2 Français sur 3 possèdent au moins un objet connecté chez eux. Les systèmes de sécurité (caméras, détecteurs) équipent 37 % des foyers, les thermostats connectés ont franchi la barre des 3 millions d’installations, et les enceintes connectées touchent plus d’un tiers de la population. La domotique n’est plus un gadget de geek : c’est devenu le quotidien de millions de propriétaires.

Problème : l’équipement a progressé beaucoup plus vite que les réflexes de sécurité.

Pourquoi les objets connectés sont des cibles faciles

Un ordinateur ou un smartphone reçoit des mises à jour régulières, souvent automatiques. Une caméra de surveillance ou une ampoule connectée, elle, peut tourner des années avec le même firmware d’origine sans jamais être mise à jour. C’est précisément ce que les hackers exploitent.

Trois failles structurelles reviennent systématiquement :

Les mots de passe par défaut : des milliers d’appareils sont encore accessibles avec « admin/admin » ou « 1234 ». C’est la première chose que teste un script automatisé.
Le firmware rarement mis à jour : contrairement à votre téléphone, votre thermostat ne vous alerte pas quand une faille critique est corrigée.
Des protocoles de communication peu sécurisés : certains appareils communiquent en clair sur le réseau local, sans chiffrement, ce qui permet une interception facile.

Des exemples concrets de failles documentées

Ce ne sont pas des scénarios théoriques.

Caméras Hikvision : la faille CVE-2021-36260 permet une exécution de code à distance sans aucune authentification. En 2022, plus de 80 000 caméras Hikvision restaient exposées sur Internet sans correctif appliqué. Une deuxième faille, CVE-2017-7921, a été classée comme « activement exploitée » par l’agence américaine CISA en mars 2026 encore. Une caméra compromise peut servir de point d’entrée pour infiltrer tout le reste de votre réseau.

Ampoules Philips Hue : des chercheurs ont démontré qu’une ampoule compromise via le protocole Zigbee pouvait être utilisée pour propager une attaque vers le bridge Hue, puis vers le réseau local. L’attaque nécessite une proximité physique, mais elle illustre que même un objet aussi anodin qu’une ampoule peut devenir un vecteur d’intrusion.

Thermostats connectés : un thermostat piraté ne se contente pas de modifier votre température. Il révèle vos habitudes d’occupation (quand vous êtes absent, quand vous dormez), des informations précieuses pour un cambrioleur. Et s’il est mal isolé sur le réseau, il peut servir de pivot vers vos autres appareils.

Guide pas-à-pas : comment sécuriser votre maison connectée

Étape 1 – Créer un réseau Wi-Fi dédié aux objets connectés

C’est la mesure la plus efficace, et souvent la plus négligée. L’idée est simple : vos objets connectés ne doivent pas être sur le même réseau que vos ordinateurs, téléphones et données sensibles.

Deux approches selon votre équipement :

Le réseau invité : la plupart des box internet (Freebox, Livebox, SFR Box, Bbox) permettent d’activer un réseau Wi-Fi « invité ». Activez-le, donnez-lui un nom distinct (ex : « IoT-maison »), et connectez-y tous vos objets connectés. C’est rapide, gratuit, et déjà très efficace.
Le VLAN dédié : si vous avez un routeur tiers (Asus, Netgear, TP-Link avec firmware OpenWRT), vous pouvez créer un VLAN (réseau local virtuel) complètement isolé. C’est plus technique, mais c’est le niveau de protection recommandé par l’ANSSI pour les installations domotiques complètes.

Attention : tous les réseaux « invité » ne sont pas équivalents. Certaines box opérateur n’isolent pas vraiment les appareils entre eux sur ce réseau. Vérifiez dans les paramètres que l’option « isolation des clients » ou « AP isolation » est bien activée.

Étape 2 – Changer tous les mots de passe par défaut

Dès qu’un appareil arrive chez vous, la première chose à faire est de changer son mot de passe. Sans exception. Caméra, thermostat, box domotique, serrure connectée, routeur : tous.

Un bon mot de passe pour un objet connecté :

Au moins 12 caractères (16 de préférence)
Mélange de lettres, chiffres et caractères spéciaux
Unique : jamais le même que votre mot de passe email ou banque
Stocké dans un gestionnaire de mots de passe (Bitwarden, 1Password, KeePass)

La CNIL recommande également de créer une adresse email dédiée pour les comptes liés à vos objets connectés, distincte de votre adresse personnelle principale. Si cette adresse est compromise, vos autres comptes restent protégés.

Activez la double authentification (2FA) partout où c’est possible : sur l’application Nest, l’application Hue, votre compte de box domotique. C’est deux minutes de configuration qui bloquent l’immense majorité des tentatives d’intrusion.

Étape 3 – Mettre à jour le firmware de chaque appareil régulièrement

La mise à jour du firmware, c’est l’équivalent des patchs de sécurité pour votre ordinateur. Sauf que personne ne vous le rappelle.

Prenez l’habitude de vérifier les mises à jour une fois par trimestre pour chaque appareil :

Caméras : via l’interface web de l’appareil ou l’application dédiée
Thermostats Nest, Tado, Netatmo : via l’application mobile
Box domotique (Jeedom, Home Assistant, Fibaro) : via l’interface d’administration
Ampoules Hue : via l’application Philips Hue → Paramètres → Mises à jour du logiciel

Activez les mises à jour automatiques quand l’option existe. Pour les appareils qui ne le proposent pas, notez un rappel dans votre calendrier.

Étape 4 – Désactiver les fonctionnalités inutiles

Chaque fonctionnalité activée est une surface d’attaque potentielle. Désactivez ce que vous n’utilisez pas.

UPnP (Universal Plug and Play) : cette fonction permet aux appareils d’ouvrir automatiquement des ports sur votre routeur pour communiquer avec l’extérieur. Pratique, mais dangereuse. Désactivez-la dans les paramètres avancés de votre box ou routeur, sauf si une application spécifique en a absolument besoin.

L’accès à distance : si vous n’avez pas besoin de consulter vos caméras depuis l’extérieur, désactivez cette option. Moins votre appareil est exposé sur Internet, moins il est vulnérable. Si vous avez besoin d’un accès distant, passez par un VPN (voir étape 5) plutôt que par les ports ouverts directement.

La télémétrie et le partage de données : dans les paramètres de chaque application, vérifiez quelles données sont envoyées au fabricant. Désactivez le partage statistique et les diagnostics non essentiels.

Étape 5 – Installer un VPN sur votre routeur

C’est l’étape la plus puissante et la moins connue du grand public.

Quand vous installez un VPN sur votre smartphone, vous protégez uniquement ce téléphone. Quand vous installez un VPN directement sur votre routeur, vous chiffrez automatiquement le trafic de tous les appareils connectés à votre réseau : caméras, thermostats, ampoules, serrures, enceintes connectées. Même les appareils qui ne supportent pas nativement un client VPN sont couverts.

Concrètement, un VPN sur routeur apporte trois choses :

Chiffrement de bout en bout : les données qui quittent votre domicile sont chiffrées. Un attaquant qui intercepterait votre trafic ne verrait qu’un flux illisible.
Masquage de l’adresse IP : votre adresse IP réelle n’est pas exposée aux serveurs distants auxquels se connectent vos objets. Cela complique le ciblage de votre réseau.
Protection contre les interceptions : sur les réseaux publics ou en cas d’attaque de type « man-in-the-middle », vos données restent protégées.

Pour la mise en place, VeePN VPN est une solution compatible avec l’installation directe sur routeur. VeePN propose plus de 2 600 serveurs dans 85 pays, un chiffrement AES-256 bits, et une politique stricte de non-conservation des logs (vos activités ne sont pas enregistrées). Un abonnement couvre jusqu’à 10 appareils simultanément, ce qui suffit largement pour un foyer équipé en domotique. Les protocoles supportés incluent OpenVPN, WireGuard, IKEv2 et Shadowsocks – des standards reconnus dans le secteur.

L’installation sur routeur varie selon le modèle. Les routeurs Asus (avec firmware ASUSWRT), Netgear Nighthawk et les routeurs sous OpenWRT supportent généralement une configuration VPN native. Consultez la documentation de votre routeur et les guides d’installation de votre fournisseur VPN.

Étape 6 – Surveiller les appareils connectés à votre réseau

Savez-vous exactement combien d’appareils sont connectés à votre Wi-Fi en ce moment ? La plupart des propriétaires ne le savent pas.

Plusieurs outils gratuits permettent de scanner votre réseau local :

Fing (application mobile, iOS et Android) : scan en quelques secondes, liste tous les appareils avec leur adresse IP, adresse MAC et fabricant. Très accessible.
Advanced IP Scanner (Windows) : plus détaillé, idéal si vous avez une installation domotique complexe.
L’interface de votre box : la plupart des box opérateur (Freebox Delta, Livebox 6) affichent la liste des appareils connectés dans leur interface d’administration. Vérifiez-la régulièrement.

Si vous repérez un appareil inconnu, isolez-le immédiatement en changeant votre mot de passe Wi-Fi. Notez les adresses MAC de vos appareils légitimes pour les identifier facilement.

Nuances importantes : ce que ces solutions ne font pas

VPN sur routeur vs VPN sur un seul appareil

La différence est fondamentale. Un VPN installé sur votre ordinateur ou téléphone protège uniquement ce terminal. Votre caméra IP, votre thermostat, votre serrure connectée continuent de communiquer sans protection.

Un VPN sur routeur couvre tout le réseau d’un coup. C’est la seule façon de protéger les objets qui ne peuvent pas faire tourner un client VPN eux-mêmes – ce qui est le cas de la quasi-totalité des objets IoT.

Revers de la médaille : si votre routeur ne supporte pas le VPN nativement, il faudra soit acheter un routeur compatible, soit installer un firmware alternatif (OpenWRT, DD-WRT). C’est faisable, mais ça demande un peu de technique.

Cas où un VPN seul ne suffit pas

Un VPN chiffre le trafic entre votre réseau et l’extérieur. Il ne protège pas contre :

Un appareil déjà compromis : si votre caméra a été piratée avant l’installation du VPN, le VPN ne va pas « nettoyer » l’appareil. Il faut réinitialiser l’appareil aux paramètres d’usine.
Les attaques sur le réseau local : un VPN sur routeur ne protège pas les communications entre vos appareils sur le réseau interne. Si un objet compromis essaie d’attaquer un autre appareil sur le même réseau local, le VPN n’intervient pas. C’est pour ça que la segmentation réseau (étape 1) reste indispensable.
Les applications malveillantes : si vous installez une application domotique de source douteuse sur votre téléphone, le VPN ne vous protège pas de ce que l’application fait en local.

Les limites du réseau Wi-Fi « invité »

Le réseau invité est une bonne première étape, mais il a ses limites. Selon votre opérateur et le modèle de box :

L’isolation n’est pas toujours complète : sur certaines box, les appareils du réseau invité peuvent quand même communiquer avec ceux du réseau principal. Vérifiez que l’option « AP Isolation » ou « Isolation des clients » est bien activée.
La bande passante peut être limitée : certains opérateurs bridaient historiquement le réseau invité. Testez les débits.
Pas de VLAN réel : un réseau invité n’est pas un VLAN. Pour une isolation vraiment robuste, un routeur tiers avec VLAN reste la meilleure option.