Guide pratique : Sécuriser votre réseau WiFi domestique

Votre WiFi domestique est-il securise ?

Au Senegal, la plupart des foyers et petits bureaux utilisent la box Internet de leur FAI (Orange/Sonatel, Free, Expresso) avec les parametres par defaut. Le mot de passe WiFi est souvent le mot de passe d’usine, le nom du reseau revele le modele du routeur, et les parametres de securite sont rarement modifies. Un reseau WiFi mal securise permet a un voisin de voler votre bande passante, a un attaquant d’intercepter vos donnees, ou a un intrus de lancer des attaques depuis votre connexion.

Les risques d’un WiFi non securise

Etape 1 : Acceder a l’interface du routeur

Chaque routeur a une interface d’administration web. Voici comment y acceder :

# Trouver l'adresse IP de votre routeur
# Windows PowerShell :
ipconfig
# Cherchez "Passerelle par defaut" : souvent 192.168.1.1 ou 192.168.0.1

# Ouvrez votre navigateur et tapez :
# http://192.168.1.1

# Identifiants par defaut courants au Senegal :
# Orange Livebox : admin / le mot de passe est sur l'etiquette sous la box
# Huawei (Free) : admin / admin ou admin / password
# TP-Link : admin / admin
# D-Link : admin / (vide)

Premiere action : changez le mot de passe d’administration du routeur immediatement. Un attaquant qui connait le modele de votre routeur peut se connecter avec les identifiants par defaut.

Etape 2 : Securiser le mot de passe WiFi

Choisir le bon protocole de securite

Creer un mot de passe WiFi solide

• Longueur : minimum 20 caracteres (les mots de passe WiFi doivent etre longs car ils sont attaques hors ligne)
• Structure : phrase de passe facile a retenir mais longue. Exemple : Dakar-Est-Belle-En-Juin-2024!
• A eviter : votre numero de telephone, votre nom de famille, 12345678, le nom de votre rue
• Partage : ne donnez le mot de passe WiFi qu’aux personnes de confiance. Pour les visiteurs, utilisez le reseau invite

Etape 3 : Configurer le nom du reseau (SSID)

• Changez le nom par defaut : « LIVEBOX-A4F2 » ou « HUAWEI-5G » revele le modele de votre routeur, facilitant les attaques ciblees
• Choisissez un nom neutre : pas votre nom de famille, pas votre adresse, pas « WiFi_Diallo_Villa_12 »
• Bon exemple : « MonReseau2024 » ou un nom sans information personnelle
• Masquer le SSID ? : deconseille. Un SSID cache n’apporte pas de securite reelle (il est facilement detectable) et complique la connexion de vos appareils

Etape 4 : Creer un reseau invite

Un reseau invite isole vos visiteurs de vos appareils personnels :

• Les visiteurs peuvent acceder a Internet mais pas a vos partages reseau, imprimantes ou NAS
• Mot de passe different du reseau principal, que vous pouvez changer regulierement
• Limiter la bande passante du reseau invite pour preserver votre debit
• La plupart des routeurs modernes (meme les Livebox Orange) ont cette fonction dans l’interface d’administration

Etape 5 : Filtrage et controle d’acces

Voir qui est connecte a votre WiFi

# Scanner votre reseau local avec Nmap
nmap -sn 192.168.1.0/24

# Ou sur Windows avec PowerShell
arp -a

# Application mobile gratuite : Fing (Play Store)
# Montre tous les appareils connectes avec leurs noms

Si vous voyez des appareils inconnus, votre WiFi est compromis. Changez immediatement le mot de passe.

Filtrage MAC (protection supplementaire legere)

Le filtrage MAC n’autorise que les appareils dont l’adresse MAC est dans une liste blanche. C’est une couche supplementaire mais pas infaillible (les adresses MAC peuvent etre falsifiees) :

# Trouver l'adresse MAC de vos appareils
# Windows PowerShell :
Get-NetAdapter | Select-Object Name, MacAddress

# Android : Parametres > A propos du telephone > Adresse MAC WiFi
# (Attention : Android 10+ utilise des MAC aleatoires par defaut)

Etape 6 : Mettre a jour le firmware du routeur

• Les mises a jour du firmware corrigent les vulnerabilites de securite
• Verifiez dans l’interface d’administration si une mise a jour est disponible
• Orange met a jour les Livebox automatiquement, mais verifiez quand meme
• Pour les routeurs TP-Link, D-Link, etc. : visitez le site du fabricant pour telecharger la derniere version
• Planifiez une verification trimestrielle

Etape 7 : Desactiver les fonctions inutiles

• WPS (WiFi Protected Setup) : desactivez-le. Le bouton WPS et le code PIN WPS sont vulnerables aux attaques brute-force. C’est la faille la plus exploitee sur les routeurs domestiques
• UPnP : desactivez-le sauf si vous avez un besoin specifique. UPnP permet a des applications d’ouvrir des ports sur votre routeur automatiquement, ce qui peut etre exploite par des malwares
• Administration a distance : desactivez l’acces a l’interface du routeur depuis Internet (WAN). L’administration ne doit etre accessible que depuis le reseau local
• Pin code : si votre routeur affiche un PIN WPS sur son etiquette, desactivez cette fonctionnalite dans les parametres

Etape 8 : Changer les DNS pour plus de securite

Remplacer les DNS par defaut de votre FAI par des DNS filtrants bloque l’acces aux sites malveillants :

# Option 1 : Cloudflare DNS (rapide + bloque les malwares)
# DNS primaire : 1.1.1.2
# DNS secondaire : 1.0.0.2

# Option 2 : CleanBrowsing (filtre familial + malwares)
# DNS primaire : 185.228.168.168
# DNS secondaire : 185.228.169.168

# Option 3 : Quad9 (bloque les domaines malveillants)
# DNS primaire : 9.9.9.9
# DNS secondaire : 149.112.112.112

# Configurez ces DNS dans votre routeur (Parametres > DNS)
# Cela protege TOUS les appareils du reseau automatiquement

Configuration WiFi pour les cas specifiques au Senegal

Partage de connexion 4G (point d’acces mobile)

• Changez le nom et le mot de passe par defaut du point d’acces
• Limitez le nombre d’appareils connectes (4-5 maximum)
• Utilisez WPA2 (tous les telephones modernes le supportent)
• Desactivez le point d’acces quand vous ne l’utilisez pas

WiFi en entreprise / bureau

• Reseau principal pour les employes (WPA2/WPA3, mot de passe fort)
• Reseau invite separe pour les visiteurs et clients (isole du reseau interne)
• Changer le mot de passe WiFi quand un employe quitte l’entreprise
• Utiliser WPA2-Enterprise (avec RADIUS) si vous avez plus de 20 employes pour des identifiants individuels

WiFi et cameras de surveillance

Les cameras IP WiFi sont souvent mal securisees :

• Changez le mot de passe par defaut de CHAQUE camera (beaucoup restent sur admin/admin)
• Placez les cameras sur un VLAN separe ou le reseau invite si possible
• Mettez a jour le firmware des cameras regulierement
• Desactivez l’acces cloud si vous n’en avez pas besoin

Depannage WiFi courant

Checklist securite WiFi

• Mot de passe d’administration du routeur change (plus le mot de passe par defaut)
• Protocole WPA2-AES ou WPA3 active (pas de WEP, pas de WPA-TKIP)
• Mot de passe WiFi de 20+ caracteres, unique
• Nom du reseau (SSID) change, sans information personnelle
• Reseau invite configure et isole pour les visiteurs
• WPS desactive
• UPnP desactive
• Administration a distance desactivee
• Firmware du routeur a jour
• DNS filtrants configures (Cloudflare 1.1.1.2 ou Quad9 9.9.9.9)
• Appareils connectes verifies regulierement