Guide pratique : Sécuriser votre réseau WiFi domestique

Votre WiFi domestique est-il sécurisé ?

Au Sénégal, la plupart des foyers et petits bureaux utilisent la box Internet de leur FAI (Orange/Sonatel, Free, Expresso) avec les paramètres par défaut. Le mot de passe WiFi est souvent le mot de passe d’usine, le nom du réseau révèle le modèle du routeur, et les paramètres de sécurité sont rarement modifiés. Un réseau WiFi mal sécurisé permet a un voisin de voler votre bande passante, a un attaquant d’intercepter vos données, ou a un intrus de lancer des attaques depuis votre connexion.

Les risques d’un WiFi non sécurisé

Étape 1 : Accéder a l’interface du routeur

Chaque routeur a une interface d’administration web. Voici comment y accéder :

# Trouver l'adresse IP de votre routeur
# Windows PowerShell :
ipconfig
# Cherchez "Passerelle par défaut" : souvent 192.168.1.1 ou 192.168.0.1

# Ouvrez votre navigateur et tapez :
# http://192.168.1.1

# Identifiants par défaut courants au Sénégal :
# Orange Livebox : admin / le mot de passe est sur l'étiquette sous la box
# Huawei (Free) : admin / admin ou admin / password
# TP-Link : admin / admin
# D-Link : admin / (vide)

Premiere action : changez le mot de passe d’administration du routeur immédiatement. Un attaquant qui connait le modèle de votre routeur peut se connecter avec les identifiants par défaut.

Étape 2 : Sécuriser le mot de passe WiFi

Choisir le bon protocole de sécurité

Créer un mot de passe WiFi solide

• Longueur : minimum 20 caracteres (les mots de passe WiFi doivent être longs car ils sont attaques hors ligne)
• Structure : phrase de passe facile a retenir mais longue. Exemple : Dakar-Est-Belle-En-Juin-2024!
• A éviter : votre numéro de téléphone, votre nom de famille, 12345678, le nom de votre rue
• Partage : ne donnez le mot de passe WiFi qu’aux personnes de confiance. Pour les visiteurs, utilisez le réseau invite

Étape 3 : Configurer le nom du réseau (SSID)

• Changez le nom par défaut : « LIVEBOX-A4F2 » ou « HUAWEI-5G » révèle le modèle de votre routeur, facilitant les attaques ciblees
• Choisissez un nom neutre : pas votre nom de famille, pas votre adresse, pas « WiFi_Diallo_Villa_12 »
• Bon exemple : « MonReseau2024 » ou un nom sans information personnelle
• Masquer le SSID ? : déconseillé. Un SSID cache n’apporte pas de sécurité réelle (il est facilement détectable) et complique la connexion de vos appareils

Étape 4 : Créer un réseau invite

Un réseau invite isolé vos visiteurs de vos appareils personnels :

• Les visiteurs peuvent accéder a Internet mais pas a vos partagés réseau, imprimantes ou NAS
• Mot de passe différent du réseau principal, que vous pouvez changer régulièrement
• Limiter la bande passante du réseau invite pour préserver votre debit
• La plupart des routeurs modernes (même les Livebox Orange) ont cette fonction dans l’interface d’administration

Étape 5 : Filtrage et contrôle d’accès

Voir qui est connecté a votre WiFi

# Scanner votre réseau local avec Nmap
nmap -sn 192.168.1.0/24

# Ou sur Windows avec PowerShell
arp -a

# Application mobile gratuite : Fing (Play Store)
# Montre tous les appareils connectés avec leurs noms

Si vous voyez des appareils inconnus, votre WiFi est compromis. Changez immédiatement le mot de passe.

Filtrage MAC (protection supplementaire légère)

Le filtrage MAC n’autorise que les appareils dont l’adresse MAC est dans une liste blanche. C’est une couche supplementaire mais pas infaillible (les adresses MAC peuvent être falsifiees) :

# Trouver l'adresse MAC de vos appareils
# Windows PowerShell :
Get-NetAdapter | Select-Object Name, MacAddress

# Android : Paramètres > A propos du téléphone > Adresse MAC WiFi
# (Attention : Android 10+ utilise des MAC aleatoires par défaut)

Étape 6 : Mettre a jour le firmware du routeur

• Les mises a jour du firmware corrigent les vulnerabilites de sécurité
• Vérifiez dans l’interface d’administration si une mise a jour est disponible
• Orange met a jour les Livebox automatiquement, mais vérifiez quand même
• Pour les routeurs TP-Link, D-Link, etc. : visitez le site du fabricant pour télécharger la dernière version
• Planifiez une vérification trimestrielle

Étape 7 : Désactiver les fonctions inutiles

• WPS (WiFi Protected Setup) : désactivez-le. Le bouton WPS et le code PIN WPS sont vulnerables aux attaques brute-force. C’est la faille la plus exploitee sur les routeurs domestiques
• UPnP : désactivez-le sauf si vous avez un besoin spécifique. UPnP permet a des applications d’ouvrir des ports sur votre routeur automatiquement, ce qui peut être exploite par des malwares
• Administration a distance : désactivez l’accès a l’interface du routeur depuis Internet (WAN). L’administration ne doit être accessible que depuis le réseau local
• Pin code : si votre routeur affiche un PIN WPS sur son étiquette, désactivez cette fonctionnalité dans les paramètres

Étape 8 : Changer les DNS pour plus de sécurité

Remplacer les DNS par défaut de votre FAI par des DNS filtrants bloque l’accès aux sites malveillants :

# Option 1 : Cloudflare DNS (rapide + bloque les malwares)
# DNS primaire : 1.1.1.2
# DNS secondaire : 1.0.0.2

# Option 2 : CleanBrowsing (filtré familial + malwares)
# DNS primaire : 185.228.168.168
# DNS secondaire : 185.228.169.168

# Option 3 : Quad9 (bloque les domaines malveillants)
# DNS primaire : 9.9.9.9
# DNS secondaire : 149.112.112.112

# Configurez ces DNS dans votre routeur (Paramètres > DNS)
# Cela protégé TOUS les appareils du réseau automatiquement

Configuration WiFi pour les cas spécifiques au Sénégal

Partage de connexion 4G (point d’accès mobile)

• Changez le nom et le mot de passe par défaut du point d’accès
• Limitez le nombre d’appareils connectés (4-5 maximum)
• Utilisez WPA2 (tous les téléphones modernes le supportent)
• Desactivez le point d’accès quand vous ne l’utilisez pas

WiFi en entreprise / bureau

• Réseau principal pour les employes (WPA2/WPA3, mot de passe fort)
• Réseau invite séparé pour les visiteurs et clients (isolé du réseau interne)
• Changer le mot de passe WiFi quand un employe quitte l’entreprise
• Utiliser WPA2-Enterprise (avec RADIUS) si vous avez plus de 20 employes pour des identifiants individuels

WiFi et cameras de surveillance

Les cameras IP WiFi sont souvent mal sécurisées :

• Changez le mot de passe par défaut de CHAQUE camera (beaucoup restent sur admin/admin)
• Placez les cameras sur un VLAN séparé ou le réseau invite si possible
• Mettez a jour le firmware des cameras régulièrement
• Desactivez l’accès cloud si vous n’en avez pas besoin

Depannage WiFi courant

Checklist sécurité WiFi

• Mot de passe d’administration du routeur change (plus le mot de passe par défaut)
• Protocole WPA2-AES ou WPA3 activé (pas de WEP, pas de WPA-TKIP)
• Mot de passe WiFi de 20+ caracteres, unique
• Nom du réseau (SSID) change, sans information personnelle
• Réseau invite configuré et isolé pour les visiteurs
• WPS désactivé
• UPnP désactivé
• Administration a distance désactivée
• Firmware du routeur a jour
• DNS filtrants configurés (Cloudflare 1.1.1.2 ou Quad9 9.9.9.9)
• Appareils connectés verifies régulièrement