L'adresse MAC : l'identifiant matériel de vos appareils

Par La rédaction de Mon-Adresse-IP.net·Publié le 21 août 2026·

Chaque carte réseau du monde porte un numéro de série de 48 bits gravé par son fabricant. Cette adresse MAC ne sort jamais de votre réseau local, mais elle a longtemps suffi à suivre un téléphone de boutique en boutique. Voici ce qu'elle est réellement, ce qu'elle permet, et ce que la randomisation a changé.

Définition et format

MAC est l'acronyme de Media Access Control, la sous-couche de la norme IEEE 802 qui gère l'accès au support physique. L'adresse MAC (que la norme appelle aujourd'hui EUI-48) identifie une interface réseau, et non un appareil. Un ordinateur portable avec Ethernet, Wi-Fi et Bluetooth possède donc au minimum trois adresses MAC différentes, et un smartphone en a au moins deux.

Ces 48 bits s'écrivent traditionnellement sous forme de six octets en hexadécimal, chaque octet valant de 00 à FF. Trois notations coexistent, strictement équivalentes :

Deux-points	3C:5A:B4:0F:12:9D, notation IEEE, utilisée par macOS, Linux, les analyseurs réseau et la plupart des interfaces de box.
Tirets	3C-5A-B4-0F-12-9D : notation de Windows, que vous retrouverez dans ipconfig et getmac.
Points	3c5a.b40f.129d : notation « à la Cisco », par groupes de deux octets, courante sur les commutateurs professionnels.

Certaines interfaces acceptent aussi la forme compacte 3c5ab40f129d. La casse n'a aucune importance : 3C:5A:B4 et 3c:5a:b4 désignent la même valeur. Retenez surtout que si vous devez recopier une MAC d'un système vers un autre, il faudra probablement convertir les séparateurs : beaucoup d'interfaces de box refusent silencieusement une adresse saisie avec des tirets alors qu'elles attendent des deux-points.

L'espace d'adressage compte 2⁴⁸ combinaisons, soit environ 281 000 milliards d'adresses. C'est bien plus large que les 4,3 milliards d'adresses de l'IPv4, ce qui explique qu'aucune pénurie n'ait jamais menacé les adresses MAC : la difficulté est ailleurs, dans la traçabilité qu'un identifiant permanent implique.

La structure d'une adresse MAC

Une adresse MAC universelle se lit en deux moitiés. Reprenons l'exemple 3C:5A:B4:0F:12:9D :

3C:5A:B4 : 0F:12:9D
└──────┘   └──────┘
   OUI      identifiant de l'exemplaire
# 24 premiers bits  : bloc attribué au fabricant par l'IEEE
# 24 derniers bits  : numéro que le fabricant attribue à chaque carte

Les 24 premiers bits forment l'OUI (Organizationally Unique Identifier), un préfixe que l'IEEE Registration Authority vend aux fabricants de matériel. Un bloc MA-L (24 bits de préfixe) donne au constructeur 2²⁴ adresses, soit un peu plus de 16 millions d'exemplaires. Pour les petits fabricants, l'IEEE délivre aussi des blocs MA-M (préfixe de 28 bits) et MA-S (préfixe de 36 bits), beaucoup plus étroits : nous verrons plus loin pourquoi cela complique l'identification d'un fabricant.

Les deux bits particuliers du premier octet

C'est le détail que la plupart des pages sur le sujet passent sous silence, alors qu'il permet de tout comprendre. Les deux bits de poids faible du premier octet ne font pas partie de l'identification du fabricant : ce sont des drapeaux.

• Bit I/G (Individual/Group), le bit de poids le plus faible. À 0, la trame vise une seule interface ; à 1, elle vise un groupe. C'est pourquoi la diffusion générale s'écrit FF:FF:FF:FF:FF:FF, que le multicast IPv4 utilise le préfixe 01:00:5E et le multicast IPv6 le préfixe 33:33.
• Bit U/L (Universal/Local), le bit immédiatement supérieur, de valeur 0x02. À 0, l'adresse provient d'un bloc IEEE : elle est universelle. À 1, elle a été définie localement par un logiciel, un hyperviseur ou le système d'exploitation.

Comme ces deux bits occupent les deux positions basses du premier octet, tout se lit sur son deuxième chiffre hexadécimal :

C'est aussi ce bit U/L qui explique les préfixes familiers des environnements virtualisés : 52:54:00 pour QEMU/KVM ou 02:42:… pour les conteneurs Docker sont des adresses locales, choisies par convention et non achetées à l'IEEE. D'autres hyperviseurs utilisent au contraire de vrais OUI enregistrés, comme 00:50:56 pour VMware ou 08:00:27 pour VirtualBox.

MAC contre IP : une question de portée

La confusion entre adresse MAC et adresse IP vient d'une intuition trompeuse : on imagine deux identifiants concurrents alors qu'ils opèrent à deux échelles différentes. L'adresse IP est une adresse de bout en bout : elle reste la même du départ à l'arrivée, à travers autant de réseaux qu'il le faut. L'adresse MAC est une adresse de voisinage : elle ne sert qu'à faire passer une trame d'un équipement au suivant sur un même segment, et elle est réécrite à chaque saut.

Autrement dit : l'adresse MAC ne franchit jamais un routeur. Votre box est un routeur. Vos adresses MAC s'arrêtent donc à elle, très exactement comme vos adresses IP privées s'arrêtent au NAT. Un site web ne peut pas connaître votre MAC, un service en ligne non plus, et une page qui prétend « afficher votre adresse MAC » ne peut le faire qu'avec un logiciel installé sur votre machine.

Le rôle d'ARP : relier une IP à une MAC

Reste un problème pratique. Votre ordinateur connaît l'adresse IP de destination, mais la carte réseau ne sait envoyer une trame qu'à une adresse MAC. Le protocole ARP (Address Resolution Protocol, RFC 826) fait le lien. Déroulons un cas concret : votre PC, en 192.168.1.20, veut interroger le résolveur DNS 1.1.1.1.

1. Le PC compare les adresses. 1.1.1.1 n'appartient pas au réseau 192.168.1.0/24 : la destination est donc hors du réseau local, et la trame doit partir vers la passerelle par défaut, 192.168.1.1.
2. Le PC cherche la MAC de la passerelle. Si son cache ARP est vide, il diffuse une question à toutes les machines du réseau, vers l'adresse FF:FF:FF:FF:FF:FF : « qui possède 192.168.1.1 ? ».
3. La box répond. Elle renvoie sa propre adresse MAC, par exemple 44:CE:7D:1A:2B:3C, que le PC mémorise pendant quelques minutes.
4. La trame part. Elle porte une destination MAC = celle de la box, mais une destination IP = 1.1.1.1. Les deux couches ne disent pas la même chose, et c'est normal.
5. La box réécrit tout. Elle jette l'en-tête de la trame, remplace l'adresse MAC source et destination par celles du saut suivant chez votre opérateur, et transmet. Votre MAC vient de disparaître définitivement.

Vous pouvez observer ce cache : arp -a sous Windows et macOS, ip neigh sous Linux. Vous y verrez les MAC de votre box, de votre imprimante et de vos téléphones, et rien d'autre, puisque rien d'extérieur n'y figure jamais.

En IPv6, ARP n'existe plus. Il est remplacé par NDP (Neighbor Discovery Protocol, RFC 4861), qui repose sur des messages ICMPv6 de sollicitation et d'annonce de voisin, envoyés en multicast plutôt qu'en diffusion générale. Le principe reste identique. Un détail historique mérite d'être connu : les premières implémentations d'IPv6 dérivaient l'identifiant d'interface directement de la MAC selon la méthode EUI-64 (insertion de FF:FE au milieu et inversion du bit U/L), ce qui plaçait un identifiant matériel permanent dans une adresse publiquement visible. Les adresses temporaires (RFC 4941) puis les identifiants stables mais opaques (RFC 7217) ont corrigé ce défaut, et les systèmes actuels ne procèdent plus ainsi : un point à vérifier tout de même si vous activez l'IPv6 à la maison sur un équipement ancien.

Où trouver son adresse MAC

Chaque système la nomme différemment : « adresse physique », « adresse Ethernet », « adresse Wi-Fi », « hardware address ». Il s'agit toujours de la même chose. Attention à ne pas confondre les interfaces : la MAC Ethernet et la MAC Wi-Fi d'un même appareil sont deux adresses distinctes, et c'est presque toujours celle de l'interface réellement utilisée que l'on vous demande.

La randomisation des adresses MAC

Pendant longtemps, un téléphone dont le Wi-Fi était activé émettait en permanence des probe requests, de petites trames qui cherchent les réseaux connus, en y inscrivant son adresse MAC permanente en clair. N'importe quelle borne pouvait donc enregistrer cet identifiant unique à chaque passage. Des dispositifs de comptage installés dans des commerces et des centres commerciaux ont exploité ce mécanisme pour mesurer la fréquentation et les trajets des passants sans qu'aucune connexion ne soit établie ; en France, la CNIL encadre ces dispositifs de mesure d'audience par Wi-Fi dans les lieux ouverts au public. La randomisation a été conçue pour rendre ce suivi inopérant.

Deux modes très différents

Tous les systèmes randomisent désormais l'adresse utilisée pour scanner les réseaux. La vraie différence porte sur l'adresse présentée une fois connecté :

• Adresse aléatoire par réseau (stable). Le système tire une adresse au hasard, puis la conserve pour ce réseau précis. Votre téléphone présente toujours la même MAC à votre box, une autre à celle de votre bureau, une troisième au Wi-Fi du train. Les réseaux ne peuvent plus se recouper entre eux, mais chaque réseau vous reconnaît d'une visite à l'autre. C'est le comportement par défaut d'Android depuis la version 10 et d'iOS depuis la version 14, ainsi que le mode « fixe » proposé par macOS.
• Adresse aléatoire rotative. L'adresse change périodiquement pour un même réseau. Le réseau lui-même ne peut plus vous suivre dans la durée. C'est le mode « rotatif » d'iOS 18 et de macOS 15, l'option de randomisation non persistante d'Android, et l'option de Windows qui renouvelle l'adresse chaque jour pour un réseau donné.

Sous Windows, le réglage se trouve dans Paramètres › Réseau et Internet › Wi-Fi, avec un interrupteur global « Adresses matérielles aléatoires » et un réglage par réseau. Sous Linux, NetworkManager expose les mêmes possibilités via les propriétés wifi.scan-rand-mac-address pour les scans et wifi.cloned-mac-address pour la connexion, cette dernière acceptant les valeurs random, stable, preserve ou permanent.

Les effets de bord, bien réels

La randomisation est une bonne chose pour la vie privée, et une source de dépannages inattendus à la maison. Trois symptômes reviennent constamment :

• Le filtrage MAC cesse de fonctionner. Vous avez autorisé la MAC gravée du téléphone dans votre box ; le téléphone se présente avec une adresse aléatoire ; la box le rejette. Le symptôme classique est « mon téléphone ne se connecte plus au Wi-Fi depuis une mise à jour ».
• La réservation DHCP saute. Une réservation associe une IP fixe à une MAC. Si la MAC change, le serveur DHCP considère qu'il a affaire à un nouvel appareil et lui attribue une adresse quelconque. Votre imprimante réseau ou votre NAS, censés être toujours à la même adresse, deviennent introuvables, et une éventuelle redirection de port configurée vers l'ancienne adresse pointe désormais dans le vide, comme l'explique notre guide pour ouvrir un port.
• Le portail captif redemande une authentification. Hôtels, trains, aéroports et réseaux municipaux identifient une session ouverte par l'adresse MAC. Avec une adresse rotative, chaque changement vous ramène à la page de connexion, parfois au milieu d'un téléchargement. Sur ce type de réseau, mieux vaut de toute façon connaître les risques décrits dans notre guide sur le Wi-Fi public.

D'autres conséquences sont moins visibles : le contrôle parental de la box, souvent configuré par appareil, ne reconnaît plus l'appareil concerné ; la liste des équipements connectés se remplit de noms inconnus ; certains réseaux d'entreprise ou d'université refusent purement et simplement les adresses administrées localement.

Désactiver la randomisation pour un réseau précis

La bonne pratique n'est jamais de désactiver la fonction globalement, mais de faire une exception pour le réseau que vous contrôlez, en gardant la protection partout ailleurs.

1. iOS et iPadOS. Réglages › Wi-Fi, bouton i à côté du réseau, puis « Adresse Wi-Fi privée » : choisissez Fixe pour garder une adresse stable, ou Désactivé pour présenter l'adresse matérielle.
2. Android. Paramètres › Réseau et Internet › Internet, roue dentée du réseau, puis Confidentialité : sélectionnez « Utiliser l'adresse MAC de l'appareil ». L'emplacement varie selon les surcouches des constructeurs.
3. Windows 11. Paramètres › Réseau et Internet › Wi-Fi, ouvrez les propriétés du réseau et passez « Adresses matérielles aléatoires » sur Désactivé pour ce réseau.
4. macOS. Réglages Système › Réseau › Wi-Fi › Détails pour le réseau concerné, puis « Adresse Wi-Fi privée » sur Désactivée.
5. Linux (NetworkManager). nmcli connection modify "MonWifi" wifi.cloned-mac-address permanent, puis reconnexion de l'interface.

Après le changement, supprimez l'ancien bail dans votre box et refaites la réservation DHCP avec la bonne adresse : sinon deux entrées coexisteront pour un seul appareil.

Le filtrage MAC n'est pas une sécurité

Presque toutes les box proposent un « contrôle d'accès Wi-Fi » qui n'autorise que des adresses MAC déclarées. L'idée paraît solide. Elle ne l'est pas, pour une raison structurelle : les adresses MAC voyagent en clair dans les en-têtes des trames Wi-Fi. Le chiffrement WPA2 ou WPA3 protège le contenu des trames, pas leurs en-têtes, qui doivent rester lisibles pour que les équipements sachent à qui les transmettre. Une carte Wi-Fi placée en mode écoute relève donc la liste des adresses autorisées d'un réseau sans même s'y connecter, et sans en connaître la clé.

Le reste suit : copier une adresse MAC autorisée sur une autre machine prend une commande, et la plupart des systèmes le permettent nativement. Un filtrage MAC seul est donc contournable en quelques minutes par quelqu'un qui sait ce qu'il fait.

Les mesures qui protègent réellement sont ailleurs : WPA3 ou à défaut WPA2-AES, une phrase de passe longue et unique, la désactivation du WPS, un réseau invité séparé et des mises à jour de firmware appliquées. Notre guide pour sécuriser sa box Internet détaille l'ordre dans lequel s'y prendre. Si vous tenez au filtrage MAC, considérez-le comme une commodité d'organisation, jamais comme une couche de défense.

Changer son adresse MAC

Modifier l'adresse MAC présentée par une interface, parfois appelé MAC spoofing, est une opération banale, prévue par les systèmes d'exploitation eux-mêmes. Les cas légitimes existent :

• Remplacer un routeur chez un opérateur qui associe le service à la MAC de l'équipement précédent. La fonction « clonage MAC » présente sur la plupart des routeurs sert exactement à cela.
• Tester un réseau, reproduire un comportement observé ou vérifier qu'une règle de filtrage fonctionne comme prévu, sur une infrastructure dont vous êtes responsable.
• Limiter le suivi sur un réseau public si votre appareil ne dispose pas de randomisation intégrée.
• Contourner une association héritée après un changement d'abonnement, quand une ancienne configuration reste attachée à un matériel que vous n'avez plus.

Techniquement, la règle d'or est de toujours choisir une adresse administrée localement, c'est-à-dire dont le deuxième chiffre hexadécimal du premier octet vaut 2, 6, A ou E. Vous évitez ainsi tout risque de collision avec une adresse réellement attribuée à un fabricant.

# Linux : changement temporaire, perdu au redémarrage
sudo ip link set dev enp3s0 down
sudo ip link set dev enp3s0 address 02:1A:2B:3C:4D:5E
sudo ip link set dev enp3s0 up

# Linux : changement persistant via NetworkManager
nmcli connection modify "MonWifi" wifi.cloned-mac-address 02:1A:2B:3C:4D:5E

Sous Windows, ouvrez le Gestionnaire de périphériques, affichez les propriétés de la carte réseau, onglet Avancé, et cherchez la propriété « Adresse réseau » ou « Locally Administered Address ». Saisissez douze chiffres hexadécimaux sans séparateur. Tous les pilotes n'exposent pas ce réglage : son absence signifie que le fabricant ne l'a pas implémenté, et aucun contournement propre n'existe alors.

Sous macOS, la commande sudo ifconfig en0 ether 02:1A:2B:3C:4D:5E a longtemps fonctionné, à condition de se déconnecter du réseau au préalable. Sur les versions récentes, en particulier sur Mac à puce Apple, elle est fréquemment sans effet : mieux vaut utiliser l'adresse Wi-Fi privée intégrée, qui remplit le même office.

Sur Android et iOS, aucune modification manuelle n'est possible sans compromettre le système. La randomisation native est la seule voie, et elle suffit largement.

Une précision utile : changer l'adresse MAC d'un ordinateur ne change pas votre adresse IP publique, qui dépend de votre abonnement. Si votre objectif est de modifier ce que voient les sites que vous consultez, la MAC n'est pas le bon levier : c'est du côté de l'adresse IP et de l'empreinte de navigateur qu'il faut regarder.

MAC et vie privée à la maison

Puisque votre MAC ne sort pas de chez vous, la question de la vie privée se déplace vers l'intérieur du réseau. Et là, elle est réelle.

Votre box tient en permanence une table des baux DHCP : pour chaque appareil, son adresse MAC, l'adresse IP attribuée, la date d'obtention et, très souvent, le nom d'hôte que l'appareil a annoncé de lui-même. La plupart des interfaces d'administration conservent aussi un historique des connexions et déconnexions. Ouvrez cette page : vous obtenez la liste horodatée de tout ce qui est présent chez vous, et de qui rentre et sort.

L'OUI enrichit ce tableau. Les trois premiers octets suffisent à identifier un fabricant, donc souvent une catégorie d'appareil : un téléviseur, une console, une enceinte connectée, une imprimante, un thermostat, une caméra. Le nom d'hôte complète le portrait, parce qu'il contient fréquemment le modèle et le prénom du propriétaire. Une simple capture de cette page révèle donc la composition du foyer, le niveau d'équipement et les habitudes de présence. C'est exactement le type d'inventaire qu'il vaut mieux ne pas laisser accessible : changez le mot de passe d'administration par défaut de votre box, et prenez le temps de lire notre guide sur la sécurité des objets connectés, qui traite du cloisonnement de ces appareils sur un réseau séparé.

Une nuance importante sur ce qui fuit à l'extérieur : sur un Wi-Fi protégé par WPA2 ou WPA3, seules les adresses MAC sont lisibles depuis la rue, car les en-têtes ne sont pas chiffrés. Les noms d'hôtes, eux, circulent dans des paquets DHCP et mDNS chiffrés par le Wi-Fi, et restent donc à l'intérieur. Sur un réseau ouvert, en revanche, tout est lisible : adresses, noms d'appareils, annonces de partage de fichiers. C'est une raison de plus de traiter les hotspots ouverts avec méfiance.

Enfin, une question de droit qui revient souvent : l'adresse MAC constitue-t-elle une donnée personnelle ? Dès lors qu'elle permet, seule ou combinée à d'autres informations, d'identifier indirectement une personne physique, elle relève du RGPD au même titre qu'une adresse IP. C'est ce qui explique l'encadrement des dispositifs de comptage Wi-Fi, sujet que nous abordons dans notre page sur l'adresse IP et le RGPD.

Vérifier à qui appartient un OUI

L'IEEE Registration Authority publie gratuitement ses registres d'attribution : les listes MA-L, MA-M et MA-S sont consultables en ligne et téléchargeables au format texte ou CSV. Toute recherche d'OUI, quel que soit le site qui la propose, ne fait que consulter ces mêmes données publiques. Sous Linux, les paquets d'analyse réseau embarquent d'ailleurs une copie locale de cette base et affichent directement le nom du constructeur à côté de chaque adresse.

Quatre précautions avant de tirer une conclusion d'un OUI :

• Une adresse randomisée n'a aucun fabricant. Si le deuxième chiffre du premier octet vaut 2, 6, A ou E, la recherche ne renverra rien, et c'est normal. Beaucoup d'outils affichent alors « inconnu » ou « non attribué », ce qui prête à confusion.
• Le fabricant du composant n'est pas la marque de l'appareil. L'OUI identifie l'entreprise qui a acheté le bloc, souvent le fabricant du module Wi-Fi ou le sous-traitant qui assemble le produit, pas la marque inscrite sur le boîtier.
• Les blocs MA-M et MA-S rendent la lecture ambiguë. Comme leur préfixe dépasse 24 bits, plusieurs entreprises se partagent le même début d'adresse. Une recherche limitée aux trois premiers octets peut donc désigner le mauvais titulaire.
• Les registres évoluent. Des blocs changent de propriétaire au fil des rachats ; une base locale ancienne donnera un nom périmé.

Utilisée avec ces réserves, la consultation d'un OUI reste un excellent outil de diagnostic domestique : elle permet d'identifier l'appareil inconnu apparu dans la liste de votre box, ou de confirmer qu'une adresse suspecte correspond simplement au module Wi-Fi de votre lave-linge. Pour le vocabulaire réseau croisé dans ce guide (OUI, ARP, NDP, bail DHCP, multicast), notre glossaire propose des définitions courtes, et notre page mon navigateur montre par contraste les informations que vous transmettez réellement, celles-là, à chaque site visité.

Questions fréquentes