Sécuriser ses objets connectés : caméras, assistants et ampoules

Par La rédaction de Mon-Adresse-IP.net·Publié le 21 août 2026·

Une caméra, une enceinte ou une ampoule connectée sont des ordinateurs complets, allumés en permanence, que personne ne surveille. Ce guide explique pourquoi ils constituent le point faible du réseau domestique, puis détaille une méthode de cloisonnement applicable sur une box d'opérateur française, avec ses limites réelles.

Pourquoi les objets connectés sont le maillon faible

Une ampoule connectée contient un microcontrôleur, une pile réseau et, très souvent, un noyau Linux réduit : c'est un ordinateur. Mais un ordinateur sans écran, sans notification, sans antivirus, allumé vingt-quatre heures sur vingt-quatre, et que personne ne regarde jamais. Cette combinaison explique presque tout.

Une contrainte économique avant d'être technique

Le fabricant d'un objet vendu quelques dizaines d'euros n'écrit pas son micrologiciel de zéro : il part du kit de développement fourni par le fondeur de la puce radio, kit compilé une fois, validé une fois, puis figé. Quand une faille est découverte plus tard dans une bibliothèque de ce kit, la correction doit remonter du fondeur au fabricant puis redescendre jusqu'à votre salon ; chaque maillon peut avoir disparu ou perdu tout intérêt commercial à l'exercice. C'est ainsi que des objets encore en rayon embarquent des composants logiciels vieux de plusieurs années.

Les identifiants par défaut

Beaucoup d'objets sortent d'usine avec un couple identifiant/mot de passe identique sur toute une série : admin/admin, admin/12345, ou un mot de passe imprimé dans une notice consultable en ligne. Le logiciel malveillant Mirai, dont le code a été publié en 2016, ne faisait rien de plus sophistiqué que d'essayer une courte liste de ces couples sur le port Telnet des caméras et enregistreurs exposés. Aucune vulnérabilité inconnue : des mots de passe jamais changés et un service d'administration ouvert suffisaient.

La durée de support : le critère que personne ne lit

La durée de support est la période pendant laquelle le fabricant s'engage à publier des correctifs de sécurité. Elle n'a rien à voir avec la garantie ni avec la durée de vie du matériel. Un objet peut fonctionner huit ans et n'avoir été suivi que deux ans : passé ce délai, chaque faille publiée reste exploitable définitivement sur cet appareil.

Le droit européen évolue sur ce point. En France, le code de la consommation impose déjà au vendeur de fournir les mises à jour nécessaires au maintien de la conformité d'un bien comportant des éléments numériques. Surtout, le règlement (UE) 2024/2847 sur la cyberrésilience impose aux fabricants une configuration sécurisée par défaut, l'absence de mot de passe universel, des mises à jour de sécurité gratuites et, point décisif, la publication explicite de la période de support retenue. Ses obligations principales s'appliqueront à partir du 11 décembre 2027, celle de signaler les vulnérabilités activement exploitées dès le 11 septembre 2026. En parallèle, le règlement délégué (UE) 2022/30, pris au titre de la directive sur les équipements radio, impose depuis le 1^er août 2025 des exigences de cybersécurité aux équipements radio connectés vendus dans l'Union. La norme ETSI EN 303 645 sert de socle technique commun à ces textes.

Ce qu'un objet compromis permet réellement

L'intérêt d'une ampoule connectée pour un attaquant n'est pas l'ampoule. C'est sa position : à l'intérieur de votre réseau, derrière la box, avec une connexion permanente.

• Un point d'entrée latéral : une fois le micrologiciel détourné, l'objet parle à tout ce qui se trouve sur le même réseau local : NAS, imprimante, ordinateurs, interface d'administration de la box. La traduction d'adresses ne l'en empêche pas, car la connexion part de l'intérieur ; comme le détaille notre guide sur le NAT expliqué simplement, le NAT masque mais ne filtre pas.
• Un membre d'un réseau de machines zombies : l'objet est enrôlé pour émettre du trafic vers une cible lors d'une attaque par déni de service. Symptômes : voie montante saturée, latence anormale, parfois un courrier d'avertissement du fournisseur d'accès.
• Un flux vidéo ou un micro : une caméra mal configurée diffuse son image à qui connaît l'adresse et le mot de passe d'usine, et la capture audio ne produit aucun signal visible pour l'occupant.
• Une exfiltration d'habitudes : le risque le plus sous-estimé. Les métadonnées suffisent : l'heure d'allumage des lumières, les jours où le thermostat passe en mode absence, la fréquence des détections de mouvement. Ces séries temporelles décrivent votre emploi du temps avec une précision qu'aucune photo ne donnerait.
• Un mot de passe réutilisé : si le compte de l'objet partage son mot de passe avec votre messagerie, la fuite d'un service tiers dépasse largement le cadre du salon. Les mécanismes généraux sont décrits dans notre page sur les risques liés à l'exposition en ligne.

Le cas des caméras : pourquoi tant de flux sont visibles

Les caméras concentrent les mauvaises pratiques. Trois causes distinctes expliquent qu'autant de flux se retrouvent accessibles à des inconnus, et elles appellent trois réponses différentes.

1. Les identifiants d'usine jamais changés

Une caméra expose souvent plusieurs accès indépendants : l'application mobile, une interface web d'administration, un flux RTSP et parfois une interface ONVIF. Changer le mot de passe dans l'application ne modifie pas nécessairement celui du flux RTSP, qui reste sur le compte par défaut. Il faut passer en revue chaque accès dans l'interface web du produit, pas seulement dans l'application.

2. Une redirection de port ouverte à la main

Pour « voir sa caméra depuis le travail », beaucoup d'utilisateurs créent une redirection sur leur box vers le port 80, 8080 ou 554 de l'appareil. L'interface devient alors directement joignable depuis Internet, et elle sera trouvée. Notre guide ouvrir un port sur sa box explique la manœuvre et surtout dans quels cas elle ne se justifie pas ; la signification des numéros est détaillée dans notre tableau des ports TCP et UDP. Pour un accès distant, préférez un tunnel : certaines box intègrent un serveur VPN qui vous fait entrer sur le réseau domestique sans exposer le moindre service, principe décrit dans notre guide des VPN.

3. Le service P2P du fabricant

Les caméras à bas coût contournent le problème autrement : l'appareil ouvre lui-même une connexion sortante permanente vers un serveur relais du fabricant, et l'application vous y retrouve. Aucune redirection à créer, l'installation est immédiate. Mais la seule chose qui protège votre flux devient un identifiant d'appareil et un mot de passe ; lorsque ces identifiants sont attribués de façon prévisible ou que le relais est mal cloisonné, l'exposition se produit en dehors de votre réseau, donc invisible depuis votre box. Un pare-feu local n'y peut rien.

La configuration la plus robuste reste la plus simple : enregistrement local sur carte mémoire ou sur un NAS, aucun accès entrant, et consultation à distance par un tunnel chiffré. Vous perdez la commodité du service P2P ; vous gagnez le fait que personne d'autre que vous ne détient la clé du flux.

La méthode en 8 étapes

Comptez une soirée pour la première passe, puis une vérification annuelle. L'ordre a son importance : on ne cloisonne pas un réseau dont on ignore le contenu.

1. Inventorier ce qui est réellement connecté Ouvrez l'interface de votre box et relevez la liste des appareils. Les intitulés changent avec les versions de micrologiciel, mais les chemins habituels sont les suivants :

   Box	Adresse d'administration	Rubrique habituelle
   Freebox	http://mafreebox.freebox.fr	Paramètres → DHCP, baux et appareils réseau
   Livebox	http://192.168.1.1	Réseau → Appareils connectés
   Bbox	http://mabbox.bytel.fr	Réseau → Mes appareils connectés
   Box SFR / RED	http://192.168.1.1	Réseau → Périphériques connectés

   Beaucoup d'objets apparaissent sous un nom illisible. Les trois premiers octets de leur adresse matérielle identifient le fabricant de la puce réseau : notre guide sur l'adresse MAC explique comment lire ce préfixe. Attribuez ensuite un bail fixe à chaque objet, comme décrit dans notre page le DHCP expliqué, afin que la liste reste stable d'un mois sur l'autre.

   arp -a
   # recoupement : voisins récemment contactés sur le réseau local

   Attention : les téléphones récents utilisent une adresse matérielle aléatoire par réseau ; un appareil inconnu n'est pas forcément un intrus.
2. Changer tous les identifiants par défaut Un mot de passe différent par objet, jamais réutilisé, stocké dans un gestionnaire. Traitez séparément le compte en ligne du fabricant et les comptes locaux de l'appareil (interface web, RTSP, ONVIF). Activez l'authentification à deux facteurs sur le compte en ligne dès qu'elle existe : c'est lui qui, en pratique, commande la serrure et la caméra.
3. Mettre à jour et vérifier la politique de support Activez la mise à jour automatique si elle existe. Sinon, notez la date d'achat, le modèle exact et la version installée, puis vérifiez une fois par an la page d'assistance du fabricant. Une recherche sur le modèle suivi de « fin de support » ou end of support donne souvent la réponse plus vite que le site officiel.
4. Isoler l'IoT sur un réseau séparé Basculez les objets sur le réseau invité de la box ou, si votre matériel le permet, sur un VLAN dédié. C'est l'étape qui transforme une compromission en incident sans conséquence ; la configuration pas à pas figure dans notre guide sécuriser sa box Internet. Lisez la section suivante avant de tout basculer : certaines fonctions cesseront de marcher.
5. N'ouvrir aucun port entrant vers un objet Supprimez dans la table des redirections toute règle pointant vers une caméra, un enregistreur ou un thermostat. Vérifiez également le pare-feu IPv6 : en IPv6, chaque objet possède une adresse publique et seul ce pare-feu le protège, comme l'explique notre guide IPv6 à la maison. Un réglage laissé en mode permissif annule tout le reste.
6. Désactiver l'UPnP L'UPnP permet à un appareil de demander lui-même l'ouverture d'un port, sans validation humaine. Avant de le couper, lisez la liste des redirections dynamiques déjà créées : elle vous apprendra ce qui, chez vous, s'est ouvert un accès tout seul. Testez ensuite les usages qui en dépendent, principalement les consoles de jeu ; notre page adresse IP et jeux vidéo décrit les alternatives.
7. Couper les fonctions inutiles Microphone d'une caméra que vous n'écoutez jamais, accès distant d'un objet piloté uniquement à la maison, envoi d'images vers un service en ligne, notification par courriel configurée avec un mot de passe en clair, mode développeur, Telnet ou SSH restés actifs. Chaque fonction désactivée est une surface d'attaque en moins et, souvent, une donnée personnelle qui ne quitte plus le logement.
8. Remplacer ou déconnecter ce qui n'est plus suivi Un objet sans correctif depuis trois ans ne se sécurise pas : il se met hors ligne, se place derrière un pont local, ou se remplace. Avant de vous en séparer, réinitialisez-le pour effacer les identifiants Wi-Fi et le compte associé, puis déposez-le en filière de recyclage.

Le cloisonnement expliqué, et ses limites

Le mot « isolation » recouvre des réalités différentes selon les box. Techniquement, un réseau invité crée un second réseau logique avec son propre nom Wi-Fi et son propre plan d'adressage : si votre réseau principal est en 192.168.1.0/24, l'invité sera par exemple en 192.168.2.0/24, et la box refuse de router entre les deux. Un objet compromis placé du côté invité ne peut donc plus atteindre votre NAS, vos partages de fichiers ni la page d'administration de la box. La distinction entre ces plages internes et votre adresse publique est détaillée dans notre guide sur les adresses IP publiques et privées.

Ce qui casse, et pourquoi

La découverte automatique repose sur des protocoles multicast qui, par conception, ne franchissent pas la frontière entre deux réseaux : le mDNS sur le port UDP 5353 et le SSDP sur le port UDP 1900. Votre téléphone resté sur le réseau principal ne verra donc plus l'enceinte, le téléviseur ni l'imprimante. Ce n'est pas un bogue, c'est exactement l'effet recherché.

Quatre contournements existent, par ordre de complexité croissante :

• Accepter la double appartenance : connectez le téléphone qui pilote la maison au réseau invité lorsque vous êtes chez vous. Simple, mais ce téléphone perd son isolation.
• Passer par l'application en ligne : elle fonctionne depuis n'importe quel réseau, mais réintroduit la dépendance au service du fabricant que vous cherchiez à limiter.
• Relayer le mDNS : un routeur digne de ce nom sait recopier sélectivement les annonces multicast d'un réseau vers l'autre. Les box d'opérateur ne proposent généralement pas cette fonction : elle suppose un routeur supplémentaire derrière la box.
• Sortir les objets du Wi-Fi : la solution la plus propre. Les ampoules, capteurs et interrupteurs en Zigbee ou Z-Wave ne parlent pas IP, et un réseau Thread (qui, lui, repose bien sur IPv6) reste confiné derrière son routeur de bordure : seul le pont qui les commande est sur le réseau. Vous passez de quinze objets exposés à un seul, qui est aussi le plus facile à mettre à jour.

Dernière limite pratique : sur la plupart des box, le réseau invité est réservé au Wi-Fi. Une caméra raccordée en Ethernet ne peut donc pas y être placée sans matériel supplémentaire, tel qu'un commutateur gérant les VLAN. Et la règle du Wi-Fi public vaut aussi ici : n'administrez jamais un objet depuis un réseau inconnu sans tunnel chiffré.

Assistants vocaux et enceintes

La détection du mot de réveil s'effectue localement, sur la puce de l'enceinte, à partir d'un modèle minuscule qui ne fait que reconnaître une empreinte sonore. Tant que ce mot n'est pas détecté, l'audio ne quitte pas l'appareil. Une fois déclenché, l'enregistrement part vers les serveurs de l'éditeur pour y être transcrit : il inclut généralement une fraction de seconde précédant le mot de réveil, ce qui explique les fragments de conversation que l'on retrouve parfois dans l'historique.

Le point sensible n'est donc pas une écoute permanente, qui n'a pas lieu : ce sont les faux déclenchements. Un mot ressemblant au mot de réveil, prononcé à la télévision, suffit à envoyer quelques secondes de votre salon vers un service distant. Ces enregistrements involontaires sont conservés au même titre que les autres et peuvent alimenter des campagnes d'annotation humaine si vous ne les avez pas refusées.

Les réglages qui changent réellement quelque chose, tous dans le compte associé :

• Consulter puis vider l'historique des enregistrements ; il est souvent plus instructif que prévu.
• Désactiver la conservation des enregistrements audio, ou activer une suppression automatique lorsque la plateforme la propose.
• Refuser explicitement l'analyse humaine des extraits à des fins d'amélioration du service.
• Désactiver les résultats personnalisés et la reconnaissance de voix dans une pièce partagée.
• Utiliser le bouton de coupure du microphone : sur plusieurs modèles il coupe l'alimentation du micro au niveau matériel, avec un témoin lumineux dédié. La documentation du fabricant précise s'il s'agit d'une coupure matérielle ou logicielle ; l'information mérite d'être vérifiée avant l'achat.

Reste le placement. Une enceinte dans une cuisine ou un salon relève d'un compromis raisonnable. La même enceinte dans une chambre ou dans un bureau où se tiennent des conversations professionnelles confidentielles transforme un confort en risque disproportionné. La CNIL a publié des travaux sur les assistants vocaux qui détaillent ce compromis ; le principe est de choisir en connaissance de cause, pas de renoncer par principe.

Les objets qui dépendent d'un service en ligne

Un objet dont chaque commande transite par un serveur distant est loué autant qu'acheté. Trois scénarios en découlent. L'arrêt du service : lorsqu'un fabricant cesse son activité, se fait racheter ou abandonne une gamme, les serveurs s'éteignent et les objets deviennent inertes. Des ampoules, des serrures et des caméras parfaitement fonctionnelles se sont ainsi retrouvées inutilisables du jour au lendemain ; le matériel n'est pas en cause, c'est l'intelligence, restée à l'extérieur, qui a disparu. La panne : une indisponibilité chez l'hébergeur du fabricant, ou simplement une coupure de votre accès, et vos lumières ne répondent plus. Un objet qui exige Internet pour piloter un appareil situé à trois mètres est une fragilité gratuite. Le changement de conditions : fonction gratuite basculée dans un abonnement, historique vidéo réduit, application obsolète imposant un renouvellement de matériel, autant de décisions unilatérales et postérieures à votre achat.

Le critère d'achat qui en découle : privilégiez un objet dont les fonctions essentielles s'exécutent en local, le service en ligne n'apportant que le confort de l'accès à distance. Cela oriente vers les objets Zigbee, Z-Wave ou Thread pilotés par un pont local, vers les produits compatibles Matter dont le principe est justement la commande locale, et vers les caméras exposant un flux RTSP ou ONVIF avec enregistrement sur support local. Des logiciels domotiques libres comme Home Assistant, Jeedom ou openHAB rassemblent ces objets sur un serveur maison, sans dépendance extérieure : plus exigeant à installer, beaucoup plus durable.

Les 8 questions à se poser avant d'acheter

Ces huit critères sont tous vérifiables avant le passage en caisse, à partir de la fiche produit, de la notice en ligne et du site du fabricant. Une réponse introuvable est une réponse en soi.

Ces critères ne coûtent presque rien à vérifier et évitent la principale erreur d'achat en domotique : multiplier les objets bon marché de marques différentes, chacun avec son application, son compte et sa propre chaîne de mises à jour. Deux écosystèmes bien choisis valent mieux que huit objets orphelins.

Que faire si un objet est compromis

Les signaux qui doivent alerter : une caméra motorisée qui pivote seule, une connexion au compte depuis un pays inattendu, une voie montante saturée sans raison, une redirection de port que vous n'avez pas créée, un objet anormalement chaud ou lent, ou un message de votre fournisseur d'accès signalant un trafic suspect.

1. Isoler immédiatement Coupez l'accès réseau de l'objet : débranchez le câble Ethernet, ou bloquez-le dans la box par filtrage. Inutile de le débrancher électriquement dans l'urgence ; c'est sa connectivité qui pose problème.
2. Réinitialiser aux réglages d'usine, puis mettre à jour hors ligne Effectuez la remise à zéro matérielle, installez la dernière version du micrologiciel, et seulement ensuite reconnectez l'objet, de préférence sur le réseau isolé. Honnêteté technique : une réinitialisation ne garantit pas l'effacement d'un implant logé dans la mémoire du micrologiciel. Sur un objet critique comme une serrure ou une caméra, le remplacement reste la seule réponse certaine.
3. Changer les mots de passe associés Compte en ligne du fabricant, comptes locaux de l'appareil, et tout autre service partageant le même mot de passe. Activez l'authentification à deux facteurs, révoquez les sessions actives et supprimez les accès partagés : invités d'une caméra, membres du foyer, intégrations tierces autorisées.
4. Auditer la box Redirections de ports inconnues, serveurs DNS modifiés, règles UPnP résiduelles, comptes d'administration ajoutés, Wi-Fi invité activé à votre insu. La procédure complète figure dans notre guide sécuriser sa box Internet.
5. Vérifier les autres appareils NAS, imprimante réseau, ordinateurs, autres objets du même lot. Consultez l'historique de connexion des comptes importants et recherchez tout partage de fichiers ou toute règle de transfert de courriel apparue récemment.
6. Vérifier l'état de votre adresse IP publique Si votre connexion a servi à émettre du spam ou du trafic d'attaque, votre adresse peut figurer sur des listes noires. Relevez-la avec notre outil de recherche d'adresse IP, puis suivez la procédure décrite dans mon IP est bloquée.

Une règle vaut dans tous les cas : un objet qui ne peut plus être mis à jour ne doit pas être reconnecté au réseau après un incident. Le nettoyer ne répare pas la faille qui a permis l'intrusion.

Questions fréquentes