Sécuriser sa box Internet : les réglages qui comptent vraiment

Par La rédaction de Mon-Adresse-IP.net·Publié le 21 août 2026·

Une box mal réglée est le maillon faible d'un foyer entier : elle voit passer tout le trafic, choisit à qui vous parlez et reste allumée jour et nuit. Voici les douze réglages qui protègent réellement, classés par rapport entre effort et bénéfice, et la liste franche de ceux qui ne servent presque à rien.

Pourquoi la box est le point le plus sensible

On protège son ordinateur avec un antivirus et ses comptes avec la double authentification. La box, elle, est installée une fois puis oubliée pendant huit ans. C'est pourtant le seul équipement du logement à cumuler quatre propriétés.

Elle voit tout le trafic. Le chiffrement HTTPS protège le contenu, pas le fait que l'échange a lieu : serveurs contactés, horaires et volumes restent lisibles pour qui contrôle la box.

Elle choisit à qui vous parlez. Elle distribue par DHCP les paramètres réseau de tous les appareils, à commencer par l'adresse du résolveur DNS. Modifier ce seul champ suffit à rediriger un nom de domaine vers un serveur contrôlé par un tiers, sans toucher au moindre appareil du foyer : le scénario le plus rentable pour un attaquant, et le plus discret, puisque rien ne change à l'écran.

Elle est la frontière du réseau. Vue d'Internet, votre installation se résume à une adresse IP publique et à ce que la box laisse passer ; une redirection ouverte par erreur, et une caméra devient joignable du monde entier. Pour mesurer ce que révèle déjà cette adresse, voyez la géolocalisation d'une adresse IP et la différence entre adresse publique et adresse privée.

Elle ne s'éteint jamais. Un ordinateur portable est allumé quelques heures par jour et corrigé tous les mois ; une box tourne en continu, sous un micrologiciel que personne ne regarde, en permanence disponible pour les balayages automatisés qui cherchent des interfaces d'administration ouvertes.

Les douze réglages qui comptent

Certains réglages suppriment une classe entière d'attaques en deux minutes, d'autres demandent une demi-heure pour un gain modeste. Le tableau les classe par rapport entre bénéfice et effort ; les fiches suivent dans le même ordre.

1. Changer le mot de passe d'administration

Protège : l'accès à la configuration complète, ajouter une redirection, changer le DNS, lire la clé Wi-Fi en clair, se créer un accès permanent. Comment : rubrique « Sécurité » ou « Compte administrateur », avec un mot de passe long et unique rangé dans un gestionnaire. Contrepartie : aucune.

Pourquoi celui imprimé sous la box ne suffit pas. L'étiquette est visible de tous ceux qui entrent chez vous (invités, artisans, locataires saisonniers) et une photo suffit. Sur plusieurs générations de box, ce mot de passe n'est même pas aléatoire : il dérive du numéro de série ou des premiers caractères de la clé Wi-Fi, donc d'informations elles-mêmes imprimées. Enfin il reste inchangé quand une box louée change d'abonné. Un mot de passe imprimé n'est pas un secret, c'est une information partagée.

2. Une clé Wi-Fi longue plutôt que compliquée

Protège : contre le déchiffrement hors ligne. En WPA2, capturer les quelques trames d'une connexion permet ensuite d'essayer des clés loin du réseau, sans limite de tentatives ; seule l'imprévisibilité de la phrase de passe s'y oppose. Comment : quatre ou cinq mots sans lien entre eux. Vingt-cinq caractères de mots ordinaires résistent bien mieux qu'un P@ssw0rd! de neuf caractères, et se dictent au téléphone ; évitez nom de famille, adresse et dates. Contrepartie réelle : chaque appareil doit être reconnecté. Les téléphones prennent trente secondes, mais les objets connectés exigent parfois de refaire tout l'appairage depuis l'application du fabricant : prévoyez une heure si le foyer compte ampoules, prises et imprimante Wi-Fi.

3. Passer en WPA3, ou à défaut en WPA2-AES

Protège : la confidentialité de tout ce qui circule dans l'air. WEP se déchiffre en quelques minutes, WPA-TKIP souffre de faiblesses connues ; WPA2 en AES (noté aussi CCMP) reste solide. WPA3 apporte deux progrès concrets : l'échange de clé SAE, qui rend inefficace l'attaque hors ligne décrite ci-dessus, et la protection obligatoire des trames de gestion, qui empêche les déconnexions forcées servant à provoquer une reconnexion pour la capturer. Comment : choisissez le mode le plus élevé disponible ; si des appareils anciens refusent, le mode mixte « WPA2/WPA3 » les accepte tout en offrant WPA3 aux autres. Contrepartie : ce mode mixte est un compromis, pas une victoire, un appareil qui négocie en WPA2 en garde les faiblesses, raison de plus pour une phrase de passe longue.

4. Désactiver le WPS

Protège : contre une porte d'entrée qui contourne entièrement votre phrase de passe. Le WPS associe un appareil sans saisir la clé, par bouton ou par code PIN à huit chiffres. C'est ce code qui pose problème : il est vérifié en deux moitiés indépendantes, et son dernier chiffre n'est qu'une somme de contrôle. Au lieu de cent millions de combinaisons, il n'en reste que quelques milliers à parcourir : un travail d'automate. Certaines implémentations souffrent en plus d'un défaut de génération aléatoire qui permet de retrouver le code sans les essayer, et une fois le PIN obtenu la box livre la clé Wi-Fi en clair. Comment : rubrique Wi-Fi, ligne « WPS » ; si l'interface distingue bouton et code PIN, coupez au moins le code PIN. Contrepartie : saisir la clé pour appairer une imprimante ou un répéteur, une minute par appareil.

5. Tenir le micrologiciel à jour

Protège : contre l'exploitation de vulnérabilités publiées. Une faille de routeur devient publique le jour de sa correction, et les balayages automatisés en tiennent compte dans les heures qui suivent. Comment : sur une box louée à un opérateur français, la mise à jour est poussée automatiquement et vous n'avez pas la main dessus, l'une des rares situations où l'inaction est la bonne stratégie ; vérifiez seulement que la version affichée n'a pas plusieurs années. En revanche, pour un routeur, un répéteur ou un CPL achetés dans le commerce, personne ne s'en occupe à votre place. Contrepartie : une coupure de quelques minutes, et parfois un réglage réinitialisé.

6. Couper l'administration à distance

Protège : contre l'exposition de l'interface de configuration à Internet entier. Une interface joignable publiquement est trouvée en quelques heures par les moteurs de balayage, puis testée avec les identifiants d'usine connus. Comment : cherchez « Accès distant » ou « Gestion depuis Internet » et désactivez ; ne confondez pas avec le canal de gestion de votre opérateur, qui n'est pas à votre main. Contrepartie : vous ne reconfigurerez plus la box depuis l'extérieur, mais la plupart des opérateurs offrent une alternative bien plus sûre via leur espace client authentifié, sans aucun port ouvert.

7. Désactiver l'UPnP, ou au minimum le surveiller

Protège : contre l'ouverture automatique de ports par n'importe quel logiciel du réseau local. L'UPnP permet à une application de demander elle-même à la box de lui ouvrir un accès depuis Internet, sans validation de votre part, et le protocole n'authentifie pas le demandeur : un logiciel malveillant installé sur un ordinateur du foyer peut donc s'ouvrir sa propre porte. Comment : le désactiver franchement, puis remettre à la main les rares redirections nécessaires en suivant notre guide pour ouvrir un port correctement ; si vous le gardez pour le confort du jeu en ligne, relisez deux fois par an la liste des règles qu'il a créées. Contrepartie : elle est réelle. Sans UPnP, certains jeux passent en « NAT strict » et les transferts en pair-à-pair perdent en efficacité : c'est le seul réglage de cette liste où le confort recule sensiblement. Notre guide sur le fonctionnement du NAT explique ce qui se joue derrière ces messages.

8. Nettoyer les redirections de port existantes

Protège : contre les services oubliés. Une redirection créée pour un vieux NAS ou une caméra revendue continue d'exister ; si un autre appareil a récupéré entre-temps l'adresse locale visée, la règle pointe désormais vers une machine que vous n'avez jamais voulu exposer. Comment : pour chaque ligne, trois questions, à quoi sert-elle, quel appareil vise-t-elle aujourd'hui, ce service est-il encore utilisé ? Supprimez au moindre doute, une règle se recrée en deux minutes. Notre tableau des ports TCP et UDP aide à identifier le service correspondant à un numéro ; méfiez-vous surtout des règles visant un port d'administration ou l'interface web d'une caméra. Contrepartie : un service légitime peut cesser de répondre depuis l'extérieur, ce qui est l'occasion de vérifier s'il devait vraiment l'être.

9. Créer un réseau invité et y mettre les objets connectés

Protège : contre le rebond. Le danger d'une ampoule ou d'une caméra bon marché n'est pas qu'on l'espionne, c'est qu'elle serve de tremplin vers le NAS familial, l'ordinateur de télétravail ou l'imprimante ; un réseau séparé transforme une compromission générale en incident cantonné. Comment : activez le réseau invité (second SSID, clé distincte), vérifiez que l'isolation du réseau local est active, puis déplacez-y les objets connectés, notre guide dédié à la sécurité des objets connectés détaille l'ordre des opérations. Contrepartie : la découverte automatique cesse de traverser la frontière. Diffusion vers un téléviseur, impression sans configuration, pilotage d'une enceinte : ces fonctions peuvent s'arrêter si le téléphone et l'objet ne sont plus sur le même réseau.

10. Vérifier les serveurs DNS configurés

Protège : contre le détournement le plus discret qui soit. Qui contrôle le résolveur choisit ce que vous atteignez réellement en tapant le nom de votre banque, et des campagnes visant les routeurs grand public pour y remplacer les serveurs DNS ont été documentées à plusieurs reprises : c'est la première chose à contrôler au moindre doute. Comment : dans les paramètres DHCP ou WAN, les serveurs DNS doivent être soit automatiques (ceux de l'opérateur), soit exactement ceux que vous avez choisis ; toute adresse inconnue est un signal d'alarme. Depuis un poste, vérifiez aussi ce que le résolveur répond :

nslookup mon-adresse-ip.net
# Windows : affiche le serveur DNS interrogé et l'adresse obtenue
ipconfig /all | findstr /i "DNS"
# Linux ou macOS : dig +short mon-adresse-ip.net

Pour reprendre la main sur cette brique, voyez comment changer de serveur DNS et ce que le DNS chiffré apporte, ou n'apporte pas. Contrepartie : un résolveur tiers déplace la confiance plutôt qu'il ne la supprime, et peut casser l'accès aux ressources internes d'une entreprise en télétravail.

11. Vérifier le pare-feu, surtout en IPv6

Protège : contre l'exposition directe de vos machines. En IPv4, la traduction d'adresses joue un rôle de barrière involontaire : sans redirection explicite, une connexion venue d'Internet ne sait pas à quelle machine interne s'adresser. En IPv6 cette protection accidentelle disparaît, chaque appareil ayant sa propre adresse publique routable ; seul le pare-feu de la box s'interpose. Comment : dans la section « Pare-feu », vérifiez que le niveau IPv6 n'est ni désactivé ni réglé sur « tout autoriser », et que les exceptions sont nominatives, appareil par appareil et port par port ; notre guide sur l'IPv6 à la maison montre comment lire ces réglages. Contrepartie : un service auto-hébergé devra faire l'objet d'une autorisation explicite, ce qui est le comportement souhaitable.

12. Passer en revue les appareils connectés

Protège : contre un intrus déjà installé et contre les objets oubliés ; c'est aussi le meilleur inventaire de ce que contient votre réseau. Comment : ouvrez la liste des appareils (« Appareils connectés », « Réseau » ou « Baux DHCP »), examinez les deux bandes Wi-Fi et les ports filaires, et renommez ceux que vous identifiez : au bout d'un passage, seuls les inconnus resteront anonymes. La table des voisins d'un poste donne un second point de vue :

arp -a
# Liste les appareils avec lesquels votre poste a échangé sur le réseau local

La limite qu'on oublie de mentionner : Android et iOS génèrent depuis plusieurs années une adresse matérielle différente par réseau, parfois renouvelée. Un appareil légitime peut donc apparaître sous un identifiant inconnu ou occuper deux lignes : notre page sur l'adresse MAC explique ce mécanisme. Pour obtenir une liste stable, attribuez des adresses fixes à vos appareils connus via les réservations DHCP : tout ce qui reste en dehors mérite un regard.

Ce qui ne sert (presque) à rien

Quatre conseils reviennent dans toutes les listes de « sécurisation du Wi-Fi ». Ils ne sont pas dangereux, mais ils coûtent du temps, dégradent le confort et donnent surtout le sentiment d'avoir agi.

Masquer le nom du réseau (SSID)

Un réseau « caché » n'a pas cessé d'émettre : il a cessé d'annoncer son nom dans ses balises périodiques, mais ce nom continue de circuler en clair dans les trames d'association à chaque connexion. L'effet se retourne même contre vous : un appareil configuré pour un réseau caché doit le chercher activement, donc annoncer son nom partout où il va, au bureau, dans le train, chez des amis. Masquer le SSID revient à diffuser le nom de votre réseau domestique dans tous les lieux que fréquentent vos téléphones, tout en compliquant chaque nouvelle connexion.

Le filtrage par adresse MAC

N'autoriser que les appareils figurant sur une liste paraît solide, mais s'effondre sur un point : cet identifiant circule en clair dans l'air, y compris sur un réseau chiffré en WPA3, car il est nécessaire à l'acheminement des trames. Écouter quelques secondes suffit à lire les adresses autorisées, puis à configurer son propre appareil avec l'une d'elles. Le filtrage MAC arrête le voisin curieux, pas quelqu'un qui sait ce qu'il fait, et la randomisation d'adresse évoquée plus haut rend en outre la liste ingérable. Notre page sur l'adresse MAC détaille pourquoi cet identifiant n'a jamais été conçu comme un secret.

Changer le canal Wi-Fi

Le canal règle un problème d'interférences entre réseaux voisins, pas un problème de sécurité : un balayage parcourt tous les canaux en quelques secondes et aucun n'est plus discret qu'un autre. En changer peut améliorer votre débit dans un immeuble dense : c'est un réglage de performance, à ne pas ranger dans la colonne sécurité.

Réduire la puissance d'émission

Baisser la portée « pour ne pas déborder chez le voisin » repose sur une asymétrie mal comprise : cela dégrade d'abord vos propres connexions, en particulier celles des appareils éloignés qui doivent alors émettre plus fort et plus longtemps. Une antenne directive rapproche de plusieurs dizaines de mètres quelqu'un de motivé, tandis que votre téléphone au fond du couloir, lui, décroche vraiment. La bonne réponse à la portée n'est pas la puissance mais le chiffrement : avec WPA3 ou WPA2-AES et une phrase de passe correcte, peu importe que le signal atteigne le trottoir.

Reconnaître une box compromise

Une box compromise ne clignote pas en rouge. Les signes sont discrets et se remarquent surtout quand on sait quoi regarder.

• Des serveurs DNS que vous n'avez pas saisis : le symptôme le plus caractéristique, et souvent le seul.
• Des redirections de port inconnues : parfois vers une adresse locale qui n'existe plus.
• Un appareil inconnu qui persiste : toujours présent alors que tout le foyer est éteint.
• Le mot de passe d'administration qui ne fonctionne plus : signe qu'il a été changé, donc que quelqu'un d'autre est entré.
• Des publicités injectées : bandeaux sur des sites qui n'en affichent pas, fausses pages de « mise à jour » ; le phénomène touche surtout les pages non chiffrées.
• Des lenteurs inexplicables : l'indice le moins fiable : une box saturée, un voisin bruyant ou un défaut de ligne produisent les mêmes symptômes. À ne retenir qu'accompagné d'un autre signe.
• Des blocages en série : captchas incessants, courriers refusés : votre adresse publique figure peut-être sur une liste de réputation, un cas traité dans notre guide sur les adresses IP bloquées.

Que faire, dans l'ordre

1. Documentez avant d'effacer. Capturez les écrans montrant les DNS, les redirections et la liste des appareils : ils disparaîtront à la réinitialisation et sont indispensables pour comprendre, voire pour déposer plainte.
2. Isolez. Coupez le Wi-Fi et débranchez les appareils douteux, à commencer par un ordinateur suspecté d'être à l'origine de l'intrusion.
3. Réinitialisez aux paramètres d'usine. N'utilisez surtout pas une sauvegarde de configuration : elle restaurerait exactement les réglages malveillants.
4. Mettez à jour avant de reconnecter. Laissez la mise à jour du micrologiciel se terminer avant de rebrancher quoi que ce soit.
5. Reconfigurez à la main. Nouveau mot de passe d'administration, nouvelle clé Wi-Fi, WPS désactivé, administration à distance coupée, UPnP désactivé, DNS contrôlés, aucune redirection : les réglages 1 à 8 de ce guide.
6. Changez vos mots de passe depuis un appareil sain. Si le DNS a été détourné, vous avez pu saisir des identifiants sur des pages contrefaites : commencez par la messagerie principale, puis la banque, depuis un téléphone en connexion mobile.
7. Cherchez l'origine. Une box ne se compromet pas seule : soit l'interface était joignable depuis Internet, soit un appareil du réseau local a servi de point d'entrée. Sans cette étape, le scénario se répétera.
8. Prévenez votre opérateur. Sur une box louée, demandez son remplacement si le doute persiste, et signalez l'incident si votre adresse a servi à émettre du spam.

Un point de droit souvent ignoré : l'article L. 336-3 du code de la propriété intellectuelle fait peser sur le titulaire de l'accès à Internet une obligation de veiller à ce que celui-ci ne serve pas à reproduire ou à diffuser des œuvres protégées par le droit d'auteur. Sécuriser sa box n'est donc pas qu'une précaution technique.

Ajouter son propre routeur derrière la box

Les box opérateur sont conçues pour fonctionner sans réglage, ce qui limite mécaniquement ce qu'elles exposent : pas de réseaux multiples finement séparés, peu de règles de pare-feu, rarement des journaux exploitables. Un routeur personnel donne accès à ces fonctions : à condition d'éviter le piège classique.

Le double NAT. Brancher un routeur sur un port de la box sans autre réglage crée deux traductions d'adresses successives. Les conséquences sont concrètes : une redirection doit être créée deux fois pour fonctionner, les jeux signalent un NAT strict, certaines visioconférences peinent à établir une connexion directe et les diagnostics deviennent illisibles. Notre guide sur le NAT décrit ce qui se passe à chaque étage ; un abonnement en CGNAT ajoute encore un niveau de traduction chez l'opérateur, hors de votre contrôle.

Le mode bridge. La solution propre consiste à faire de la box un simple modem : elle cesse de router et transmet l'adresse IP publique à votre routeur, seul point de traduction et de filtrage. Plusieurs opérateurs français le proposent, sous des noms et avec des restrictions variables ; tous ne le proposent pas.

À défaut de mode bridge, déclarer votre routeur en zone démilitarisée sur la box lui envoie tout le trafic entrant : plus simple, mais son pare-feu devient seul responsable. À ne faire que si vous savez le configurer.

Le Wi-Fi invité : ce qu'il isole vraiment

Le réseau invité offre le meilleur rapport entre effort et bénéfice de cette liste, à condition de savoir où s'arrête son périmètre. Beaucoup de pages le présentent comme un cloisonnement complet ; il n'en est rien.

Ce qu'il isole réellement. Un appareil placé sur le réseau invité ne voit pas les machines du réseau principal : ni partage de fichiers, ni imprimante, ni faille du NAS à sa portée. Avec l'isolation des clients activée, les appareils invités ne se voient pas non plus entre eux. Sa clé, distincte, peut être changée ou coupée sans perturber le foyer.

Ce qu'il n'isole pas. Trois points méritent d'être dits clairement :

• La sortie Internet reste commune. Le trafic des invités part avec votre adresse IP publique : vous restez l'abonné identifié pour tout ce qui en sort, et la réputation de votre adresse dépend de leur comportement.
• L'accès à la box n'est pas toujours coupé. Sur certaines implémentations, l'interface d'administration reste joignable depuis le réseau invité. Testez-le : connectez-y un téléphone et tentez d'ouvrir l'adresse de la passerelle. Si la page s'affiche, votre mot de passe d'administration est la seule barrière : d'où le réglage n° 1.
• Un objet compromis reste connecté à Internet. Le cloisonnement empêche le rebond latéral, pas la communication sortante : une caméra détournée continuera d'émettre vers l'extérieur. C'est un confinement, pas une neutralisation.

Si votre box propose une durée de validité pour l'accès invité, utilisez-la. Enfin, les réflexes décrits dans nos conseils sur le Wi-Fi public valent pour quiconque se connecte à un réseau qu'il ne maîtrise pas, y compris le vôtre.

La check-list semestrielle

Une box bien réglée ne se dérègle pas seule, mais les usages changent : un appareil arrive, un service est abandonné, une mise à jour rétablit une option. Quinze minutes deux fois par an suffisent.

Si un seul point devait être retenu, ce serait le premier : un mot de passe d'administration solide neutralise à lui seul la majorité des scénarios réalistes, car presque tous passent par une prise de contrôle de l'interface de configuration.

Questions fréquentes