Wi-Fi d’entreprise : la porte qui donne sur le parking

Le soir, on ferme la porte à clé, on baisse le rideau, on met l’alarme. Le Wi-Fi, lui, continue de fonctionner. Il traverse la vitrine, la cloison, le plancher du voisin, et il s’arrête bien au-delà du seuil : sur le trottoir, dans la voiture garée devant, dans l’appartement du dessus. C’est le seul équipement de l’entreprise qui reste accessible à quelqu’un qui n’est jamais entré.

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) a mis en ligne le 31 août 2026 un document de la collection « Les Essentiels » consacré à la sécurisation des réseaux Wi-Fi en milieu professionnel : une vingtaine de bonnes pratiques réparties en trois volets. Le texte s’adresse autant aux équipes techniques qu’aux utilisateurs. Problème : une partie du vocabulaire suppose une infrastructure que très peu de petites structures possèdent. Voici ce que l’agence demande réellement, ce qui se règle en quelques minutes sur une box ordinaire, et une idée reçue qui coûte cher à tous les commerces qui offrent le Wi-Fi à leurs clients.

1. Pourquoi ce rappel arrive maintenant

L’ANSSI ne découvre pas le sujet : sa note technique de référence sur les accès Wi-Fi date de 2013. Ce qui a changé, ce n’est pas la technologie, c’est le nombre de choses qui s’y branchent. Il y a dix ans, un réseau sans fil d’entreprise portait des ordinateurs portables et quelques téléphones. Aujourd’hui, il porte aussi la caisse enregistreuse, le terminal de paiement, l’imprimante multifonction, la caméra de l’entrepôt, la sonnette du cabinet, la serrure connectée du gîte, le thermostat, la télévision de la chambre d’hôtes et la tablette qui prend les commandes en salle.

Le diagnostic de l’agence tient en une ligne : cette technologie présente « de nombreux risques tels que l’interception ou la modification du trafic réseau ». Autrement dit, un réseau mal configuré ne se contente pas de laisser entrer : il laisse écouter, et il laisse modifier ce qui passe. L’attaquant n’a pas besoin d’un exploit sophistiqué ; il lui suffit d’être à portée.

Précision utile sur la nature du document : « Les Essentiels » ne sont pas un guide détaillé, l’ANSSI le dit elle-même. Ce sont des bonnes pratiques indépendantes les unes des autres, que l’on peut appliquer séparément et qui reflètent la position de l’agence au moment de leur publication. C’est précisément ce qui les rend utilisables par une petite structure : on peut en prendre trois et laisser les dix-sept autres aux réseaux plus complexes.

2. Ce que l’ANSSI demande, traduit pour une box

Le volet le plus technique du document parle de VLAN, de suites EAP, d’infrastructure de gestion de clés et de stratégies de groupe Windows. Une entreprise de trois personnes n’a rien de tout cela, et n’en a pas besoin. En revanche, six recommandations sur la vingtaine se règlent depuis l’interface d’une box grand public, en une heure au total.

Une septième recommandation, plus ennuyeuse et plus décisive, ferme la liste : déployer « dans les meilleurs délais » les mises à jour des points d’accès, des contrôleurs et des terminaux. Sur une box, cela revient à vérifier que les mises à jour automatiques sont actives — et à s’inquiéter sérieusement d’un matériel que le fabricant ne met plus à jour du tout.

3. Le réseau invité n’est pas une politesse, c’est une cloison

Si vous ne retenez qu’une chose du document, ce sera celle-ci. L’ANSSI demande de cloisonner les réseaux par usage : un réseau pour les postes de travail, un autre pour les objets connectés, un troisième, « dédié et cloisonné des autres réseaux », pour les terminaux qui ne vous appartiennent pas. Dans le langage d’un administrateur réseau, cela s’appelle un VLAN par usage. Dans le langage d’une box, cela s’appelle tout simplement le réseau invité, et la plupart des modèles récents savent le faire sans rien acheter.

La raison est facile à voir sur le terrain. Dans un café, un salon de coiffure, un cabinet ou une chambre d’hôtes, le mot de passe du Wi-Fi est affiché quelque part : une ardoise, un cadre au mur, une carte posée sur la table de nuit. Ce mot de passe circule depuis des années. Il est passé entre les mains de clients, de livreurs, d’un stagiaire parti depuis longtemps, d’un ancien salarié, d’un voisin. Et dans la majorité des installations que l’on rencontre, c’est le même réseau que celui de l’ordinateur qui contient la comptabilité, le fichier clients et les devis en cours.

Séparer les deux ne demande ni compétence ni budget : on active le réseau invité, on lui donne un nom distinct, on y bascule les clients, et on garde le réseau principal pour les appareils de l’entreprise. À partir de là, un appareil compromis côté clients ne voit plus rien de l’autre côté. Ce n’est pas un détail de confort : c’est la condition qui rend toutes les autres mesures utiles.

La CNIL, sur ce point, dit exactement la même chose que l’ANSSI. Le responsable d’un lieu qui fournit un accès Internet « doit sécuriser les réseaux wi-fi ouverts au public, en les séparant de son réseau interne et en utilisant un chiffrement à l’état de l’art ». Deux autorités différentes, un seul geste.

4. L’idée reçue qui coûte cher : « je dois identifier mes clients »

C’est le point sur lequel un très grand nombre de petites entreprises françaises se trompent, souvent de bonne foi, parfois parce qu’on le leur a vendu ainsi. Reprenons la page de la CNIL consacrée à la fourniture d’un accès Internet public, qui vise expressément les communes, les bars, les restaurants, les cafés, les fast-foods, les trains et les hôtels.

Ce qui est obligatoire : conserver les données techniques de connexion — adresse IP et port associé, identifiants d’appareil — pendant un an, pour permettre la recherche d’infractions pénales. Les données relatives à la seule sécurité des réseaux peuvent, elles, être conservées trois mois au maximum. Le contenu de ce que font vos clients ne vous regarde pas et n’a pas à être conservé.

Ce qui n’est pas obligatoire, et c’est la CNIL qui répond par un « non » sans nuance à la question : relever et conserver l’identité des utilisateurs. Un restaurant, un hôtel ou un camping n’est « en principe, pas obligé de relever et de conserver l’identité de ses clients pour fournir une connexion ». Il doit uniquement conserver les données techniques.

La conséquence est contre-intuitive et vaut le détour : le portail qui réclame un nom, un e-mail ou un numéro de téléphone avant d’ouvrir l’accès n’est pas une obligation légale — c’est un choix. Et ce choix a un prix, puisque la CNIL précise que si l’établissement décide de procéder à l’identification préalable, pour des raisons qu’il lui appartient de justifier, alors les données d’identité civile doivent être conservées cinq ans. On s’impose donc une obligation plus lourde que celle que la loi prévoyait.

Dernière subtilité, souvent ignorée : une entreprise qui fournit un accès Internet à ses salariés n’est pas concernée par cette obligation de conservation. Elle le devient dès qu’elle propose le Wi-Fi à ses visiteurs. Ouvrir son réseau à la salle d’attente n’est donc pas neutre — raison de plus pour que ce réseau-là soit séparé, identifié comme tel, et traité comme un service à part entière.

5. Les objets connectés, le maillon qu’on oublie

L’ANSSI consacre une recommandation entière à un réseau dédié aux objets connectés, avec une justification qui mérite d’être citée telle quelle : ces équipements « sont souvent plus vulnérables et ne supportent pas toujours les dernières normes de sécurité ». C’est exactement la situation d’une petite entreprise : la caisse, l’imprimante, la caméra ou la serrure connectée ne savent pas faire de WPA3, ne reçoivent plus de correctifs depuis longtemps, et personne ne s’en occupe parce qu’ils fonctionnent.

Le renfort réglementaire est en route. Depuis le 11 septembre 2026, au titre du Cyber Resilience Act, tout fabricant qui découvre une faille activement exploitée dans un produit connecté doit la signaler ; en France, l’interlocuteur est le CERT-FR. C’est une bonne nouvelle pour le matériel que vous achèterez demain. Cela ne change rien au boîtier installé il y a six ans dans le local technique.

Et la mise à jour n’est pas un sujet réservé au matériel bas de gamme : le CERT-FR publie plusieurs avis de sécurité par jour, y compris sur des équipements professionnels chargés précisément de gérer les autorisations d’accès au réseau. Le 10 septembre 2026, l’un d’eux visait un gestionnaire de politiques d’accès d’entreprise largement déployé. Le message n’est pas « tout est troué », il est : une installation qui n’est jamais mise à jour finit toujours par être vulnérable, quel que soit son prix d’achat.

6. Hors les murs : le Wi-Fi des autres

Le premier volet du document ne parle pas du réseau de l’entreprise mais des habitudes de ceux qui en sortent. Quatre recommandations tiennent en une phrase chacune : couper l’interface Wi-Fi et le partage de connexion quand ils ne servent pas ; désactiver la connexion automatique aux réseaux déjà mémorisés ; ne se connecter qu’à des réseaux maîtrisés et, si c’est impossible en gare, en aéroport ou au café, passer par un VPN fourni par l’entreprise ; configurer le pare-feu des ordinateurs portables pour bloquer les connexions entrantes.

La connexion automatique mérite un mot. C’est elle qui rend possible le faux point d’accès : un réseau qui porte le même nom que celui de l’hôtel, avec un signal plus fort, et auquel le téléphone se raccroche seul. Désactiver cette automatisation transforme une attaque silencieuse en un choix que l’on fait, ou pas.

Reste le point que personne n’applique jamais : supprimer les réseaux enregistrés et leurs mots de passe avant de reconditionner, céder ou jeter un appareil. Un ordinateur revendu d’occasion emporte avec lui la liste des réseaux fréquentés et les clés pour y revenir. C’est la version matérielle du problème décrit dans notre article sur les fuites de données de l’été : l’attaquant moderne ne force plus grand-chose, il se connecte avec ce qu’on a laissé traîner.

Il y a quelque chose d’un peu désarmant dans cette liste : aucune des mesures qui comptent vraiment ne coûte d’argent. Le réseau invité existe déjà dans la box, le bouton WPS se désactive en deux clics, le mot de passe d’administration se change en cinq minutes. Ce qui manque n’est ni le budget ni l’outil, c’est le moment où quelqu’un ouvre l’interface et regarde. Une heure, une fois — et la porte qui donnait sur le parking donne enfin sur autre chose.

Num Compagny accompagne les TPE-PME, les commerces, les hébergeurs, les associations et les collectivités sur la sécurisation de leurs usages numériques : inventaire des équipements connectés, séparation des réseaux, mise en sécurité des accès, et formations courtes et opérationnelles en cybersécurité, bureautique et intelligence artificielle. Découvrir nos formations professionnelles.

Sources : ANSSI, « Les Essentiels — Sécurisation des réseaux Wi-Fi », version 1.0, publiée le 31 août 2026 sur MesServicesCyber (document lu intégralement) · ANSSI, note technique « Sécuriser les accès Wi-Fi » (DAT-NT-005), publiée le 3 avril 2013 · CNIL, « Fournir un accès internet public : quelles sont vos obligations ? », mise à jour du 17 juillet 2024, et délibération n° 2021-114 du 7 octobre 2021 ; article L. 34-1 du code des postes et des communications électroniques · Clubic, Alexandre Boero, « Wi-Fi au boulot, l’ANSSI rappelle son mode d’emploi anti-piratage », 1^er septembre 2026 · CERT-FR, avis de sécurité publiés le 10 septembre 2026 · Règlement (UE) 2024/2847 sur la cyberrésilience, obligation de signalement des vulnérabilités activement exploitées applicable au 11 septembre 2026.