Un geste de politesse qui engage plus que vous ne le pensez
La scène est banale : un fournisseur, un candidat en entretien ou un client de passage demande le wifi. Par réflexe, on lui donne le mot de passe affiché sur la box ou noté sur un papier près de l’accueil. C’est un geste d’hospitalité, et personne n’y voit malice.
Le problème, c’est que ce mot de passe n’ouvre pas seulement l’accès à Internet. Il connecte l’appareil du visiteur au même réseau local que vos ordinateurs, vos imprimantes, votre serveur de fichiers et vos équipements de sauvegarde. Techniquement, son téléphone ou son portable devient un poste de votre entreprise, sans qu’aucun contrôle n’ait été fait sur son état.
La question n’est pas de soupçonner vos visiteurs. La plupart sont parfaitement honnêtes. Mais leur appareil, lui, peut être compromis sans qu’ils le sachent, et un logiciel malveillant n’a pas besoin de la permission de son propriétaire pour explorer le réseau auquel il vient de se connecter.
Ce qu’un appareil connecté à votre wifi peut réellement atteindre
Sur un réseau local classique, tous les appareils connectés se voient entre eux. C’est justement ce qui rend le réseau pratique au quotidien : votre ordinateur trouve l’imprimante, le logiciel de caisse dialogue avec son serveur, les postes accèdent aux dossiers partagés.
Un appareil invité connecté au wifi principal bénéficie exactement des mêmes possibilités. Concrètement, il peut potentiellement atteindre :
Aucune de ces ressources n’est nécessairement protégée par un second mot de passe. Beaucoup de partages de fichiers en entreprise sont ouverts « à tout le réseau », précisément parce qu’on suppose que seuls des appareils de confiance s’y trouvent. Donner le wifi principal à un visiteur fait tomber cette hypothèse.
- les dossiers partagés entre collègues, y compris ceux qui contiennent devis, factures ou données clients
- le NAS ou le serveur qui héberge vos sauvegardes
- les imprimantes et copieurs, dont certains stockent les documents numérisés
- les caméras, badgeuses ou équipements de caisse connectés au même réseau
- l’interface d’administration de la box ou du routeur, si son mot de passe d’origine n’a jamais été changé
Le réseau invité : le même confort, sans l’accès à votre entreprise
La réponse à ce problème existe depuis longtemps et ne coûte rien de plus : le réseau invité. Il s’agit d’un second réseau wifi, diffusé par la même box ou le même routeur, mais isolé du réseau principal. Les visiteurs y accèdent à Internet normalement ; en revanche, ils ne voient ni vos ordinateurs, ni vos partages, ni vos équipements.
Un réseau invité bien configuré respecte trois principes. D’abord, l’isolation vis-à-vis du réseau principal : aucun trafic ne passe de l’un à l’autre. Ensuite, l’isolation entre les invités eux-mêmes, pour qu’un visiteur ne puisse pas atteindre l’appareil d’un autre. Enfin, un mot de passe distinct, que vous pouvez communiquer librement et changer sans perturber le travail de vos équipes.
Ce dernier point est précieux au quotidien : quand le mot de passe invité circule trop largement, vous le renouvelez en quelques minutes. Personne dans l’entreprise n’a besoin de reconfigurer quoi que ce soit, puisque les postes de travail sont sur l’autre réseau.
Le cas particulier du commerce qui offre le wifi à ses clients
Pour un restaurant, un salon de coiffure ou une boutique, offrir le wifi fait partie de l’accueil. Le risque y est pourtant plus élevé qu’ailleurs : les visiteurs sont nombreux, inconnus, et se succèdent toute la journée. Si ce wifi public est aussi celui de la caisse, chaque client connecté partage le réseau de votre encaissement.
Dans un restaurant, la règle à tenir est simple : la caisse, l’imprimante à tickets et les terminaux de paiement vivent sur leur propre réseau, et le wifi offert à la clientèle est un réseau invité totalement séparé. Les deux cohabitent sur la même box ou les mêmes bornes, sans jamais se croiser. C’est la séparation que nous recommandons dès qu’une caisse connectée est en jeu.
Un point de vigilance supplémentaire pour les commerces : votre abonnement Internet est souscrit à votre nom. En cas d’usage illicite de votre connexion par un client, c’est vers vous que l’on se tournera d’abord. Un réseau invité distinct, éventuellement avec un portail d’accueil, matérialise la séparation entre votre activité et l’usage qu’en font vos visiteurs.
Vos équipements le permettent probablement déjà
Bonne nouvelle : dans la grande majorité des cas, il n’y a aucun matériel à acheter. Les box professionnelles des principaux opérateurs français proposent une option « wifi invité » dans leur interface d’administration. Il en va de même pour la plupart des routeurs et bornes wifi récents, y compris en entrée de gamme.
L’activation elle-même prend quelques minutes : on active le réseau invité, on lui donne un nom distinct et un mot de passe dédié, et l’on vérifie que l’option d’isolation est bien cochée. C’est cette dernière vérification qui demande un minimum d’attention, car un réseau « invité » mal configuré peut donner l’illusion de la séparation sans la garantir réellement.
Dans les locaux plus grands, avec plusieurs bornes wifi, la séparation repose sur la même logique mais demande une configuration cohérente sur l’ensemble des équipements. C’est typiquement le genre d’intervention courte qu’un prestataire réalise en une visite, en profitant de l’occasion pour vérifier l’état général du réseau.
Les erreurs les plus fréquentes
Certaines situations reviennent si souvent qu’elles méritent d’être nommées.
La plus répandue est le mot de passe affiché qui n’a jamais changé : celui de la box, imprimé sur son étiquette d’origine, recopié sur un papier scotché au mur depuis des années. Tous les visiteurs passés dans vos locaux le connaissent encore, ainsi que tous les anciens salariés et stagiaires. Personne ne sait plus qui peut se connecter à votre réseau.
- le même mot de passe wifi pour tout le monde : équipe, visiteurs, matériel professionnel et téléphones personnels
- un réseau nommé « invité » mais relié au réseau principal, faute d’avoir activé l’isolation
- le mot de passe d’administration de la box laissé à sa valeur d’usine, accessible depuis le wifi
- des équipements sensibles, caisse ou caméras, connectés au wifi visiteurs faute de mieux
- aucun renouvellement du mot de passe après un départ ou une intervention extérieure
Par où commencer, concrètement
Trois vérifications suffisent pour savoir où vous en êtes. Premièrement : le mot de passe que vous donnez aux visiteurs est-il celui de votre réseau principal ? Deuxièmement : depuis un téléphone connecté à votre wifi visiteurs, peut-on voir vos imprimantes ou vos partages ? Troisièmement : quand ce mot de passe a-t-il été changé pour la dernière fois ?
Si l’une de ces réponses vous met mal à l’aise, la correction est simple et rapide : activer le réseau invité de votre box ou de votre routeur, vérifier son isolation, et changer le mot de passe du réseau principal pour repartir sur une base saine. C’est l’un des meilleurs rapports effort-bénéfice qui existent en sécurité informatique pour une TPE ou une PME.
Un réseau bien séparé, et surveillé dans la durée
Séparer le wifi de vos visiteurs de celui de votre entreprise est une étape ; s’assurer que cette séparation reste effective dans le temps en est une autre. Les équipements changent, les mots de passe circulent, les configurations dérivent. C’est précisément le rôle d’une infogérance : garder votre réseau, vos accès et vos sauvegardes dans un état connu et maîtrisé, sans que vous ayez à y penser.
OmniTech, la branche technologique d’OmniPro Solutions, propose aux TPE et aux PME françaises l’administration de leurs réseaux, de leurs serveurs et de leurs accès : une configuration vérifiée, des mots de passe maîtrisés, des sauvegardes surveillées. Si vous souhaitez faire vérifier la séparation de vos réseaux wifi, ou confier plus largement la gestion de votre informatique, retrouvez notre offre sur omnipro-solutions.com/omnitech/infogerance.