Quand vous choisissez un mot de passe Wi-Fi, votre routeur vous propose plusieurs protocoles de sécurité. WEP, WPA, WPA2, WPA3 : ces sigles déterminent la solidité du verrou qui protège vos données. Le protocole Wi-Fi le plus sécurisé est le WPA3, mais son efficacité dépend de la façon dont il est configuré, et tous les appareils ne le prennent pas encore en charge.
Chiffrement Wi-Fi : ce qui se passe entre votre appareil et le routeur
Chaque fois que vous envoyez un message ou consultez une page web en Wi-Fi, les données circulent dans l’air sous forme d’ondes radio. Sans chiffrement, n’importe qui à portée du signal pourrait les lire.
A voir aussi : Quel est le code d'authentification ?
Un protocole de sécurité Wi-Fi agit comme un code secret partagé entre votre appareil et le routeur. Les données sont brouillées avant d’être émises, puis déchiffrées à la réception. Plus le mécanisme de chiffrement est robuste, plus il est difficile pour un intrus de décoder le contenu.
Le WEP, créé en 1999, utilisait un système de clé statique. Concrètement, la même clé servait pour tous les échanges, ce qui rendait le déchiffrement possible en quelques minutes avec des outils librement accessibles. Le WPA a ensuite introduit des clés temporaires qui changeaient à chaque paquet de données, compliquant la tâche d’un attaquant. Le WPA2 a renforcé cette approche en adoptant le chiffrement AES, un standard utilisé aussi par les banques et les gouvernements.
A lire également : Est-ce que PayPal est sécurisé ?
WPA3 et mode de transition : pourquoi la configuration compte autant que le protocole
Le WPA3 apporte une amélioration concrète sur un point précis. Avec le WPA2, si un pirate enregistre le trafic de votre réseau puis obtient le fichier de connexion, il peut tester des millions de mots de passe hors ligne jusqu’à trouver le bon. C’est ce qu’on appelle une attaque par dictionnaire.
Le WPA3 bloque ce scénario grâce à un mécanisme appelé SAE (Simultaneous Authentication of Equals). Chaque tentative de connexion nécessite un échange direct avec le routeur. Impossible de travailler hors ligne : chaque essai de mot de passe doit passer par le réseau en temps réel.
Vous avez peut-être remarqué dans les paramètres de votre routeur un mode appelé « WPA2/WPA3 » ou « mode de transition ». Il permet aux appareils anciens (qui ne gèrent que le WPA2) de se connecter au même réseau que les appareils récents compatibles WPA3.
Ce compromis a un coût. Quand un réseau accepte encore des connexions WPA2, un attaquant peut cibler la procédure WPA2 et tenter une attaque hors ligne contre le mot de passe, même si vos appareils récents utilisent WPA3. Le mode mixte WPA2/WPA3 réintroduit les faiblesses du WPA2.
Pour bénéficier réellement de la protection WPA3, il faut configurer le routeur en mode WPA3 exclusif. Cela signifie que tout appareil incapable de gérer ce protocole sera simplement refusé par le réseau.
Bande 6 GHz et Wi-Fi 6E : le WPA3 devient obligatoire
Les routeurs récents compatibles Wi-Fi 6E ou Wi-Fi 7 donnent accès à la bande de fréquence 6 GHz. Cette bande offre davantage de canaux et moins d’interférences, mais elle impose une contrainte de sécurité stricte.
Sur la bande 6 GHz, le WPA3 exclusif est obligatoire. Le mode de transition WPA2/WPA3 n’est pas autorisé. Les trames de gestion (les messages techniques que le routeur et vos appareils échangent pour maintenir la connexion) doivent aussi être protégées, grâce aux Protected Management Frames.
Pourquoi ces trames de gestion comptent-elles ? Sans cette protection, un attaquant peut envoyer de fausses commandes de déconnexion à vos appareils pour les forcer à se reconnecter, puis intercepter la procédure. En WPA3 exclusif, ces trames sont systématiquement chiffrées, ce qui bloque ce type d’attaque.
La bande 6 GHz représente donc le cas le plus sécurisé aujourd’hui : WPA3 obligatoire, protection des trames de gestion obligatoire, pas de repli possible vers un protocole plus ancien.
Vérifier la compatibilité de vos appareils
Avant de basculer votre réseau en WPA3 exclusif, faites l’inventaire. Les ordinateurs portables datant d’avant 2019, certaines imprimantes réseau, des caméras connectées ou des objets domotiques anciens ne gèrent souvent que le WPA2.
Deux options se présentent alors :
- Configurer le réseau principal en WPA3 exclusif et créer un réseau secondaire (SSID séparé) en WPA2 pour les appareils incompatibles, en limitant les droits d’accès de ce second réseau
- Conserver le mode de transition WPA2/WPA3 en attendant de remplacer progressivement les équipements anciens, tout en utilisant un mot de passe long et aléatoire pour réduire le risque d’attaque par dictionnaire
- Vérifier si une mise à jour du firmware de vos appareils ajoute la prise en charge du WPA3, car plusieurs fabricants ont déployé cette compatibilité après coup
Renforcer la sécurité Wi-Fi au-delà du protocole de chiffrement
Le choix du protocole ne suffit pas à verrouiller un réseau. Un WPA3 correctement configuré perd son intérêt si le mot de passe du réseau est « motdepasse123 ».
Un mot de passe Wi-Fi efficace comporte au moins seize caractères mélangés : lettres, chiffres, symboles. Les générateurs de mots de passe aléatoires simplifient cette étape. Plus le mot de passe est long, plus le temps nécessaire pour le deviner par force brute devient prohibitif, même en WPA2.
Le mot de passe administrateur du routeur mérite la même attention. C’est lui qui donne accès aux réglages complets de l’appareil. Beaucoup de routeurs sont livrés avec un identifiant par défaut (« admin/admin ») que n’importe qui peut trouver en ligne.
- Changez le mot de passe administrateur du routeur dès la première installation
- Désactivez la gestion à distance (accès à l’interface d’administration depuis l’extérieur du réseau)
- Maintenez le firmware du routeur à jour, car les correctifs de sécurité comblent régulièrement des vulnérabilités découvertes après la mise en vente
- Activez les Protected Management Frames si votre routeur le permet, même en WPA2
WPA3-Enterprise pour les environnements professionnels
En entreprise, le WPA3-Enterprise associé au protocole 802.1X offre un niveau supplémentaire. Chaque utilisateur s’authentifie avec ses propres identifiants, validés par un serveur dédié. Aucun mot de passe partagé ne circule, ce qui élimine le risque qu’un ancien employé conserve l’accès au réseau.
Le passage au WPA3 exclusif reste la mesure la plus directe pour sécuriser un réseau Wi-Fi domestique. Si vos appareils le permettent, désactivez le mode de transition. Et si le choix de la bande 6 GHz est disponible sur votre routeur, privilégiez-la : la sécurité y est imposée par conception, sans réglage supplémentaire.
