Isoler ses objets connectés ne veut pas dire transformer sa maison en petite entreprise ni vivre dans l’interface d’un firewall. Cela veut dire accepter une idée simple : une TV connectée, une caméra, une prise Wi-Fi ou un assistant vocal n’ont pas besoin d’avoir la même place réseau qu’un ordinateur de travail, un téléphone principal ou un NAS personnel. La segmentation sert précisément à réduire cette proximité par défaut. CISA décrit d’ailleurs la segmentation comme une couche supplémentaire de sécurité et de contrôle destinée à limiter l’impact d’une compromission et à empêcher qu’un problème se propage trop facilement. (cisa.gov)
Ce que segmenter veut vraiment dire
Beaucoup de lecteurs imaginent qu’un réseau est soit “unique”, soit “complètement séparé”. En réalité, il existe plusieurs degrés. Segmenter un réseau, c’est créer des zones qui n’ont pas toutes le même niveau de confiance ni le même droit de communication entre elles. Dans une maison, cela peut aller du simple réseau invité jusqu’à des sous-réseaux séparés, des VLAN, ou des règles plus fines au niveau du routeur ou du firewall. L’idée n’est pas de rendre toute communication impossible, mais de faire en sorte qu’un objet n’ait accès qu’à ce dont il a réellement besoin. Cette logique rejoint aussi l’approche du NIST sur le MUD : lorsqu’un appareil se connecte, le réseau peut, en théorie, n’autoriser que les flux strictement nécessaires à son fonctionnement prévu et bloquer le reste. (csrc.nist.gov)
Il faut aussi poser une limite dès le départ : segmenter ne “nettoie” pas un objet connecté. Une caméra mal conçue reste une caméra mal conçue. Une application intrusive reste intrusive. La segmentation ne change ni la télémétrie native, ni la dépendance au cloud, ni la qualité du support logiciel. En revanche, elle peut réduire la surface de contact entre cet appareil et le reste du foyer, ce qui est déjà beaucoup plus sérieux qu’un simple espoir placé dans le chiffrement ou dans une case “privacy” mal documentée. Cette conclusion s’inscrit dans la logique de défense en profondeur décrite par CISA et dans la centralité du routeur rappelée par la FTC.
Niveau 1 : le réseau invité, solution simple mais imparfaite
Pour la plupart des foyers, le premier levier réaliste est le réseau invité. La FTC le recommande explicitement : beaucoup de routeurs permettent de créer un guest network avec un nom et un mot de passe différents, ce qui réduit le nombre de personnes disposant du mot de passe principal et limite aussi le risque qu’un appareil invité compromis se retrouve sur le réseau principal. Cette logique peut être étendue aux objets connectés eux-mêmes : plutôt que de leur donner accès au même réseau que les ordinateurs et les téléphones sensibles, on peut les placer sur un réseau séparé dès le départ. (consumer.ftc.gov)
Mais il faut être honnête : un réseau invité n’est pas une segmentation parfaite. Son comportement dépend fortement du routeur. Sur certains équipements, il isole assez bien les clients du réseau principal. Sur d’autres, il reste plus permissif ou plus confus. Il ne faut donc pas écrire qu’un guest network “protège forcément” le reste de la maison. La bonne formulation est plus exigeante : c’est souvent la meilleure première étape, à condition de vérifier ce que le routeur autorise réellement entre le réseau principal, le réseau invité et l’administration locale. Cette prudence est une déduction technique raisonnable à partir du fait que la FTC recommande le réseau invité comme mesure de sécurité générale, sans prétendre qu’il remplace une architecture complète.
Concrètement, ce niveau simple suffit déjà pour beaucoup d’objets qui n’ont pas besoin de dialoguer librement avec vos autres appareils : prises connectées, ampoules, téléviseurs, enceintes, certains aspirateurs robots. Dès qu’un appareil n’a pas de raison forte d’atteindre vos machines principales, il mérite d’être regardé comme candidat naturel au réseau séparé.
Niveau 2 : séparer par usage, pas par gadget
Le vrai progrès commence quand on cesse de penser “un réseau pour les objets connectés” et qu’on réfléchit en termes d’usage. Tous les objets connectés n’ont pas le même profil. Une caméra extérieure, une TV, un assistant vocal et un NAS multimédia ne posent pas le même problème. Les mettre tous dans un même sac peut être plus simple, mais pas toujours plus intelligent.
Une séparation minimale utile peut ressembler à ceci :
- réseau principal pour ordinateurs, téléphones personnels, documents, sauvegardes ;
- réseau secondaire pour TV, assistants vocaux, objets orientés cloud ;
- éventuellement une zone spécifique pour les appareils qui exposent des flux sensibles ou qui restent allumés en permanence, comme certaines caméras ou certains enregistreurs.
L’intérêt n’est pas esthétique. Il est fonctionnel : si un segment contient des appareils plus bavards, plus opaques ou moins bien maintenus, leur proximité avec vos données les plus sensibles diminue. CISA insiste sur cette logique : la segmentation sert à donner plus de contrôle et à réduire l’ampleur d’une compromission éventuelle.
Niveau 3 : VLAN et règles réseau, quand le matériel suit vraiment
À partir d’un certain point, le réseau invité ne suffit plus ou devient trop grossier. C’est là que les VLAN et les règles inter-réseaux deviennent intéressants. Mais il faut rester sobre : les VLAN ne sont pas une obligation morale, juste un outil plus fin quand le matériel et l’envie suivent.
Leur intérêt est clair : au lieu d’avoir seulement “réseau principal” et “réseau invité”, on peut définir plusieurs segments logiques et contrôler ce qui circule entre eux. Cela permet, par exemple, d’autoriser une application d’administration depuis un segment de confiance vers un appareil donné, sans pour autant ouvrir tout le reste. C’est la version domestique, simplifiée, d’une idée très classique en sécurité : tous les actifs n’ont pas la même confiance ni les mêmes besoins de communication. CISA présente justement la segmentation comme un moyen d’appliquer des contrôles supplémentaires entre sous-réseaux.
La limite, encore une fois, est la maintenabilité. Si le lecteur doit jongler avec un switch manageable, un point d’accès, des VLAN taggés, des règles firewall et des appareils qui cessent de fonctionner au moindre détail, il peut très vite abandonner — ou tout rouvrir “temporairement”, ce qui revient à annuler le bénéfice. Cette remarque relève du bon sens opérationnel, mais elle est essentielle : une architecture un peu moins parfaite mais tenue dans le temps vaut mieux qu’un château de cartes technique.
L’idée la plus intéressante, mais rarement accessible : n’autoriser que ce dont l’objet a besoin
C’est ici qu’on peut apporter quelque chose d’un peu moins banal. Le NIST a consacré un guide entier à l’usage du Manufacturer Usage Description (MUD) pour les environnements domestiques et petits bureaux. L’idée est simple et forte : permettre au réseau de n’autoriser qu’un ensemble de communications décrites comme nécessaires au fonctionnement prévu de l’objet, et de bloquer le reste. Le NIST explique que cette approche peut réduire la vulnérabilité des appareils IoT face aux attaques réseau et limiter aussi les dégâts qu’un appareil compromis pourrait causer. (csrc.nist.gov)
En pratique, ce n’est pas encore la solution que l’on recommande à n’importe qui dans un foyer standard. Le support matériel, logiciel et constructeur reste trop inégal. Mais sur le plan intellectuel, c’est une idée importante, parce qu’elle rappelle ce que devrait être une bonne segmentation : non pas une séparation abstraite, mais une réduction volontaire des communications au strict nécessaire. Cette logique peut d’ailleurs inspirer la manière de choisir son matériel, même quand on ne déploie pas MUD lui-même.
Ce qu’il faut vérifier avant de compliquer son réseau
Avant de créer plusieurs segments, il y a quelques questions simples à poser :
- cet appareil a-t-il réellement besoin d’accéder à d’autres machines chez moi ?
- doit-il être joignable localement, ou seulement sortir vers Internet ?
- l’application qui le pilote fonctionne-t-elle uniquement si tout est sur le même sous-réseau ?
- le routeur permet-il réellement d’isoler les segments ou seulement de leur donner des noms différents ?
- suis-je capable de maintenir cette séparation dans six mois ?
Cette dernière question compte plus qu’on ne l’admet. Un réseau domestique n’est pas un exercice théorique. Si la segmentation devient trop pénible, elle finit souvent en exception permanente.
Les erreurs classiques
La première erreur consiste à croire qu’un mot de passe Wi-Fi fort suffit à régler le problème. La FTC recommande bien un mot de passe unique et solide, le chiffrement WPA2/WPA3, les mises à jour du routeur et la désactivation de certaines fonctions comme le remote management, WPS ou UPnP quand elles ne sont pas nécessaires. Mais ces mesures protègent surtout l’accès au réseau et sa configuration ; elles ne remplacent pas une séparation des usages quand des objets peu fiables y cohabitent. (consumer.ftc.gov)
La deuxième erreur consiste à tout mettre sur un réseau invité et à considérer le sujet clos. C’est mieux que rien, mais cela ne dit rien sur les communications sortantes réelles, la découverte locale, l’administration du routeur ni la dépendance au cloud.
La troisième erreur consiste à construire un réseau trop sophistiqué pour ses besoins. Une segmentation utile est une segmentation que l’on comprend encore quand un appareil refuse de s’appairer un dimanche soir. L’objectif n’est pas de gagner un concours de topologie, mais de réduire les contacts inutiles entre des appareils qui n’ont aucune raison de partager le même espace de confiance.