Mot de passe Wi-Fi : le trouver, l’afficher et le changer

Le mot de passe Wi-Fi est la clé WPA du réseau sans fil : 8 à 63 caractères, imprimée sur l'étiquette de la box sous le nom « clé de sécurité », et différente du mot de passe qui ouvre l'interface d'administration. Si vous l'avez perdue, un appareil déjà connecté la conserve et sait l'afficher en une commande.

Sommaire

La clé WPA n’est pas le mot de passe de la box

Sur l'étiquette collée sous votre box, deux mots de passe cohabitent. Celui qui porte la mention « clé de sécurité », « clé WPA » ou « mot de passe Wi-Fi » sert à connecter un appareil au réseau sans fil. L'autre, appelé « mot de passe d'administration », ouvre l'interface de configuration du routeur. Les confondre bloque la connexion sans explication utile : la box répond juste « échec d'authentification » et l'utilisateur retape la même chaîne dix fois.

Techniquement, cette clé est une passphrase PSK, pour Pre-Shared Key. La norme IEEE 802.11i, reprise dans 802.11-2020, autorise 8 à 63 caractères ASCII imprimables (codes 32 à 126), ou bien la clé brute en 64 chiffres hexadécimaux. La passphrase ne circule jamais telle quelle dans les airs : chaque appareil la dérive localement en une clé de 256 bits avec PBKDF2-HMAC-SHA1, 4096 itérations, et le SSID du réseau comme sel.

Ce qu'on vous demande	Ce que c'est	Où le trouver
Clé de sécurité réseau, clé WPA	Le mot de passe Wi-Fi	Étiquette de la box, interface d'administration
Mot de passe d'administration	Accès à la configuration du routeur	Étiquette de la box, ou espace client
Identifiants espace client	Compte chez l'opérateur	Courrier de bienvenue, jamais sur la box
Code PIN	Déverrouillage de la carte SIM d'un routeur 4G	Support de la carte SIM

Afficher une clé déjà enregistrée sur un appareil

Un poste connecté conserve la clé. Sous Windows, une invite de commandes ouverte en administrateur suffit : la valeur apparaît à la ligne « Contenu de la clé ». Vous n'avez pas besoin de toucher à la box.

Attention au partage par QR code sur Android : le code n'est pas chiffré. Il encode une chaîne du type WIFI:T:WPA;S:Livebox-A1B2;P:ma-cle-secrete;; que n'importe quel lecteur affiche en texte clair. Photographier l'écran d'un collègue pendant qu'il partage son réseau revient à lui prendre sa clé.

Windows : netsh wlan show profile name="MonSSID" key=clear
macOS : security find-generic-password -ga "MonSSID", le Trousseau réclame votre mot de passe de session
Linux avec NetworkManager : sudo grep psk= /etc/NetworkManager/system-connections/MonSSID.nmconnection
Android 10 et versions suivantes : Paramètres, Wi-Fi, réseau, Partager, puis lecture du QR code
iOS 16 et versions suivantes : Réglages, Wi-Fi, bouton (i), Mot de passe, après Face ID ou Touch ID
Box : interface d'administration, rubrique Wi-Fi, souvent derrière un bouton « afficher »

Changer la clé depuis l’interface de la box

L'interface s'ouvre depuis le réseau local, sur une adresse IP privée ou un nom d'hôte interne. Les adresses ci-dessous sont celles d'usine et restent valables tant que personne n'a modifié le plan d'adressage du LAN.

Une fois la clé changée, tous les appareils tombent, y compris ceux que vous aviez oubliés. Le même effet se produit si vous renommez le réseau : le SSID sert de sel dans la dérivation, donc changer le nom change la clé dérivée même avec une passphrase identique. Pour un visiteur, activez plutôt le réseau invité, avec son SSID et sa clé propres, et l'isolation client qui l'empêche d'atteindre l'imprimante ou le NAS. La plupart des box grand public le proposent en deux clics.

Box	Adresse par défaut	Rubrique
Livebox (Orange)	http://192.168.1.1	Wi-Fi, Sécurité
Freebox	http://mafreebox.freebox.fr	Wi-Fi, Configuration
Bbox (Bouygues)	http://gestionbbox.lan ou 192.168.1.254	Réseau Wi-Fi
Box SFR	http://192.168.1.1	Wi-Fi, Sécurité

Ce qui rend une clé réellement difficile à casser

L'attaque classique ne consiste pas à essayer des mots de passe sur la box. L'attaquant capture le handshake en quatre messages, ou un simple PMKID envoyé par le point d'accès, puis travaille hors ligne. Hashcat traite ce format en mode 22000. La box ne voit rien, ne journalise rien, ne bloque rien : la seule limite est la puissance de calcul disponible.

Les 4096 itérations de PBKDF2 ralentissent l'attaquant, elles ne sauvent pas un mot de passe présent dans un dictionnaire de fuites. Huit lettres minuscules, c'est le minimum de la norme et environ 2^37 combinaisons, largement à portée. Douze caractères tirés au hasard dans un alphabet de 62 symboles donnent près de 2^71 combinaisons, ce qui ferme la porte à la force brute. Une phrase de quatre ou cinq mots tirés au sort fonctionne aussi bien et se tape plus vite sur une télécommande de télévision.

Désactivez le WPS au passage. Son code PIN à 8 chiffres est validé en deux moitiés, et le dernier chiffre est une somme de contrôle : l'espace de recherche tombe de 10 millions à 11 000 essais (10^4 + 10^3). La faille est publique depuis décembre 2011 et l'outil Reaver l'exploite toujours sur du matériel vendu aujourd'hui.

WPA3-Personal remplace le PSK par SAE, Simultaneous Authentication of Equals, un échange dérivé de Dragonfly décrit dans la RFC 7664. Il n'existe plus de handshake capturable menant à un cassage hors ligne : chaque tentative doit passer par le point d'accès, à la vitesse du réseau. Un mot de passe faible reste faible, mais l'attaquant perd son avantage.

Les pannes qui suivent un changement de clé

Le symptôme typique : le téléphone et le PC se reconnectent en trente secondes, l'imprimante reste injoignable et le NAS a disparu de l'explorateur. L'imprimante n'a pas d'écran pour ressaisir 20 caractères, il faut la relancer en mode appairage ou la reconfigurer par câble USB.

Un piège moins connu concerne les accents. La norme WPA2 parle d'ASCII imprimable, mais rien n'interdit à une box d'accepter un « é » dans le champ. Le routeur l'encode alors en UTF-8, un vieux client Android ou un objet connecté l'encode autrement, et la clé dérivée diffère. Résultat : le réseau fonctionne pour la moitié du parc. Restez sur des lettres, des chiffres et une poignée de signes de ponctuation simples.

Objets connectés sans écran : prises, caméras, thermostats, à repasser en mode appairage un par un
Passage en WPA3 seul : les clients 2,4 GHz anciens décrochent, le mode de transition WPA2/WPA3 les garde en ligne
Espace final copié depuis un gestionnaire de mots de passe, invisible dans le champ de saisie
Répéteur Wi-Fi ou boîtier CPL qui continue de diffuser l'ancien SSID avec l'ancienne clé

Testez vos connaissances

Quiz rapide Question 1 sur 3

Quelle longueur la norme autorise-t-elle pour une passphrase WPA2 ?

Questions fréquentes

Où est écrit le mot de passe Wi-Fi sur ma box ?

Sur l'étiquette collée au dos ou sous le boîtier, sous la mention « clé de sécurité », « clé Wi-Fi » ou « WPA key ». Selon l'opérateur, elle prend la forme de 26 caractères hexadécimaux ou d'une chaîne alphanumérique plus courte. Si l'étiquette est illisible, lisez la clé depuis l'interface d'administration en passant par un appareil encore connecté, ou depuis l'espace client de votre opérateur.

Peut-on afficher un mot de passe Wi-Fi sans droits administrateur ?

Non, et c'est voulu. netsh ... key=clear exige une invite élevée sous Windows, le Trousseau macOS demande le mot de passe de session, le partage iOS passe par Face ID et les fichiers de NetworkManager sont en lecture root. Un outil qui promet d'extraire la clé sans authentification locale ment ou installe autre chose.

Un mot de passe Wi-Fi de 8 caractères suffit-il ?

C'est le minimum autorisé par la norme, pas un seuil de sécurité. Huit lettres minuscules représentent environ 2^37 combinaisons, ce qu'un cassage hors ligne parcourt sans difficulté. Visez 12 à 16 caractères tirés au hasard, ou une phrase de quatre ou cinq mots sans lien entre eux.

Changer le mot de passe Wi-Fi change-t-il mon adresse IP ?

Non. La clé WPA protège le lien radio entre vos appareils et la box, alors que l'adresse IP publique est attribuée par le fournisseur d'accès. Si vous redémarrez la box pendant l'opération et que votre IP est dynamique, elle peut changer, mais c'est le redémarrage qui en est la cause.

Le filtrage par adresse MAC remplace-t-il un bon mot de passe ?

Non. Les adresses MAC circulent en clair dans les trames de gestion, même sur un réseau chiffré, et se copient en une ligne de commande sur la plupart des cartes Wi-Fi. Le filtrage complique la vie des invités légitimes bien plus que celle d'un attaquant. Gardez-le comme confort d'inventaire, pas comme défense.