Wi-Fi sécurisé : comprendre WPA2, WPA3 et régler sa box correctement

Ce que « sécurisé » protège, et ce qu’il ne protège pas

Le cadenas affiché à côté du nom d'un réseau ne dit qu'une chose : les trames qui circulent entre votre carte Wi-Fi et le point d'accès sont chiffrées. C'est déjà beaucoup. Sans ce chiffrement, n'importe qui à portée radio, avec une carte en mode moniteur et deux minutes de capture, lit vos requêtes DNS et vos en-têtes HTTP en clair.

Mais la protection s'arrête net au point d'accès.

Après la box, vos paquets repartent sur le réseau de l'opérateur avec la seule protection que leur donne le protocole applicatif. Un Wi-Fi WPA3 ne remplace pas HTTPS, et HTTPS ne remplace pas WPA3 : le premier empêche le voisin de capturer vos trames, le second empêche celui qui exploite le réseau de lire ce qu'elles contiennent.

Reste un angle mort que peu d'utilisateurs connaissent. En WPA2-Personal, la clé de session (PTK) est dérivée d'une phrase de passe partagée par tous les clients ; quelqu'un qui la connaît et qui capture votre 4-way handshake, au besoin en vous envoyant une trame de désauthentification pour vous forcer à vous reconnecter, déchiffre ensuite votre trafic. Le réseau « sécurisé » du café ou du camping, dont le mot de passe est écrit sur une ardoise, ne vous protège donc pas des autres clients connectés. WPA3-SAE corrige précisément ce point : chaque session négocie son propre secret, et la capture du handshake ne donne plus rien d'exploitable.

Autre confusion fréquente, du côté de Windows : le choix entre profil « Privé » et « Public » proposé à la connexion ne concerne pas le chiffrement. C'est un réglage de pare-feu et de découverte réseau. Un réseau ouvert peut très bien être marqué « Privé », et un réseau WPA3 marqué « Public ».

WEP, WPA2, WPA3 : ce que change réellement chaque protocole

Quatre générations cohabitent encore dans les interfaces de configuration, et les libellés des constructeurs entretiennent le flou.

WPA2 vient de la norme IEEE 802.11i, ratifiée en 2004. Il impose CCMP, c'est-à-dire AES 128 bits en mode compteur avec authentification CBC-MAC. Le maillon faible n'est pas le chiffrement lui-même mais la dérivation de clé : la phrase de passe passe dans PBKDF2-HMAC-SHA1, 4096 itérations, avec le SSID comme sel. Quatre mille itérations, c'est peu face à du matériel de calcul moderne, et un handshake capturé peut être confronté hors ligne à des dictionnaires entiers.

WPA3-Personal remplace ce mécanisme par SAE, un échange authentifié par mot de passe de type Dragonfly (décrit dans la RFC 7664, intégré à IEEE 802.11-2016). L'attaque par dictionnaire hors ligne devient inopérante : chaque tentative doit se faire en ligne, face au point d'accès, qui peut la limiter.

Protocole	Chiffrement	Authentification	État à retenir
WEP	RC4, clé de 40 ou 104 bits	Clé statique partagée	Cassé depuis 2001, abandonné par 802.11i en 2004
WPA	TKIP (RC4)	4-way handshake sur PSK	Obsolète, ne plus activer, même en mode mixte
WPA2-Personal	CCMP / AES-128	4-way handshake sur PSK	Acceptable avec une phrase de passe longue et PMF actif
WPA2/WPA3-Enterprise	CCMP / AES-128	802.1X + EAP via RADIUS (UDP 1812 et 1813)	Référence en entreprise, un identifiant par utilisateur
WPA3-Personal	CCMP / AES-128	SAE (Dragonfly, RFC 7664)	Recommandé, obligatoire pour opérer en 6 GHz
WPA3-Enterprise 192 bits	GCMP-256	EAP-TLS, courbes P-384, HMAC-SHA384	Environnements réglementés uniquement
Enhanced Open (OWE)	CCMP sans mot de passe	Diffie-Hellman opportuniste (RFC 8110)	Pour hotspots publics qui doivent rester ouverts

Régler sa box ou son point d’accès : les paramètres qui comptent

La plupart des box livrées en France arrivent en mode « transition » WPA2/WPA3, qui accepte les deux. C'est pratique pour les vieux objets connectés, et c'est aussi une porte laissée entrouverte : les attaques Dragonblood publiées en 2019 par Mathy Vanhoef et Eyal Ronen visaient justement ce mode, en forçant un repli vers WPA2 pour récupérer de quoi attaquer la phrase de passe. Si tous vos appareils gèrent WPA3, basculez en WPA3 seul et vérifiez ensuite que rien n'a décroché.

Le WPS mérite une mention à part. Sa méthode par code PIN a été démontée en décembre 2011 par Stefan Viehböck : le point d'accès valide la première moitié du code indépendamment de la seconde, ce qui ramène l'espace de recherche de 10 millions à 11 000 tentatives au maximum. Désactivez-le, y compris le bouton physique si l'interface le permet.

Le mot de passe de l'interface d'administration est un sujet distinct de la clé Wi-Fi, et il est souvent le plus négligé. Sur beaucoup de modèles, il vaut encore admin/admin ou reprend les huit derniers caractères du numéro de série imprimé sous le boîtier.

• Mode de sécurité : WPA3-Personal si possible, sinon WPA2-Personal en AES/CCMP seul, jamais WPA2+TKIP ni « WPA/WPA2 mixte »
• Phrase de passe : la norme accepte de 8 à 63 caractères ASCII imprimables ; visez 15 caractères aléatoires ou 5 à 6 mots tirés au hasard, pas un mot du dictionnaire suivi de deux chiffres
• PMF (Protected Management Frames, IEEE 802.11w) : sur « requis » en WPA3, au moins sur « optionnel » en WPA2, pour bloquer les trames de désauthentification forgées
• WPS : désactivé, PIN et bouton
• Administration distante depuis Internet (WAN) : désactivée, sauf besoin explicite
• Mot de passe admin : changé, différent de la clé Wi-Fi
• Firmware : mise à jour automatique activée, ou vérification manuelle deux fois par an
• SSID : renommé, sans le modèle de la box ni votre nom de famille

Vérifier en une commande ce que votre réseau utilise vraiment

L'interface de la box affiche ce qui est configuré. Votre machine, elle, affiche ce qui est réellement négocié, et les deux divergent plus souvent qu'on ne l'imagine (un appareil ancien qui force le repli, un répéteur qui ne relaie qu'en WPA2, un profil enregistré qui traîne).

Sur Windows, netsh wlan show interfaces renvoie deux lignes décisives : Authentification et Chiffrement. Vous devez y lire WPA3-Personal ou WPA2-Personal, et CCMP. Si la ligne Chiffrement indique TKIP, votre lien radio repose sur RC4 et il faut corriger la box tout de suite.

Sous Linux, wpa_cli status donne la ligne key_mgmt : SAE signifie WPA3, WPA2-PSK signifie WPA2. Pour balayer les réseaux voisins et voir qui expose encore quoi, nmcli suffit.

• Windows : netsh wlan show interfaces
• Linux (connexion en cours) : wpa_cli status | grep -E 'key_mgmt|pairwise_cipher'
• Linux (réseaux à portée) : nmcli -f SSID,SECURITY,CHAN,SIGNAL device wifi list
• macOS 13 et suivants : sudo wdutil info, section Wi-Fi, champs Security et PHY Mode (l'ancienne commande airport a été retirée)
• Android : les options développeur ou une appli d'analyse Wi-Fi affichent la capability RSN de la balise émise par le point d'accès

Wi-Fi public, réseau invité et les faux amis de la sécurité

Trois réglages sont régulièrement présentés comme des mesures de sécurité alors qu'ils n'en sont pas. Le filtrage par adresse MAC ne résiste pas trois minutes : les adresses MAC circulent en clair dans les en-têtes des trames, même sur un réseau chiffré, et se copient en une commande. Masquer le SSID ne le masque pas non plus, puisque vos propres appareils le diffusent dans leurs probe requests en cherchant le réseau. Quant au portail captif d'un hôtel, il gère la facturation, pas le chiffrement.

Sur un hotspot ouvert ou à mot de passe partagé, un VPN est effectivement la bonne réponse, à condition de comprendre ce qu'il fait. Il ne sécurise pas le lien Wi-Fi : il enveloppe votre trafic dans un tunnel chiffré qui reste opaque même si quelqu'un capture les trames radio. Le déplacement du point de confiance vers l'opérateur du VPN est le prix à payer.

Pour la maison ou un petit bureau, le réseau invité reste le réglage le plus rentable en temps passé. Il crée un SSID séparé, avec sa propre clé, isolé du LAN principal ; les caméras, ampoules connectées et téléviseurs y sont à leur place, loin de votre NAS et de vos partages de fichiers. Activez aussi l'isolation des clients quand l'option existe, pour que deux appareils du réseau invité ne se voient pas entre eux.

Un dernier point de repère, utile pour dater son matériel : la bande 6 GHz, ouverte au Wi-Fi 6E puis au Wi-Fi 7, interdit purement et simplement WEP et TKIP et exige WPA3 (ou OWE pour les réseaux ouverts). Si votre point d'accès émet en 6 GHz, il gère WPA3 par construction.

Questions fréquentes

WPA2 est-il encore acceptable, ou faut-il absolument passer à WPA3 ?

WPA2 avec CCMP/AES reste utilisable si la phrase de passe est longue et aléatoire, et si PMF est activé. Son point faible est la dérivation de clé (PBKDF2-SHA1, 4096 itérations), qui permet une attaque par dictionnaire hors ligne à partir d'un handshake capturé. Une phrase de passe de 15 caractères aléatoires rend cette attaque impraticable en pratique. WPA3 supprime le problème à la racine avec SAE, donc activez-le dès que votre matériel et vos clients le supportent.

Faut-il masquer le SSID de son réseau Wi-Fi ?

Non, le bénéfice est nul et les effets de bord sont réels. Le point d'accès cesse d'annoncer son nom dans les balises, mais vos appareils, eux, le diffusent activement dans leurs probe requests pour le retrouver, y compris quand vous êtes ailleurs. Un SSID masqué complique surtout la connexion des appareils invités et de certains objets connectés.

Sur le Wi-Fi d’un hôtel, un VPN suffit-il à me protéger ?

Pour la confidentialité du contenu, oui : le tunnel reste chiffré même si quelqu'un capture vos trames radio ou opère lui-même le point d'accès. Ce que le VPN ne masque pas, c'est la présence de votre appareil et son adresse MAC (sauf randomisation, activée par défaut depuis iOS 14 et Android 10), ni le volume de trafic. Et vous déplacez la confiance vers le fournisseur du VPN, qui voit ce que voyait l'hôtel.

Quelle longueur de mot de passe Wi-Fi choisir ?

La norme accepte de 8 à 63 caractères ASCII imprimables. Huit caractères est le minimum technique, pas une recommandation : c'est exactement la cible des dictionnaires de craquage. Visez 15 caractères tirés au hasard, ou une suite de cinq à six mots choisis aléatoirement, plus facile à dicter à un invité et bien plus coûteuse à casser.

Comment savoir si ma box gère WPA3 sans fouiller l’interface ?

Regardez d'abord si elle émet en 6 GHz : dans cette bande, WPA3 est obligatoire. Sinon, connectez un appareil récent et lisez la méthode négociée (netsh wlan show interfaces sur Windows, wpa_cli status sous Linux) : key_mgmt=SAE confirme WPA3. Les box les plus anciennes encore en service chez certains opérateurs n'ont jamais reçu de firmware WPA3 ; dans ce cas, un point d'accès dédié branché derrière la box est la solution la plus simple.

Testez vos connaissances

À lire aussi

chiffrement · adresse mac · box internet · attaque man in the middle