Comment choisir un routeur Wi-Fi avec chiffrement WPA3 et DNS privé pour protéger votre réseau domestique

Le routeur domestique fait office de passerelle numérique du logement : il gère le trafic de tous les appareils connectés, des smartphones aux appareils électroménagers intelligents. Même si chaque équipement possède ses propres réglages, le routeur occupe une place centrale, car il achemine les connexions dans toute la maison et permet d’appliquer collectivement des règles de sécurité et de confidentialité.

Cette gestion centralisée ne signifie pas que le routeur peut résoudre à lui seul tous les problèmes de sécurité, mais elle en fait un point de protection essentiel du réseau local. Les choix effectués à ce niveau — par exemple, les options de chiffrement activées ou la gestion des requêtes DNS — peuvent concerner plusieurs appareils à la fois, au lieu d’imposer des modifications distinctes sur chacun d’eux.

Selon l’INCIBE, la connectivité d’une maison intelligente comporte des risques lorsqu’elle n’est pas gérée correctement, notamment la perte de vie privée et le contrôle à distance non autorisé. Les appareils connectés au réseau peuvent être exposés à ces risques ; il est donc préférable de considérer la configuration du routeur comme une première ligne de défense, et non comme une garantie absolue.

La configuration détermine, entre autres, quelles données quittent le réseau et comment elles sont protégées pendant leur transmission. C’est pourquoi, lors du choix d’un équipement, il est utile de regarder au-delà du débit et de la couverture : les options de sécurité disponibles et la possibilité de les maintenir à jour font également partie des caractéristiques importantes.

Introduit en 2018 par la Wi-Fi Alliance, WPA3 est la norme de sécurité la plus récente pour les réseaux sans fil. Ce changement est important, car les clés d’accès protègent la connexion entre les appareils et le routeur, et la méthode d’authentification utilisée influe sur la résistance aux tentatives de deviner le mot de passe.

WPA2 utilise le chiffrement AES, plus robuste que le TKIP employé par WPA, mais il a été vulnérable à l’attaque KRACK en 2017. WPA3 intègre SAE (Simultaneous Authentication of Equals), une méthode d’authentification qui complique considérablement les attaques par force brute contre les mots de passe faibles. Cela ne dispense pas de choisir un mot de passe adéquat, mais offre une protection plus solide pendant l’authentification.

Pour vérifier la compatibilité, consultez la fiche technique du modèle précis et son manuel d’utilisation ; la marque ou le fait que le routeur soit récent ne suffit pas. Cherchez une mention explicite de WPA3 et vérifiez les modes activables dans l’interface d’administration web. La disponibilité peut varier entre les modèles d’un même fabricant.

De nombreux routeurs récents proposent WPA3 ou un mode mixte WPA3/WPA2 (AES). Ce dernier permet de maintenir la connexion des appareils anciens qui ne prennent pas en charge WPA3, tandis que les appareils compatibles peuvent utiliser la norme la plus récente. Avant de sélectionner cette option, consultez les indications du fabricant pour comprendre comment le mode mixte fonctionne sur cet équipement précis.

Sur certains anciens modèles, une mise à jour du micrologiciel peut ajouter WPA3. Cependant, les appareils antérieurs ne sont pas tous compatibles, et il ne faut pas présumer qu’une mise à jour suffit : la prise en charge doit être confirmée dans la documentation du fabricant. Si l’option n’apparaît pas, le manuel ou le service d’assistance permettra de savoir si l’équipement la prend en charge.

Le système DNS traduit les noms de domaine saisis dans le navigateur en adresses IP qui permettent de localiser les services sur Internet. Lorsque ces requêtes ne sont pas chiffrées, des tiers peuvent les intercepter et connaître les domaines consultés, ce qui peut révéler une partie de l’historique de navigation. La protection des requêtes est donc distincte du chiffrement Wi-Fi : elle porte sur les informations relatives aux destinations demandées.

Configurer un DNS privé ou chiffré sur le routeur, au moyen de DoH (DNS over HTTPS) ou de DoT (DNS over TLS), permet de protéger ces requêtes pendant leur transmission. Cela peut aussi contribuer à éviter le filtrage non souhaité ou la surveillance par les fournisseurs de services. Pour en bénéficier, le routeur doit proposer l’option correspondante et le service DNS choisi doit prendre en charge le mode configuré.

L’AEPD recommande aux familles de tenir compte de la vie privée lors de la configuration du DNS domestique et de choisir des solutions conformes à la réglementation sur la protection des données. Elle indique également que la configuration du DNS sur les routeurs ou les appareils peut être efficace pour protéger les mineurs, mais qu’elle exige une participation active des familles. Cette mesure doit être considérée comme un élément de la gestion quotidienne du réseau, et non comme un substitut à la supervision familiale.

Des services tels que DNS4EU ou CleanBrowsing proposent des profils de filtrage et de chiffrement pouvant être configurés sur le routeur afin de couvrir le réseau domestique. Le choix doit prendre en compte les options disponibles, la confidentialité et les besoins de la famille ; le filtrage et le chiffrement sont des fonctions liées, mais différentes, et il est utile de vérifier ce que propose le profil sélectionné.

Il est également important de vérifier le comportement de chaque appareil. Certains peuvent utiliser le DoH intégré et envoyer leurs requêtes à un service différent de celui configuré sur le routeur. Ce détour peut empêcher la configuration centrale de s’appliquer à toutes les requêtes ; examiner les réglages individuels permet donc de comprendre comment les noms de domaine sont réellement résolus sur le réseau.

La sécurité d’un routeur dépend largement de la publication régulière de correctifs de sécurité par le fabricant. Le micrologiciel est le logiciel qui contrôle le fonctionnement de l’équipement ; s’il ne reçoit pas de mises à jour, des vulnérabilités connues peuvent rester sans correctif et compromettre le réseau domestique. La date de fin de prise en charge est donc une information importante, et non un détail secondaire lors de l’achat.

Lorsque vous comparez les options, recherchez des fabricants qui proposent une assistance à long terme et publient proactivement des mises à jour de sécurité. Vérifier la date de la dernière mise à jour disponible permet de savoir si l’équipement est encore maintenu, mais cette information doit être rapprochée de la politique d’assistance : une mise à jour récente ne précise pas, à elle seule, combien de temps le fabricant continuera à corriger les problèmes.

L’INCIBE souligne qu’il est essentiel de maintenir les systèmes d’exploitation et les programmes à jour pour corriger les vulnérabilités connues. Pour un routeur, cette recommandation implique de vérifier la version du micrologiciel installée, de rechercher la plus récente et de confirmer la politique du fabricant pour ce modèle.

Les équipements arrivés en fin de vie, ou EOL (End of Life), ne reçoivent plus de correctifs de sécurité. Une fois ce stade atteint, les vulnérabilités découvertes peuvent ne pas être corrigées, et le routeur risque de devenir un point faible durable du réseau. Il est donc préférable d’éviter les modèles dont la prise en charge est terminée et de vérifier leur cycle de vie avant l’achat.

Les mises à jour font également partie de l’entretien après l’achat. Vérifier périodiquement si une nouvelle version est disponible et l’installer conformément aux instructions du fabricant permet de maintenir le micrologiciel à jour ; c’est une tâche continue, au même titre que la vérification des appareils connectés et de l’adéquation des options de sécurité aux besoins du foyer.

Pour comparer les routeurs, concentrez-vous sur les caractéristiques qui ont un effet direct sur la confidentialité et la sécurité. La fiche technique et le manuel permettent de vérifier si les fonctions nécessaires sont présentes, tandis que la politique d’assistance aide à déterminer si elles pourront être maintenues. Le tableau ci-dessous résume les principaux critères et leur intérêt :

Ce tableau sert de guide pour comparer les modèles ; il ne garantit pas qu’ils proposent tous les mêmes fonctions de la même manière. En particulier, DNSSEC et DoH/DoT ne sont pas équivalents : DoH et DoT chiffrent les requêtes, tandis que DNSSEC concerne la vérification de l’intégrité. Il convient de vérifier précisément ce que le routeur prend en charge et quelle option est activée.

Il faut aussi distinguer une caractéristique annoncée d’un réglage réellement applicable. La compatibilité WPA3 doit, par exemple, se traduire par les modes proposés sur l’équipement ; la prise en charge DNS doit préciser les protocoles ou services compatibles ; et la maintenance doit concerner le modèle, pas seulement une promesse générale de la marque.

Avant l’achat, vérifiez que le modèle précis prend en charge WPA3 et propose des options de configuration DNS avancées. Consultez la fiche technique et, si la description manque de clarté, le manuel d’utilisation. Vérifiez également la politique d’assistance et la date de la dernière mise à jour du micrologiciel afin d’éviter de choisir un équipement qui ne reçoit déjà plus de correctifs.

Après l’achat, la configuration initiale doit inclure les étapes suivantes :

• Remplacer le mot de passe d’administration d’usine par un mot de passe robuste.
• Désactiver WPS.
• Mettre à jour le micrologiciel vers la dernière version disponible.
• Configurer le DNS privé souhaité et examiner les options de filtrage.
• Activer WPA3 ou, si les appareils anciens l’exigent, le mode mixte WPA3/WPA2 (AES).

Effectuez ces changements dans l’interface d’administration du routeur et suivez les instructions du fabricant. Le mode mixte vise à faciliter la connexion des anciens appareils sans empêcher les appareils compatibles d’utiliser WPA3 ; avant de modifier ce réglage, il est utile de vérifier quels équipements du foyer doivent se connecter.

La sécurité du réseau est un processus continu, et non une configuration unique. Examiner régulièrement les appareils connectés permet de savoir quels équipements utilisent le réseau, et vérifier les mises à jour aide à traiter les vulnérabilités connues. Il peut également être nécessaire d’adapter les règles DNS à l’évolution des besoins de la famille.

Des organismes comme l’INCIBE et l’AEPD recommandent des pratiques de configuration et d’entretien qui contribuent à rendre le réseau domestique plus privé et plus sûr. Les appliquer durablement — maintenir le micrologiciel à jour, surveiller les connexions et revoir le DNS — permet aux décisions prises au départ de rester utiles au fil du temps.