4 réseaux Wi-Fi audités, 3 clés partagées inchangées depuis 2019 — les 7 étapes qui ont sorti ces PME du WPA2-PSK

La question que je pose en premier lors d’un audit réseau tient en six mots : « qui connaît la clé du Wi-Fi ? ». La réponse la plus fréquente n’est pas un nombre, c’est un silence, suivi de « tout le monde, en fait ». Puis, après réflexion : les salariés actuels, les anciens salariés, la société de ménage, l’ancien prestataire informatique, les visiteurs réguliers, et le fils du dirigeant qui vient faire ses devoirs le mercredi.

Sur les quatre réseaux d’entreprise que nous avons audités ce trimestre, trois utilisaient encore la clé configurée en 2019. Ce n’est pas de la négligence : c’est la conséquence logique d’un modèle où changer la clé oblige à reconfigurer chaque appareil de l’entreprise. Personne ne veut passer une journée à cela pour un départ, donc personne ne le fait, donc la clé ne change jamais.

Ce guide décrit les sept étapes que nous appliquons pour sortir de cette impasse. Pas de théorie : des décisions concrètes, avec les critères qui les tranchent, les pièges qui font échouer une migration et les chiffres réels de mise en œuvre pour une PME.

Étape 1 — Inventorier ce qui est réellement connecté, avant de décider quoi que ce soit

Aucune décision d’architecture n’a de sens tant que vous ne savez pas ce qui se connecte. Exportez la liste des clients associés depuis votre contrôleur ou vos points d’accès sur deux semaines glissantes, puis classez chaque entrée en quatre catégories :

• Postes gérés : ordinateurs de l’entreprise, inscrits à l’annuaire, sur lesquels vous pouvez pousser une configuration.
• Terminaux personnels tolérés : téléphones des salariés, tablettes. Vous ne les administrez pas, mais ils sont légitimes.
• Objets connectés : imprimantes, caméras, capteurs de température, badgeuses, écrans d’affichage. C’est presque toujours la catégorie la plus fournie et la moins connue.
• Inconnus : tout ce que personne ne sait identifier. Sur nos quatre audits, cette catégorie représentait entre 8 % et 22 % des adresses matérielles vues.

Notez aussi, pour chaque point d’accès, sa date de fin de support constructeur. Un point d’accès qui ne recevra plus de correctif ne prendra pas non plus en charge WPA3, et cette information conditionne le budget de l’étape 6 bien plus que le reste.

Étape 2 — Trancher entre WPA3-Personal et WPA3-Enterprise, sur le bon critère

Le débat est souvent mal posé, présenté comme une question de robustesse du chiffrement. Ce n’est pas le sujet. WPA3-Personal apporte un vrai progrès cryptographique par rapport à WPA2 : l’authentification simultanée des égaux rend l’attaque hors ligne sur la phrase secrète capturée nettement plus difficile.

Mais WPA3-Personal conserve le défaut structurel qui vous intéresse : un secret unique, partagé, non révocable individuellement. Vous avez amélioré la serrure sans changer le fait que tout le monde possède la même clé.

WPA3-Enterprise avec 802.1X change de modèle : chaque utilisateur ou chaque appareil s’authentifie avec son identité, vérifiée auprès d’un service centralisé. La révocation devient une opération d’annuaire de trente secondes, qui ne perturbe personne d’autre.

Notre recommandation, sans nuance : au-delà de 15 postes ou dès qu’il existe un turnover, passez en 802.1X. En dessous, WPA3-Personal avec une phrase secrète longue et une rotation annuelle documentée reste défendable — à condition que la rotation ait réellement lieu, ce qui n’était le cas dans aucun des dossiers que nous reprenons.

Étape 3 — Monter le service d’authentification et régler la question des certificats

802.1X repose sur un service RADIUS adossé à votre annuaire. Trois options, par ordre de simplicité décroissante :

• Un service RADIUS géré, intégré à votre fournisseur d’identité cloud. Le plus rapide à déployer, quelques heures. C’est notre recommandation par défaut pour une PME sans équipe réseau interne.
• Le service intégré au contrôleur Wi-Fi. Disponible chez la plupart des constructeurs professionnels. Correct, mais couple votre authentification à votre matériel réseau.
• Un serveur RADIUS auto-hébergé. Le plus souple, le plus exigeant en compétences. À réserver aux environnements qui ont déjà une gestion de certificats en place.

Le piège qui fait échouer la moitié des migrations tient en une case à cocher côté client : la validation du certificat serveur. Si les postes ne vérifient pas l’identité du serveur RADIUS auquel ils se connectent, un point d’accès pirate peut se présenter avec le même nom de réseau et récupérer les échanges d’authentification. Le déploiement doit donc imposer le nom du serveur attendu et l’autorité de certification qui le signe, par configuration poussée depuis l’annuaire — jamais par une consigne écrite laissée à l’utilisateur.

Étape 4 — Séparer les usages en trois réseaux, pas un de moins

C’est l’étape la plus souvent sautée, parce qu’elle demande de toucher au routage plutôt qu’à la configuration du Wi-Fi. C’est aussi celle qui limite le plus efficacement les dégâts quand quelque chose finit par mal tourner.

Réseau 1 — Entreprise. Postes gérés uniquement, authentifiés en 802.1X, accès aux ressources internes. C’est le seul réseau qui atteint les serveurs de fichiers et les applications métier.

Réseau 2 — Invités. Sortie internet et rien d’autre. Isolation entre clients activée, pour qu’un visiteur ne puisse pas voir le poste d’un autre visiteur. Portail d’accueil avec identifiants à durée limitée, et surtout aucune route vers les réseaux internes. Ce réseau accueille aussi, en pratique, les téléphones personnels des salariés — c’est sa vraie fonction.

Réseau 3 — Objets connectés. Imprimantes, caméras, capteurs, écrans, badgeuses. Ces équipements ont trois caractéristiques communes : ils ne sont presque jamais mis à jour, ils sont fréquemment livrés avec des identifiants d’usine, et ils n’ont besoin de parler qu’à deux ou trois destinations précises. Ce réseau doit donc être en liste blanche de flux sortants, et interdit d’accès aux postes de travail.

Le raisonnement complet, y compris pour la partie filaire, est développé dans notre guide de segmentation réseau pour PME en 7 étapes. Le sans-fil n’est qu’une porte d’entrée de plus vers le même plan d’adressage.

Étape 5 — Durcir la configuration : cinq réglages, trente minutes

1. Désactiver le WPS. La configuration protégée par bouton ou code PIN reste activée par défaut sur beaucoup d’équipements. Elle offre un contournement du mot de passe qu’aucune entreprise n’a de raison d’accepter.
2. Rendre la protection des trames de gestion obligatoire. Sans elle, un attaquant peut forcer la déconnexion des clients pour capturer leur reconnexion. En mode « obligatoire » plutôt qu’« optionnel », cette attaque disparaît.
3. Activer l’isolation entre clients sur le réseau invités. Deux visiteurs ne doivent pas se voir. Une ligne de configuration.
4. Désactiver la gestion à distance des points d’accès depuis le sans-fil. L’administration se fait depuis le réseau filaire d’administration, jamais depuis le réseau que l’on administre.
5. Renommer les réseaux sans indiquer le constructeur ni le modèle. Un nom de réseau qui annonce la marque et la gamme du matériel offre gratuitement la liste des vulnérabilités connues qui s’y appliquent.

Un mot sur le filtrage par adresse matérielle, que l’on nous propose régulièrement comme mesure de sécurité : ce n’en est pas une. Ces adresses sont visibles en clair dans l’air et se falsifient en une commande. Le filtrage a une utilité de gestion — inventaire, attribution d’adresses — mais le présenter comme un contrôle d’accès crée un faux sentiment de protection, ce qui est pire que rien.

Étape 6 — Migrer sans casser la production

La migration échoue rarement pour des raisons techniques. Elle échoue parce qu’un lundi matin, quarante personnes ne peuvent plus se connecter et que la décision est annulée avant midi. Le déroulé qui fonctionne :

1. Créer le nouveau réseau à côté de l’ancien, sans rien supprimer. Les deux coexistent pendant toute la transition.
2. Migrer un service pilote — idéalement celui qui râlera le plus fort, parce que ses objections sont les vraies. Une semaine d’observation.
3. Basculer les postes gérés par vagues, via la configuration poussée depuis l’annuaire. Aucune manipulation utilisateur : si vos salariés doivent saisir quelque chose, vous perdrez la moitié d’entre eux au premier certificat.
4. Traiter les objets connectés en dernier et un par un. C’est le poste de charge réel. Beaucoup d’équipements anciens ne gèrent pas 802.1X : ils partent sur le réseau dédié en clé partagée propre, cloisonné, avec une date de remplacement inscrite au budget.
5. Ne couper l’ancien réseau qu’après deux semaines sans client associé. Vérifiez les journaux avant de supprimer, jamais l’inverse.

Sur le mode de transition mixte proposé par certains contrôleurs, qui accepte simultanément WPA2 et WPA3 sur un même réseau : il est utile pendant la bascule et doit être désactivé une fois la migration terminée. Le laisser en place indéfiniment revient à conserver le niveau de sécurité du plus faible client, ce qui annule le bénéfice de l’opération.

Étape 7 — Vérifier, puis maintenir

Trois contrôles, à faire une fois puis à replanifier chaque trimestre :

• Test du point d’accès pirate. Un point d’accès de test diffusant le même nom de réseau permet de vérifier que les postes refusent bien de s’y associer. Si l’un s’y connecte, sa validation de certificat est mal configurée — et c’est exactement ce que l’étape 3 devait empêcher.
• Revue des accès accordés. Comparez la liste des identités autorisées au registre du personnel. Les écarts sont systématiques après six mois.
• Revue du réseau des objets connectés. Tout appareil apparu sans être déclaré doit être identifié ou déconnecté. C’est la seule catégorie qui grossit toute seule.

Pour une PME de 30 à 150 personnes, comptez 3 à 6 jours-homme et 1 500 à 6 000 € pour l’ensemble, hors renouvellement de matériel. La variable dominante n’est pas le nombre de salariés mais l’âge des points d’accès et le nombre d’objets connectés incapables de gérer 802.1X.

Si votre entreprise entre dans le périmètre des obligations issues de la directive NIS2, cette architecture alimente directement la documentation attendue sur le contrôle d’accès : notre méthode de cadrage du périmètre NIS2 détaille les preuves à conserver. Le principe est le même que celui appliqué par les équipes de développement à leurs dépendances logicielles ou par les directions aux usages non encadrés de l’IA : ce qui n’est pas identifié nominativement ne peut pas être retiré.

Questions fréquentes

Les constats chiffrés de cet article proviennent de quatre audits de réseaux sans fil menés par nos équipes auprès de PME françaises entre juin et août 2026. Les organisations concernées sont anonymisées. Cet article décrit des mesures défensives et ne détaille aucune technique offensive.