La scène se répète dans les groupes d'entraide que je suis : un propriétaire raconte qu'il a reçu une notification de sa caméra à 23 h 47, un mardi, alors qu'il était à Lyon pour le boulot. La caméra n'a rien filmé. Le lendemain matin, sa serrure connectée affichait trois ouvertures entre 2 h et 4 h. Il a mis deux semaines à comprendre que personne n'était entré par la fenêtre. Quelqu'un s'était connecté à son compte constructeur avec un mot de passe réutilisé, avait désactivé l'alarme, puis ouvert la porte comme un membre du foyer.
Voilà le vrai sujet quand on parle de sécuriser sa maison connectée contre les intrusions : on imagine un homme encagoulé qui force une fenêtre, alors que la majorité des attaques passent par un identifiant et une API. Confusion coûteuse. C'est exactement ce que reproche aux articles grand public mon pote Antoine, qui pose des systèmes d'alarme depuis huit ans dans la région nantaise : ils décrivent le cambriolage de 1995 avec le vocabulaire de 2026.
Points clés à retenir
- Un compte cloud compromis donne accès à tout : alarme, caméras, serrure. Le mot de passe unique est le premier vecteur d'attaque.
- Séparer le réseau Wi-Fi des objets connectés du réseau des ordinateurs coûte une trentaine d'euros et bloque un grand nombre de scénarios.
- L'accès partagé (invités, prestataires, anciens colocataires) est un angle mort systématiquement oublié dans les guides classiques.
- Le piratage d'une caméra IP pour repérer vos absences précède souvent l'intrusion physique, il ne la remplace pas.
- La meilleure protection combine dissuasion visible et cloisonnement numérique. L'un sans l'autre laisse une porte ouverte.
Comment un intrus pirate vraiment une maison connectée
J'ai testé le scénario sur mon propre setup l'an dernier, avec l'accord d'un ami qui bosse en sécurité offensive. Résultat en quarante minutes : accès complet à ses deux caméras intérieures, à son historique de présence, et à la fonction d'ouverture de sa porte d'entrée. Quarante minutes. Le point d'entrée n'avait rien de spectaculaire : un vieux compte sur un forum de randonnée, créé en 2014, avec le même email que son application domotique.
Le scénario de la caméra qui vous espionne
La caméra IP est le maillon le plus exposé. Elle diffuse en continu, elle est branchée 24 h sur 24, et beaucoup de modèles d'entrée de gamme sortent d'usine avec un flux accessible depuis l'extérieur, protégé par un mot de passe par défaut du type admin/admin. Un intrus qui scanne les adresses IP résidentielles finit par tomber sur l'une d'elles.
Ce qu'il cherche n'est pas votre intimité. C'est votre calendrier. Une caméra bien placée révèle quand la maison se vide, à quelle heure vous rentrez, si vous partez avec une valise ou un sac de sport. Le cambriolage se planifie ensuite tranquillement.
Le compte constructeur, le point de bascule
Le vrai problème, celui que presque personne n'aborde, c'est la centralisation. Votre alarme, vos caméras, votre thermostat, votre serrure : tout remonte souvent à un seul compte fabricant. Un identifiant. Un mot de passe. Et derrière, l'intégralité de la maison pilotable depuis un téléphone, y compris depuis un téléphone volé.
Dans le cas de mon ami, la désactivation de l'alarme n'a demandé aucun exploit technique. Juste une session ouverte sur le bon compte. Le système a fait son travail : il a obéi à son propriétaire légitime, qui n'était pas le propriétaire physique.
L'accès partagé, l'angle mort auquel personne ne pense
Vous avez donné un accès temporaire à la femme de ménage, au plombier, à l'ancien colocataire, à la personne qui arrosait les plantes en août. Combien de ces accès sont encore actifs aujourd'hui ? Franchement, je ne connaissais pas la réponse pour mon propre logement avant de vérifier. Il y en avait cinq. Deux concernaient des gens que je n'avais pas vus depuis plus d'un an.
Un accès partagé, c'est un compte avec des droits. Et un compte, ça se revend, ça se prête, ça se perd avec un téléphone non verrouillé. Supprimer un accès prend trente secondes dans n'importe quelle application sérieuse. Le faire une fois par trimestre devrait être un réflexe.
Quelle est la meilleure protection anti-intrusion pour une maison ?
Il n'existe pas de produit unique qui règle le problème, et quiconque vous vend "la solution tout-en-un" vous vend surtout sa marge. La meilleure protection est une combinaison : une barrière physique visible, un cloisonnement réseau propre, et une hygiène de comptes irréprochable. Retirez l'un des trois et vous laissez une brèche.
La dissuasion physique reste la base
Un cambrioleur pressé choisit la maison la plus facile de la rue. Une alarme qui hurle, un éclairage qui s'allume au mauvais moment pour lui, une caméra bien visible à hauteur d'homme : ça suffit souvent à le faire passer au numéro suivant. La technologie connectée n'améliore pas cette dissuasion, elle l'automatise. Elle permet de simuler une présence crédible quand vous êtes à 400 kilomètres.
Attention à un détail que je vois régulièrement : une caméra connectée mais mal fixée, orientée vers le ciel ou vers un mur, ne dissuade personne. J'ai vu trois installations comme ça en deux ans. Le propriétaire était fier de son matériel. Le matériel ne servait à rien.
Le cloisonnement réseau, le geste qui change tout
Si vous ne devez retenir qu'une action technique de cet article, c'est celle-là : séparez vos objets connectés de vos ordinateurs. La plupart des box internet récentes proposent un réseau invité, ou un réseau dédié aux objets. Votre ordinateur, votre téléphone principal et votre NAS restent sur le réseau principal. Caméras, ampoules, prises intelligentes, robot aspirateur vont sur le second.
Pourquoi ça compte ? Parce qu'un objet connecté compromis ne peut alors plus atteindre vos fichiers, vos mots de passe enregistrés, vos sessions bancaires. Le pirate reste enfermé dans un enclos.
Si vous voulez aller plus loin, un routeur dédié avec un VLAN pour l'IoT coûte entre 80 et 150 euros. J'ai fait le saut il y a deux ans. Le temps de configuration m'a pris un samedi après-midi, et j'ai pesté une bonne heure. Je referais le même choix sans hésiter.
Ce que le cloisonnement ne règle pas
Il ne protège pas contre un compte constructeur compromis. Si quelqu'un se connecte à votre application fabricant avec le bon mot de passe, il pilote votre serrure, cloisonnement ou pas. C'est pour ça que l'hygiène de comptes reste indispensable en parallèle.
Comparer les approches de protection
Le tableau ci-dessous résume ce que chaque levier couvre réellement, en fonction du type d'attaque. Je l'ai construit à partir de ce que j'ai vu fonctionner, ou échouer, chez des proches et sur mon propre logement.
| Levier | Bloque le piratage cloud | Bloque l'intrusion physique | Coût indicatif |
|---|---|---|---|
| Mot de passe unique + gestionnaire | Oui, fortement | Non | Gratuit à 3 €/mois |
| Double authentification sur le compte constructeur | Oui | Non | Gratuit |
| Réseau Wi-Fi séparé pour l'IoT | Partiellement | Non | Gratuit (box récente) |
| Alarme visible + éclairage piloté | Non | Oui, dissuasion | 200 à 800 € |
| Caméra IP sur réseau isolé | Oui, périmètre réduit | Oui, dissuasion | 60 à 200 € |
| Audit trimestriel des accès partagés | Oui | Non | Gratuit |
Vous remarquez qu'aucune ligne ne coche les deux colonnes. C'est normal, et c'est le cœur du sujet : le numérique et le physique se complètent, ils ne se substituent pas.
Les erreurs que je vois le plus souvent
Un voisin m'a demandé de jeter un œil à son installation il y a quelques mois. En dix minutes, j'ai relevé trois choses.
- Sa caméra d'entrée diffusait sur le réseau principal, avec le mot de passe laissé par défaut (le classique admin).
- Le compte de son application serrure utilisait la même adresse mail que sa messagerie principale, elle-même associée à une fuite de données ancienne.
- Trois accès partagés encore actifs, dont un pour un artisan passé deux ans plus tôt.
Rien d'exceptionnel. C'est le cas de figure standard. Et c'est précisément pour ça que les attaques fonctionnent.
La mise à jour que vous repoussez
Les fabricants corrigent des failles. Ils les publient dans des mises à jour que vous recevez par notification et que vous reportez, parce que le moment est mal choisi, parce que ça redémarre le système, parce que vous êtes en réunion. Sauf que la faille corrigée est publique. Une fois l'information diffusée, le délai entre la publication et l'exploitation se compte en jours.
Activez les mises à jour automatiques quand l'option existe. Et pour les appareils qui ne le proposent pas, mettez un rappel mensuel. Fastidieux. Efficace.
Le compte email qui relie tout
Un dernier point qui revient sans cesse : utiliser une adresse mail dédiée à la domotique. Pas votre adresse principale, pas celle de votre travail. Une adresse isolée, avec un mot de passe unique, qui ne sert qu'à ça. Si elle fuite, elle ne compromet rien d'autre. C'est la mesure la plus simple de cette liste et, honnêtement, celle que j'ai mise le plus longtemps à appliquer.
Ce qu'il faut retenir
La maison connectée n'est pas plus dangereuse qu'une maison classique. Elle est dangereuse autrement. Le cambrioleur d'aujourd'hui n'a pas forcément besoin de franchir votre portail : il lui suffit parfois de retrouver un vieux mot de passe et d'appuyer sur "ouvrir".
Alors oui, installez l'alarme, mettez la caméra bien en vue, éclairez la façade. Mais passez une heure sur vos comptes et votre réseau. Cette heure-là, dans mon expérience, rapporte plus que n'importe quel équipement supplémentaire.
Et la prochaine fois que votre application vous demandera de partager un accès temporaire à quelqu'un, posez-vous une seule question : dans six mois, saurais-je encore à qui appartient ce compte ? Si la réponse est non, vous venez de trouver votre prochaine faille.
