Wifi invité et wifi pro sur le même réseau : le risque

Un client attend dans votre salle d’accueil, il vous demande le wifi, vous lui donnez le mot de passe affiché sur un post-it près de la box — le même que celui utilisé par vos postes comptables, votre imprimante réseau et votre serveur de fichiers. En 30 secondes, réponse directe : sans réseau invité séparé, tout appareil connecté à votre wifi principal — smartphone d’un visiteur, ordinateur d’un prestataire, objet connecté compromis — se retrouve sur le même réseau local que vos données professionnelles, capable en théorie de les voir ou d’y accéder. L’ANSSI recommande justement d’isoler ces deux usages par des SSID et VLAN distincts.

Le scénario type : un post-it, un mot de passe, aucune barrière

C’est une situation courante dans les petites structures guadeloupéennes : cabinet, commerce, agence, atelier. Un seul point d’accès wifi, un seul mot de passe, donné sans distinction au personnel, aux clients de passage, au technicien de la photocopieuse venu pour une intervention d’une heure. Personne n’y voit de problème tant qu’aucun incident ne survient — le wifi “marche”, tout le monde se connecte, l’affaire est réglée.

Le souci ne se voit pas à l’usage. Il se voit au moment où un appareil connecté à ce même réseau a un problème — un smartphone infecté par un logiciel malveillant, un ordinateur portable de prestataire mal protégé, un simple objet connecté (montre, enceinte) compromis à l’insu de son propriétaire. Sur un réseau “à plat”, c’est-à-dire sans aucun cloisonnement, cet appareil peut en théorie détecter et tenter de joindre les autres machines connectées au même réseau : postes de travail, serveur de fichiers, imprimante réseau, système de caisse.

Ce que change concrètement l’absence de cloisonnement

Le guide d’hygiène informatique de l’ANSSI est explicite sur ce point (mesure n°19, segmentation du réseau) : lorsqu’un réseau n’est pas cloisonné, chaque machine peut potentiellement accéder à n’importe quelle autre machine du même réseau. La compromission d’un seul appareil met alors en péril l’ensemble des équipements connectés — un attaquant qui prend le contrôle d’un poste peut ensuite « rebondir » vers des ressources plus sensibles.

Sur le volet spécifiquement wifi, la même doctrine ANSSI (mesure n°20, sécurité des réseaux d’accès Wi-Fi et séparation des usages) est tout aussi directe : la connexion Wi-Fi de terminaux personnels ou de visiteurs doit être séparée des connexions Wi-Fi des terminaux de l’entreprise, par exemple via des SSID (le nom du réseau affiché) et des VLAN (des réseaux virtuels distincts) différents, avec un accès Internet dédié pour les invités. Le même guide déconseille par ailleurs la diffusion d’un mot de passe wifi unique et partagé à des tiers non autorisés — chaque personne à qui il est communiqué devient un point d’entrée potentiel supplémentaire.

La CNIL, sur sa fiche dédiée à la protection du réseau informatique, va dans le même sens : les réseaux Wi-Fi ouverts aux invités doivent être séparés du réseau interne, en plus d’un chiffrement à l’état de l’art (WPA2 correctement configuré ou WPA3).

Ce que fait réellement un réseau invité isolé

Un réseau wifi invité correctement configuré n’est pas juste “un deuxième mot de passe”. Techniquement, il repose sur deux mécanismes qui fonctionnent ensemble :

Un SSID et un VLAN distincts. Le réseau invité apparaît comme un nom de wifi séparé (par exemple “Entreprise-Invités” à côté de “Entreprise-Pro”) et achemine son trafic sur un VLAN différent — une sorte de cloison logique qui empêche, par construction, les appareils des deux réseaux de se voir directement, même s’ils utilisent physiquement les mêmes équipements.

L’isolation client. Au-delà de la séparation VLAN, une fonction souvent nommée « isolation réseau » ou « client isolation » empêche même les appareils connectés au même réseau invité de communiquer entre eux — un visiteur ne peut pas voir l’ordinateur d’un autre visiteur assis à côté de lui. La documentation technique d’Ubiquiti sur les réseaux UniFi recommande explicitement d’activer cette isolation sur tout point d’accès invité, précisément pour éviter qu’un appareil compromis ne serve de tremplin vers d’autres équipements présents sur le même segment.

Avec ces deux mécanismes en place, un visiteur peut naviguer sur Internet normalement — mais son appareil n’a aucune route technique vers vos postes de travail, votre serveur ou votre système de caisse, même s’il tente délibérément de les chercher.

Ce qu’il faut vérifier dès aujourd’hui, sans attendre un incident

Trois vérifications rapides suffisent à savoir où vous en êtes réellement :

• Combien de réseaux wifi votre box ou point d’accès diffuse-t-il ? S’il n’y en a qu’un seul, visiteurs et postes professionnels partagent le même réseau, point final.
• Qui connaît le mot de passe du wifi principal ? Si la réponse inclut des clients, des prestataires ponctuels ou des visiteurs occasionnels, ce mot de passe a de fait cessé d’être un contrôle d’accès fiable depuis longtemps.
• Un appareil connecté au wifi peut-il “voir” les autres machines du réseau ? C’est ce que vérifie un professionnel lors d’un audit — et c’est souvent la première faille corrigée, avant même de parler de pare-feu ou d’antivirus.

À retenir

Un wifi invité et un wifi professionnel qui partagent le même réseau ne posent aucun problème visible au quotidien — jusqu’au jour où un appareil connecté par un visiteur, un prestataire ou un objet compromis se retrouve en mesure d’atteindre vos données. L’ANSSI et la CNIL convergent sur la même recommandation depuis des années : deux réseaux séparés, un SSID et un VLAN distincts pour les invités, une isolation entre appareils sur ce réseau invité. C’est une configuration qui se met en place une fois, sur du matériel wifi professionnel correctement dimensionné — c’est justement ce que Cryptonyte installe et configure pour ses clients guadeloupéens sur ses solutions wifi professionnelles.

Sources : ANSSI, Guide d’hygiène informatique (mesures 19 et 20), cyber.gouv.fr, Sécuriser les accès Wi-Fi, CNIL, Protéger le réseau informatique, Ubiquiti, Best Practices Guest WiFi.