Firewall pour TPE

Quand une TPE s’installe au domicile de son dirigeant, la box du salon devient le cœur de l’entreprise. La caisse, les mails, le baby-phone, la caméra du garage, les ampoules connectées et le portail partagent le même réseau, les mêmes mots de passe souvent, et la même exposition aux attaques.

Le constat n’est pas alarmiste, il est documenté. Cybermalveillance.gouv.fr décrit les objets connectés comme le « maillon faible » de l’environnement numérique, et la parade officielle existe : placer ces objets sur un réseau distinct, idéalement un VLAN, derrière un firewall qui ne se contente pas de filtrer.

Je détaille ici comment je traite cette demande pour une TPE : ce que disent les sources officielles, ce qui change entre une box et un routeur professionnel, ce qui relève du coffret de communication et de la NF C 15-100, et ce que coûte l’équipement.

Le constat officiel : les objets connectés sont le maillon faible

La page de référence est celle de Cybermalveillance.gouv.fr sur la sécurité des objets connectés, publiée le 12/11/2020 et mise à jour le 26/02/2026. Le constat y est posé noir sur blanc : les objets connectés « présentent des vulnérabilités […] d’autant plus qu’ils sont souvent insuffisamment sécurisés, et peuvent donc représenter le maillon faible de votre environnement numérique ».

La page ne reste pas théorique, elle cite deux cas réels. En 2018, la base de données d’un casino a été piratée via le thermomètre connecté d’un aquarium. En 2019, un baby-phone vidéo a été pris à distance, la caméra s’orientant toute seule. Deux objets anodins, deux accès directs au réseau de la maison, deux exemples que je ressors dès qu’un client me dit que ses objets connectés « ne contiennent rien d’important ».

Pour une TPE, l’enjeu est démultiplié : le réseau qui héberge les objets connectés est le même qui transporte les accès bancaires et les données clients. Le maillon faible d’un objet à 20 euros peut devenir la porte d’entrée vers l’activité entière.

Ce que recommande la source officielle : un réseau distinct

La même page Cybermalveillance.gouv.fr formule la parade dans ses bonnes pratiques consacrées aux objets connectés. Le point 9 est celui qui justifie tout cet article : « il est également recommandé d’utiliser [les] objets connectés sur un réseau distinct (réseau privé virtuel ou VLAN) des autres équipements informatiques de votre environnement » Recommandation Cybermalveillance.gouv.fr — Bonnes pratiques objets connectés .

Je retiens quatre autres points de la même page, parce qu’ils forment le socle à poser avant même d’acheter un équipement :

• point 2 : changer les mots de passe par défaut de chaque objet connecté ;
• point 3 : mettre à jour les objets et leurs applications ;
• point 7 : mettre à jour et redémarrer régulièrement la box ;
• point 8 : sécuriser le Wi-Fi avec un chiffrement WPA2 minimum.

Ce qui frappe, c’est que la recommandation officielle parle de VLAN, alors que la box fournie par l’opérateur ne propose pas de vraie segmentation par VLAN. Le réseau invité qu’elle offre isole partiellement, sans découper les accès entre vos propres équipements comme le ferait un VLAN. C’est la distinction que je pose comme principe de terrain : SSID invité ne remplace pas un VLAN.

C’est exactement là que le sujet bascule vers l’équipement : pour isoler réellement, il faut un matériel qui sait découper le réseau en univers étanches, c’est-à-dire un routeur professionnel ou un firewall.

Box grand public ou routeur professionnel : ce qui change

Un article de L’Express du 27/05/2026 liste ce qui distingue le routeur professionnel de la box grand public, dans le cadre Express Studio, c’est-à-dire une vitrine commerciale, pas une référence normative.

Les six différences annoncées correspondent pourtant à ce que je vérifie quand je préconise un équipement pour une petite structure : pare-feu intégré, segmentation VLAN, gestion VPN, QoS, supervision à distance et fonctionnement continu.

Le gain concret se lit au quotidien. La QoS garde la visioconférence fluide pendant que la caméra téléverse ses images. Le VLAN empêche le baby-phone de dialoguer avec la caisse. La supervision à distance permet de voir l’état du réseau sans se déplacer, et le fonctionnement continu évite le redémarrage de la box au milieu d’une opération bancaire. Pour une TPE, c’est la différence entre un réseau qui subit et un réseau qui travaille.

Le VPN et la supervision : deux capacités qui changent le quotidien

Parmi les six différences, deux passent souvent inaperçues au moment du choix : la gestion VPN et la supervision à distance. C’est pourtant elles qui transforment le routeur pro en outil de travail, et pas seulement en boîtier de filtrage.

Le VPN ouvre au dirigeant un accès chiffré au réseau de l’entreprise depuis l’extérieur : il consulte la caisse, l’agenda partagé ou le serveur de fichiers comme s’il était au bureau, sans exposer ces accès sur le réseau public. La box grand public ne propose rien de tel en standard, et installer un VPN sur un équipement non prévu pour ça devient vite une maintenance à part entière.

La supervision à distance ne se limite pas à consulter l’état du réseau : elle alerte. Un équipement qui tombe, une tentative de connexion inhabituelle, un objet qui se met à dialoguer avec un serveur inconnu remontent dans l’interface, consultable depuis un téléphone. Pour une TPE sans équipe IT, c’est souvent la première alerte d’un incident avant qu’il ne devienne une interruption de l’activité.

Le pare-feu intégré complète le tableau : sur une box, le filtrage se résume à quelques réglages ; sur un routeur professionnel, les règles se configurent par groupe d’équipements et par sens de circulation. Je les pose une fois, puis je les ajuste quand la TPE ajoute un équipement, sans tout reconstruire.

Le pare-feu nouvelle génération : pensé pour les petites structures

Les constructeurs ont compris que la cible ne se limite pas aux grands groupes. Fortinet positionne explicitement ses pare-feux FortiGate pour les petites entreprises, avec une « défense intelligente mais rentable » et une utilisation « sans équipe IT dédiée ». Autrement dit : un pare-feu nouvelle génération (NGFW) se configure aujourd’hui sans ingénieur réseau à plein temps.

Je précise que la page Fortinet est une vitrine commerciale : aucun tarif ni spécification chiffrée n’y figure. Le sujet budget est traité plus bas.

Pour une TPE, l’intérêt du NGFW tient moins à la puissance brute qu’à la cohérence : le pare-feu, le routeur, les points d’accès et parfois le switch forment un ensemble piloté depuis une même interface, avec des règles qui s’appliquent par groupe d’équipements plutôt que machine par machine.

Budget : les ordres de grandeur

Le prix est la question qui revient en premier. Je sépare ici ce qui est confirmé de ce qui reste indicatif.

Confirmés sur la source L’Express :

• 100 à 300 euros pour un routeur professionnel d’entrée de gamme TPE ;
• 300 à 800 euros pour la gamme avancée ;
• au-delà pour les solutions complètes associant routeur, switch et points d’accès.

Indicatifs, à traiter comme simple ordre de grandeur :

• WatchGuard, gamme de firewalls TPE et PME : 800 à 1 800 euros HT selon les bundles ;
• box internet professionnelle : au moins 30 euros par mois en moyenne ;
• routeur Tenda BE5100 : moins de 75 euros HT, prix indicatif éditorial relevé dans l’article L’Express.

L’angle électricien : le coffret de communication d’abord

C’est le point que j’ajoute en tant qu’électricien, parce que la plupart des discussions sur les firewalls oublient le support physique. La segmentation se règle dans le routeur, mais elle se concrétise dans le coffret de communication.

Promotelec le rappelle dans sa FAQ destinée aux professionnels, publiée le 22/09/2023 : le réseau de communication est obligatoire dans le logement neuf, au titre du domaine d’application du Titre 11 de la NF C 15-100. La norme NF C 15-100-11 § 5.2.2 définit la constitution du réseau et le quantitatif obligatoire de prises RJ45. Les obligations réglementaires renvoient au Code de la construction et de l’habitation.

La conséquence pour le lecteur électricien est directe : le câblage en étoile RJ45 vers les pièces est le prérequis, la segmentation VLAN n’est qu’un réglage logique au-dessus. Le switch manageable et le routeur-pare-feu trouvent leur place dans le coffret, au point de brassage.

Le choix du switch mérite une phrase à lui seul : pour que la segmentation fonctionne, il doit être manageable, c’est-à-dire capable de comprendre les étiquettes VLAN portées par le câblage. Un switch simple relaie tout ce qui lui arrive sans distinction ; il transforme le coffret en rond-point où chaque équipement croise tous les autres, et la segmentation décidée dans le routeur ne survit pas au brassage. C’est le point que je vérifie en premier sur une installation existante, avant même de parler de pare-feu.

Le nombre de ports se calcule à partir du quantitatif du § 5.2.2 : chaque prise RJ45 des pièces remonte au coffret et occupe un port, auquel s’ajoutent le routeur, les objets connectés filaires et le switch PoE des caméras. Je prévois toujours des ports libres, parce que la TPE ajoute presque systématiquement un équipement dans les deux premières années.

1 Port RJ45 Port RJ45

Prise RJ45 murale

Le port RJ45 est l’extrémité du câblage en étoile qui part du coffret vers les pièces.

En rénovation partielle, le coffret de communication n’est pas imposé, mais le point de brassage reste le lieu naturel de l’isolation. J’ai déjà détaillé la pose du coffret de communication et l’installation des prises RJ45 murales avec leurs budgets : le firewall vient se brancher au bout de cette chaîne, pas avant.

Comment je segmente en pratique : bureau, objets connectés, invités

Une fois le support physique en place, la segmentation se résume à découper le réseau en univers qui ne se parlent pas. Pour une TPE installée dans un habitat connecté, je conseille au minimum trois VLAN :

• le VLAN bureau : postes, caisse, imprimantes, accès bancaires ;
• le VLAN objets connectés : ampoules, thermostats, baby-phone, enceintes ;
• le VLAN invité : les appareils des visiteurs, qui ne doivent rien voir des deux premiers.

1 Prise connectée Prise connectée

Prise connectée

Un objet connecté type à reconnaître pour le rattacher au VLAN objets connectés, pas au VLAN bureau.

Chaque VLAN reçoit ses propres règles de pare-feu : le trafic sort vers internet est autorisé, le trafic entre VLAN est bloqué par défaut, sauf exceptions explicitement ouvertes. C’est la logique qui fait la différence avec le réseau invité de la box : on ne découpe pas seulement l’accès des visiteurs, on découpe l’accès de chaque famille d’équipements.

Je traduis cette règle en trois lignes de conduite, une par VLAN, que je pose dès la configuration du routeur :

La seule exception que j’ouvre couramment est celle du pilotage domotique : l’application installée sur le téléphone du dirigeant, rattaché au VLAN bureau, doit pouvoir commander les ampoules et les prises du VLAN objets connectés. J’ouvre alors un passage ciblé, de l’application vers les objets, jamais l’inverse. Un objet connecté ne doit pas initier de connexion vers le bureau ; s’il est compromis, il ne trouve ainsi aucune porte de sortie vers la caisse ou les accès bancaires.

Le Wi-Fi reste en WPA2 minimum, selon le point 8 de la page officielle, avec des mots de passe par défaut changés sur chaque objet (point 2) et des mises à jour régulières (point 3). La box, elle, se met à jour et se redémarre régulièrement (point 7), y compris quand elle reste en amont du routeur professionnel.

Les caméras méritent une attention particulière dans une TPE. Une caméra de surveillance posée sur le Wi-Fi partagé est un classique du réseau ouvert ; rattachée à un switch PoE dédié, elle reste isolée du trafic bureau et alimentée par le même câble. Je la range dans le VLAN objets connectés, jamais dans le VLAN bureau.

Le reste de l’écosystème : domotique, alarme, accès

La question du budget conditionne souvent le choix. Un projet domotique qui s’étend à toute la maison justifie un routeur professionnel et un switch manageable dès le départ, plutôt que d’accumuler les répéteurs Wi-Fi et les objets hétérogènes.

1 Ports Ethernet du switch Ports Ethernet du switch

Switch manageable

Le switch manageable concentre les équipements du projet domotique, câblés en étoile vers le coffret.

Le guide d’hygiène informatique de l’ANSSI est souvent cité comme référence sur ces sujets, mais aucun numéro de recommandation ANSSI n’est repris dans cet article.

Quand la maison du dirigeant porte aussi une alarme, je la traite comme un équipement réseau à part entière. Les centrales connectées modernes, comme la Hager Witty, dialoguent avec les objets de la maison : la règle reste la même, un équipement qui écoute le réseau doit être sur un réseau qu’il ne met pas en danger.

La prise de contrôle à distance des objets connectés porte un nom, le homejacking, et la segmentation VLAN en est la première parade : un objet compromis dans son VLAN ne donne accès qu’à son propre univers.

Les cinq erreurs que je corrige le plus souvent

En intervention, les mêmes erreurs reviennent. Elles ne sont pas techniques, elles sont organisationnelles, et chacune correspond à un point des bonnes pratiques officielles :

• tout laisser sur le même réseau : box, caisse, baby-phone et portail partagent le même univers, alors que le point 9 recommande un réseau distinct (VPN ou VLAN) pour les objets connectés ;
• conserver les mots de passe par défaut des objets (point 2), alors que la source officielle demande de les changer dès la première mise en service ;
• ne jamais mettre à jour les objets ni leurs applications (point 3), laissant des vulnérabilités connues ouvertes pendant des mois ;
• oublier la box : sans redémarrage et mise à jour réguliers (point 7), l’équipement qui reste en tête de réseau cumule les failles ;
• se contenter d’un Wi-Fi sans chiffrement WPA2 minimum (point 8) ou d’un réseau invité présenté comme une segmentation complète, alors qu’il n’isole pas vos propres équipements.

La bonne nouvelle, c’est que ces cinq corrections ne coûtent presque rien : elles précèdent l’achat du routeur professionnel et tiennent même quand le budget équipement n’est pas encore débloqué. Je les pose comme la condition de départ de toute la suite, y compris quand je recommande ensuite la mise en place des VLAN.

Ce que je vérifie en intervention chez une TPE

En intervention, je passe en revue la chaîne complète, de l’arrivée opérateur jusqu’au dernier objet connecté :

• Point d’arrivée : fibre ou ADSL, emplacement de la box, possibilité de la rapprocher du coffret.
• Coffret de communication : câblage en étoile, brassage, place disponible pour un switch.
• Équipement actif : box seule ou routeur professionnel, switch manageable ou non.
• Wi-Fi : chiffrement WPA2 minimum, mots de passe par défaut systématiquement changés.
• Objets connectés : inventaire, mises à jour, réseau de rattachement de chacun.
• Supervision : accès à distance au routeur, journaux consultables.

Sans oublier l’alimentation : un routeur et un switch qui coupent avec l’électricité laissent la TPE sans réseau au pire moment. Le principe est le même que pour une centrale d’alarme : quelques minutes de réserve pour finir proprement, comme je l’explique dans l’article sur les onduleurs pour alarme.

Mon verdict

Quiz : les repères essentiels

FAQ