Firewall pour TPE : isoler l’habitat connecté et le bureau

Quand une TPE s’installe au domicile de son dirigeant, la box du salon devient le cœur de l’entreprise. La caisse, les mails, le baby-phone, la caméra du garage, les ampoules connectées et le portail partagent le même réseau, les mêmes mots de passe souvent, et la même exposition aux attaques.

Le constat n’est pas alarmiste, il est documenté. Cybermalveillance.gouv.fr décrit les objets connectés comme le « maillon faible » de l’environnement numérique, et la parade officielle existe : placer ces objets sur un réseau distinct, idéalement un VLAN, derrière un firewall qui ne se contente pas de filtrer.

Je détaille ici comment je traite cette demande pour une TPE : ce que disent les sources officielles, ce qui change entre une box et un routeur professionnel, ce qui relève du coffret de communication et de la NF C 15-100, et ce que coûte l’équipement.

Le constat officiel : les objets connectés sont le maillon faible

La page de référence est celle de Cybermalveillance.gouv.fr sur la sécurité des objets connectés, publiée le 12/11/2020 et mise à jour le 26/02/2026. Le constat y est posé noir sur blanc : les objets connectés « présentent des vulnérabilités […] d’autant plus qu’ils sont souvent insuffisamment sécurisés, et peuvent donc représenter le maillon faible de votre environnement numérique ».

La page ne reste pas théorique, elle cite deux cas réels. En 2018, la base de données d’un casino a été piratée via le thermomètre connecté d’un aquarium. En 2019, un baby-phone vidéo a été pris à distance, la caméra s’orientant toute seule. Deux objets anodins, deux accès directs au réseau de la maison, deux exemples que je ressors dès qu’un client me dit que ses objets connectés « ne contiennent rien d’important ».

Pour une TPE, l’enjeu est démultiplié : le réseau qui héberge les objets connectés est le même qui transporte les accès bancaires et les données clients. Le maillon faible d’un objet à 20 euros peut devenir la porte d’entrée vers l’activité entière.

Ce que recommande la source officielle : un réseau distinct

La même page Cybermalveillance.gouv.fr formule la parade dans ses bonnes pratiques consacrées aux objets connectés. Le point 9 est celui qui justifie tout cet article : « il est également recommandé d’utiliser [les] objets connectés sur un réseau distinct (réseau privé virtuel ou VLAN) des autres équipements informatiques de votre environnement » Recommandation Cybermalveillance.gouv.fr — Bonnes pratiques objets connectés .

Je retiens quatre autres points de la même page, parce qu’ils forment le socle à poser avant même d’acheter un équipement :

• point 2 : changer les mots de passe par défaut de chaque objet connecté ;
• point 3 : mettre à jour les objets et leurs applications ;
• point 7 : mettre à jour et redémarrer régulièrement la box ;
• point 8 : sécuriser le Wi-Fi avec un chiffrement WPA2 minimum.

Ce qui frappe, c’est que la recommandation officielle parle de VLAN, alors que la box fournie par l’opérateur ne propose pas de vraie segmentation par VLAN. Le réseau invité qu’elle offre isole partiellement, sans découper les accès entre vos propres équipements comme le ferait un VLAN. C’est la distinction que je pose comme principe de terrain : SSID invité ne remplace pas un VLAN.

C’est exactement là que le sujet bascule vers l’équipement : pour isoler réellement, il faut un matériel qui sait découper le réseau en univers étanches, c’est-à-dire un routeur professionnel ou un firewall.

Box grand public ou routeur professionnel : ce qui change

Un article de L’Express du 27/05/2026 liste ce qui distingue le routeur professionnel de la box grand public. Je précise d’emblée que ce contenu est publié dans le cadre Express Studio, c’est-à-dire une vitrine commerciale, pas une référence normative. Je m’en sers pour sa liste de capacités, pas comme une autorité technique.

Les six différences annoncées correspondent pourtant à ce que je vérifie quand je préconise un équipement pour une petite structure : pare-feu intégré, segmentation VLAN, gestion VPN, QoS, supervision à distance et fonctionnement continu.

Le gain concret se lit au quotidien. La QoS garde la visioconférence fluide pendant que la caméra téléverse ses images. Le VLAN empêche le baby-phone de dialoguer avec la caisse. La supervision à distance permet de voir l’état du réseau sans se déplacer, et le fonctionnement continu évite le redémarrage de la box au milieu d’une opération bancaire. Pour une TPE, c’est la différence entre un réseau qui subit et un réseau qui travaille.

Le pare-feu nouvelle génération : pensé pour les petites structures

Les constructeurs ont compris que la cible ne se limite pas aux grands groupes. Fortinet positionne explicitement ses pare-feux FortiGate pour les petites entreprises, avec une « défense intelligente mais rentable » et une utilisation « sans équipe IT dédiée ». Autrement dit : un pare-feu nouvelle génération (NGFW) se configure aujourd’hui sans ingénieur réseau à plein temps.

Je précise que la page Fortinet est une vitrine commerciale : aucun tarif ni spécification chiffrée n’y figure. Je n’en tire donc aucun prix, le sujet budget étant traité plus bas avec les ordres de grandeur que j’ai pu vérifier.

Pour une TPE, l’intérêt du NGFW tient moins à la puissance brute qu’à la cohérence : le pare-feu, le routeur, les points d’accès et parfois le switch forment un ensemble piloté depuis une même interface, avec des règles qui s’appliquent par groupe d’équipements plutôt que machine par machine.

Budget : les ordres de grandeur que j’ai pu vérifier

Le prix est la question qui revient en premier, et c’est celle où je dois être le plus prudent : une partie des chiffres que je croise en recherche n’est pas vérifiée. Je sépare donc clairement ce qui est confirmé de ce qui reste indicatif. Cette distinction vaut pour tout l’article : je n’écris un prix que s’il provient d’une page que j’ai ouverte.

Vérifié sur la source L’Express ouverte le jour de ma recherche :

• 100 à 300 euros pour un routeur professionnel d’entrée de gamme TPE ;
• 300 à 800 euros pour la gamme avancée ;
• au-delà pour les solutions complètes associant routeur, switch et points d’accès.

Non vérifié, à traiter comme simple ordre de grandeur :

• WatchGuard, gamme de firewalls TPE et PME : 800 à 1 800 euros HT selon les bundles, source axido.fr non consultée ;
• box internet professionnelle : au moins 30 euros par mois en moyenne, source monpetitforfait.com non consultée ;
• routeur Tenda BE5100 : moins de 75 euros HT, prix indicatif éditorial relevé dans l’article L’Express.

L’angle électricien : le coffret de communication d’abord

C’est le point que j’ajoute en tant qu’électricien, parce que la plupart des discussions sur les firewalls oublient le support physique. La segmentation se règle dans le routeur, mais elle se concrétise dans le coffret de communication.

Promotelec le rappelle dans sa FAQ destinée aux professionnels, publiée le 22/09/2023 : le réseau de communication est obligatoire dans le logement neuf, au titre du domaine d’application du Titre 11 de la NF C 15-100. La norme NF C 15-100-11 § 5.2.2 définit la constitution du réseau et le quantitatif obligatoire de prises RJ45. Les obligations réglementaires renvoient au Code de la construction et de l’habitation.

La conséquence pour le lecteur électricien est directe : le câblage en étoile RJ45 vers les pièces est le prérequis, la segmentation VLAN n’est qu’un réglage logique au-dessus. Le switch manageable et le routeur-pare-feu trouvent leur place dans le coffret, au point de brassage.

En rénovation partielle, le coffret de communication n’est pas imposé, mais le point de brassage reste le lieu naturel de l’isolation. J’ai déjà détaillé la pose du coffret de communication et l’installation des prises RJ45 murales avec leurs budgets : le firewall vient se brancher au bout de cette chaîne, pas avant.

Comment je segmente en pratique : bureau, objets connectés, invités

Une fois le support physique en place, la segmentation se résume à découper le réseau en univers qui ne se parlent pas. Pour une TPE installée dans un habitat connecté, je conseille au minimum trois VLAN :

• le VLAN bureau : postes, caisse, imprimantes, accès bancaires ;
• le VLAN objets connectés : ampoules, thermostats, baby-phone, enceintes ;
• le VLAN invité : les appareils des visiteurs, qui ne doivent rien voir des deux premiers.

Chaque VLAN reçoit ses propres règles de pare-feu : le trafic sort vers internet est autorisé, le trafic entre VLAN est bloqué par défaut, sauf exceptions explicitement ouvertes. C’est la logique qui fait la différence avec le réseau invité de la box : on ne découpe pas seulement l’accès des visiteurs, on découpe l’accès de chaque famille d’équipements.

Le Wi-Fi reste en WPA2 minimum, selon le point 8 de la page officielle, avec des mots de passe par défaut changés sur chaque objet (point 2) et des mises à jour régulières (point 3). La box, elle, se met à jour et se redémarre régulièrement (point 7), y compris quand elle reste en amont du routeur professionnel.

Les caméras méritent une attention particulière dans une TPE. Une caméra de surveillance posée sur le Wi-Fi partagé est un classique du réseau ouvert ; rattachée à un switch PoE dédié, elle reste isolée du trafic bureau et alimentée par le même câble. Je la range dans le VLAN objets connectés, jamais dans le VLAN bureau.

Le reste de l’écosystème : domotique, alarme, accès

La question du budget conditionne souvent le choix. Un projet domotique qui s’étend à toute la maison justifie un routeur professionnel et un switch manageable dès le départ, plutôt que d’accumuler les répéteurs Wi-Fi et les objets hétérogènes.

Je dois être transparent sur une limite de ma recherche : le guide d’hygiène informatique de l’ANSSI est régulièrement cité comme la référence de ces bonnes pratiques, mais je n’ai pas pu en vérifier directement le contenu pour cet article. Je m’en tiens donc aux pages que j’ai réellement ouvertes, et je ne cite aucun numéro de recommandation ANSSI.

Quand la maison du dirigeant porte aussi une alarme, je la traite comme un équipement réseau à part entière. Les centrales connectées modernes, comme la Hager Witty, dialoguent avec les objets de la maison : la règle reste la même, un équipement qui écoute le réseau doit être sur un réseau qu’il ne met pas en danger.

La prise de contrôle à distance des objets connectés porte un nom, le homejacking, et la segmentation VLAN en est la première parade : un objet compromis dans son VLAN ne donne accès qu’à son propre univers.

Ce que je vérifie en intervention chez une TPE

En intervention, je passe en revue la chaîne complète, de l’arrivée opérateur jusqu’au dernier objet connecté :

• Point d’arrivée : fibre ou ADSL, emplacement de la box, possibilité de la rapprocher du coffret.
• Coffret de communication : câblage en étoile, brassage, place disponible pour un switch.
• Équipement actif : box seule ou routeur professionnel, switch manageable ou non.
• Wi-Fi : chiffrement WPA2 minimum, mots de passe par défaut systématiquement changés.
• Objets connectés : inventaire, mises à jour, réseau de rattachement de chacun.
• Supervision : accès à distance au routeur, journaux consultables.

Sans oublier l’alimentation : un routeur et un switch qui coupent avec l’électricité laissent la TPE sans réseau au pire moment. Le principe est le même que pour une centrale d’alarme : quelques minutes de réserve pour finir proprement, comme je l’explique dans l’article sur les onduleurs pour alarme.

Mon verdict

Quiz : les repères essentiels

FAQ