Les interphones et visiophones IP ont conquis nos entrées… et attiré, au passage, l’attention des cyberattaquants. La bonne nouvelle ? En cinq réglages bien choisis, vous transformez votre portier connecté en hôte sourcilleux qui filtre, chiffre et journalise.
Voici un kit anti-piratage pragmatique, pensé pour les particuliers, pour des appareils reliés en Ethernet/PoE ou Wi-Fi et, souvent, intégrés à un NAS, une appli mobile ou un serveur SIP.
Au sommaire de ce guide :
Bloquez la porte numérique avec des comptes en béton
Commencez par reprendre le contrôle des identités : supprimez les identifiants par défaut, créez un compte admin unique, puis des comptes opérateurs à droits limités (visionnage, ouverture, maintenance). Activez le verrouillage après échecs, désactivez l’anonyme/guest et, si l’appareil le propose, l’authentification forte. Ce réflexe évite 90 % des compromissions opportunistes liées aux mots de passe usine.
Les autorités françaises le rappellent : bannir les mots de passe uniques pour tout le foyer et proscrire les identifiants par défaut réduit l’angle d’attaque des objets connectés ; remontez aussi les journaux vers un équipement dédié.
Mettez à jour sans tarder et refusez les produits en fin de vie
Le firmware est la digue : activez les notifications constructeurs, programmez un créneau de mise à jour, tenez une fiche de version. Si votre modèle n’est plus suivi, remplacez-le ; rester sur un appareil non corrigé, c’est laisser une baie vitrée ouverte.
Des vulnérabilités notoires ont frappé des équipements de vidéosurveillance, donnant un accès distant total avant correctif. D’où l’intérêt de n’installer que des firmwares signés et à jour
Isolez le visiophone sur un VLAN dédié et coupez l’accès Internet
Placez l’interphone sur un VLAN « IoT » ou un SSID séparé ; interdisez-lui toute entrée depuis Internet, et limitez ses sorties (NTP, serveur SIP interne, NAS/VMS). Désactivez UPnP désactivé et tout aucune redirection de ports directe ; préférez un accès distant via VPN de votre routeur. Sur commutateur/routeur, bloquez l’Est-Ouest entre VLANs (règles « deny any », autorisations fines). Cela casse les déplacements latéraux et le scan sauvage.
Les guides de durcissement et de segmentation réseau recommandent cette séparation des actifs et l’exposition minimale ; même les fabricants de caméras préconisent d’éviter toute publication en serveur Web accessible publiquement.
Forcez le chiffrement et réduisez la surface des protocoles
Dans l’interface, cochez HTTPS uniquement, désactivez HTTP/Telnet, autorisez SSH au besoin (clé uniquement). Côté vidéo, exigez RTSP/ONVIF authentifié et supprimez l’anonyme. Si votre interphone parle SIP, imposez HTTPS/TLS pour l’admin, SIP TLS + SRTP pour la signalisation et l’audio, afin d’éviter écoute et usurpation d’appel. Beaucoup d’appareils récents supportent ces algorithmes moderne (TLS 1.2+ et SRTP). Enfin, désactivez P2P/cloud si vous n’en avez pas l’usage, et coupez les services de découverte non nécessaires (UPnP, SSDP, mDNS).
Ces choix s’alignent sur les bonnes pratiques VoIP (chiffrer la signalisation et les flux) et sur les guides de durcissement OS embarqué des fabricants (limiter protocoles et services, anti-bruteforce, mises à jour signées).
Journalisez, alertez… et pensez au relais de sécurité de la gâche
Activez la journalisation distante (syslog sur NAS/serveur), synchronisez l’horloge (NTP interne si possible) et déclenchez des alertes en cas de tentatives de connexion, d’arrêt vidéo, ou d’ouverture forcée. Testez vos notifications (mail/app) et conservez les logs au-delà de 30 jours.
Pour déjouer la « piraterie électrique » sur la gâche, certaines marques proposent un relais de sécurité monté côté protégé : en cas de sabotage du portier, le relais coupe la liaison et la porte reste condamnée. Utile si l’interphone commande directement l’accès.
Check-list express à appliquer dès aujourd’hui
- Changer l’admin, créer des comptes limités, activer le blocage après échecs et désactiver l’anonyme.
- Mettre à jour le firmware et s’abonner aux bulletins sécurité du constructeur.
- Mettre l’équipement sur un isolation VLAN/SSID IoT sans exposition Internet ni UPnP.
- Imposer HTTPS/TLS, ONVIF restreint, RTSP authentifié, SIP TLS + SRTP si utilisé.
- Activer journalisation distante, NTP correct et alertes en temps réel.
Réglages types : que cocher, où cliquer
| Réglage | Où | Paramètre à viser | À vérifier |
|---|---|---|---|
| Comptes | Sécurité > Utilisateurs | Admin unique + profils restreints | Pas d’utilisateur « admin/admin » |
| Mises à jour | Système > Firmware | Version signée la plus récente | Notes de version, sauvegarde config |
| Réseau | Réseau > VLAN/Firewall | VLAN IoT, interdiction Internet | UPnP OFF, aucune règle NAT |
| Chiffrement | Réseau > HTTPS/SIP/RTSP | HTTPS only, SIP-TLS, SRTP | Certificat valide, pas de HTTP |
| Logs & alertes | Système > Journalisation | Syslog/NAS + notifications | Horloge NTP fiable, rétention >30j |
Respectez le cadre légal à la maison
Un visiophone n’autorise pas à filmer tout et n’importe quoi. Un particulier doit limiter l’image à l’intérieur de sa propriété ; la voie publique reste hors champ (même pour surveiller son véhicule). Pensez aux personnes qui interviennent chez vous (aides à domicile, artisans) : information claire et réglages adaptés.
Astuce réseau : Wi-Fi ou Ethernet ?
Quand c’est possible, privilégiez l’Ethernet/PoE : latence faible, alimentation stable, moins de surface radio. En Wi-Fi, optez pour un SSID dédié IoT, WPA2/WPA3, mot de passe fort, et un canal propre. Un interphone bien câblé, bien isolé, bien chiffré : voilà un accès qui ne se laisse pas faire.
Publié le 12 août 2025 à 18:36 par
Luc M., électricien-conseil de l'équipe 3615devis
- Mis à jour le 16 juillet 2026
