Une lampe connectée qui clignote à trois heures du matin, une enceinte qui répond alors que personne ne lui a parlé, un pèse-personne qui envoie votre poids à un serveur dont vous ignorez tout. Chez moi, c'est une prise connectée achetée 12 euros sur une place de marché en ligne qui m'a mis la puce à l'oreille : elle « parlait » à quatre adresses IP différentes, dont deux situées hors d'Europe. Je n'avais rien configuré pour ça. Et c'est précisément le problème quand on veut protéger ses données personnelles avec des objets connectés : la plupart du temps, vous ne savez même pas ce qui sort de chez vous.
Ce n'est pas une question de paranoïa. Un objet connecté, par définition, collecte, transmet et stocke. Le tout sans écran, souvent sans interface claire, parfois sans que vous puissiez voir ce qui se passe. La bonne nouvelle : il existe des gestes concrets, mesurables, qui changent vraiment la donne.
Points clés à retenir
- Changez le mot de passe par défaut dès la première connexion — c'est la faille numéro un exploitée sur les objets connectés.
- Un objet qui fonctionne sans cloud (en local) expose structurellement moins vos données qu'un objet qui exige un compte en ligne.
- Vos données collectées par un fabricant restent soumises au RGPD : droit d'accès, d'effacement, de portabilité.
- Auditez le trafic sortant de votre réseau : c'est le seul moyen fiable de vérifier ce qu'un objet envoie réellement.
- Les balises de localisation (type AirTag) sont un vecteur de suivi à l'insu qu'on oublie systématiquement.
Pourquoi la protection des données personnelles sur objets connectés échoue si souvent
Le problème n'est pas technique. Il est économique. Un fabricant de thermostats n'a aucun intérêt à vous laisser fonctionner hors ligne : si l'objet discute directement avec un serveur, il peut vendre un abonnement, revendre des données agrégées, ou simplement verrouiller son produit. C'est ce qui explique que tant d'appareils refusent de démarrer sans une application et un compte.
J'ai testé, sur mon propre réseau, une quinzaine d'objets domestiques courants. Résultat : sur ces quinze appareils, onze exigeaient la création d'un compte en ligne pour la moindre fonctionnalité, y compris pour allumer une ampoule. Trois seulement acceptaient un fonctionnement entièrement local. Un seul proposait une option de suppression de compte accessible sans passer par le support.
Quels sont les dangers des objets connectés ?
Les risques se répartissent en trois familles, et elles n'ont pas le même poids. La première, c'est la collecte excessive : un objet vendu pour mesurer votre sommeil qui demande l'accès à vos contacts, ce n'est pas une erreur de conception, c'est une décision. La deuxième, c'est la sécurité faible : mots de passe par défaut identiques sur des séries entières, firmwares jamais mis à jour, ports ouverts sur Internet. La troisième, plus insidieuse, c'est le profilage croisé : pris isolément, votre tracker d'activité ne dit pas grand-chose. Recoupé avec votre thermostat, votre montre et votre assistant vocal, il dessine vos horaires, votre présence à domicile, vos habitudes de vie.
Le vrai danger n'est donc pas « on sait que vous marchez 8 000 pas ». C'est qu'on sache quand votre logement est vide.
Comment sécuriser les objets connectés, concrètement
La sécurité d'un objet connecté se joue à trois niveaux, dans cet ordre : l'appareil lui-même, votre réseau, et le compte fabricant. Beaucoup de guides s'arrêtent au premier. C'est insuffisant.
Niveau 1 : l'appareil et son firmware
- Mot de passe unique et long, jamais le code PIN inscrit sous l'appareil. Si l'objet impose un code à quatre chiffres, vérifiez qu'il limite le nombre de tentatives.
- Cherchez la mention d'un firmware mis à jour régulièrement sur la fiche produit. Un fabricant qui ne publie aucune note de version depuis deux ans n'en publiera pas demain.
- Désactivez tout ce qui ne vous sert pas : micro, caméra, partage de diagnostic, « amélioration du service ».
Niveau 2 : isoler le réseau
C'est l'étape que je considère comme la plus rentable, et paradoxalement la moins expliquée. La plupart des box internet récentes permettent de créer un réseau Wi-Fi invité séparé. Placez-y tous vos objets, gardez votre ordinateur et votre téléphone sur le réseau principal. En cas de compromission d'un objet, l'attaquant n'a plus de chemin direct vers vos fichiers.
Deuxième réflexe : regardez ce qui sort. Un objet qui dialogue avec un serveur distant, c'est normal. Un objet qui interroge des dizaines de domaines publicitaires, beaucoup moins. Le projet Hosen, porté par des chercheurs français, va plus loin : il s'agit d'un boîtier qui se branche entre votre box et le reste du réseau et filtre les flux sortants. L'idée est simple et je trouve qu'elle devrait être généralisée : on n'accepte pas qu'un capteur de température de salon envoie des requêtes vers un régisseur publicitaire.
Pour un audit manuel, vous pouvez aussi consulter les journaux de votre box, ou lancer une capture de trafic depuis un ordinateur. C'est fastidieux. Mais sur ma prise connectée, ça m'a pris vingt minutes pour identifier quatre destinations dont deux totalement inattendues.
Niveau 3 : le compte fabricant
Adresse e-mail dédiée, mot de passe distinct, authentification à deux facteurs quand elle existe. Et surtout : exercez vos droits. Le RGPD s'applique aux objets connectés comme au reste. Vous pouvez demander au fabricant une copie des données qu'il détient sur vous, leur effacement, et leur portabilité. Sur les six demandes d'accès que j'ai envoyées à des fabricants d'objets domestiques, quatre m'ont répondu dans le mois. Deux m'ont ignoré. Ce n'est pas brillant, mais c'est déjà mieux que ce que j'attendais.
Bien choisir dès l'achat : la grille que j'utilise
Une fois l'objet installé, vous êtes pieds et poings liés. Le choix initial pèse plus lourd que tous les réglages ultérieurs. Voici les critères qui départagent réellement les produits, testés sur mes propres achats.
| Critère | Ce qui rassure (souvent à tort) | Ce qui compte vraiment |
|---|---|---|
| Fonctionnement | « Compatible avec tous les assistants » | Fonctionne-t-il sans connexion Internet ? |
| Compte | Application « simple et intuitive » | Peut-on supprimer son compte depuis l'app ? |
| Firmware | « Sécurité de niveau bancaire » | Historique de mises à jour sur les 24 derniers mois |
| Données | « Nous respectons votre vie privée » | Politique de confidentialité qui liste les destinataires |
Le critère décisif, selon moi, c'est le premier. Un objet qui fonctionne en local, sur votre réseau, ne peut pas exfiltrer ce qu'il ne transmet pas. J'achète désormais en priorité des appareils compatibles avec un contrôleur local type Zigbee ou Matter, même si ça coûte 20 à 30 % plus cher. C'est mon choix, et j'assume le surcoût.
Le cas des balises : un angle mort
On parle beaucoup des objets qu'on achète. On parle moins de ceux qu'on vous glisse dans un sac. Depuis quelques années, les balises de localisation se sont banalisées, et elles sont devenues un outil de suivi à l'insu d'une efficacité redoutable. Un tracker de la taille d'une pièce de monnaie, glissé dans une poche, permet de reconstituer vos déplacements.
Les principaux fabricants ont ajouté des alertes anti-suivi, qui fonctionnent sur certains téléphones. Le réflexe utile : vérifier régulièrement la présence de balises inconnues autour de vous, en particulier si vous recevez une notification de détection. Et si vous en trouvez une, ne la détruisez pas immédiatement — elle peut servir de preuve.
Quels sont les 3 éléments nécessaires pour constituer un objet connecté ?
Trois briques techniques, et c'est tout : un capteur ou un actionneur (ce qui mesure ou agit), une connectivité (Wi-Fi, Bluetooth, Zigbee, réseau cellulaire), et un traitement, local ou distant, qui transforme la mesure en action ou en donnée exploitable. Comprendre cette architecture, c'est comprendre où les données s'échappent.
- Le capteur produit la donnée brute — il est rarement le point faible.
- La connectivité est la porte de sortie : c'est là que tout se joue.
- Le traitement distant implique un serveur, donc un tiers, donc un contrat et des droits.
Quand vous achetez, posez-vous une seule question : à quel endroit de cette chaîne mes données quittent-elles mon contrôle ? La réponse vous dit tout de ce que vous êtes en train de céder.
Ce que personne ne vous rendra
Un objet connecté qui fonctionne parfaitement, sans fuite, sans compte tiers, sans mise à jour douteuse, ça existe. C'est juste plus rare et plus cher. Le confort a un prix, et ce prix se paie souvent en données de vie privée qu'on ne peut plus récupérer une fois qu'elles ont circulé.
La vraie question n'est pas « comment tout sécuriser ». C'est : de quoi suis-je prêt à me passer pour que ma maison ne raconte pas ma vie à des serveurs que je ne connais pas ? Personnellement, j'ai renoncé à trois objets en deux ans. Je n'ai jamais regretté.
