Wi-Fi invités dans votre établissement : un réseau séparé sans risque pour l’entreprise

Les clients d’un café, d’une maison d’hôtes, d’un salon ou de la salle d’attente d’un cabinet veulent une seule chose : le mot de passe du Wi-Fi. Beaucoup d’entreprises leur donnent le mot de passe du réseau sur lequel fonctionnent la caisse, le terminal de paiement et l’ordinateur avec les factures. C’est pratique, mais risqué.

Dans ce guide, je montre comment configurer en une heure un réseau séparé pour les clients, qui n’a accès à rien de ce qui appartient à l’entreprise. Vous aurez aussi un texte prêt à l’emploi pour un chevalet avec QR code et une liste de contrôle à cocher devant le routeur.

Pourquoi les clients ne doivent pas être sur le réseau de l’entreprise

Sur un réseau domestique ou professionnel ordinaire, tous les appareils « se voient » les uns les autres. Le téléphone d’un client peut voir l’imprimante, l’ordinateur avec vos fichiers, une caméra et parfois l’interface de la caisse. Cela ne veut pas dire que chaque client cherchera quelque chose. Mais il suffit qu’un seul téléphone soit infecté et analyse de lui-même le réseau à la recherche de points faibles.

Le deuxième problème, c’est votre responsabilité quant au bon ordre. Si quelqu’un fait quelque chose d’illégal avec votre connexion, les questions vous seront d’abord adressées, en tant que titulaire de l’abonnement. Je ne détaillerai pas ici les aspects juridiques, car ils dépendent de la situation. La règle pratique est simple : plus les clients sont séparés de l’entreprise et moins ils peuvent faire sur le réseau, plus le risque est faible.

Étape 1 : activez le réseau invité dans le routeur

La plupart des routeurs récents ont une fonction réseau invité toute prête. Son nom dépend du fabricant, en général « Réseau invité » ou « Guest network ».

1. Connectez-vous à l’interface d’administration du routeur. Vous trouverez l’adresse sur l’étiquette sous l’appareil, c’est souvent 192.168.0.1 ou 192.168.1.1.
2. Allez dans les paramètres Wi-Fi et cherchez l’option du réseau invité.
3. Activez-le et donnez-lui un nom différent de celui du réseau de l’entreprise, par exemple « Cafe-Invites ».
4. Choisissez le chiffrement WPA2 ou WPA3 et un mot de passe. Ne laissez pas de réseau sans mot de passe.

Si le routeur n’a pas cette fonction, vous avez deux possibilités. Vous pouvez remplacer le routeur par un modèle doté d’un réseau invité. Vous pouvez aussi demander à votre fournisseur d’accès ou à un informaticien un réseau séparé (ce qu’on appelle un VLAN).

Étape 2 : activez l’isolation des appareils

Un nom de réseau distinct ne suffit pas. Cherchez une option qui bloque la communication entre les appareils. Elle s’appelle le plus souvent « Isolation des clients », « AP isolation » ou « Client isolation ».

Une fois l’option activée, le téléphone d’un client ne voit pas celui d’un autre. Vérifiez aussi que l’accès au réseau local est bloqué pour le réseau invité. Sur de nombreux routeurs, c’est la même option que « accès à Internet uniquement ».

Comment le vérifier en pratique

• Connectez votre propre téléphone au réseau invité.
• Essayez d’ouvrir l’adresse du routeur dans le navigateur (par ex. 192.168.1.1). Si l’interface ne s’ouvre pas, c’est bon signe.
• Essayez d’imprimer quelque chose sur l’imprimante de l’entreprise ou de la voir dans la liste des appareils. Cela ne doit pas fonctionner.

Étape 3 : sécurisez le routeur lui-même

Même le réseau invité le mieux configuré ne sert à rien si le routeur est mal protégé. Faites trois choses :

• Changez le mot de passe administrateur par défaut. Les robots connaissent les identifiants du type « admin / admin », et quiconque a accès au routeur peut lire le mot de passe sur l’étiquette. Choisissez un mot de passe long et unique et conservez-le dans un gestionnaire de mots de passe ou dans un coffre-fort.
• Mettez à jour le logiciel du routeur. Dans l’interface, vous trouverez un onglet du type « Mise à jour » ou « Firmware ». Activez les mises à jour automatiques si le routeur les propose, ou programmez-vous un rappel une fois par mois.
• Désactivez l’accès à distance à l’interface si vous ne l’utilisez pas. L’interface du routeur ne doit pas être accessible depuis Internet.

Si le routeur est ancien et que le fabricant ne publie plus de mises à jour pour lui, remplacez-le. Les mises à jour du routeur, c’est la même chose que les mises à jour d’un site : sans elles, les failles restent ouvertes. Il en va de même pour le site de l’entreprise, un sujet que j’aborde dans la maintenance technique.

Étape 4 : limitez le débit pour que les clients ne ralentissent pas l’entreprise

Un seul client qui regarde des vidéos en haute qualité peut occuper une bonne partie de la connexion. Résultat : le terminal de paiement ou le système de réservation fonctionne lentement.

Dans les paramètres du réseau invité, cherchez une option de limitation du débit par appareil ou pour tout le réseau. Si elle n’y figure pas, cherchez-la dans la section QoS (« qualité de service »). Un bon point de départ est une limite assez élevée pour qu’un client puisse consulter ses e-mails et ouvrir une carte, mais pas au point de saturer la connexion. Choisissez la valeur exacte en fonction de votre connexion et du nombre de clients, car il n’existe pas de chiffre valable pour tout le monde.

Il est aussi utile de fixer une limite du nombre d’appareils sur le réseau invité, si le routeur le permet.

Étape 5 : un chevalet avec le mot de passe et un QR code

Un client ne devrait pas avoir à demander le mot de passe à la caisse. Placez sur la table ou à l’entrée un petit chevalet avec le nom du réseau, le mot de passe et un QR code qui connecte le téléphone au réseau d’un simple geste.

Le QR code d’un Wi-Fi se présente généralement ainsi :

WIFI:T:WPA;S:Cafe-Invites;P:VotreMotDePasse123;;

Collez ce texte dans n’importe quel générateur de QR codes, imprimez le code et plastifiez-le. Avant l’impression, testez-le sur deux téléphones, un iPhone et un Android.

Texte du chevalet à copier :

Wi-Fi pour nos clients Réseau : Cafe-Invites Mot de passe : VotreMotDePasse123 Scannez le code avec l’appareil photo de votre téléphone pour vous connecter sans saisir le mot de passe. Merci d’utiliser Internet dans le respect de la loi. Le réseau est disponible avec un débit limité.

Changez le mot de passe de temps en temps, par exemple tous les six mois ou quand une personne de l’équipe qui le connaissait quitte l’entreprise. Après le changement, imprimez un nouveau chevalet. Vous trouverez plus d’informations sur les QR codes dans le guide QR codes en entreprise : flyers, menus et avis.

Ce qu’il ne faut pas faire

• Ne donnez pas aux clients le mot de passe du réseau de l’entreprise, même « juste un instant ».
• Ne laissez pas le réseau sans mot de passe. N’importe qui dans la rue pourrait alors utiliser votre connexion.
• Ne collectez pas les données des clients à la connexion si ce n’est pas nécessaire. Un nom, une adresse e-mail ou un numéro de téléphone saisis sur une page de connexion entraînent des obligations au titre du RGPD. Un mot de passe classique est plus simple.
• Ne branchez pas la caisse, le terminal ni l’ordinateur de la comptabilité sur le réseau invité, même si c’est plus pratique. Le mieux est de les brancher par câble ou sur un réseau d’entreprise séparé et fermé, avec un mot de passe fort.
• Ne laissez pas les mots de passe par défaut du routeur, des caméras et des imprimantes.

Liste de contrôle à cocher

Quand toutes les lignes indiquent « oui », le réseau invité est correctement configuré pour une petite entreprise.

En résumé

Un réseau invité séparé, l’isolation des appareils, un mot de passe administrateur solide et un routeur à jour représentent une heure de travail qui sépare les clients de la caisse et de l’ordinateur. Un chevalet avec QR code évite au personnel les questions sur le mot de passe.

Si, en plus du réseau de votre établissement, vous voulez vérifier la sécurité du site de l’entreprise, écrivez-moi. Vous pouvez aussi commencer par l’outil gratuit Analyser votre site, qui vérifie en 30 secondes environ la sécurité, la vitesse et le SEO du site. Si vous voulez confier un test complet, je réalise un audit de sécurité.