Régler le chauffage depuis le bureau, vérifier que les volets sont fermés depuis l’aéroport : c’est l’un des usages les plus demandés d’une domotique, et l’un des plus mal construits. Il existe trois façons d’y arriver. À l’usage elles se ressemblent, une application et le logement qui répond, mais elles n’exposent pas du tout la même chose. La question vaut autant pour une maison de Veyrier-du-Lac occupée à l’année que pour un bien vide la moitié du temps.
Pourquoi une connexion entrante ne passe pas toute seule
Votre box ne dispose que d’une adresse publique pour tout le logement. Elle sait renvoyer au bon appareil la réponse à une connexion qui est partie de chez vous, mais elle est incapable de savoir à qui destiner une connexion qui arrive sans avoir été sollicitée. Par défaut, une requête entrante meurt sur la box. C’est un effet de bord du partage d’adresse plus qu’une sécurité pensée comme telle, mais ça protège beaucoup de logements. Les trois méthodes qui suivent répondent à ce problème, et c’est là que se joue l’écart de sécurité.
La voie du cloud : le fabricant sert de relais
C’est ce qui est vendu par défaut avec la plupart du matériel grand public, et le principe contourne élégamment le problème : le boîtier chez vous ouvre en permanence une connexion sortante vers les serveurs du fabricant, votre téléphone en ouvre une de son côté, et les deux se rejoignent au milieu. Rien n’est ouvert sur votre box, et c’est un vrai argument.
Le coût est ailleurs. Ce point de rencontre voit passer le trafic, et il concentre les comptes de dizaines de milliers de foyers en un seul endroit. Une faille sur cette pièce centrale n’ouvre pas un logement, elle les ouvre tous d’un coup : c’est ce qui s’est joué sur l’outil de bases de données Metabase, où une seule vulnérabilité a exposé des milliers d’installations à la fois. Et la dépendance n’est pas que technique : le jour où le fabricant ferme le service ou le passe derrière un abonnement, l’accès distant s’arrête sans que rien n’ait changé chez vous.
La voie du port ouvert, et ce qu’elle expose vraiment
Deuxième méthode, la plus ancienne et de loin la plus documentée dans les tutoriels : on demande à la box de rediriger un port vers le système domotique. La connexion entrante sait désormais où aller. Ça marche, ça ne coûte rien, et c’est à la portée de n’importe qui en dix minutes.
Ce que ces tutoriels disent rarement, c’est qu’un port ouvert est trouvé en quelques heures. Internet est scanné en permanence, adresse par adresse, et les résultats sont publics : Shodan indexe depuis 2009 tout ce qui répond sur une adresse publique, avec la marque, le modèle et le pays : webcams, enregistreurs vidéo, thermostats, automates industriels. Personne ne vous cherche, vous. On cherche un modèle connu pour avoir un défaut, et vous êtes dans la liste par construction, dès la première minute.
Trois pièges s’ajoutent, et on les énonce rarement ensemble. L’UPnP d’abord, activé par défaut sur presque toutes les box : il autorise n’importe quel appareil du réseau à ouvrir lui-même un port vers l’extérieur, sans confirmation ni notification. Vous pouvez donc avoir des ports ouverts que vous n’avez jamais demandés, posés par une console ou par un objet déjà compromis. Ensuite, l’adresse publique d’un abonnement grand public change : il faut alors un service d’adressage dynamique, une brique de plus chez un tiers, qui publie en clair un nom de domaine pointant en permanence sur votre logement. Le troisième piège est plus récent : beaucoup d’abonnements, en fibre comme en 4G et 5G, font partager une même adresse publique à plusieurs clients. Sur ces lignes, la redirection de port ne fonctionne tout simplement plus.
Le scénario qui en découle n’a rien d’hypothétique. Le botnet Mirai s’est constitué exactement comme ça, en testant une soixantaine de mots de passe d’usine sur des équipements que leurs propriétaires avaient rendus joignables depuis l’extérieur. Aucune faille sophistiquée, aucune cible choisie : une porte, et la patience d’une machine.
La voie du tunnel privé : ne rien ouvrir du tout
Troisième méthode : ne rien ouvrir, et faire sortir les deux appareils chacun de leur côté pour qu’ils se rejoignent. C’est le principe d’un réseau privé maillé. Le protocole s’appelle WireGuard, l’implémentation la plus répandue Tailscale, et il en existe d’autres, dont des versions qu’on héberge soi-même.
Le boîtier domotique et votre téléphone ouvrent chacun une connexion sortante, s’authentifient avec une clé qui leur est propre, puis établissent entre eux un tunnel chiffré de bout en bout, le plus souvent en direct. Vu du dehors, votre box n’a pas bougé d’un millimètre : aucun port supplémentaire ne répond, il n’y a rien à trouver dans un scan. Un téléphone perdu se révoque en une manipulation. Et le partage d’adresse publique qui bloquait la méthode précédente n’est plus un sujet, puisqu’aucune connexion entrante n’est nécessaire.
Soyons justes
Un réseau privé de ce type reste une dépendance externe. Les serveurs de coordination qui permettent aux appareils de se trouver et de vérifier leurs clés ne sont pas chez vous, même si le trafic passe ensuite directement d’un appareil à l’autre. Prétendre qu’aucune brique extérieure n’intervient dans l’accès à distance serait faux, et je préfère le dire.
Le port ouvert, de son côté, n’est pas indéfendable en soi. Derrière un intermédiaire correctement configuré, avec un certificat valide, une double authentification et des mises à jour appliquées sans retard, il tient très bien. Le problème n’est pas la technique, c’est l’entretien. Une installation domestique n’a personne pour lire ses journaux le dimanche soir, et une porte qu’on oublie reste ouverte des années.
Ce qui continue de tourner, quoi qu’il arrive
C’est le point le plus mal compris : tout ce qui précède ne concerne que l’accès depuis l’extérieur. Le chauffage, l’éclairage, les volets et les scénarios s’exécutent sur une machine posée dans le logement, au-dessus d’un réseau d’objets qui ne passe pas par internet. Si la liaison distante tombe, vous perdez la télécommande, pas le logement. C’est ce qui sépare vraiment les trois voies une fois la panne arrivée : avec le cloud d’un fabricant, le même serveur est à la fois la télécommande et le cerveau, et les deux s’arrêtent ensemble.
Comment nous l’appliquons
Chez Velarys, c’est la troisième voie, par défaut et sans supplément : aucun port ouvert sur votre box, l’UPnP désactivé, un tunnel chiffré de bout en bout posé à l’installation, un appareil autorisé à la fois, et les enregistrements de caméra stockés chez vous plutôt que dans le cloud d’un fabricant. Ça relève de l’indépendance et de la continuité du projet autant que de la conception qui tient compte du risque réseau. Ce n’est pas une option à cocher au devis : c’est la façon dont l’installation est montée.
Questions fréquentes
Mon opérateur m'empêche d'ouvrir un port, est-ce normal ?
C'est de plus en plus courant, et ce n'est pas un blocage volontaire. Beaucoup d'abonnements récents, en fibre comme en 4G et 5G, font partager une même adresse publique à plusieurs clients. Aucune redirection n'est possible dans ce cas, puisque l'adresse ne vous désigne pas. C'est d'ailleurs la raison la plus fréquente pour laquelle un accès distant qui marchait s'arrête après un changement de box ou d'offre.
Faut-il désactiver l'UPnP sur sa box ?
Dans un logement équipé sérieusement, oui, et c'est un réglage qu'on fait une fois. L'UPnP autorise n'importe quel appareil du réseau à ouvrir lui-même un port vers l'extérieur, sans confirmation ni notification. Le désactiver peut gêner une console de jeu ou un logiciel d'échange de fichiers, qu'on traite alors au cas par cas. En contrepartie, plus rien ne s'ouvre sans que quelqu'un l'ait décidé.
Une double authentification suffit-elle à sécuriser un port ouvert ?
Elle protège la page de connexion, pas le reste. Un port ouvert expose tout le logiciel qui écoute derrière, y compris ses éventuelles failles situées avant l'écran de mot de passe. La double authentification est une bonne pratique, mais elle ne remplace pas le fait de n'avoir rien d'exposé du tout. Elle réduit un risque, elle ne le supprime pas.
Peut-on donner l'accès à distance à un proche ou à un gardien ?
Oui, et chacun reçoit son propre accès plutôt qu'un mot de passe partagé. On autorise son téléphone, et on peut le retirer seul le jour où il n'en a plus besoin, sans toucher aux autres. La limite est pratique : il faut installer une application et l'activer, ce qui demande un petit accompagnement pour quelqu'un de peu à l'aise avec son téléphone.
Faut-il laisser une application allumée en permanence sur son téléphone ?
Oui, l'application du tunnel doit rester active pour que le téléphone retrouve le logement. Une fois réglée, elle se fait oublier : elle se reconnecte seule et ne se signale que par une petite icône en haut de l'écran. Si on la coupe, on perd seulement l'accès depuis l'extérieur, le logement continue de fonctionner normalement. C'est la vraie contrepartie de cette méthode face à l'application d'un fabricant.
Un tunnel chiffré ralentit-il le pilotage à distance ?
Pas de façon perceptible dans l'usage courant. Une fois le tunnel établi, la connexion passe le plus souvent en direct entre votre téléphone et le boîtier, sans détour par un serveur intermédiaire. Le seul cas où la latence se voit vraiment est la consultation d'un flux vidéo en direct, et elle tient alors au débit de la ligne montante du logement, pas au chiffrement.
Dans le même thème
Indépendance
Une installation qui dépend d'un serveur lointain s'arrête le jour où ce serveur s'arrête. Ici, ce qui permet à un logement de continuer à fonctionner sans Internet, sans abonnement et sans le fabricant.
Un projet pour votre logement ?
La première visite chez vous est gratuite et sans engagement : on regarde le logement, ce qui est déjà en place et ce que vous en attendez. Nous intervenons à Annecy, en Haute-Savoie et en Savoie.
Demander une visite gratuite