Sécurité du Wi-Fi (WPA3)
Ensemble des mesures qui protègent un réseau sans fil, dont le protocole WPA3 qui chiffre et authentifie les connexions Wi-Fi.
Définition complète
Le Wi-Fi transporte les données par ondes radio, qui dépassent souvent les murs de l’entreprise. Sans protection adaptée, le trafic peut être intercepté ou modifié, et un attaquant proche peut tenter d’entrer sur le réseau. La sécurité du Wi-Fi repose sur le protocole de chiffrement et d’authentification, la configuration des bornes et le cloisonnement du réseau.
WPA3 est la génération la plus récente de ces protocoles. Dans ses recommandations publiées en août 2026, l’ANSSI préconise les modes WPA3-Enterprise (avec authentification par certificats), WPA2-Enterprise sous condition d’activer la protection des trames de gestion (PMF), ou WPA3-Personal. Elle déconseille le mode mixte WPA2/WPA3, qui peut dégrader la sécurité des terminaux compatibles WPA3.
L’ANSSI recommande aussi de désactiver WPS, de n’autoriser que des bornes maîtrisées par l’entité, de cloisonner chaque réseau Wi-Fi (invités, objets connectés) dans un VLAN distinct filtré par un pare-feu, de changer le nom de réseau par défaut et de mettre à jour bornes et contrôleurs. Masquer le nom du réseau (SSID) est en revanche inutile.
Source : ANSSI, Les Essentiels : sécurisation des réseaux Wi-Fi
Exemple concret
Un cabinet médical partage un seul Wi-Fi, protégé par un mot de passe affiché dans la salle d’attente, pour les patients, les ordinateurs des médecins et l’imprimante. N’importe quel visiteur se retrouve sur le même réseau que le logiciel de dossiers patients. Le cabinet crée un réseau invités séparé et filtré, et un réseau professionnel en WPA3 réservé à ses propres appareils.
Comment se protéger
- Configurer les bornes en WPA3 (Enterprise si possible, sinon Personal) et éviter le mode de transition WPA2/WPA3.
- Créer un réseau invités séparé, cloisonné et sans accès aux ressources internes.
- Placer les objets connectés sur un réseau dédié, isolé des postes de travail.
- Désactiver WPS et UPnP, changer les mots de passe d’administration et le nom de réseau par défaut.
- Interdire les bornes Wi-Fi personnelles branchées sur le réseau de l’entreprise.
- Mettre à jour régulièrement bornes et contrôleurs et changer les clés Wi-Fi après le départ d’un salarié ou en cas de doute.
- En déplacement, n’utiliser les Wi-Fi publics qu’à travers le VPN de l’entreprise.
Questions fréquentes
L’ANSSI admet WPA2-Enterprise à condition d’activer la protection des trames de gestion (PMF). Pour les équipements anciens qui ne supportent pas WPA3, elle recommande de leur dédier un réseau distinct plutôt que d’abaisser la sécurité de tout le Wi-Fi.
Non. L’ANSSI juge cette mesure inutile : un terminal qui s’est déjà connecté à un réseau caché diffuse son nom en le recherchant. Mieux vaut un nom neutre, qui ne révèle ni l’entreprise ni son activité.
Termes liés
Chiffrement
Transformation des données pour les rendre illisibles sans clé.
Pare-feu
Dispositif filtrant le trafic réseau entrant et sortant.
Segmentation réseau
Découpage du réseau en zones séparées et filtrées, pour qu’une machine compromise ne donne pas accès à tout le système.
VPN
Tunnel chiffré qui relie un poste distant ou un site au réseau de l’entreprise à travers Internet.
Vous avez besoin d'un expert en Sécurité du Wi-Fi (WPA3) ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.