Un ami m'a montré son salon l'an dernier, tout fier : thermostat connecté, deux enceintes à commande vocale, trois caméras intérieures, une serrure qui s'ouvre depuis le téléphone. Il m'a dit "je pilote tout depuis mon canapé". Je lui ai demandé : "et qui d'autre pilote ta maison ?" Il a ri. Puis il a arrêté de rire.
La question des objets connectés pour la maison et des risques pour la vie privée se pose rarement au moment de l'achat. On la pose après. Souvent trop tard, quand une notification bizarre apparaît, quand la caméra s'allume seule, quand on comprend qu'une conversation de cuisine a servi à calibrer une publicité. Je vais vous expliquer ce qui se passe vraiment, pourquoi la mécanique de ces appareils rend le problème structurel, et ce que vous pouvez réellement reprendre en main, sans tomber dans la paranoïa ni dans le déni.
Points clés à retenir
- Un objet connecté n'est pas une télécommande améliorée : c'est un ordinateur qui émet en permanence, souvent vers des serveurs que vous ne connaissez pas.
- Le vrai risque n'est pas seulement le piratage spectaculaire, c'est la collecte continue et discrète de données de comportement.
- La réglementation européenne sur les données personnelles et les nouvelles obligations de sécurité des produits connectés changent la donne, mais ne vous dispensent pas d'agir.
- Un appareil branché en permanence avec un mot de passe par défaut reste une porte ouverte, même si le fabricant communique beaucoup sur la sécurité.
- Segmenter votre réseau et désactiver ce que vous n'utilisez pas élimine une grande partie des scénarios inquiétants.
- Le coût réel d'un objet "intelligent" inclut la donnée que vous cédez, pas seulement le prix affiché.
Ce qui se passe vraiment dans votre maison connectée
J'ai commencé à m'intéresser au sujet pour une raison bête. Une enceinte à commande vocale dans ma cuisine s'est mise à déclencher sans mot d'activation, en pleine conversation sur des vacances. Le lendemain, une offre de vols apparaissait sur mon fil. Coïncidence, probablement. Mais cette coïncidence m'a poussé à regarder le trafic réseau sortant de chez moi.
Résultat : plus de soixante requêtes par heure vers des domaines que je n'avais jamais installés volontairement. Télémétrie, mises à jour, "amélioration de l'expérience utilisateur". Rien d'illégal. Tout est dans les conditions générales que personne ne lit, moi le premier pendant des années.
Un objet connecté est un ordinateur déguisé
Un thermostat, une ampoule pilotable, une prise intelligente : chacun embarque un microcontrôleur, une connexion réseau et, presque toujours, un compte utilisateur associé. Ce compte relie vos habitudes à une identité. L'heure à laquelle vous rentrez. Les jours où vous êtes absent. La température que vous aimez.
Pris séparément, chaque signal paraît anodin. Recoupés, ils dessinent votre emploi du temps avec une précision qu'aucun voisin ne pourrait atteindre. Et c'est précisément ce recoupement qui a de la valeur, pour un annonceur comme pour un cambrioleur.
Les trois fuites que je vois le plus souvent
Dans les installations que j'ai aidé à auditer, à titre bénévole, chez des proches et des collègues, les mêmes failles reviennent :
- Le mot de passe par défaut jamais changé sur une caméra ou une box domotique. C'est le point d'entrée numéro un.
- Une application mobile unique qui centralise dix objets de marques différentes, avec un compte et un seul facteur d'authentification.
- Le micro toujours actif sur un assistant vocal, dans une pièce où l'on parle affaires, santé ou conflits familiaux.
Franchement, ces trois points à eux seuls expliquent la majorité des incidents que l'on lit dans la presse. Pas de piratage sophistiqué. Juste des portes laissées ouvertes.
Vos données valent plus que votre appareil
Pourquoi une enceinte se vend-elle parfois à un prix qui ne couvre manifestement pas son coût de fabrication ? Parce que l'appareil n'est pas le produit. Le produit, c'est vous, enfin plutôt le profil comportemental que l'appareil alimente mois après mois.
Un fabricant sérieux vous le dira à demi-mot : la valeur d'un parc installé se mesure au volume de données qu'il génère, pas au nombre d'unités vendues. Ce modèle économique n'est pas un complot. C'est une logique industrielle. Elle a une conséquence directe : plus votre maison est équipée, plus votre comportement devient lisible de l'extérieur.
Le consentement qui n'en est pas un
Vous avez accepté les conditions générales en cochant une case, un jour, sur un téléphone, dans une file d'attente. Ce clic vaut consentement au sens du règlement européen sur la protection des données, à condition que le consentement soit libre, spécifique, éclairé et univoque. Dans la pratique, personne ne lit trente pages de CGU avant de brancher une ampoule.
Le problème n'est donc pas que la loi manque. Le problème est que la loi repose sur un geste que personne n'accomplit réellement.
Ce que dit le droit, et ce qu'il ne dit pas encore
Il faut distinguer deux choses que l'on mélange souvent : la protection de vos données personnelles, encadrée en Europe depuis plusieurs années, et la sécurité technique des objets eux-mêmes, longtemps restée un angle mort.
Sur le premier volet, vos droits existent : accès, rectification, effacement, opposition. Les autorités de contrôle sanctionnent régulièrement des traitements excessifs. Sur le second, les choses bougent : les textes européens récents imposent progressivement aux fabricants de corriger les failles connues, de communiquer sur la durée de prise en charge logicielle et de ne pas laisser des produits connectés sans mise à jour pendant dix ans.
Le point qui dérange les fabricants
L'obligation de dire combien de temps un objet sera suivi logiciellement. Parce qu'un appareil non mis à jour devient une passoire, et que la plupart des constructeurs préféraient jusqu'ici le silence sur ce point. Demander cette information avant l'achat est aujourd'hui l'un des gestes les plus utiles, et l'un des plus rares.
Et la surveillance par l'État ?
Les débats législatifs récents sur la captation à distance du son et de l'image, dans un cadre judiciaire strict, alimentent une inquiétude légitime. Mais soyons précis : ces dispositifs visent des situations pénales encadrées, pas le grand public. Le risque quotidien pour votre vie privée vient bien plus de la collecte commerciale et des défauts de sécurisation que d'un scénario d'écoute étatique généralisée. Confondre les deux fait perdre de vue l'essentiel.
Comparer les risques selon le type d'objet
Tous les objets connectés ne se valent pas. Voici comment je classe les risques, du plus contraint au plus exposé, en fonction de ce que l'appareil capte et de ce qu'il transmet.
| Type d'objet | Ce qu'il capte | Niveau d'exposition |
|---|---|---|
| Caméra intérieure | Image et son en continu | Très élevé |
| Assistant vocal | Audio déclenché, parfois en veille | Élevé |
| Serrure connectée | Présence, horaires d'entrée | Élevé |
| Thermostat intelligent | Présence, absence, rythmes de vie | Moyen |
| Ampoule ou prise pilotable | Usage, horaires | Faible à moyen |
La règle que j'applique : plus l'appareil voit ou entend, plus il mérite de précautions. Un éclairage connecté dans un couloir, franchement, le risque reste limité. Une caméra dans une chambre d'enfant, c'est un autre sujet.
Ce que vous pouvez faire concrètement
Aucune de ces mesures ne demande de compétence technique avancée. Elles demandent vingt minutes et un peu de méthode.
Segmenter son réseau
Placez tous vos objets connectés sur un réseau Wi-Fi séparé de vos ordinateurs et téléphones. La plupart des box récentes permettent de créer un réseau invité. Un cambrioleur numérique qui entre par la caméra du garage n'accède alors qu'à ce réseau-là, pas à vos comptes bancaires.
Fermer les ports inutiles
Tout ce qui peut être désactivé doit l'être : accès à distance quand vous êtes chez vous, micro en veille, partage de données "pour améliorer le service". Chaque fonction désactivée est une surface d'attaque en moins. Le meilleur objet connecté est celui qui parle le moins.
Vérifier la durée de mise à jour avant d'acheter
Avant tout achat, cherchez l'engagement du fabricant sur le suivi logiciel. S'il est introuvable, considérez l'appareil comme jetable au bout de deux ou trois ans. Un objet connecté non suivi est un risque qui grandit tout seul.
Les avantages valent-ils le prix ?
Je ne vais pas vous dire de tout débrancher. Un thermostat intelligent m'a fait économiser de façon mesurable sur mes factures de chauffage, et une serrure connectée a évité à un proche de rester bloqué dehors en pleine nuit. L'automatisation d'une maison apporte un confort réel, parfois de la sécurité.
Mais ce confort se paie deux fois : une fois à l'achat, une fois en données et en attention. La bonne question n'est jamais "est-ce que cet objet est pratique ?" C'est "qu'est-ce que j'accepte de rendre visible, et à qui ?" Posez-vous la question avant de brancher, pas après la première notification suspecte.
Le reste, c'est du réglage. Et le réglage, ça se reprend toujours. Ce qui ne se reprend pas, c'est une donnée déjà partie.
