Une caméra de surveillance qui diffuse son flux vidéo sur un moteur de recherche public, un thermostat qui sert de porte d’entrée vers le réseau domestique : on rencontre ces situations régulièrement dans les audits de sécurité résidentielle. Les objets connectés collectent, transmettent et stockent des données personnelles en continu, mais leurs protections restent souvent en dessous de celles d’un ordinateur ou d’un smartphone.
Avec l’entrée en vigueur progressive du Cyber Resilience Act européen et du Data Act, le cadre réglementaire rattrape enfin le terrain.
Firmware et mises à jour : le vrai point faible des objets connectés
Sur un PC, on installe un correctif de sécurité en quelques clics. Sur une ampoule connectée ou un baby-phone, la procédure de mise à jour est souvent obscure, voire inexistante après deux ans de commercialisation.
Le firmware embarqué dans ces dispositifs fonctionne avec des ressources matérielles limitées. Résultat : les protocoles de chiffrement utilisés sont parfois obsolètes, et les fabricants ne publient pas toujours de correctifs pour les vulnérabilités découvertes après la vente. L’ANSSI a publié des recommandations spécifiques sur la sécurité des systèmes d’objets connectés, pointant les capacités d’intervention souvent limitées, voire inexistantes, sur ces dispositifs.
Avant d’acheter un appareil IoT, on gagne du temps en vérifiant un point précis : la durée de support de sécurité annoncée par le fabricant. Au Royaume-Uni, la réglementation PSTI impose depuis avril 2024 d’indiquer cette durée au point de vente. En Europe, le Cyber Resilience Act va dans la même direction.
Cyber Resilience Act et Data Act : ce qui change concrètement pour la sécurité IoT
Le Cyber Resilience Act (CRA) est entré en vigueur en décembre 2024. Les obligations de signalement des vulnérabilités commenceront le 11 septembre 2026, et l’application générale est prévue au 11 décembre 2027. Ce règlement européen impose aux fabricants de garantir la sécurité dès la conception du produit connecté, avec une gestion des vulnérabilités tout au long du cycle de vie et un marquage CE intégrant la cybersécurité.
En parallèle, le Data Act est applicable depuis le 12 septembre 2025. Il ne porte pas directement sur la cybersécurité, mais il modifie la gouvernance des données générées par les objets connectés. Les utilisateurs disposent désormais de droits d’accès et de portabilité sur les données produites par leurs appareils, y compris celles traitées par les services cloud associés.
Ce que ça implique sur le terrain
Pour un particulier qui installe une serrure connectée ou un système domotique, ces textes signifient que les produits vendus dans l’UE devront respecter un socle de sécurité minimal vérifiable. Les retours varient sur ce point : certains fabricants anticipent déjà les exigences, d’autres attendent les échéances réglementaires pour adapter leurs gammes.
L’important, c’est de ne pas compter uniquement sur la réglementation. Un appareil conforme au CRA reste vulnérable si le réseau Wi-Fi domestique est mal configuré ou si le mot de passe par défaut n’a jamais été changé.
Sécuriser son réseau domestique face aux appareils IoT vulnérables
La plupart des objets connectés grand public (enceintes, thermostats, caméras) ne disposent ni d’antivirus ni de pare-feu intégré. Leur protection dépend donc entièrement de l’environnement réseau dans lequel on les place.
Une approche efficace consiste à isoler les objets connectés sur un réseau Wi-Fi dédié, séparé de celui utilisé par les ordinateurs et smartphones. La majorité des box récentes permettent de créer un réseau invité ou un VLAN. Cette segmentation limite la propagation d’une attaque : un thermostat compromis ne donnera pas accès au NAS familial.
Voici les actions concrètes qui réduisent significativement la surface d’attaque :
- Changer systématiquement le mot de passe par défaut de chaque appareil connecté dès sa mise en service, en utilisant un mot de passe unique par dispositif
- Désactiver les fonctions inutilisées (accès distant, UPnP, micro ou caméra quand ils ne servent pas) pour réduire les points d’entrée potentiels
- Vérifier régulièrement la disponibilité des mises à jour firmware et les appliquer sans délai, car elles corrigent des failles activement exploitées
- Éteindre les appareils connectés lorsqu’ils ne sont pas utilisés, comme le recommande Cybermalveillance.gouv.fr
Données personnelles et objets connectés : ce que collectent vraiment vos appareils
Un assistant vocal qui écoute en permanence, une montre qui enregistre le rythme cardiaque, un réfrigérateur qui analyse les habitudes alimentaires : la quantité de données personnelles captées dépasse souvent ce que l’utilisateur imagine. Le secteur des équipements de la maison connectée représente plus de la moitié du chiffre d’affaires issu de la commercialisation des objets connectés, selon la DGCCRF.
La CNIL recommande de vérifier les paramètres de confidentialité de chaque appareil et de limiter le partage de données au strict nécessaire. Avant l’achat, une question simple aide à évaluer la dépendance : cet objet fonctionne-t-il sans connexion internet ? Si toutes ses fonctions dépendent du cloud, la dépendance aux serveurs du fabricant et à sa politique de données est totale.
Données de santé et équipements sportifs connectés
Les montres et bracelets connectés transmettent des données physiologiques sensibles. Ces informations, croisées avec la géolocalisation, peuvent révéler des habitudes de vie très précises. Limiter les autorisations de l’application associée et vérifier où les données sont stockées (serveurs européens ou non) sont deux réflexes à adopter dès la configuration initiale.
Le cadre réglementaire européen, entre le RGPD, le CRA et le Data Act, offre désormais un ensemble de protections complémentaires. La sécurité des objets connectés ne repose pas sur un seul texte ou un seul geste technique, mais sur la combinaison d’appareils correctement maintenus, d’un réseau segmenté et d’une vigilance sur les données partagées. Le maillon le plus fragile reste souvent la configuration initiale que personne ne prend le temps de modifier.
