Sophie TSI Installer des caméras IP, c’est un investissement. Mais si votre flux vidéo circule en clair sur votre réseau, un pirate peut le capturer aussi facilement que vous le faites depuis votre téléphone. Comprendre les protocoles de chiffrement et les appliquer correctement, c’est la différence entre une vidéosurveillance fonctionnelle et une porte ouverte vers votre vie privée.
Cet article passe en revue les protocoles essentiels, du Wi-Fi au flux RTSP, et vous montre comment vérifier que votre installation est bien protégée.
1. WPA3 : le maillon indispensable de votre réseau Wi-Fi
Le chiffrement de votre réseau sans fil est la première ligne de défense. Pendant des années, WPA2 a suffi — mais il souffre d’une faille connue (KRACK, découverte en 2017) qui permet à un attaquant situé sur le même réseau de capturer des paquets et de tenter un déchiffrement hors ligne.
WPA3 résout ce problème en imposant :
- SAE (Simultaneous Authentication of Equals) : un échange de clés qui rend les attaques par dictionnaire hors ligne pratiquement impossibles, même avec un mot de passe faible
- Forward secrecy : même si votre mot de passe Wi-Fi est compromis a posteriori, les sessions passées restent indéchiffrables
- Protection WPA3-Enterprise : chiffrement individuel par utilisateur via un serveur RADIUS (pour les installations professionnelles)
Comment vérifier : dans l’interface de votre routeur, la section « Sécurité sans fil » doit indiquer WPA3 ou WPA2/WPA3 Mixé. Si votre routeur est antérieur à 2019, il est fort probable qu’il ne supporte que WPA2.
TP-Link Archer BE3600 — Routeur WiFi 7 avec WPA3 →
2. HTTPS/TLS pour l’accès à l’interface d’administration
Beaucoup de fabricants l’ont intégré ces dernières années : l’interface web de votre caméra doit répondre en HTTPS (port 443) avec un certificat TLS. L’ancien HTTP en port 80 transmet vos identifiants en clair — n’importe qui sur votre réseau peut les capturer avec un outil comme Wireshark.
Vérification rapide :
- Ouvrez l’IP de votre caméra dans un navigateur
- Si l’URL commence par
http://et nonhttps://, votre caméra transmet en clair - Cherchez l’option « HTTPS obligatoire » ou « SSL/TLS » dans les paramètres réseau de la caméra
Certaines caméras économiques n’offrent toujours pas HTTPS natif. Dans ce cas, un reverse proxy (comme un petit routeur dédié ou un NAS) peut intercepter et re-chiffrer le trafic.
3. Le flux vidéo : RTSP, RTMP et le chiffrement du flux
La plupart des caméras IP diffusent en RTSP (Real Time Streaming Protocol) sur le port 554. Par défaut, ce protocole n’inclut aucun chiffrement : le flux vidéo circule en clair sur votre réseau local.
Quelques approches pour sécuriser ce flux :
3a. RTSP sur tunnel VPN
Si vous accédez à vos caméras à distance, le moyen le plus simple et le plus efficace est de passer par un VPN (WireGuard ou OpenVPN). Votre traffic traverse alors un tunnel chiffré de bout en bout, même si la caméra elle-même ne supporte pas le chiffrement natif.
3b. SRTP (Secure RTP)
Certaines caméras récentes supportent le chiffrement du flux RTP lui-même via SRTP. Cela protège le flux vidéo même sur le réseau local. Vérifiez la fiche technique de votre caméra : la mention « SRTP » ou « Media encryption » indique que cette fonctionnalité est disponible.
3c. RTMP chiffré vers un NVR
Quand une caméra envoie son flux vers un enregistreur NVR, le protocole RTMP peut être protégé par RTMPS (RTMP sur TLS). C’est la norme pour les déploiements professionnels, mais rarement activé par défaut sur les modèles grand public.
Règle d’or : une caméra accessible depuis Internet doit absolument communiquer sur un tunnel chiffré. Jamais de port forwarding direct vers une caméra sans VPN ou reverse proxy.
TP-Link Switch PoE 5-Port — pour alimentations caméras sécurisées →
4. Authentification forte : au-delà du mot de passe
Le chiffrement ne suffit pas si un attaquant peut se connecter légitimement. L’authentification est le second pilier de la sécurité.
Ce qu’il faut implémenter :
- Mot de passe unique par caméra : jamais le mot de passe par défaut du fabricant, ni le même mot de passe sur toutes les caméras
- 2FA sur le routeur : certains routeurs modernes (comme le TP-Link Archer AX10) proposent une authentification à deux facteurs pour l’accès distant à l’interface d’administration
- Désactivation de l’accès distant WPS : WPS est une faille connue — le désactiver élimine un vecteur d’attaque courant
- Mise à jour automatique du firmware : les vulnérabilités critiques (type Melno, PwnKit) sont corrigées dans les mises à jour des fabricants
TP-Link Archer AX10 — Routeur WiFi 6 avec WPA3 →
5. Isolation réseau : le VLAN pour vos caméras
La mesure de sécurité la plus sous-estimée : placer vos caméras IP dans un réseau séparé (VLAN). Ainsi, même si une caméra est compromise, l’attaquant n’a pas accès à votre réseau principal — pas de fichiers partagés, pas d’accès aux ordinateurs, pas d’accès à votre nuage domestique.
Configuration minimale :
- Créez un VLAN dédié « IoT / Surveillance » sur votre routeur
- Ce VLAN n’a accès qu’au routeur (pour les mises à jour) et à votre NVR (pour l’enregistrement)
- Interdisez l’accès sortant vers Internet depuis ce VLAN — une caméra n’a pas besoin d’aller sur le Web
Tous les routeurs grand public ne gèrent pas les VLAN. Si le vôtre ne le permet pas, vous pouvez utiliser un switch administré avec support IEEE 802.1Q. Un routeur comme le Mercusys MR80X offre un niveau de contrôle réseau correct pour une utilisation domestique.
Mercusys MR80X AX3000 — Routeur WiFi 6 avec pare-feu avancé →
Checklist de vérification rapide
Avant de valider votre installation, cochez ces points :
- [ ] Routeur en WPA3 (ou WPA2/WPA3 Mixé minimum)
- [ ] Interface caméra accessible uniquement en HTTPS
- [ ] Pas de port forwarding ouvert vers les caméras depuis Internet
- [ ] Firmware à jour sur toutes les caméras et le routeur
- [ ] Mot de passe unique et fort sur chaque caméra
- [ ] WPS désactivé sur le routeur
- [ ] VLAN ou réseau IoT séparé pour les caméras (optionnel mais recommandé)
Conclusion
Sécuriser son installation de vidéosurveillance ne nécessite pas de compétences en cybersécurité. Les protocoles modernes (WPA3, HTTPS/TLS, SRTP) sont disponibles sur la plupart des équipements récents — il suffit de les activer. La clé est de comprendre que chaque couche de sécurité (réseau, flux, authentification, isolation) renforce les autres. Votre réseau domestique est la fondation : sans un routeur fiable et chiffré, le reste s’effondre.
