Wi-Fi invités en entreprise : pourquoi le séparer du réseau interne

Oui, le Wi-Fi de vos visiteurs doit être séparé du réseau de vos postes et de vos serveurs. Pas seulement avec un autre nom de réseau : avec sa propre zone, isolée par le pare-feu, qui ne mène qu’à Internet. C’est ce que recommande l’ANSSI, l’agence nationale de la sécurité des systèmes d’information, dans son guide d’hygiène informatique (mesures 7 et 20). Dans beaucoup de PME, le mot de passe du Wi-Fi est le même pour la comptabilité, le commercial de passage et le téléphone du stagiaire. Cet article explique ce qu’un visiteur peut alors atteindre, comment se monte un Wi-Fi invités correct, et ce que la loi demande quand vous offrez une connexion à des tiers.

Ce qu’un visiteur peut atteindre sur un réseau « à plat »

Un réseau « à plat » est un réseau sans cloisonnement : chaque appareil connecté peut parler à tous les autres. L’ANSSI décrit le risque simplement : la compromission d’une machine met alors en péril toutes les autres, et un attaquant peut rebondir d’un poste jusqu’aux serveurs (mesure 19).

Appliqué au Wi-Fi, cela signifie qu’un appareil connecté avec le mot de passe de l’entreprise se trouve au même endroit que vos postes. Il voit les partages de fichiers, les imprimantes, l’interface de la box, le serveur, la caméra du hall. Il n’a pas forcément les droits pour y entrer, mais il frappe à la porte depuis l’intérieur, et toute faille non corrigée sur l’un de ces équipements lui est accessible.

Le visiteur n’a pas besoin d’être malveillant. Son appareil peut l’être à sa place : un ordinateur portable infecté qui cherche d’autres machines à contaminer fera ce travail une fois connecté à votre Wi-Fi. L’ANSSI le rappelle à la mesure 7 : la sécurité des équipements des visiteurs échappe à tout contrôle de l’entreprise.

Ce que recommande l’ANSSI

Le guide d’hygiène informatique traite le sujet à deux endroits.

La mesure 7 demande de n’autoriser sur les réseaux de l’entreprise, filaires ou sans fil, que les équipements qu’elle maîtrise. L’ANSSI reconnaît que cette règle est souvent perçue comme inacceptable, et propose la réponse pragmatique : un réseau Wi-Fi avec un nom de réseau dédié pour les terminaux personnels et les visiteurs.

La mesure 20 précise le montage : toute connexion Wi-Fi d’un terminal personnel ou d’un visiteur doit être séparée de celle des terminaux de l’entreprise, par exemple avec un nom de réseau et un VLAN distincts, et un accès Internet dédié. Un VLAN est un réseau virtuel : il partage les mêmes câbles et les mêmes bornes que les autres, mais ne communique avec eux que si le pare-feu l’autorise.

La même mesure ajoute trois exigences pour tous vos réseaux sans fil :

• Un chiffrement robuste. Le guide cite WPA2 avec l’algorithme AES, et une authentification centralisée si possible.
• Pas de mot de passe unique partagé par tout le monde. L’ANSSI le déconseille. À défaut, il doit être complexe, renouvelé, et jamais diffusé à des tiers non autorisés.
• Des bornes administrées proprement, avec le mot de passe administrateur par défaut changé.

Comment se monte un Wi-Fi invités

Sur du matériel professionnel, séparer les invités ne demande pas de borne supplémentaire. Les mêmes bornes diffusent plusieurs noms de réseau, chacun rattaché à sa zone. Les réglages qui font la différence :

1. Un nom de réseau dédié, du type « Entreprise-Invités », distinct de celui des salariés.
2. Un VLAN à part, avec sa propre plage d’adresses, pour que les appareils invités ne soient jamais sur le même segment que vos postes.
3. Une règle de pare-feu qui n’autorise ce VLAN qu’à sortir vers Internet. Rien vers les postes, les serveurs, les imprimantes ni l’administration des équipements. Si une imprimante doit être accessible aux visiteurs, c’est une règle précise, écrite et justifiée, pas une ouverture générale.
4. L’isolation entre invités, pour qu’un appareil connecté au Wi-Fi invités ne voie pas les autres appareils connectés au même Wi-Fi invités.

S’y ajoutent une limite de débit par appareil et, au besoin, des horaires d’activation.

Reste le mot de passe. Un mot de passe simple affiché à l’accueil est acceptable si ce réseau ne mène qu’à Internet et s’il est changé régulièrement. Un portail captif, la page qui s’affiche à la connexion, permet d’aller plus loin : code valable une journée remis par l’accueil, conditions d’utilisation acceptées, journal des connexions. C’est utile pour les obligations décrites plus bas.

La box de l’opérateur suffit-elle ?

Certaines box proposent une fonction « Wi-Fi invités ». Avant de s’en contenter, vérifiez que ce réseau est réellement isolé de vos postes et pas seulement nommé autrement, et que vous pouvez voir et modifier cette règle. Le pare-feu et les bornes professionnelles font ce travail de manière vérifiable, avec des règles écrites. La box est alors une simple arrivée Internet.

Le rôle du pare-feu et des VLAN dans l’ensemble du réseau est détaillé dans notre guide complet du réseau informatique d’entreprise.

Ce que la loi demande quand vous offrez une connexion

Deux textes concernent directement une entreprise qui ouvre son Wi-Fi à des tiers.

Le Code des postes et des communications électroniques prévoit que les personnes qui, au titre d’une activité professionnelle principale ou accessoire, offrent au public une connexion à Internet, y compris gratuitement, sont soumises aux obligations des opérateurs en matière de conservation des données de connexion (article L34-1). Le même article fixe les durées : l’identité civile de l’utilisateur pendant cinq ans à compter de la fin du contrat ou du service, les autres informations de souscription et de paiement pendant un an, et les données techniques identifiant la source de la connexion et les équipements utilisés pendant un an à compter de la connexion. Vos salariés ne sont pas « le public ». Pour des visiteurs professionnels reçus de temps en temps, la question est moins tranchée. Pour une salle d’attente ouverte à vos clients ou patients, elle se pose clairement. Dans le doute, posez-la à votre conseil juridique, et faites en sorte que votre équipement sache au moins journaliser qui s’est connecté et quand.

Le Code de la propriété intellectuelle ajoute que le titulaire d’un accès à Internet doit veiller à ce que cet accès ne serve pas à reproduire ou diffuser des œuvres protégées sans autorisation (article L336-3). L’abonnement est au nom de votre entreprise : c’est elle qui est identifiée si un visiteur télécharge illégalement depuis votre Wi-Fi.

Ces textes ne vous interdisent pas d’offrir le Wi-Fi. Ils donnent une raison de plus de le faire proprement : un réseau invités identifié, journalisé par le pare-feu ou le portail captif, avec des conditions d’utilisation acceptées à la connexion.

Et les téléphones personnels des salariés ?

C’est le cas le plus fréquent et le moins traité. Le téléphone personnel d’un salarié n’est pas un équipement maîtrisé par l’entreprise au sens de la mesure 7 : il va donc sur le Wi-Fi invités, ou sur un réseau dédié aux appareils personnels, pas sur celui des postes. Cela n’empêche pas d’accéder à la messagerie ou aux fichiers de l’entreprise : ces accès passent alors par Internet, comme depuis chez soi. Ce qui est évité, c’est qu’un appareil dont vous ne connaissez ni les mises à jour ni les applications se retrouve à côté de votre serveur.

Si vous changez de locaux, c’est le moment de repartir sur un réseau cloisonné dès le départ : notre article sur le réseau à prévoir lors d’un déménagement de bureaux détaille l’ordre des étapes.

Votre liste d’actions

• Connectez un téléphone au Wi-Fi que vous donnez aux visiteurs et cherchez vos imprimantes et vos partages de fichiers. Si vous les trouvez, le réseau n’est pas séparé.
• Demandez à votre prestataire la règle de pare-feu qui isole le Wi-Fi invités. Si elle n’existe pas par écrit, elle n’existe probablement pas.
• Changez le mot de passe du Wi-Fi des salariés s’il est connu d’anciens salariés, de prestataires ou de visiteurs.
• Basculez les téléphones personnels sur le Wi-Fi invités ou sur un réseau dédié.
• Vérifiez que vos bornes et votre pare-feu journalisent les connexions invités, et depuis quand ces journaux sont conservés.

Les réponses aux questions courantes sur notre façon de travailler sont sur la page Questions.

Ce qu’Oviso fait sur ce sujet

Oviso conçoit et installe le Wi-Fi et le réseau des PME de 10 à 100 salariés dans le 13, le 83 et le 84 : relevé et chiffrage gratuits, séparation des usages par VLAN avec règles de pare-feu écrites et justifiées, bornes professionnelles fournies et préconfigurées, relevé de couverture avant et après. Vous recevez un prix fixe avant tout achat, puis le dossier complet et les accès administrateur. Le fonctionnement du devis est détaillé sur la page Tarifs.

Décrivez votre installation : nous vous dirons si une reconfiguration suffit ou si le matériel doit changer. Pour un office notarial et sa salle d’attente, voyez la page réseau intérieur des offices notariaux.

Sources

• ANSSI, Guide d’hygiène informatique : renforcer la sécurité de son système d’information en 42 mesures, mesures 7, 19 et 20 (PDF).
• Légifrance, article L34-1 du Code des postes et des communications électroniques, version en vigueur depuis le 15 juin 2025 (personnes offrant au public une connexion, durées de conservation de cinq ans et d’un an).
• Légifrance, article L336-3 du Code de la propriété intellectuelle, obligation du titulaire de l’accès à Internet.