Regarder ses caméras depuis son téléphone est devenu un réflexe. Mais une caméra ou un enregistreur joignable depuis internet peut aussi l'être par d'autres, s'il est mal réglé. Voici les failles courantes, les trois façons d'accéder à distance à vos images, les réglages qui protègent et ce que changent les règles européennes.
01Comment une caméra devient une porte d'entrée
Voici les points faibles à connaître.
- Le mot de passe d'origine. Le laboratoire d'innovation de la CNIL cite, parmi les méthodes de piratage, la connexion avec les mots de passe fournis par défaut (article sur les caméras connectées, 9 avril 2026).
- Un port ouvert sur la box. Certains appareils sont réglés pour que « toute personne connaissant son adresse IP » accède à leur page de connexion, note le même article, et des moteurs de recherche comme Shodan recensent les objets visibles sur internet. Avec l'UPnP (Universal Plug and Play), un appareil peut même demander lui-même à la box d'ouvrir un port.
- Un logiciel pas à jour. Les mises à jour corrigent des failles exploitables par des cybercriminels, rappelle Cybermalveillance.gouv.fr (fiche mise à jour le 5 octobre 2026).
- Un compte d'application mal protégé. Si le mot de passe de l'application sert aussi sur un autre site, une fuite de ce site suffit : « tous les services pour lesquels vous utilisez le même mot de passe compromis seraient piratables », prévient Cybermalveillance.gouv.fr (fiche mise à jour le 5 octobre 2026). Sans double authentification, rien n'arrête alors l'intrus.
- Un compte partagé. Impossible alors de retirer l'accès d'une seule personne. La CNIL range les comptes partagés sans traçabilité parmi les pratiques à éviter (« Gérer les habilitations », mars 2024).
02Trois façons de voir ses caméras à distance
| Méthode | Comment ça marche | Points forts | Points faibles |
|---|---|---|---|
| Service cloud ou « P2P » du fabricant | L'appareil se connecte lui-même aux serveurs du fabricant, qui le relient à votre application | Simple, aucun port à ouvrir | Tout repose sur la sécurité du fabricant et de votre compte |
| Ouverture de ports | La box transmet à l'enregistreur les connexions venues d'internet | Aucun service tiers | Page de connexion visible de tout internet : la moindre faille devient exploitable |
| VPN (réseau privé virtuel) | Le téléphone rejoint votre réseau par un tunnel chiffré, comme s'il était sur place | Seul le VPN est exposé | Un routeur compatible, un geste de plus sur le téléphone |
Pour une maison, le service du fabricant convient si le compte est bien protégé. L'ouverture de ports est à éviter. Pour une entreprise, le VPN est la voie la plus sûre : l'ANSSI demande que les flux de vidéoprotection d'un site distant traversant internet soient chiffrés et authentifiés dans un tunnel (guide sur le contrôle d'accès et la vidéoprotection, 8 avril 2025).
Attention
L'ANSSI conseille de désactiver l'UPnP s'il n'est pas utilisé (« Les Essentiels — Sécurisation des réseaux Wi-Fi », août 2026). Contrôlez ce réglage dans l'interface de votre box, ainsi que les redirections de ports.
03Les protections qui comptent vraiment
Sur les appareils
- Un mot de passe unique et long, changé dès l'installation : au minimum 12 signes mêlant majuscules, minuscules, chiffres et caractères spéciaux, différent pour chaque service (Cybermalveillance.gouv.fr, 5 octobre 2026). Un gestionnaire de mots de passe les retient pour vous.
- Les mises à jour du logiciel interne (firmware) et de l'application, automatiques si possible, et les fonctions inutiles désactivées, comme le recommande la fiche sur les objets connectés de Cybermalveillance.gouv.fr (5 octobre 2026).
Sur le réseau
- Un réseau séparé pour les caméras. La même fiche le conseille, et le guide Wi-Fi de l'ANSSI explique pourquoi : les objets connectés sont souvent plus vulnérables. Concrètement, un VLAN (réseau virtuel isolé) filtré par le pare-feu, présenté dans notre article sur le WiFi professionnel.
- Le câble plutôt que le WiFi. Dans son guide de 2025, l'ANSSI recommande fortement le filaire pour la vidéoprotection, le sans-fil augmentant « très significativement » l'exposition aux attaques.
Sur les comptes
- La double authentification sur le compte de l'application (voir notre article dédié).
- Un compte par personne, avec des droits limités, si l'application le permet.
- Des accès retirés à temps. La CNIL demande de supprimer les accès d'un utilisateur dès qu'il n'est plus habilité et de revoir les habilitations au moins une fois par an. Au départ d'un salarié, supprimez son compte et changez les mots de passe qu'il connaissait.
Au travail, « l'accès à distance doit être sécurisé (mot de passe robuste, connexion https, etc) », précise la CNIL (fiche publiée en juillet 2018).
04Ce que change la réglementation européenne
Depuis le 1er août 2025 : les appareils sans fil
La directive européenne sur les équipements radioélectriques (RED) impose des exigences de cybersécurité : protection du réseau et, selon les appareils, des données personnelles ou contre la fraude. Elles s'appliquent depuis le 1er août 2025 (règlement délégué (UE) 2026/339) aux appareils radio capables de communiquer sur internet (règlement délégué (UE) 2022/30, article 1er). Une caméra WiFi ou 4G est concernée, une caméra uniquement filaire ne l'est pas.
Le règlement sur la cyberrésilience, pour tous les produits connectés
Le règlement (UE) 2024/2847, dit CRA, vise le matériel et les logiciels connectables, des babyphones aux montres connectées (Commission européenne, page mise à jour le 7 septembre 2026).
- Depuis le 11 septembre 2026, un fabricant doit signaler aux autorités, sous 24 heures pour l'alerte précoce, toute faille activement exploitée dans ses produits, même déjà vendus, et en informer les utilisateurs concernés (articles 14 et 69).
- À partir du 11 décembre 2027, les produits mis sur le marché devront être vendus sans faille exploitable connue, configurés de façon sécurisée par défaut, protégés contre les accès non autorisés et corrigeables par des mises à jour (annexe I). Le fabricant traitera les failles pendant au moins cinq ans, sauf durée d'utilisation prévue plus courte, et indiquera à l'achat la date de fin de cette période (article 13). Les règles RED de cybersécurité seront alors abrogées.
Bon à savoir
Ces règles ne sont pas rétroactives. Un produit mis sur le marché avant le 11 décembre 2027 n'est soumis aux exigences du CRA qu'en cas de modification substantielle, hormis l'obligation de signaler les failles exploitées (article 69) : la sécurité de vos caméras actuelles dépend de vos réglages.
05La checklist en 10 points
- Changez les mots de passe d'origine (caméras, enregistreur, box).
- Un mot de passe différent par appareil et par compte, de 12 signes au moins.
- Activez la double authentification sur l'application.
- Installez les mises à jour, automatiquement si possible.
- Désactivez l'UPnP de la box, sauf besoin identifié.
- Supprimez toute redirection de port vers les caméras.
- Accédez à distance par l'application du fabricant ou par un VPN.
- Isolez caméras et enregistreur sur un réseau séparé, câblé de préférence.
- Un compte par utilisateur, avec les seuls droits nécessaires.
- Retirez les accès au départ d'un salarié et relisez la liste des comptes chaque année.
En résumé
- Mot de passe d'origine, port ouvert, logiciel pas à jour, compte mal protégé ou partagé : ce sont les portes d'entrée à fermer.
- Pour l'accès à distance, préférez le service du fabricant avec un compte bien protégé, ou un VPN ; évitez l'ouverture de ports.
- Le règlement européen sur la cyberrésilience s'appliquera pleinement le 11 décembre 2027 ; vos appareils actuels dépendent de vos réglages.
Nos installations de vidéosurveillance comprennent la configuration et l'application mobile, et notre abonnement de maintenance, facultatif, inclut les mises à jour de sécurité du système. Pour faire le point sur vos caméras actuelles, vous pouvez nous contacter du lundi au vendredi, de 9 h à 18 h.