Voir ses caméras à distance sans ouvrir le réseau aux intrus
En bref
N’ouvrez pas de port sur la box pour atteindre une caméra : elle devient joignable par n’importe qui sur Internet. Passez par un VPN, qui demande de s’identifier et chiffre les échanges, ou par l’application du fabricant quand elle n’expose pas la caméra. Gardez les caméras sur un réseau séparé, un compte par personne, et des appareils à jour.
Un dimanche soir, l’alarme du dépôt se déclenche. La première chose que l’on veut, c’est voir les images, tout de suite, depuis son téléphone. Pour y arriver, la solution la plus rapide est souvent celle qu’un installateur pressé a choisie : « ouvrir un port » sur la box. Elle fonctionne. Elle rend aussi la caméra joignable depuis Internet, par vous comme par n’importe qui.
Voici comment regarder vos caméras à distance sans laisser cette porte ouverte, étape par étape. Le sujet complet (loi, câblage, enregistrement) est dans notre guide de la vidéosurveillance en entreprise.
Pourquoi ne pas simplement ouvrir un port ?
Ouvrir un port, c’est demander à la box d’envoyer vers la caméra, ou vers l’enregistreur, tout ce qui arrive d’Internet sur ce port. Ubiquiti, le fabricant du matériel UniFi, résume les deux conséquences dans sa page sur l’accès à distance :
- la sécurité repose alors sur l’appareil exposé, donc sur la caméra elle-même, sur son mot de passe et sur ses mises à jour ;
- le trafic n’est pas chiffré par défaut, ce qui le rend vulnérable aux attaques.
Le fabricant de caméras Axis va dans le même sens : dans son guide de sécurisation, il recommande d’éviter d’exposer ses appareils comme un serveur web public.
Une caméra est un petit ordinateur, posé une fois puis souvent oublié. La mettre en contact direct avec Internet, c’est lui confier seule la garde du réseau.
Étape 1 : vérifier qu’aucun port n’est ouvert vers les caméras
Avant d’ajouter quoi que ce soit, regardez ce qui existe. Dans la box ou le routeur, la rubrique s’appelle souvent « redirection de ports » ou « port forwarding ». Notez chaque règle, et l’appareil vers lequel elle renvoie. Une règle vers une caméra ou un enregistreur se supprime dès qu’un autre accès fonctionne.
Si personne ne connaît le mot de passe de la box, c’est déjà une information : le réseau mérite un état des lieux.
Étape 2 : choisir un accès qui n’expose pas la caméra
Deux chemins existent.
Le VPN. Il relie votre téléphone ou votre ordinateur au réseau de l’entreprise par une liaison chiffrée. Selon Ubiquiti, il faut s’identifier avant d’accéder à quoi que ce soit, les données sont chiffrées, et le réseau interne reste caché d’Internet. La plupart des VPN demandent une adresse IP publique sur la connexion de l’entreprise. Sur les passerelles UniFi, Teleport fait exception : selon Ubiquiti, il fonctionne même quand la passerelle et le téléphone sont chacun derrière une box. L’accès se donne par une invitation, qui expire au bout de 24 heures, ne sert qu’à un appareil à la fois, et peut être retirée ensuite.
L’application du fabricant. Certaines donnent accès aux images sans ouvrir de port. Pour UniFi Protect, Ubiquiti explique que le téléphone se connecte à la console par un canal chiffré de bout en bout : son service vérifie votre identité pour établir la liaison, sans avoir accès aux images, et les enregistrements restent sur place. Axis cite de même son propre service, qui donne accès aux images sans exposer l’appareil à Internet. Avant de vous fier à une application, vérifiez auprès du fabricant comment elle se connecte.
| Port ouvert | VPN | Application du fabricant | |
|---|---|---|---|
| La caméra est joignable depuis Internet | Oui | Non | Non, si l’application passe par un canal chiffré |
| Identification avant l’accès | Celle de la caméra seulement | Oui, avant d’entrer dans le réseau | Selon l’application, par un compte |
| Échanges chiffrés | Pas par défaut | Oui | Selon le fabricant |
| Retirer l’accès d’une personne | Changer le mot de passe de la caméra | Retirer son accès VPN | Retirer son compte dans l’application |
Si plusieurs personnes ont aussi besoin du serveur ou des fichiers depuis chez elles, le VPN sert les deux usages : le sujet est traité dans Accès au réseau de l’entreprise en télétravail.
Étape 3 : mettre les caméras sur un réseau à part
Même sans port ouvert, une caméra mal protégée reste un point faible à l’intérieur. Axis recommande d’isoler ses appareils sur un réseau séparé du réseau de l’entreprise, et cite le VLAN parmi les moyens d’y arriver (guide de sécurisation). Le VLAN est un réseau virtuel qui passe dans les mêmes câbles ; la communication entre deux VLAN passe par la passerelle, où des règles de pare-feu décident de ce qui est permis (Ubiquiti).
On règle ensuite le passage dans un seul sens : votre téléphone, par le VPN, peut voir l’enregistreur ; les caméras, elles, n’atteignent pas les ordinateurs de l’équipe. Le principe est expliqué dans Les VLAN expliqués simplement, et la répartition des appareils dans Caméras, téléphones, invités, bureaux : quel réseau pour chaque appareil ?
Étape 4 : un compte par personne, et une seconde vérification
Un seul mot de passe partagé par toute l’équipe ne dit pas qui s’est connecté, et ne se retire pas à une seule personne. Axis conseille un mot de passe propre à chaque appareil plutôt qu’un mot de passe commun, et considère comme faible un mot de passe de moins de 8 caractères. Ubiquiti recommande en plus une authentification à plusieurs facteurs pour l’accès à distance (accès à distance sécurisé) : un code sur le téléphone en plus du mot de passe.
En pratique :
- un compte nominatif pour chaque personne qui regarde les images, avec seulement les droits utiles ;
- une seconde vérification quand l’application ou le VPN la propose ;
- l’accès retiré le jour où quelqu’un quitte l’entreprise, ou quand un prestataire a fini.
Étape 5 : tenir caméras et enregistreur à jour
Axis recommande d’utiliser toujours la dernière version du logiciel de ses caméras, parce qu’elle peut corriger des failles connues, et de désactiver les services et fonctions inutilisés. Ubiquiti rappelle aussi que le logiciel de la console doit être à jour pour que l’accès à distance fonctionne (Ubiquiti). Qui fait ces mises à jour, et quand, est le sujet de Mises à jour des bornes et du pare-feu : pourquoi il faut s’en occuper.
Et si les images sont lentes à distance ?
Les images quittent l’entreprise par le débit montant de la connexion. Sur une connexion faible, Ubiquiti précise que la lecture à distance passe en qualité réduite pour rester fluide, alors que les enregistrements restent stockés sur place en pleine qualité. Une image floue sur le téléphone ne veut donc pas forcément dire un enregistrement flou. Si l’adresse est mal desservie, voyez notre page Connexion et lien de secours.
Ce que fait SateLink
Chez SateLink, les caméras sont posées par notre partenaire sécurité. Nous préparons le réseau qui les porte, et nous coordonnons : vous n’avez qu’un interlocuteur. Concrètement :
- un réseau séparé et isolé pour les caméras et leur enregistreur, sur des passerelles et commutateurs UniFi ;
- l’accès à distance aux caméras par VPN ou par l’application, sans port ouvert sur Internet ;
- les plans et les accès remis à la fin.
Ensuite, avec la maintenance Sérénité, le réseau est supervisé à distance et les mises à jour critiques sont appliquées. Notre façon de travailler est sur la page Réseau et Wi-Fi. SateLink Solution est une entreprise indépendante, qui pose et configure ce matériel sans appartenir à ces sociétés.
En résumé
- Un port ouvert rend la caméra joignable depuis Internet, sans chiffrement par défaut.
- Un VPN, ou l’application du fabricant quand elle n’expose pas la caméra, donne accès aux images sans cette porte.
- Les caméras vont sur leur propre réseau, séparé des ordinateurs de l’équipe.
- Un compte par personne, une seconde vérification, des accès retirés au départ de chacun.
- Caméras et enregistreur à jour, services inutiles désactivés.
Vous voulez regarder vos caméras de chez vous sans risque ? L’appel de cadrage est gratuit : trente minutes pour faire le point sur l’accès à distance et la séparation de votre réseau.
