Wi-Fi des visiteurs : pourquoi le séparer du réseau de votre entreprise ?

Un client attend en salle de réunion, un fournisseur doit envoyer un fichier, un technicien demande le Wi-Fi. Dans beaucoup de PME, on lui donne le même mot de passe que celui de l’équipe, parce que c’est le seul qui existe. Son téléphone se retrouve alors sur le même réseau que vos ordinateurs, votre imprimante et vos caméras. Rien ne se voit, et c’est justement le problème.

Que risquez-vous quand tout le monde est sur le même réseau ?

Un réseau installé sans y penser ressemble à une pièce ouverte : tout ce qui s’y connecte peut chercher à atteindre le reste. Concrètement :

• Le visiteur peut voir vos appareils. Sur son téléphone ou son ordinateur, votre copieur, votre serveur de fichiers (le NAS) ou vos caméras peuvent apparaître.
• Un appareil infecté circule chez vous. L’ordinateur portable d’un prestataire n’est pas forcément à jour. S’il porte un logiciel malveillant, il se retrouve à côté des postes de la comptabilité.
• Le débit de l’équipe peut baisser. Sur une connexion modeste, une mise à jour de téléphone ou une vidéo chez un visiteur peut faire saccader la visio de l’équipe.
• Le mot de passe se répand. Donné une fois à un livreur, un stagiaire ou un ancien prestataire, il fonctionne encore des années après, et plus personne ne sait qui l’a.

Le Centre pour la Cybersécurité Belgique (CCB) range les Wi-Fi mal protégés parmi les accès que les cybercriminels exploitent, et que les organisations négligent le plus souvent (CCB, 2026).

Que recommande le Centre pour la Cybersécurité Belgique ?

Deux publications du CCB vont dans le même sens :

• Pour les réseaux d’entreprise, le CCB recommande de séparer strictement le réseau invité du réseau interne, puis de vérifier que la séparation fonctionne vraiment, par exemple en testant depuis un appareil connecté au Wi-Fi invité (Votre Wi-Fi, une porte ouverte ?).
• Les CyberFundamentals, le référentiel de sécurité du CCB, le prévoient dès leur niveau « Small », pensé pour les micro-organisations et celles qui ont peu de connaissances techniques : leur livret « Small » conseille de séparer si nécessaire le Wi-Fi des invités et des visiteurs du réseau professionnel.

Même pour une maison, Safeonweb conseille un réseau invité avec son propre mot de passe, pour que les visiteurs n’aient pas accès à vos appareils. Pour une entreprise, la raison est la même, avec plus à perdre.

Un réseau séparé, qu’est-ce que c’est concrètement ?

Séparer les réseaux ne demande ni une seconde connexion ni un second jeu de câbles. Les mêmes bornes et les mêmes câbles transportent plusieurs réseaux qui ne se mélangent pas. Quatre notions suffisent :

• Le réseau invité : un nom de Wi-Fi à part, avec son propre mot de passe, que vous pouvez changer ou couper sans toucher à celui de l’équipe.
• Le VLAN, ou réseau virtuel : il fait passer plusieurs réseaux dans les mêmes câbles. Sur le matériel UniFi, une option d’isolation règle le pare-feu pour bloquer le trafic entre ce réseau et tous les autres (documentation Ubiquiti).
• L’isolation des appareils entre eux : elle empêche aussi deux visiteurs connectés à la même borne de communiquer. Ubiquiti, le fabricant des bornes UniFi, la présente comme adaptée aux réseaux invités et aux appareils connectés (documentation Ubiquiti).
• La limite de débit : un plafond pour le Wi-Fi des visiteurs, pour que leurs vidéos ne ralentissent pas l’équipe. Ubiquiti la présente comme facultative, et utile pour répartir le débit équitablement (bonnes pratiques Wi-Fi invité).

	Tout sur le même réseau	Réseaux séparés
Ce que voit un visiteur	Ordinateurs, imprimante, serveur de fichiers, caméras	Internet ; le reste est bloqué
Un appareil infecté	À côté des postes de la comptabilité	Sur le réseau des visiteurs, pas sur celui de l’équipe
Le débit	Partagé sans limite	Plafonnable pour les visiteurs
Le mot de passe	Le même pour tout le monde, rarement changé	Un pour l’équipe, un pour les visiteurs
Couper l’accès des visiteurs	Il faut couper tout le monde	Un réglage, sans toucher à l’équipe

Et les caméras, les appareils connectés ?

Caméras, écrans, badgeuse, alarme, thermostat : ces appareils sont souvent posés une fois pour toutes, avec leur mot de passe d’usine, puis oubliés. On leur donne donc un réseau à part, séparé des postes de travail et du Wi-Fi des visiteurs. Si l’un d’eux est mal protégé, il ne donne pas un accès direct aux ordinateurs de l’équipe.

On règle ensuite ce qui passe d’un réseau à l’autre : l’équipe peut regarder les images des caméras, les caméras n’ont pas accès aux postes de l’équipe.

Chez SateLink, les caméras sont posées par notre partenaire sécurité. Nous préparons le réseau qui les accueille et coordonnons la pose : vous n’avez qu’un interlocuteur. Le détail est dans Caméras de surveillance en entreprise : ce que le réseau doit prévoir.

Une page d’accueil avec un code pour les visiteurs ?

C’est possible, et facultatif. Sur le matériel UniFi que nous posons, le fabricant propose un portail : une page qui s’affiche quand le visiteur se connecte, avec votre logo, vos couleurs et un mot d’accueil (documentation Ubiquiti). Pour entrer, le visiteur peut utiliser, entre autres :

• un mot de passe, affiché à l’accueil ou en salle de réunion ;
• des tickets à code, avec une durée de validité, une limite de débit ou un volume de données que vous choisissez ;
• des options plus avancées (paiement en ligne, compte Facebook, serveur d’authentification), rarement utiles dans une PME.

Pour la plupart des PME, un mot de passe propre aux visiteurs suffit, changé de temps en temps. Les tickets servent quand les passages sont nombreux : salle de formation, showroom, salle d’attente. Dans les deux cas, inutile de demander un nom ou une adresse e-mail.

Faut-il tout recâbler ?

Pas forcément. Les réseaux séparés passent par les câbles existants : ce sont les bornes, les commutateurs et le routeur qui doivent savoir les gérer. Lors de la visite, gratuite dans un rayon de 30 km autour d’Overijse, on regarde ce qui peut rester et ce qui doit changer. Le prix se donne après cette visite.

Trois questions pour savoir où vous en êtes

1. Le mot de passe donné aux visiteurs est-il celui de l’équipe ? Si oui, vos visiteurs sont sur votre réseau.
2. Depuis le téléphone d’un visiteur, voit-on votre imprimante ou vos caméras ? Si oui, rien ne sépare vos visiteurs de ces appareils. Si non, ce n’est pas une preuve : le CCB recommande de tester depuis le Wi-Fi invité que l’isolation fonctionne vraiment.
3. Qui connaît aujourd’hui le mot de passe du Wi-Fi ? Si personne ne peut répondre, il est temps d’en changer.

Ce que fait SateLink

Romuald et son équipe séparent les réseaux de l’équipe, des visiteurs, des caméras et des équipements, sur des bornes UniFi placées après une mesure de la couverture sur place. Le Wi-Fi des visiteurs a son propre mot de passe et, si vous le souhaitez, un débit plafonné et une page d’accueil. Le câblage est coordonné avec notre électricien partenaire, et vous recevez les plans et les accès à la fin.

Ensuite, avec la maintenance Sérénité, le réseau est supervisé à distance, les mises à jour critiques sont appliquées, et l’assistance répond 7 jours sur 7, de 8 h à 20 h.

Tout ce que comprend une installation est sur la page Réseau et Wi-Fi. Si personne ne s’occupe du réseau chez vous, lisez aussi Pas de service informatique : qui appeler quand le réseau tombe ?

En résumé

• Sur un réseau unique, le téléphone d’un visiteur côtoie vos ordinateurs, vos fichiers et vos caméras.
• Le CCB recommande de séparer strictement le réseau invité du réseau interne, et de tester que la séparation fonctionne.
• Les mêmes câbles transportent des réseaux séparés : un pour l’équipe, un pour les visiteurs, un pour les caméras et les équipements.
• Une page d’accueil avec code est possible sur UniFi, mais un mot de passe propre aux visiteurs suffit souvent.

L’appel de cadrage est gratuit : trente minutes pour voir qui partage aujourd’hui votre réseau.