Le bouton WPS de votre box : pourquoi l’ANSSI recommande de le désactiver

Il y a, sur votre box internet, un petit bouton marqué WPS. Il sert à connecter un appareil au Wi-Fi sans taper le mot de passe. Il est pratique. Et selon l'ANSSI, il vaut mieux le désactiver.

Voici pourquoi une fonction pensée pour vous simplifier la vie est devenue une porte d'entrée, et comment la fermer en deux minutes.

À quoi sert le WPS

Le WPS (Wi-Fi Protected Setup) a été conçu pour un usage simple : au lieu de saisir une longue clé Wi-Fi sur chaque nouvel appareil, vous appuyez sur le bouton de la box, vous activez le WPS sur l'appareil, et les deux se connectent automatiquement.

Le problème ne vient pas du bouton lui-même, mais d'une seconde méthode que le WPS embarque : la connexion par code PIN à 8 chiffres.

La faille : 100 millions de combinaisons ramenées à 11 000

C'est un défaut de conception, connu et documenté, et il est spectaculaire.

Un code à 8 chiffres, c'est en théorie 100 millions de combinaisons possibles. Assez pour décourager n'importe quelle attaque par essais successifs.

Sauf que la box ne vérifie pas le code d'un seul bloc. Elle le valide en deux morceaux : d'abord les 4 premiers chiffres, puis les suivants. Cette découpe change tout :

• vérifier 4 chiffres, c'est 10 000 possibilités au maximum ;
• vérifier le reste, c'est 1 000 possibilités au maximum.

Au lieu de 100 millions de tentatives, un attaquant n'en a plus que 11 000 à faire — un jeu d'enfant pour un ordinateur. L'ANSSI est explicite : par cette méthode, un attaquant peut récupérer votre véritable mot de passe Wi-Fi en « quelques minutes à quelques heures », sans aucun accès préalable à votre réseau.

Et une fois votre clé Wi-Fi obtenue, la désactiver plus tard ne suffit plus : il faudra changer le mot de passe du réseau.

Comment le désactiver, box par box

L'opération se fait dans l'interface d'administration de votre box. Les chemins exacts varient selon le fournisseur et le modèle, mais la logique est la même : trouver la section Wi-Fi, puis l'option WPS.

Pour accéder à l'interface, tapez l'adresse de votre box dans un navigateur (souvent imprimée sous l'appareil, du type `192.168.1.1` ou l'adresse de l'espace de gestion du fournisseur), puis connectez-vous avec les identifiants d'administration.

Cherchez la mention WPS et désactivez-la. Si l'interface distingue « bouton » et « code PIN », c'est au minimum le code PIN qu'il faut couper — c'est lui qui porte la faille.

Comment connecter un appareil sans WPS

Désactiver le WPS ne vous complique pas la vie : les alternatives sont aujourd'hui plus simples que lui, et sûres.

Le QR code. La plupart des box et des interfaces proposent d'afficher un QR code du réseau. L'invité le scanne avec l'appareil photo de son téléphone, et la connexion se fait sans qu'il voie ni tape le mot de passe.

Le partage natif. Sur iPhone comme sur Android récent, approcher deux téléphones suffit à proposer le partage de la connexion Wi-Fi en un tap.

Le réseau invité. La quasi-totalité des box permettent de créer un réseau séparé pour les visiteurs, avec son propre mot de passe. Vous partagez cet accès sans jamais divulguer la clé de votre réseau principal, et vous pouvez le couper quand vous voulez.

Ces trois méthodes rendent le WPS inutile — ce qui est la meilleure raison de le désactiver.

Pendant que vous êtes dans l'interface de votre box

L'occasion est bonne pour deux autres réglages de sécurité, souvent négligés :

Changez le mot de passe d'administration s'il est resté celui d'origine. C'est celui qui protège tous les réglages de la box.

Vérifiez que le chiffrement Wi-Fi est en WPA2 ou WPA3. Un réseau encore en WEP ou WPA (première génération) se casse en quelques minutes, indépendamment du WPS.

Sécuriser sa box, et vérifier ce qu'elle coûte

Une box bien réglée, c'est la base. Une box au bon prix, c'est le complément — et les deux se vérifient au même moment.

Mon Assistant Perso compare les offres box et fibre réellement disponibles à votre adresse, et repère sur votre facture les options que vous ne utilisez pas. Consultez notre page internet et mobile, commencez par la checklist d'audit de vos factures, ou prenez rendez-vous avec un conseiller.

À lire également : Quelle box internet choisir ?

---

Sources : recommandations de l'ANSSI sur le Wi-Fi Protected Setup ; vulnérabilité de l'authentification par code PIN WPS, documentée publiquement depuis 2011. Article publié le 7 septembre 2026.