Comment renforcer la sécurité du Wi-Fi public sur les terminaux gérés

Les réseaux Internet ouverts sont pratiques, mais ils exposent les terminaux à des risques de sécurité. Le Wi-Fi public peut favoriser l’interception de données, le vol d’identifiants et le détournement de session. Ces menaces touchent généralement les appareils situés en dehors d’environnements contrôlés. Les appareils des collaborateurs à distance sont les plus exposés.

Les MSP et les administrateurs informatiques doivent sécuriser les terminaux Windows connectés à des réseaux publics. Ce guide détaille les étapes à suivre : contrôle des SSID, gestion des profils, configuration du pare-feu, sécurisation du transport, sensibilisation des utilisateurs et surveillance continue.

Comment renforcer la sécurité du Wi-Fi public sur les appareils gérés

Les réseaux publics peuvent exposer les terminaux gérés à des risques de sécurité. Les étapes suivantes présentent des contrôles concrets à appliquer pour vous protéger des risques liés à la sécurité du Wi-Fi public.

📌 Prérequis :

• Les terminaux Windows 10 et 11 doivent être rattachés à un domaine de gestion ou à un MDM.
• Vous devez disposer de droits d’administration pour déployer des profils WLAN, des paramètres de stratégie de groupe (GPO) et des scripts.
• Une journalisation centralisée doit être en place pour les changements de catégorie réseau et les événements du pare-feu.
• Vous devez disposer d’un workflow de gestion des tickets défini pour les exceptions et les notifications aux utilisateurs.

Étape 1 : bloquer ou autoriser des SSID spécifiques pour renforcer la sécurité du Wi-Fi public

Limiter les réseaux auxquels les terminaux peuvent se connecter est un excellent moyen de se protéger des risques liés au Wi-Fi. Commencez par définir des listes d’autorisation et des listes de blocage de SSID. Cela empêche les appareils de rejoindre des réseaux Wi-Fi dangereux ou usurpés et garantit qu’ils se connectent uniquement à des points d’accès approuvés et fiables.

📌 Cas d’usage :

• Cette étape impose des règles de connexion homogènes et évite toute exposition accidentelle sur les réseaux publics.
• Elle réduit le risque que des utilisateurs se connectent à des hotspots dangereux.

📌 Prérequis :

• Vous devez disposer de droits d’administration pour déployer des filtres WLAN ou des paramètres GPO sur les terminaux gérés.
• Il vous faut une liste à jour des SSID approuvés à intégrer dans vos scripts ou vos définitions de politique.

Liste de blocage et liste d’autorisation avec netsh

Utilisez les commandes suivantes dans PowerShell ou l’invite de commandes pour contrôler les réseaux Wi-Fi auxquels les appareils peuvent se connecter :

netsh wlan add filter permission=block ssid="Free Public WiFi" networktype=infrastructure

Cette commande bloque les connexions à un SSID précis. Remplacez « Free Public WiFi » par le réseau que vous souhaitez bloquer.

netsh wlan add filter permission=allow ssid="CorpWiFi" networktype=infrastructure

Cette commande autorise les connexions uniquement vers un SSID de confiance. Remplacez « CorpWiFi » par le réseau sécurisé de votre entreprise.

netsh wlan show filters

Celle-ci affiche la liste actuelle des réseaux autorisés et bloqués, afin de vérifier que les filtres ont bien été appliqués.

Comment supprimer les réseaux enregistrés à risque

netsh wlan delete profile name="Airport Free WiFi"

Cette commande supprime un profil réseau enregistré. Remplacez le nom d’exemple par le SSID du réseau que vous souhaitez supprimer.

Appliquer ces restrictions aux machines rattachées au domaine via une stratégie de groupe

Plutôt que d’appliquer ces commandes manuellement, vous pouvez utiliser les stratégies de réseau sans fil (IEEE 802.11) dans la stratégie de groupe.

1. Ouvrez la console de gestion des stratégies de groupe (GPMC) sur un contrôleur de domaine.
2. Créez ou modifiez une GPO liée à l’OU (unité organisationnelle) qui contient vos appareils gérés.
3. Accédez à :
   Configuration ordinateur > Stratégies > Paramètres Windows > Paramètres de sécurité > Stratégies de réseau sans fil (IEEE 802.11)
4. Faites un clic droit sur Stratégies de réseau sans fil (IEEE 802.11) et sélectionnez Créer une stratégie de réseau sans fil pour Windows Vista et versions ultérieures.
5. Dans l’onglet Autorisations réseau, configurez l’une des options suivantes :
   1. Autoriser uniquement les réseaux que vous définissez explicitement (liste d’autorisation de SSID).
   2. Bloquer des réseaux par nom ou par type (liste de blocage de SSID).
6. Ajoutez les SSID approuvés de l’entreprise et des domiciles sous Réseaux autorisés, et bloquez les réseaux publics ou à risque sous Réseaux refusés.
7. Cliquez sur OK, puis sur Appliquer pour valider la politique.
8. Exécutez gpupdate /force sur les postes clients, ou attendez la prochaine actualisation de la stratégie de groupe pour que les paramètres s’appliquent.

Étape 2 : précharger et prioriser les profils de confiance pour renforcer la sécurité du Wi-Fi public

Vous pouvez précharger et prioriser des profils réseau connus afin d’éviter que les terminaux se connectent automatiquement à des hotspots aléatoires ou dangereux. Notez que la sécurité du Wi-Fi public est quasi inexistante : définir les réseaux auxquels les appareils doivent faire confiance réduit donc le risque de points d’accès pirates ou usurpés.

📌 Cas d’usage :

• Cette étape garantit que les terminaux se connectent automatiquement aux réseaux de confiance avant toute connexion à un Wi-Fi public/
• Elle réduit le risque de connexions accidentelles à des réseaux non sécurisés.

📌 Prérequis :

• Vous devez disposer de droits d’administration pour configurer ou déployer des profils Wi-Fi sur les terminaux gérés.
• Un fichier XML exporté ou préconfiguré est nécessaire pour vos SSID approuvés.

Comment précharger un profil Wi-Fi

netsh wlan add profile filename="CorpWiFi.xml" interface="Wi-Fi" user=all

Cette commande ajoute un profil Wi-Fi pour tous les utilisateurs de l’appareil. Remplacez « CorpWiFi.xml » par le chemin de votre fichier XML exporté contenant la configuration du SSID approuvé.

Comment définir la priorité de connexion

netsh wlan set profileorder name="CorpWiFi" interface="Wi-Fi" priority=1

Cette commande définit la priorité de connexion afin que le terminal se connecte d’abord automatiquement au SSID de confiance. La valeur de priorité « 1 » lui donne la préférence maximale.

Comment purger les profils obsolètes

Vous pouvez supprimer les profils obsolètes ou dangereux qui pointent vers des SSID ou des réseaux ouverts. Pour examiner et supprimer les profils obsolètes, utilisez les commandes suivantes :

netsh wlan show profiles

netsh wlan delete profile name="OldPublicWiFi"

Remplacez « OldPublicWiFi » par le nom du réseau que vous souhaitez supprimer.

💡Conseils :

• Utilisez toujours une authentification de niveau entreprise, comme WPA2-Enterprise ou WPA-3 Enterprise. Elles imposent un chiffrement plus robuste, ce qui réduit l’exposition sur les réseaux publics.
• Vous pouvez également ajouter des profils de réseau Wi-Fi à l’avance, sans avoir besoin de vous connecter.

Étape 3 : renforcer les paramètres des appareils sur les réseaux Wi-Fi non fiables

Les MSP doivent toujours considérer les réseaux inconnus comme non fiables. Le durcissement du profil réseau Public de Windows limite l’exposition, bloque le trafic entrant et désactive les services de découverte inutiles.

📌 Cas d’usage :

• Cette étape réduit l’exposition lorsque les appareils se connectent à des réseaux ouverts ou partagés en dehors du périmètre de l’entreprise.
• Elle applique automatiquement une posture réseau et un pare-feu restrictifs dès qu’un réseau Wi-Fi nouveau ou non reconnu est détecté.

📌 Prérequis :

• Vous devez disposer de droits d’administration sur les terminaux gérés.
• Les appareils doivent exécuter Windows 10 ou 11 avec PowerShell 5.0 ou une version ultérieure.

Forcer la catégorie réseau Public en cas de réseau inconnu

Cette commande PowerShell force le type de réseau sur Public, ce qui applique automatiquement des paramètres de sécurité plus stricts.

Set-NetConnectionProfile -InterfaceAlias "Wi-Fi" -NetworkCategory Public

Renforcer le pare-feu pour le profil Public

Cette commande bloque toutes les connexions entrantes non sollicitées tout en autorisant le trafic sortant, ce qui réduit le risque d’intrusion externe.

netsh advfirewall set publicprofile firewallpolicy blockinbound,allowoutbound

Celle-ci désactive les notifications contextuelles demandant s’il faut autoriser de nouvelles applications à traverser le pare-feu, garantissant une protection homogène même lorsque les utilisateurs disposent de droits d’administration locaux.

netsh advfirewall set publicprofile settings inboundusernotification disable

Comment désactiver les fonctions de découverte et de partage

Vous pouvez désactiver les fonctionnalités qui signalent la présence de l’appareil sur les réseaux publics, comme la découverte de réseau et le partage de fichiers et d’imprimantes. Rendez-vous dans :

Panneau de configuration > Centre Réseau et partage > Paramètres de partage avancés.

De plus, vous pouvez utiliser la stratégie de groupe sous Configuration ordinateur > Modèles d’administration > Réseau > Connexions réseau > Pare-feu Windows > Profil de domaine.

Étape 4 : imposer des connexions chiffrées pour protéger les données sur le Wi-Fi public

Même avec des restrictions réseau et un pare-feu durci, le trafic sur les réseaux ouverts peut toujours être intercepté. Exiger un transport sécurisé garantit que toutes les données quittant l’appareil restent chiffrées, ce qui renforce la protection globale sur le Wi-Fi public.

📌 Cas d’usage :

• Cette étape protège les données de l’entreprise en chiffrant les connexions, même lorsque les utilisateurs accèdent aux ressources via des réseaux publics ou non fiables.
• Elle garantit que les utilisateurs ne peuvent pas contourner le VPN ou les canaux chiffrés lorsqu’ils se connectent depuis des environnements externes à l’entreprise.

📌 Prérequis :

• Vous devez disposer de droits d’administration pour configurer des politiques VPN ou réseau sur les terminaux gérés.
• Il vous faut une solution VPN en place et la capacité de gérer les politiques de navigateur.

Exiger le VPN sur les réseaux publics

Configurez les politiques VPN de sorte que les terminaux se connectent automatiquement au VPN de l’entreprise dès que la catégorie réseau Windows passe sur Public. Tout le trafic issu du Wi-Fi public transite ainsi par des tunnels chiffrés de l’entreprise.

Imposer le chiffrement dans le navigateur

Activez le mode HTTPS uniquement et les listes de préchargement HSTS dans les navigateurs compatibles. Ces paramètres empêchent les utilisateurs de visiter des sites HTTP non sécurisés et aident à prévenir le vol d’identifiants par attaques de rétrogradation.

Activer le DNS chiffré

Si votre environnement le permet, configurez le DNS over HTTPS (DoH) via la stratégie de groupe ou la configuration des appareils. Sous Windows 11, vous pouvez le définir ici :

Configuration ordinateur > Modèles d’administration > Réseau > Client DNS > Activer DNS sur HTTPS

Les requêtes DNS sont ainsi chiffrées, ce qui empêche leur interception et leur altération sur les réseaux Wi-Fi publics.

Étape 5 : sensibiliser les utilisateurs aux bonnes pratiques sur le Wi-Fi public

Les contrôles techniques constituent déjà une excellente protection, mais le comportement des utilisateurs reste souvent déterminant pour la sécurité du Wi-Fi public. Il est important d’apprendre aux utilisateurs à repérer les réseaux dangereux et à appliquer des précautions de base pour rester protégés lorsqu’ils se connectent en dehors des environnements gérés.

📌 Cas d’usage :

• Cette étape donne aux utilisateurs les réflexes nécessaires pour repérer et éviter les connexions à risque en déplacement ou en télétravail.
• Elle complète les contrôles techniques par des habitudes claires qui évitent l’exposition accidentelle des données.

📌 Prérequis :

• Cette méthode nécessite un moyen de diffuser vos consignes aux utilisateurs, par exemple une documentation interne ou un guide de référence rapide.
• Vous devriez maintenir une check-list simple ou un rappel visuel résumant les bonnes pratiques Wi-Fi.

Voici les points essentiels à aborder :

• Vérifier le nom du réseau avant de se connecter. Éviter les SSID sosies ou « evil twin » qui imitent des points d’accès de confiance.
• Utiliser le VPN de l’entreprise dès que possible. Ne jamais accéder à des données sensibles ou à des outils internes sur un réseau ouvert sans VPN.
• Vérifier le chiffrement HTTPS avant de poursuivre. S’arrêter immédiatement si le navigateur affiche des avertissements de certificat ou de connexion.
• Signaler tout comportement suspect au service informatique : déconnexions répétées, demandes de connexion multiples ou redirections inattendues.

Former les utilisateurs aux bons comportements sur le Wi-Fi public comble ainsi la dernière faille de sécurité que les politiques techniques seules ne peuvent pas couvrir.

Étape 6 : surveiller et réévaluer votre posture de sécurité sur le Wi-Fi public

Même des politiques bien structurées peuvent dériver avec le temps, au fil des déplacements des utilisateurs, des évolutions des réseaux et des nouvelles exceptions accordées. Une surveillance régulière garantit que vos contrôles de sécurité Wi-Fi public restent efficaces et homogènes sur l’ensemble des terminaux gérés.

📌 Cas d’usage :

• Cette étape aide à repérer les dérives de configuration, les connexions réseau non autorisées ou les appareils qui contournent les politiques Wi-Fi établies.
• Elle offre une visibilité plus claire sur les usages réels, ce qui permet aux administrateurs d’affiner les filtres, les règles VPN ou les paramètres du pare-feu.

📌 Prérequis :

• Vous devez disposer d’une journalisation centralisée ou d’une plateforme RMM capable de suivre les profils Wi-Fi, les événements du pare-feu et l’état du VPN.
• Des modèles de reporting ou des tableaux de bord mettant en évidence l’évolution du comportement réseau sont nécessaires.

Les signaux clés à surveiller :

• Les nouveaux profils Wi-Fi enregistrés qui apparaissent sur les terminaux et ne figurent pas dans la liste des SSID approuvés.
• Les basculements fréquents vers des réseaux publics ou les alertes récurrentes du pare-feu qui signalent des connexions à risque.
• Les applications qui ouvrent des écouteurs réseau ou des ports lorsque le profil est défini sur Public.

Fréquence de revue recommandée :

• Chaque mois : passez en revue tous les nouveaux SSID, les exceptions de connexion et l’activité du pare-feu sur les terminaux.
• Chaque trimestre : réalisez des contrôles ponctuels pour vérifier le comportement du VPN, la conformité du pare-feu et l’application des paramètres de réseau public.

⚠️ Points de vigilance

Idées d’intégration NinjaOne pour gérer la sécurité du Wi-Fi public

Les outils d’automatisation, de scripting et de reporting de NinjaOne simplifient la façon dont les MSP appliquent et surveillent les politiques de sécurité Wi-Fi public sur l’ensemble des terminaux.

Déploiement des politiques

Vous pouvez utiliser NinjaOne pour envoyer des filtres SSID, précharger les profils Wi-Fi approuvés et appliquer les paramètres de pare-feu du profil Public à l’aide de scripts ou de politiques. Les configurations des terminaux restent ainsi homogènes sur tous les appareils gérés.

Détection et alertes

NinjaOne peut faire remonter les terminaux qui enregistrent de nouveaux réseaux ouverts ou qui changent brusquement de catégorie réseau. Ces alertes vous aident à repérer les connexions dangereuses ou les signes de dérive des politiques avant qu’ils ne deviennent de vrais problèmes.

Gestion des exceptions

NinjaOne peut traiter les demandes d’accès temporaire via des tickets automatisés. Chaque ticket expire automatiquement, ce qui évite que les exceptions ne deviennent permanentes.

Reporting

Les tableaux de bord NinjaOne affichent l’application des SSID, la conformité « VPN sur réseau public » et la posture du pare-feu par client. Ces rapports donnent de la visibilité sur la couverture des terminaux et sur l’état global de la sécurité Wi-Fi.

Renforcer la sécurité du Wi-Fi public sur l’ensemble des terminaux gérés

Les utilisateurs continueront de recourir au Wi-Fi public en déplacement ou en télétravail. Vous devez comprendre les risques et appliquer des protections qui réduisent l’exposition sans nuire à la productivité.

Adoptez une approche de sécurité par couches. Imposez des listes d’autorisation de SSID et priorisez les profils réseau de confiance. Durcissez les paramètres réseau et exigez des connexions VPN ou HTTPS.

Associez ces contrôles à la sensibilisation des utilisateurs et à une surveillance régulière. Cette approche protège les terminaux sur les réseaux non fiables.

Sujets connexes :

• Check-list de sécurité informatique pour protéger votre entreprise
• Comment élaborer une stratégie de cybersécurité moderne pour les services informatiques
• Comment déployer des profils Wi-Fi pour tous les utilisateurs avec PowerShell
• Comment afficher la liste des profils de réseau sans fil dans Windows 11
• Comment activer ou désactiver le Wi-Fi dans Windows 11