Hier soir, je suis tombé sur NetPeek et franchement, ça m’a fait plaisir de voir qu’enfin quelqu’un s’attaque au problème de la complexité de nmap pour les utilisateurs normaux.
NetPeek, c’est donc cette nouvelle application qui vient d’arriver sur Flathub et qui promet de simplifier drastiquement le scanning réseau sous Linux. Développée par ZingyTomato avec Python et GTK4/libadwaita, l’app adopte le design moderne de GNOME pour offrir une alternative graphique aux outils en ligne de commande comme nmap.
La première chose qui frappe quand on lance NetPeek, c’est donc sa simplicité. L’interface est épurée, moderne, et on comprend tout de suite ce qu’on doit faire. Vous saisissez votre plage d’adresses IP (notation CIDR, ranges ou adresses simples), vous cliquez sur “Scanner” et hop, l’application se met au travail.
Ce qui rend NetPeek particulièrement efficace également, c’est son système “multithreadé” qui accélère considérablement les scans. L’app détecte ainsi automatiquement votre plage IP locale, ce qui évite de se prendre la tête avec les configurations et une fois le scan terminé, les appareils s’affichent dans l’ordre croissant avec leurs ports ouverts. Ensuite, vous pouvez copier les adresses IP d’un simple clic.
L’outil s’appuie sur des bibliothèques Python classiques telles que socket pour les opérations réseau, ipaddress pour la validation des IP, threading pour le scan concurrent et ping3 pour tester la disponibilité des hôtes.
Et ce qui me plaît avec NetPeek, c’est qu’il ne cherche pas à rivaliser avec les mastodontes comme nmap ou Zenmap. Non, son objectif est clair, à savoir répondre à la question “Quels sont les appareils actifs sur mon réseau et quels ports sont ouverts ?” sans avoir besoin d’un doctorat en administration réseau. D’une certaine manière, ça me fait penser un peu à
Angry IP Scanner
…
L’installation se fait principalement via Flathub avec la commande
Mais les utilisateurs d’Arch Linux peuvent aussi passer par les packages AUR netpeek ou netpeek-git.
L’app s’intègre notamment parfaitement dans l’environnement GNOME moderne avec son interface libadwaita qui respecte les thèmes système. Voilà, si ça vous chauffe, vous pouvez télécharger
NetPeek
directement depuis Flathub ou consulter le code source sur
GitHub
.
Ça devrait bien vous aider pour surveiller votre réseau domestique, diagnostiquer des problèmes de connectivité ou simplement découvrir tous les appareils connectés chez vous.
Battlefield 6 arrive à la rentrée et, après les phases de bêta d’août, DICE a finalement révélé les configurations PC définitives. Les profils minimale et recommandée restent inchangés, mais une nouvelle catégorie "Ultra" vient s’ajouter.
La rentrée approche et c'est le moment idéal pour changer de MacBook… mais difficile de s'y retrouver entre le MacBook Air M4, le MacBook Pro, ou même les versions plus anciennes (M1, M2, M3). Faut-il craquer pour la nouveauté ou miser sur un modèle plus ancien ? Voici nos conseils pour choisir le bon modèle et éviter les mauvais Mac en 2025.
Qui n’a jamais rêvé d’être totalement invisible sur Internet ? Masquer son identité, éviter le pistage publicitaire, empêcher les géants du web, son FAI ou même certains États de savoir ce que l’on fait en ligne.
Mais la réalité est toute autre : l’anonymat absolu n’existe pas. Chaque action en ligne laisse des traces — adresse IP, cookies, empreinte du navigateur, comptes connectés, métadonnées — qui peuvent être exploitées pour dresser un profil.
L’objectif de ce guide n’est donc pas de vous promettre l’impossible, mais de montrer comment réduire au maximum votre exposition et améliorer votre confidentialité. Nous verrons quelles sont les limites des outils comme le VPN, le proxy ou Tor, comment fonctionne réellement le pistage, et quelles bonnes pratiques adopter pour rester presque anonyme en ligne.
Introduction : Peut-on être 100 % anonyme en ligne ?
L’anonymat absolu sur Internet est une idée séduisante… mais largement illusoire. Beaucoup pensent qu’il suffit d’utiliser un VPN, un proxy ou un navigateur privé pour disparaître des radars. En réalité, chaque connexion laisse une trace : adresse IP, cookies, empreinte du navigateur, comptes en ligne, métadonnées.
Il est donc impossible d’être totalement anonyme sur le web. En revanche, il est possible de réduire considérablement son exposition et de compliquer la tâche des acteurs qui cherchent à vous tracer : FAI, plateformes en ligne, publicitaires ou même certains États. À lire à ce sujet : Que savent les FAI de nous ? les risques sur la vie privée
Ce guide vous explique les notions clés pour comprendre ce qu’est (et n’est pas) l’anonymat en ligne, les limites des outils disponibles, ainsi que les bonnes pratiques pour améliorer votre confidentialité sans tomber dans les idées reçues.
L’adresse IP est la première donnée qui permet de vous identifier sur Internet. Elle agit comme une plaque d’immatriculation numérique : chaque fois que vous vous connectez à un site, votre IP est visible et peut être utilisée pour déterminer :
votre fournisseur d’accès à Internet (FAI),
votre zone géographique (ville ou région),
le type de connexion utilisé (ADSL, fibre, réseau mobile),
parfois même des informations indirectes sur votre appareil ou réseau.
Un site web ou un service en ligne peut donc déjà en savoir beaucoup sur vous simplement grâce à cette donnée de base. Vous pouvez faire un simple test sur le site BrowserLeaks.
Changer ou masquer son adresse IP (via un VPN, un proxy ou le réseau Tor) améliore la confidentialité, mais cela ne signifie pas que vous êtes anonyme pour autant : vos autres traces (cookies, comptes connectés, empreinte du navigateur) restent exploitables.
Pour comprendre en détail ce que révèle une adresse IP et ses limites en matière de confidentialité, consultez : Adresse IP et confidentialité.
Les serveurs d’anonymat et outils de dissimulation
Pour masquer son adresse IP et limiter la collecte de données, il existe plusieurs technologies appelées “serveurs d’anonymat”. Elles ne garantissent pas l’anonymat complet, mais elles contribuent à améliorer la confidentialité.
VPN
Un VPN (Virtual Private Network) crée un tunnel chiffré entre votre appareil et un serveur distant. Ainsi, le site que vous visitez ne voit que l’adresse IP du serveur VPN, pas la vôtre. Cela permet :
de masquer votre localisation réelle,
de sécuriser vos connexions sur les réseaux publics,
de contourner certaines restrictions géographiques.
Limite : un VPN ne rend pas anonyme. Le fournisseur VPN peut techniquement voir votre trafic et collecter certaines données. En clair, vous déplacez la confiance de votre FAI vers le service VPN. Pour plus de détails, lisez : VPN et anonymisation : les limites
Le réseau Tor (The Onion Router) repose sur une chaîne de relais successifs qui chiffrent et acheminent vos communications à travers plusieurs serveurs. Chaque relais ne connaît que l’adresse de son voisin immédiat, ce qui rend l’identification beaucoup plus difficile.
Avantages :
Masque efficacement votre adresse IP.
Très utilisé par les journalistes, chercheurs et défenseurs des droits pour contourner la censure.
Limites :
Navigation plus lente à cause du passage par plusieurs relais.
Les nœuds de sortie (le dernier relais) peuvent potentiellement espionner le trafic non chiffré (HTTP).
Corrélation de trafic possible avec des moyens techniques avancés.
Un proxy agit comme un intermédiaire entre votre appareil et Internet : lorsque vous envoyez une requête, elle passe par le proxy avant d’atteindre le site cible. Cela permet de masquer votre adresse IP réelle et de contourner certaines restrictions géographiques (définition détaillée).
Limites et risques
Mauvaise configuration : certains proxys ne respectent pas la confidentialité – ils peuvent injecter des en-têtes (comme X-Forwarded-For) ou divulguer votre IP, notamment lorsqu’ils ne masquent pas bien l’origine de la requête.
Sécurité douteuse (surtout avec les proxys gratuits) :
Ils capturent parfois les données que vous transmettez, y compris vos identifiants, mots de passe ou informations de paiement.
Certains sont hébergés sur des machines malveillantes ou compromises, pouvant introduire des malwares, injecter du code ou manipuler le contenu des pages (ex. cryptojacking, attaques MITM)
Une étude récente de 2024 a analysé plus de 640 000 proxies gratuits, révélant que moins de 35 % étaient fonctionnels, et que beaucoup présentaient des failles critiques de sécurité ou un comportement potentiellement malicieux.
En résumé
Les proxies peuvent être une solution légère pour changer d’IP, mais leur fiabilité et sécurité ne sont pas garanties, surtout lorsqu’ils sont gratuits ou non vérifiés. Il faut rester extrêmement prudent, car tout le trafic peut être intercepté, lu ou altéré.
Pour des utilisations plus sûres, privilégiez des proxys payants bien établis ou consultez la liste des meilleurs proxies gratuits — mais toujours avec vigilance.
Il reste toujours possible de vous tracer en ligne
Même si vous masquez votre adresse IP avec un VPN ou que vous utilisez Tor, de nombreuses techniques de pistage permettent encore de suivre vos activités en ligne. Ces méthodes sont massivement utilisées par les publicitaires, les réseaux sociaux et les grandes plateformes pour profiler les internautes.
Parmi les plus répandues :
Cookies et supercookies : fichiers stockés par votre navigateur pour mémoriser vos préférences… mais aussi pour tracer vos habitudes de navigation.
Empreinte numérique (fingerprinting) : chaque navigateur transmet un ensemble d’informations (langue, résolution d’écran, extensions, configuration système) qui, combinées, créent une signature presque unique.
Pistage via le DNS : vos requêtes DNS révèlent les sites que vous consultez. Si elles passent par votre FAI ou un résolveur non sécurisé, elles peuvent être exploitées à des fins de suivi.
Pixels espions et scripts tiers : intégrés dans les pages web et les e-mails, ils permettent aux annonceurs de savoir quand et où vous interagissez avec un contenu.
Liens et comptes en ligne : rester connecté à Google, Facebook, Amazon ou Microsoft permet à ces acteurs de recouper vos activités, indépendamment de votre IP.
Même si l’anonymat total est hors de portée, il est possible de réduire considérablement son exposition en adoptant de bons réflexes au quotidien. L’idée n’est pas de disparaître complètement, mais de compliquer la tâche de ceux qui cherchent à vous tracer (publicitaires, plateformes, cybercriminels).
Voici quelques conseils concrets :
Utiliser un navigateur orienté vie privée : Brave, Librewolf ou Firefox configuré avec les options de confidentialité renforcées.
Isoler vos usages : séparer comptes personnels, professionnels et pseudonymes (n’utilisez pas le même identifiant partout). Utilisez plusieurs navigateurs internet pour compartimenter ou encore les conteneurs de Firefox peuvent vous y aider à cela : Firefox : utiliser les conteneurs (onglets contextuels)
Limiter les traces en ligne : effacer régulièrement cookies, historique et données de navigation.
Sécuriser vos connexions : privilégier le HTTPS, éviter les Wi-Fi publics ou utiliser un VPN fiable quand vous y accédez.
Mettre à jour et sécuriser votre système : un appareil vulnérable peut trahir votre identité malgré toutes les précautions de navigation.
Malgré l’usage de VPN, proxies, Tor ou de nombreuses précautions, l’anonymat complet reste inatteignable pour l’utilisateur lambda. Chaque action en ligne laisse une trace quelque part : chez votre fournisseur d’accès, chez le site web visité, dans les journaux des services tiers ou même via les métadonnées (horaires, volumes de données, localisation approximative).
Même les outils les plus avancés — comme Tor associé à Tails (un système d’exploitation éphémère orienté confidentialité) — ne garantissent pas un anonymat total. Les agences de renseignement disposent de moyens techniques puissants (corrélation de trafic, analyse globale des réseaux) capables d’identifier ou de profiler un utilisateur.
La vraie question n’est donc pas “Comment être 100 % anonyme ?” mais plutôt “Anonyme vis-à-vis de qui ?”
D’un annonceur ou d’un réseau social, vous pouvez masquer une grande partie de vos activités.
D’un FAI ou d’un administrateur réseau, vous pouvez chiffrer et brouiller vos connexions.
Mais vis-à-vis d’un État ou d’une agence de renseignement, atteindre l’anonymat complet est pratiquement impossible.
En clair, l’anonymat sur Internet est un idéal théorique, mais la confidentialité et la réduction des traces restent des objectifs atteignables avec les bonnes pratiques.
Conclusion
L’anonymat total sur Internet est un mythe : chaque action laisse une trace, que ce soit via l’adresse IP, les cookies, le fingerprinting, les comptes en ligne ou encore les métadonnées. En revanche, il est possible de réduire considérablement son exposition et de compliquer le suivi en combinant plusieurs outils (VPN, proxy, Tor) et de bonnes pratiques de cybersécurité.
Retenez surtout qu’un VPN ou Tor ne suffisent pas à eux seuls : la clé est dans l’ensemble de vos habitudes numériques (navigateur, DNS, gestion des comptes, hygiène informatique).
Le rover Curiosity de la Nasa a découvert une roche en forme de corail. Forgée depuis des siècles, la roche a été photographiée par le robot martien avec 2 caméras différentes, complémentaires dans leurs analyses.
Cette recommandation révèle surtout une incompréhension totale de ce qui se passe réellement dans les datacenters. Parce que derrière ces conseils se cache une confusion énorme sur ce qu’on appelle la “consommation” d’eau des centres de données. Allez, je vous spoile tout de suite : Vos emails et vos photos ne consomment pratiquement rien une fois stockés.
Le vrai problème, c’est qu’on mélange tout. Car quand on parle de consommation d’eau des datacenters, on fait l’amalgame entre l’eau qui disparaît réellement et celle qui est simplement réchauffée puis rejetée (+5° à +10°). Selon les discussions techniques que j’ai pu lire sur LaFibre.info, la nuance est pourtant capitale !
Prenons Microsoft aux Pays-Bas. Ils ont consommé 84 millions de litres d’eau en 2021, soit 4 à 7 fois plus que prévu. C’est un chiffre impressionnant, mais qu’est-ce qui se passe concrètement avec cette eau ?
Et bien, Jamy, dans un système de refroidissement classique par évaporation, l’eau est littéralement “perdue”. C’est à dire qu’elle s’évapore dans l’atmosphère comme les jours fériés en France. Mais avec le refroidissement adiabatique, utilisé par Microsoft pour ses data centers, seule une petite partie s’évapore. L’essentiel de l’eau traverse le système, se réchauffe de quelques degrés, puis est rejetée. Elle n’est donc pas “consommée” au sens strict, mais juste réchauffée.
Le problème devient plus complexe avec le traitement de l’eau car pour éviter le calcaire et les bactéries, les datacenters utilisent des systèmes d’osmose inverse. Et là, aïe aïe aïe, c’est du gaspillage pur car pour 1 litre d’eau purifiée, il y aurait 2 ou 3 litres qui partent dans les égouts avec des tas d’impuretés concentrées. Sans oublier les produits chimiques pour la désinfection.
Mais contrairement aux chasseurs 🍷, il y a des bons et des mauvais datacenters. Les bons datacenters sont à 1.1L/kWh, les mauvais à 1.8L/kWh ou plus… Cela dépend simplement des technologies de refroidissement qu’ils utilisent. Un datacenter moyen, pour vous situer, c’est quasiment la même consommation d’eau qu’un terrain de golf.
Il y a par exemple, le refroidissement par immersion qui consiste à plonger les serveurs dans un bain d’huile diélectrique, comme ça pas d’évaporation, mais juste de la circulation d’huile. Peu de datacenters utilisent cette technologie car c’est assez coûteux et complexe à mettre en place. Et il existe aussi le refroidissement liquide direct qui amène l’eau au plus près des processeurs via des plaques froides. C’est plus efficace, et y’a moins de gaspillage.
Certains datacenters utilisent même l’eau de mer ou des eaux usées recyclées. D’autres récupèrent la chaleur pour chauffer des bâtiments. Bref, l’eau n’est alors plus “perdue” mais valorisée.
Et puis, il y a le free cooling utilisé quand l’air extérieur est assez froid, ce qui permet d’éviter complètement l’utilisation d’eau. Intel annonce même que ses processeurs post-2025 ne seront plus compatibles avec le refroidissement à air classique (les clims), donc ça va dans le bon sens.
OVH quant à eux sont en refroidissement liquide direct avec un système en boucle fermée et ils récupèrent aussi la chaleur. Chez O2Switch, c’est free cooling, c’est à dire l’utilisation du froid extérieur pour refroidir leurs infrastructures (L’Auvergne baby !) et ils ventilent et régulent au plus juste la température de leurs salles. Chez Infomaniak, pas de clim mais du free cooling, donc très peu d’eau consommée également.
Chez Microsoft, c’est du refroidissement adiabatique mais depuis 2024, ils sont dans certains datacenters en boucle fermée avec zéro évaporation. Quant à AWS, ce sont les vilains petits canards puisqu’en gros, quand il fait froid, ils ouvrent les fenêtres et quand il fait chaud, ils font tourner des clims à évaporation… Mais visiblement, ils recyclent l’eau et se sont donnés jusqu’à 2030 pour être “water positive”, c’est à dire rendre plus d’eau qu’il n’en consomme. C’est pas magique, c’est de la compensation financière dans des projets de rechargement de nappes phréatiques ou de purification d’eau polluée.
Au global, même si tous ces acteurs mettent le paquet sur la préservation de l’eau, Google, notamment sur ses sites en Iowa et Oregon est le plus gourmand et sa consommation d’eau pèse lourd sur les ressources locales. ET ensuite, c’est Amazon et Microsoft surtout dans les zones arides des États-Unis où ils sont implantés (Virginie, Arizona…etc)
Alors, faut-il supprimer ses emails ? Franchement, sur cet usage précis, l’impact est microscopique, surtout qu’en allant supprimer ces données inertes qui ne consomme rien en énergie, vous allez re-consommer de l’eau… C’est couillon. Je ne serai pas surpris si supprimer 20 000 emails consomme plus d’eau qu’une seule requête ChatGPT ?
La solution n’est donc pas dans la suppression de vos emails, mais dans le choix des technologies. Immersion cooling, récupération de chaleur, utilisation d’eaux non potables, free cooling… Les alternatives existent. Il faut juste arrêter de faire de la com’ facile sur le dos des utilisateurs.
Pour s'entrainer à la configuration d'équipements réseau, que ce soit Cisco ou d'autres marques, quel logiciel utiliser ? CML, Packet Tracer, GNS3 ou EVE-NG ?
Apprenez à effectuer les mises à jour de la plateforme Cisco Modeling Labs (CML), autant au niveau du système d'exploitation que de l'applicatif Cisco.
Depuis l’arrivée du Manifest V3 dans Chrome et les navigateurs basés sur Chromium (Edge, Opera, Brave…), l’extension uBlock Origin classique perd progressivement ses fonctionnalités avancées. Pour s’adapter à ces nouvelles restrictions, le créateur de l’extension a développé une version allégée : uBlock Origin Lite (ou uBOL), pensée pour fonctionner dans le cadre imposé par Manifest V3.
Bien que plus limitée que la version originale, uBlock Origin Lite reste une solution efficace pour bloquer les publicités et limiter le tracking en ligne, tout en étant très légère et compatible avec les navigateurs modernes.
Dans ce guide, nous vous expliquons comment installer, utiliser et configurer correctement uBlock Origin Lite sur Chrome ou Edge, avec des conseils pour adapter vos filtres, contourner les nouvelles limites du système, et obtenir la meilleure protection possible sans compromettre les performances.
Différences entre uBlock Origin et uBlock Origin Lite
Pour contourner les restrictions du Manifest V3, le créateur d’uBlock Origin (Raymond Hill) a développé une version alternative : uBlock Origin Lite (uBOL). Voici les principales différences :
uBlock Origin classique reste le plus puissant, mais devient inutilisable progressivement sur Chrome et Edge à cause de Manifest V3.
uBlock Origin Lite est une version allégée, sans filtres personnalisés ni mode avancé, mais compatible MV3 et très léger.
Pour un usage avancé (filtrage par script, règles fines, etc.), il est vivement recommandé de passer à Firefox, qui continue à supporter uBlock Origin complet sans restriction.
uBlock Origin Lite (uBOL) a été conçu pour être extrêmement léger, ce qui se reflète dans son interface utilisateur très épurée. Une fois installée dans votre navigateur (Chrome, Edge…), l’extension ajoute une icône en forme de bouclier bleu dans la barre d’outils. En cliquant dessus, une petite fenêtre s’ouvre avec très peu d’options, mais voici ce qu’elles signifient :
Icône de bouclier (bleu ou gris) :
Bleu actif : le blocage est activé sur le site actuel.
Gris désactivé : vous avez désactivé uBOL pour ce site.
En bas de la fenêtre, vous pouvez voir une indication du nombre de requêtes bloquées sur la page actuelle (ex. : “15 requêtes bloquées”). Ce n’est pas un logger interactif, mais juste une statistique indicative.
Les trois modes de uBlock Origin Lite
Ainsi, le bouton permet de basculer uBlock dans deux modes différents :
Mode
Description
Caractéristiques principales
Mode par défaut (Standard)
Filtrage simple basé sur une ou deux listes essentielles
Léger et rapide Protection minimale Aucune personnalisation
Mode Optimal
Active un ensemble plus complet de listes de filtrage, proche d’un niveau de protection intermédiaire. 3–5 listes.
Meilleure couverture pub et tracking Compatible MV3 Moins léger que le mode standard et peut atteindre la limite
Mode Complet
Active 5 à 8 listes, notamment contre les bannières de cookies
Active le maximum de listes de filtres compatibles Manifest V3, jusqu’au quota autorisé. Certains éléments esthétiques ou règles personnalisées restent absents. Risque de désactivation automatique de certaines listes si le quota est dépassé.
Bouton Paramètres / Gestionnaire de filtres
L’accès aux paramétrages se fait depuis l’icône roue crantée.
De là, vous pouvez :
Activer ou désactiver les filtres par défaut
Ajouter ou retirer des listes recommandées
Désactiver les filtres cosmétiques
Comment configurer uBO Lite correctement
Adapter les filtres à Manifest V3
Avec l’arrivée de Manifest V3, les navigateurs basés sur Chromium (Chrome, Edge, Brave…) limitent désormais le nombre de règles de filtrage qu’une extension comme uBlock Origin Lite (uBOL) peut utiliser. Le plafond actuel est d’environ 30 000 règles actives, ce qui impose de repenser vos listes de filtres pour rester dans les limites autorisées :
Désactivez les listes que vous n’utilisez pas vraiment (ex. : langues inutilisées, listes régionales,*
doublons).
Évitez de cumuler plusieurs listes anti-pub généralistes (EasyList + AdGuard Base, par exemple).
Désactivez les filtres cosmétiques si l’efficacité publicitaire est prioritaire (Paramètres > Avancé > Désactiver les filtres cosmétiques dans uBOL).
N’activez pas les règles de filtres de malwares. Elles sont en général peu efficaces
Privilégiez les listes légères conçues pour Manifest V3, comme :
uBlock Origin Lite vous informe via une icône jaune ou une alerte si vous dépassez la limite de règles — pensez à consulter le journal ou à réduire votre configuration si nécessaire.
Encore une fois, sur Firefox, ces limites ne s’appliquent pas : vous pouvez conserver toutes vos listes personnalisées et utiliser le mode avancé sans contrainte.
Depuis 2023, Google Chrome a progressivement imposé Manifest V3, une nouvelle norme technique pour les extensions de navigateur. Ce changement important modifie profondément la manière dont les extensions interagissent avec le navigateur, impactant directement les bloqueurs de publicités tels que Adblock ou uBlock Origin. Avec Manifest V3, Google promet une sécurité renforcée, une meilleure confidentialité et des performances accrues. Cependant, ces modifications limitent fortement les capacités des bloqueurs de publicités populaires, réduisant leur efficacité à filtrer et bloquer certaines publicités complexes.
Dans cet article, j’examine en détail ce qu’est Manifest V3, comment il impacte précisément vos extensions anti-pub préférées et quelles alternatives restent disponibles pour continuer à naviguer sereinement et sans publicité invasive sur le web.
Qu’est-ce que Manifest V3 et quels sont les principaux changements introduits ?
Imposé début 2025 à toutes les extensions de Chrome, manifest V3 définit comment les extensions interagissent avec le navigateur internet. Il succède à Manifest V2, introduit en 2012. Ce manifeste régit les autorisations, les méthodes de gestion de réseau, la sécurité, la performance et le comportement général des extensions.
Principaux changements introduits par Manifest V3
Abandon de WebRequest :
Sous Manifest V2, les bloqueurs de publicités pouvaient analyser, filtrer, bloquer chaque requête réseau dynamiquement. Manifest V3 supprime la possibilité d’intervenir en temps réel sur le trafic réseau et la remplace par l’APIDeclarativeNetRequest (DNR), plus statique et avec des règles prédéfinies. Manifest V3 impose un cadre plus strict sur la manière dont les extensions accèdent aux données utilisateur (cookies, historique, mots de passe, stockage local). L’accès est désormais plus explicite et granulaire.
Limitation du nombre de règles :
Manifest V3 limite strictement le nombre de règles pouvant être chargées en même temps (jusqu’à 30 000 règles par défaut, extensible jusqu’à 300 000). Cela réduit significativement les capacités des bloqueurs de publicité avancés, comme uBlock Origin.
Restrictions renforcées sur l’accès aux données :
Les extensions ont désormais moins accès direct aux données sensibles des utilisateurs, réduisant les risques liés à la vie privée et la sécurité.
Performance et sécurité accrues :
Limiter l’accès aux données et le traitement dynamique du réseau améliore globalement la performance et la sécurité du navigateur.
Pourquoi Google impose Manifest V3 dans Chrome ?
Plus de sécurité
Google argumente que Manifest V2 présente des risques de sécurité liés à l’accès puissant et dynamique que certaines extensions ont aux données utilisateur et au trafic réseau. Manifest V3 est conçu pour limiter ces risques. En réduisant le traitement direct et détaillé des données réseau par les extensions, Google affirme mieux protéger la confidentialité des utilisateurs. Les extensions malveillantes du type « stealers » exploitent généralement la puissance d’anciennes API (Manifest V2), qui leur permettaient d’accéder en temps réel à la totalité des requêtes réseau ou aux données sensibles stockées dans le navigateur, telles que cookies, mots de passe ou jetons de session. L’abandon de l’API WebRequest rend beaucoup plus difficile pour une extension malveillante d’intercepter discrètement des jetons de connexion ou des données personnelles via des requêtes réseau, mais également d’accéder silencieusement aux données sensibles (cookies, mots de passe stockés), sans que l’utilisateur soit averti.
Avant, les extensions pouvaient aisément injecter du JavaScript dans chaque page visitée pour détourner les résultats de recherche, afficher des publicités ou rediriger. De plus, Manifest V3 restreint les capacités d’une extension à manipuler en profondeur les résultats des moteurs de recherche (injecter des résultats sponsorisés ou trompeurs). Cela peut aussi affecter les extensions de détournement de navigateur (« hijackers ») changent généralement le moteur de recherche, la page d’accueil, ou insèrent des publicités intrusives dans les pages visitées.
Toutefois, Manifest V3 ne résout pas entièrement le problème :
Des extensions malveillantes pourront toujours contourner certaines limites par des méthodes alternatives (demander explicitement certaines permissions sensibles, utiliser des tactiques sociales pour tromper les utilisateurs, etc.).
Des voleurs de cookies ou mots de passe peuvent encore utiliser des techniques comme capturer des données saisies via des permissions obtenues de façon abusive ou en détournant des mécanismes légitimes.
Meilleure performance
Google souhaite que les extensions aient un impact moindre sur la consommation mémoire et les performances générales du navigateur.
Officieusement : Gagner la guerre contre les Adblock ?
Les extensions tierces traditionnelles (uBlock Origin classique, Adblock Plus, etc.) voient leurs fonctionnalités réduites comme sur Chrome et ses dérivés. En effet, le résultat général pour les bloqueurs publicitaires tiers est une réduction de leurs capacités, avec :
Cette API impose un modèle de règles déclaratives pré-chargées au démarrage. Autrement dit, elle demande à l’extension de spécifier à l’avance les règles de blocage (URLs, domaines, ressources spécifiques).
Moins de règles de blocage disponibles simultanément.
Un blocage moins dynamique et plus statique. Elle interdit à l’extension de modifier dynamiquement les requêtes réseau en temps réel comme pouvait le faire l’API WebRequest.
Une efficacité globale diminuée contre les publicités complexes ou les scripts de tracking avancés.
De ce fait, Google peut très facilement contourner les Adblock dans YouTube grâce à des publicités complexes.
Même si Google ne l’admet pas ouvertement, le passage à Manifest V3 affaiblit les bloqueurs de publicité tiers, renforçant potentiellement les revenus publicitaires de Google, qui restent son principal modèle économique. Ce n’est pas la première fois que Google utilise son moteur de recherche avec une part de marché prépondérante pour imposer des standards sur internet.
Critiques et controverses autour de Manifest V3
Manifest V3 suscite une large controverse :
Critique
Explication concrète
Affaiblissement des bloqueurs de pub
Moins de règles et blocage moins dynamique : les publicités deviennent plus difficiles à bloquer efficacement.
Moins de contrôle utilisateur
Les utilisateurs et développeurs perdent la possibilité d’utiliser des solutions plus avancées et personnalisées.
Crainte sur la neutralité du web
Manifest V3 renforce indirectement la domination commerciale de Google, limitant potentiellement la liberté de choix des utilisateurs.
Comment Manifest V3 impacte les navigateurs internet comme Brave, Edge, Vivaldi ou Opera
Manifest V3, impulsé par Google pour Chrome, affecte aussi fortement les autres navigateurs basés sur Chromium comme Brave, Edge, Vivaldi ou Opera, mais avec des approches nuancées selon chaque éditeur.
Sur les navigateurs alternatifs (Firefox, Brave, Vivaldi, Opera), uBlock Origin classique reste disponible tant que ces navigateurs maintiendront le support MV2. En juin 2025, Microsoft Edge suivra également avec un délai pour les entreprises.
Voici un tableau des adoptions et impact pour l’utilisateur.
Navigateur internet
Adoption Manifest V3
Impact utilisateur final
Action
Edge
Totale
Modéré à élevé (solution interne limitée)
Edge propose en compensation son propre bloqueur intégré « Tracking Prevention » qui limite le pistage et bloque les publicités, mais avec des fonctionnalités plus limitées que les extensions avancées
Brave
Oui, mais nuancé
Faible (blocage natif fort)
Il adopte Manifest V3 pour les extensions tierces, mais son bloqueur de publicité intégré (Brave Shields) n’est pas affecté directement. L’impact est faible pour les utilisateurs de Brave qui utilisent le bloqueur intégré.
Vivaldi
Oui, mais nuancé
Faible (blocage natif fort)
Vivaldi propose un bloqueur de publicité et de pistage intégré natif, similaire à Brave. Celui-ci n’est pas affecté par Manifest V3.
Opera
Oui, complet
Faible à modéré (solution interne efficace)
Le bloqueur publicitaire natif d’Opera n’est pas affecté directement par Manifest V3, puisqu’il ne dépend pas des API réservées aux extensions. Il continue de bloquer efficacement les publicités courantes et les trackers.
Quelles sont les alternatives pour continuer de bloquer les publicités ?
uBlock Origin Lite (MV3)
uBlock Origin Lite est une déclinaison simplifiée et adaptée de la célèbre extension uBlock Origin, spécifiquement créée pour être compatible avec le nouveau standard d’extensions Manifest V3 (MV3) imposé par Google Chrome. En somme, uBlock Origin Lite fonctionne grâce à des listes prédéfinies (EasyList, EasyPrivacy, etc.) plutôt qu’à une analyse dynamique de chaque requête.
Il en va de même pour AdBlock (MV3) ou Adblock Plus (MV3).
Passer Firefox
Comme vous avez pu le voir dans le tableau précédent, certains navigateurs internet tiers basés sur Chrome devraient continuer de proposer des bloqueurs de publicités efficaces.
Mais, vous pouvez aussi passer à Mozilla Firefox qui n’est pas lié aux choix du géant américain.
En effet, du côté de Firefox, Manifest V3 est devenu généralement disponible dans Firefox 109 après avoir été disponible en tant qu’aperçu pour les développeurs depuis Firefox 101. Mais, Mozilla a annoncé continuer de maintenir la prise en charge du blocage de WebRequest dans MV3. Pour maximiser la compatibilité avec les autres navigateurs, le navigateur WEB fournit également un support pour declarativeNetRequest. De ce fait, cela ne devrait pas perturber le fonctionnement des bloqueurs de publicités. À lire : l’annonace de Mozilla
Bloqueurs DNS (NextDNS, Pi-hole, AdGuard Home)
Une autre approche pour bloquer la publicité est d’utiliser des bloqueurs DNS. La résolution DNS des serveurs utilisés par les régies publicitaires ne fonctionnera pas empêche la connexion à ces derniers. Toutefois, là aussi, des limitations ou contournements sont possibles.
Il existe de nombreuses solutions comme NextDNS, Pi-hole, AdGuard Home.
Apprenez à configurer une agrégation de liens (bonding réseau) sur Ubuntu pour améliorer la redondance et la bande passante réseau de votre machine Linux.
Cet article a été réalisé en collaboration avec Synology
Lors du salon Computex 2025 qui se tenait à Taïwan il y a quelques jours, Synology a dévoilé une solution de surveillance, C2 Backup for Surveillance, à destination des entreprises. Ses points forts : elle est très simple à mettre en place, peu coûteuse et s’appuie sur l’expertise de Synology dans le stockage de données.
Cet article a été réalisé en collaboration avec Synology
Il s’agit d’un contenu créé par des rédacteurs indépendants au sein de l’entité Humanoid xp. L’équipe éditoriale de Numerama n’a pas participé à sa création. Nous nous engageons auprès de nos lecteurs pour que ces contenus soient intéressants, qualitatifs et correspondent à leurs intérêts.
Votre réseau domestique est au cœur de votre vie numérique quotidienne, mais il peut également devenir une cible pour les pirates informatiques. Entre les appareils connectés, le télétravail et le partage de vos données personnelles, il est essentiel de garantir une sécurité optimale à votre box ou routeur Wi-Fi. Alors, comment protéger efficacement votre réseau contre les intrusions, le piratage et la fuite de données personnelles ?
Découvrez dans cet article les bonnes pratiques simples et concrètes pour renforcer la sécurité de votre réseau domestique. Du choix d’un mot de passe sécurisé à l’utilisation du chiffrement Wi-Fi WPA3, en passant par la désactivation de fonctions inutiles comme le WPS, nous vous guidons pas à pas pour assurer une protection complète de vos appareils et de vos données personnelles.
Introduction : ce qu’il faut savoir sur le piratage d’un réseau domestique
Bien souvent, les utilisateurs laissent la configuration par défaut de leur routeur ou box, ce qui, dans la plupart des cas, assure une sécurité correcte grâce à des mots de passe uniques prédéfinis. Cependant, certains facteurs peuvent rendre votre réseau domestique vulnérable au piratage, comme des identifiants non modifiés, des appareils mal sécurisés, ou l’utilisation d’un chiffrement faible.
Imaginons un utilisateur qui a laissé activé le protocole WPS (Wi-Fi Protected Setup), fréquemment actif par défaut sur de nombreux routeurs ou box. Bien que pratique pour connecter facilement des appareils, le WPS est vulnérable à des attaques par force brute, permettant à un pirate situé à proximité d’accéder à votre réseau Wi-Fi en quelques minutes, même si vous utilisez un mot de passe fort.
Une fois le pirate connecté à votre réseau, il peut facilement :
Accéder à vos données personnelles partagées sur votre réseau (photos, documents, etc.)
Intercepter et lire vos échanges sur Internet (sites consultés, mots de passe entrés sur des sites non sécurisés…)
Attaquer directement vos appareils connectés (PC, smartphones, objets connectés).
Comment un réseau domestique peut-il être piraté ? Principales sources de risques
Un réseau domestique peut être victime de piratage via plusieurs sources ou vecteurs d’attaques potentiels. Voici les plus courants :
Mots de passe faibles ou inchangés : Un routeur, une box, ou des appareils connectés (caméras IP, imprimantes réseau, objets IoT) laissés avec leur mot de passe par défaut ou des identifiants faciles à deviner sont des cibles très simples à pirater.
Wi-Fi mal sécurisé :
Réseau Wi-Fi ouvert (sans mot de passe).
Utilisation d’un chiffrement obsolète ou faible (WEP, WPA-TKIP).
Activation du WPS (Wi-Fi Protected Setup), vulnérable aux attaques par force brute.
Malwares et virus : Des appareils déjà infectés sur votre réseau (ordinateurs, smartphones, objets connectés) peuvent permettre à un pirate d’attaquer facilement les autres équipements ou espionner votre trafic.
Firmware obsolète ou non mis à jour : Un firmware (logiciel interne du routeur) non mis à jour peut comporter des vulnérabilités critiques, facilement exploitables par des pirates depuis Internet.
Accès à distance ou services exposés :
Certaines box ou routeurs configurés pour permettre un accès distant peuvent être attaqués si cet accès est mal protégé.
Des services comme FTP, SMB ou la gestion à distance activés inutilement peuvent offrir un point d’entrée facile aux pirates.
Phishing et attaques indirectes : Les attaques par phishing (emails frauduleux, faux sites web) peuvent amener l’utilisateur à fournir involontairement ses identifiants de connexion à des pirates.
Une fois en possession de ces identifiants, le pirate accède facilement à votre réseau et à vos données personnelles.
Appareils domestiques vulnérables (IoT) : Les objets connectés comme les caméras, thermostats ou alarmes intelligentes sont souvent mal sécurisés. S’ils sont compromis, ils deviennent une porte d’entrée vers votre réseau interne.
Comment sécuriser efficacement son réseau domestique : bonnes pratiques
Chaque routeur Wi-Fi que vous achetez est doté d’un nom d’utilisateur et d’un mot de passe d’administrateur par défaut. Ils sont destinés à vous permettre d’accéder aux paramètres du routeur après l’avoir branché pour la première fois, et doivent être modifiés immédiatement après avoir obtenu l’accès.
Pourquoi est-ce important ? Parce que si vous laissez le nom d’utilisateur et le mot de passe de l’administrateur tels qu’ils sont indiqués à la sortie de l’emballage, toute personne qui se connecte à votre réseau Wi-Fi peut accéder à la console de paramétrage de votre routeur et apporter des modifications à votre réseau. Cela va des pirates informatiques à votre enfant de 8 ans, impétueux et doué pour l’informatique.
Pensez à changer immédiatement :
Le mot de passe administrateur du routeur (accès à la console de gestion).
Le mot de passe du Wi-Fi fourni d’origine (clé WPA).
Choisir un chiffrement Wi-Fi fort (WPA3)
Le protocole WPA3 est désormais la norme recommandée. Si votre routeur ou box internet le supporte, ce qui est le cas depuis de nombreuses années, alors il est activé par défaut. Contrairement au WPA2, il offre :
Une meilleure résistance aux attaques par force brute ou dictionnaire.
Une sécurité renforcée des réseaux publics (hotspots).
Une protection accrue même en cas de compromis du mot de passe.
Si votre routeur est très ancien, WPA3 n’est pas disponible, utilisez WPA2 avec AES (évitez absolument WEP et WPA-TKIP, trop faibles). Mais, dans ce cas, il est conseillé d’investir dans un nouveau routeur pour améliorer la sécurité de votre réseau.
Vous pouvez également cacher votre réseau Wi-Fi aux utilisateurs en désactivant la diffusion du SSID de votre routeur. Bien qu’un pirate expérimenté disposant des bons outils puisse toujours renifler le trafic de votre routeur et éventuellement déterminer le SSID, cette désactivation ajoute une étape supplémentaire au processus et peut inciter un pirate à passer à une cible plus attrayante.
Tous les appareils qui se sont précédemment connectés à votre réseau Wi-Fi continueront à se connecter, mais les autres appareils et utilisateurs ne verront plus votre réseau dans la liste des réseaux Wi-Fi environnants. (Certaines listes peuvent afficher une entrée « Réseau caché », mais les utilisateurs ne pourront pas se connecter sans le véritable nom du réseau).
Ou encore décocher Emission du SSID dans les paramètres du routeur.
L’un des inconvénients du masquage de votre réseau sans fil est que lorsque vous ajoutez de nouveaux appareils au réseau, ceux-ci ne verront pas le réseau pour s’y connecter. Toutefois, certains appareils vous permettent d’entrer un nom de réseau manuellement, ou vous pouvez simplement activer la diffusion du SSID suffisamment longtemps pour connecter le nouvel appareil, puis la désactiver une fois la connexion établie.
Cliquez ensuite sur le bouton Configurer une nouvelle connexion ou un nouveau réseau.
Choisissez ensuite Se connecter manuellement à un réseau sans fil
À partir de là, saisissez les informations de connexion sans fil :
Saisir le nom du SSID
Le type de sécurité (WPA, WPA2, ..)
La clé de sécurité (mot de passe WiFi)
Désactiver les fonctionnalités inutilisées du routeur/box
Certains services facilitent les attaques s’ils restent activés inutilement :
Désactivez le WPS (Wi-Fi Protected Setup), qui est vulnérable aux attaques par brute force.
Désactivez la gestion distante du routeur depuis Internet si vous n’en avez pas besoin.
Désactivez les protocoles obsolètes ou non utilisés (ex : SMBv1, UPnP si non requis).
Maintenir à jour le firmware du routeur
Il est important de maintenir à jour le firmware du routeur, car les mises à jour corrigent régulièrement des failles de sécurité potentiellement exploitées par des pirates informatiques. Ces vulnérabilités, si elles restent non corrigées, peuvent permettre à des attaquants d’accéder à votre réseau domestique, intercepter vos données, prendre le contrôle de vos appareils, ou encore perturber votre connexion internet. De plus, les mises à jour améliorent souvent les performances du routeur et ajoutent parfois de nouvelles fonctionnalités utiles. Maintenir le firmware à jour contribue donc à assurer à la fois la sécurité et l’efficacité globale de votre réseau domestique.
Ainsi :
Vérifiez régulièrement sur l’interface web ou via l’application mobile la disponibilité de mises à jour.
Activez les mises à jour automatiques lorsque cela est possible.
Utiliser un réseau invité pour les appareils externes
Si vous souhaitez offrir à vos invités un accès à votre point d’accès Internet tout en les tenant à l’écart des ressources de votre réseau Wi-Fi domestique, vous pouvez mettre en place un réseau d’invités. Un réseau d’invités permet aux utilisateurs de se connecter à l’internet sans accéder aux périphériques, au stockage ou à d’autres équipements de votre réseau, comme les imprimantes. (Laissez-les rentrer chez eux et utiliser leur propre papier et encre d’imprimante, n’est-ce pas ?)
La plupart des box ou routeurs proposent la création d’un réseau Wi-Fi invité :
Isolez les appareils externes (visiteurs, équipements connectés moins sécurisés, IoT…) sur ce réseau dédié.
Cela empêche une propagation éventuelle vers votre réseau principal en cas d’intrusion ou de contamination.
Activer le pare-feu intégré du routeur
Activer le pare-feu intégré de votre routeur est essentiel, car il protège votre réseau domestique contre les connexions non autorisées et les tentatives d’intrusion depuis Internet. Le pare-feu agit comme une barrière, filtrant automatiquement les connexions entrantes suspectes tout en permettant à vos appareils de communiquer normalement avec Internet. Ainsi, il réduit fortement les risques d’attaques par balayage de ports ou d’intrusions directes visant vos appareils connectés. En le maintenant activé, vous assurez une première ligne de défense efficace contre les menaces extérieures, renforçant, de ce fait, la sécurité globale de votre réseau domestique.
Assurez-vous que le pare-feu est activé par défaut sur votre équipement.
Vérifiez les paramètres régulièrement pour vous assurer qu’aucune règle non désirée n’est active (port ouvert inutilement).
Exposition de services réseaux depuis internet : les risques
De nombreux utilisateurs choisissent d’exposer des serveurs ou appareils connectés à Internet depuis leur réseau domestique, par exemple :
Un NAS (stockage réseau) pour accéder à distance à ses fichiers
Un serveur web ou FTP personnel hébergé chez soi
Une caméra IP pour une surveillance distante
Un accès distant à un ordinateur via RDP, SSH ou VNC
Cette pratique est courante, mais présente des risques importants si la sécurité n’est pas rigoureusement prise en compte. En effet, chaque appareil exposé sur Internet devient potentiellement une cible pour les pirates.
Tout d’abord, utilisez le pare-feu du routeur pour en limiter l’accès. Par exemple :
Configurez votre routeur pour n’ouvrir que les ports strictement nécessaires.
Évitez d’ouvrir des ports comme SMB (port 445) directement sur Internet, car ils sont très vulnérables.
Limitez les accès entrants à certaines adresses IP si possible.
Ensuite, si possible, isoler les appareils exposés, par exemple, dans une DMZ sécurisée. Si votre routeur le permet, placez les appareils exposés sur un réseau séparé (réseau invité, VLAN ou DMZ) afin d’éviter toute contamination éventuelle du réseau principal. Enfin, l’appareil et les services réseau doivent être actualisé régulièrement pour combler les failles logicielles. Bien entendu, ne laissez pas les identifiants par défaut.
Surveillance et gestion des appareils connectés
Vérifiez périodiquement les appareils connectés à votre réseau :
La plupart des routeurs disposent d’une interface qui liste les périphériques connectés.
Déconnectez immédiatement tout appareil inconnu ou suspect.
Utiliser un VPN à la maison sur votre réseau domestique n’est pas indispensable pour tous les utilisateurs, mais peut apporter une sécurité et une confidentialité supplémentaires selon vos usages. Un VPN protège vos échanges en chiffrant votre connexion, ce qui empêche votre fournisseur d’accès ou d’autres acteurs externes d’observer vos activités. Il est particulièrement utile si vous accédez à distance à des appareils ou des services personnels (NAS, caméras IP) depuis Internet, ou si vous voulez contourner certaines restrictions géographiques.
Toutefois, pour une simple navigation quotidienne (sites sécurisés en HTTPS, streaming vidéo classique), l’intérêt d’un VPN reste limité. Il est important de noter que l’utilisation d’un VPN peut légèrement affecter la vitesse de connexion. Si vous optez pour un VPN, choisissez un fournisseur sérieux, avec une politique stricte de confidentialité, et utilisez des protocoles sécurisés comme WireGuard ou OpenVPN. En somme, un VPN peut être bénéfique pour renforcer votre sécurité et votre confidentialité, mais il n’est pas obligatoire pour un usage domestique classique.
Même si votre réseau Wi-Fi est sécurisé, des appareils domestiques peu sécurisés (anciens PC, objets connectés comme des caméras IP ou des thermostats intelligents) peuvent constituer une faille permettant à un attaquant d’entrer sur votre réseau. Par exemple :
Une caméra IP avec un mot de passe par défaut non modifié peut être facilement piratée depuis Internet.
Une fois que l’attaquant accède à cette caméra, il peut alors s’en servir comme point d’entrée pour attaquer d’autres appareils sur votre réseau local.
Pensez à les mettre à jour ou les déconnecter si vous ne les utilisez plus. De manière générale, il convient de suivre les recommandations de sécurité élémentaires : utilisation d’un antivirus, mises à jour, téléchargement que depuis des sources sûres, etc. Vous pouvez sécuriser votre réseau, si vous installez un logiciel malveillant sur un de vos appareils, c’est terminé.
Dans un contexte où les attaques informatiques sont de plus en plus fréquentes, la protection des réseaux devient une priorité. Parmi les solutions mises en place par les professionnels de la cybersécurité, la DMZ (Demilitarized Zone), ou zone démilitarisée, joue un rôle essentiel dans l’isolation des services exposés à Internet.
Mais, que signifie réellement ce terme, hérité du vocabulaire militaire ? À quoi sert une DMZ dans un réseau d’entreprise ou sur une box Internet à la maison ? Est-elle utile pour héberger un site web, un serveur FTP ou une caméra IP accessible de l’extérieur ? Et surtout, comment l’utiliser correctement sans exposer son réseau personnel ou professionnel à des risques inutiles ?
Dans cet article, vous découvrirez de manière simple et illustrée :
Ce qu’est une DMZ et à quoi elle sert
La différence entre une vraie DMZ professionnelle et la fonction DMZ d’une box
Les bonnes pratiques de configuration pour éviter les erreurs fréquentes
Que vous soyez curieux, administrateur réseau ou simple utilisateur souhaitant comprendre ce que fait votre routeur, ce guide vous aidera à mieux sécuriser vos connexions et vos services exposés à Internet.
Qu’est-ce qu’une DMZ et À quoi cela sert ?
Une DMZ (Demilitarized Zone) est une zone intermédiaire entre Internet (extérieur) et le réseau local privé (LAN). Elle est utilisée pour héberger des serveurs accessibles depuis Internet tout en limitant les risques de piratage.
Exemples de services qu’on place souvent dans une DMZ :
Un site web hébergé à la maison ou dans une entreprise
Un serveur mail ou FTP (échange de fichiers)
Une caméra IP que vous souhaitez consulter à distance
Un serveur de jeux accessible de l’extérieur
Pourquoi utiliser une DMZ ?
L’idée est simple : si un pirate attaque votre site web ou serveur de jeu, il ne doit pas pouvoir rebondir sur votre ordinateur personnel ou sur les fichiers de l’entreprise.
En plaçant ce service dans une DMZ :
Il reste accessible depuis Internet ;
Mais il est isolé du reste du réseau ;
Et donc, les dégâts sont limités en cas de faille ou d’attaque.
La « DMZ » des box ou routeurs : une fausse DMZ
Dans les box Internet (comme la Freebox, la Livebox ou la Bbox) ou dans les routeurs grand public, l’option appelée « DMZ » est trompeuse. Elle ne correspond pas du tout à une véritable zone démilitarisée telle qu’on la trouve dans les réseaux professionnels. Dans ce contexte, la DMZ consiste simplement à rediriger l’ensemble du trafic Internet entrant — qui n’a pas été explicitement redirigé par des règles NAT — vers un seul appareil du réseau local, comme un PC, une console de jeux ou un NAS. Cet appareil se retrouve ainsi directement exposé à Internet, sans aucun filtrage ni protection intermédiaire de la part du routeur. On parle souvent d’une « ouverture totale » vers ce terminal.
Ce mécanisme n’isole pas l’appareil du reste du réseau domestique : il reste connecté au réseau local (LAN) et peut donc interagir avec les autres machines, ce qui va à l’encontre du principe de cloisonnement d’une véritable DMZ. Si l’appareil exposé est compromis, un pirate pourrait très facilement rebondir vers les autres équipements du foyer (ordinateurs, smartphones, objets connectés…).
L’usage de cette pseudo-DMZ est donc fortement déconseillé en continu, surtout s’il s’agit d’un appareil contenant des données personnelles, d’une machine de travail, ou d’un système non sécurisé. Elle peut néanmoins être utilisée temporairement, dans un but de test ou de dépannage, mais seulement si l’on sait exactement ce que l’on fait, et idéalement sur une machine isolée et protégée par un pare-feu logiciel bien configuré.
Plutôt que d’activer cette DMZ simplifiée, il est préférable de définir des redirections de ports spécifiques, uniquement pour les services dont vous avez besoin (par exemple : port 22 pour SSH, port 443 pour HTTPS, etc.). Cela permet un meilleur contrôle sur ce qui est réellement accessible depuis Internet, tout en évitant une exposition inutile de l’ensemble de l’appareil.
En résumé, la fonction DMZ présente sur les box Internet n’est pas une vraie DMZ, mais une simple redirection complète vers un hôte interne. Elle doit être utilisée avec précaution, voire évitée, au profit de solutions plus précises et plus sûres comme la gestion fine du NAT, ou, pour les utilisateurs avancés, l’usage d’un routeur dédié avec segmentation réseau et pare-feu personnalisable.
Quand ne pas utiliser la DMZ d’une box
Ne jamais activer la DMZ sur un PC de travail, un NAS, une console, ou un appareil partagé.
Ne pas confondre avec une vraie DMZ réseau professionnelle (qui est sécurisée et segmentée).
Cela n’est pas une solution de redirection propre : si vous voulez ouvrir un port, il vaut mieux le faire manuellement dans la configuration NAT.
Dans les réseaux d’entreprise
Dans un réseau d’entreprise, la sécurité est une priorité. Pour se protéger des attaques extérieures tout en continuant à proposer des services accessibles depuis Internet (site web, messagerie, VPN, etc.), les administrateurs réseau utilisent une DMZ (Zone Démilitarisée).
Une DMZ (Demilitarized Zone) est une zone réseau isolée, placée entre le réseau interne de l’entreprise et Internet. Elle permet de publier des services externes (comme un serveur web ou mail) sans exposer directement le cœur du système d’information.
L’objectif principal est la segmentation du réseau :
Limiter l’exposition aux attaques provenant d’Internet
Empêcher la propagation d’un piratage depuis un serveur compromis
Contrôler finement les flux de données entre les zones
Ainsi, dans une architecture classique de DMZ en entreprise, le trafic provenant d’Internet passe d’abord par un premier pare-feu, qui filtre et autorise uniquement certains ports vers la DMZ (par exemple HTTP ou SMTP). Les serveurs exposés au public (comme un site web ou un serveur de messagerie) se trouvent dans cette DMZ, une zone intermédiaire isolée. Ensuite, un second pare-feu sépare la DMZ du réseau interne (LAN). Ce second pare-feu empêche les serveurs de la DMZ de communiquer librement avec le reste de l’infrastructure, garantissant ainsi que même en cas de compromission, l’accès au réseau interne reste bloqué. Ce dispositif forme une triple barrière : Internet → DMZ → LAN.
Récemment, je vous ai expliqué comment créer des VLANs et des réseaux sur Unifi Network Application, le contrôleur Ubiquiti. Aujourd’hui, nous verrons ensemble comment créer de nouveaux réseaux WiFi et comment les associer à nos VLANs. Pour comprendre pourquoi j’ai plusieurs réseaux/VLAN, n’hésitez pas à lire l’article à ce sujet ou d’aller voir la vidéo …
Connexion
