Un QR code WiFi est-il sécurisé ? Ce qu’il expose vraiment

La réponse courte : un QR code WiFi n’est pas une mesure de sécurité, c’est une mesure de confort. Il contient le mot de passe, lisible par n’importe quel téléphone. Bien utilisé, il ne crée aucun risque nouveau. Mal utilisé, il transforme une habitude déjà fragile, donner son mot de passe à l’oral, en affiche. Voici ce qu’il expose, ce qu’il n’expose pas, et les trois pratiques qui rendent la question sans objet.

Ce que contient un QR code WiFi

Un QR code WiFi encode un texte de cette forme :

WIFI:T:WPA;S:MonReseau;P:MonMotDePasse;;

Le nom du réseau, le type de sécurité et le mot de passe, en clair. Pas de chiffrement, pas de clé temporaire, pas de date d’expiration. N’importe quelle application de lecture de QR code affiche ce texte tel quel. Le format a été conçu ainsi, par Google puis adopté par Apple, pour que la connexion marche sur tous les téléphones sans serveur ni compte.

Il faut donc raisonner simplement : afficher un QR code WiFi, c’est afficher le mot de passe. Plus lisiblement pour les téléphones que pour les humains, mais afficher quand même. Qui peut voir la carte peut se connecter, et peut aussi noter le mot de passe pour plus tard ou le transmettre.

Ce qu’il n’expose pas

Deux idées reçues méritent d’être écartées.

Le QR code ne donne pas accès à vos appareils. Il donne accès au réseau. Ce que l’on peut faire ensuite dépend entièrement de la configuration de ce réseau. Sur un réseau invités correctement isolé, un visiteur connecté n’a qu’Internet. Sur votre réseau principal, il voit potentiellement l’imprimante, le NAS, les caméras, les enceintes, et tout appareil mal protégé.

Le QR code n’envoie rien nulle part. Le scan est une lecture optique locale. Aucun serveur n’est contacté quand un téléphone lit un QR code WiFi, ni celui qui l’a généré, ni un autre. La question « qui a scanné ma carte » n’a pas de réponse, et c’est très bien ainsi.

Les trois pratiques qui règlent le sujet

1. Partagez un réseau invités, jamais le réseau principal

C’est la seule règle qui compte vraiment. Toutes les box des opérateurs français et la plupart des routeurs proposent un réseau invités : un second réseau WiFi, avec son propre nom et son propre mot de passe, isolé de vos appareils. Les visiteurs ont Internet et rien d’autre.

Chez les opérateurs, cherchez « WiFi invités » ou « réseau invité » dans l’interface d’administration de la box. En entreprise, c’est un réseau distinct sur le point d’accès, idéalement avec son propre VLAN.

Une fois le réseau invités en place, la question de la sécurité du QR code devient secondaire : le pire scénario est quelqu’un qui utilise votre connexion Internet, pas quelqu’un qui accède à vos fichiers.

2. Changez le mot de passe de temps en temps

Un QR code imprimé vit longtemps. Le mot de passe qu’il contient aussi, dans tous les téléphones qui l’ont scanné. Un changement périodique du mot de passe du réseau invités remet les compteurs à zéro. Le bon rythme dépend du lieu :

À chaque changement, réimprimez la carte. Dix secondes avec l’outil, c’est précisément pour ça qu’il n’y a pas de compte à créer.

3. Réfléchissez à l’emplacement

À l’intérieur, à hauteur de main, pour les gens qui sont déjà entrés : parfait. En vitrine, lisible depuis le trottoir : vous offrez votre connexion au quartier. Ce n’est pas forcément un problème pour un café qui veut attirer du monde, mais c’est un choix à faire en connaissance de cause, et toujours sur un réseau invités.

WPA2, WPA3, et le QR code

Le type de sécurité déclaré dans le QR code ne change rien à sa confidentialité, le mot de passe est en clair dans les deux cas. Il change la sécurité du réseau lui-même : WPA3 protège mieux le trafic entre les appareils et la box, notamment contre l’écoute passive. Si votre box le propose, activez-le, en mode mixte WPA2/WPA3 pour les appareils anciens. Dans le QR code, les deux se déclarent « WPA », et les téléphones choisissent le meilleur mode disponible.

WEP, en revanche, est cassé depuis 2001 et se décode en quelques minutes. Si votre routeur est encore en WEP, le QR code est le cadet de vos soucis : changez de routeur.

Et cet outil, précisément ?

Il est légitime de se demander ce que fait un site qui vous demande votre mot de passe WiFi. Voici ce que fait celui-ci, et comment le vérifier sans nous croire sur parole.

Le calcul est local. Le QR code est produit par un petit programme qui s’exécute dans votre navigateur, à partir de ce que vous tapez. Il n’y a pas de serveur qui reçoit le formulaire : il n’y a pas de serveur du tout, le site est un ensemble de fichiers statiques.

Rien n’est enregistré. Pas de compte, pas de cookie de suivi, pas de mémorisation entre deux visites. Fermez l’onglet, tout disparaît.

Vous pouvez le vérifier en une minute. Chargez la page, passez en mode avion, remplissez le formulaire : le QR code apparaît. Un outil qui dépendrait d’un serveur ne pourrait pas faire ça. Pour les plus curieux, les outils de développement du navigateur (onglet Réseau) montrent qu’aucune requête ne part pendant la saisie, et les en-têtes de sécurité du site interdisent au navigateur toute connexion vers un autre domaine.

Ces propriétés sont testées automatiquement à chaque mise à jour du site, dont un test qui échoue si la moindre requête quitte le domaine pendant l’utilisation de l’outil. Les détails sont dans la politique de confidentialité.

En résumé

• Un QR code WiFi affiche le mot de passe. Traitez-le comme tel.
• Sur un réseau invités isolé, ce n’est pas un problème. Sur le réseau principal, c’en est un.
• Changez le mot de passe du réseau invités périodiquement et réimprimez.
• Générez le QR code avec un outil qui calcule localement, et vérifiez-le en mode avion.

Avec ces quatre points, la carte WiFi redevient ce qu’elle doit être : une attention pour vos invités, pas une porte ouverte.