Guide cybersécurité · 15 septembre 2026
Sécuriser une serrure connectée : la checklist essentielle
Une serrure connectée ne se résume pas au boîtier posé sur la porte. Elle forme un ensemble avec un téléphone, une application, parfois un pont réseau et un service distant. Sa sécurité dépend donc autant de l’installation mécanique que de la configuration numérique et de son entretien dans le temps.
Le bon réflexe : effectuez cette configuration porte ouverte, conservez un moyen d’accès de secours et utilisez seulement l’application et la documentation officielles du fabricant. Aucune option logicielle ne compense une porte, un cylindre ou une pose inadaptés.
1. Avant l’achat, vérifier le cycle de vie
Commencez par chercher une durée de support clairement publiée : pendant combien de temps le produit et son application recevront-ils des correctifs ? L’ETSI inclut explicitement les serrures de porte connectées dans le périmètre de sa norme européenne EN 303 645 sur la cybersécurité des objets connectés grand public. Cette norme organise notamment ses exigences autour de l’absence de mots de passe universels par défaut, de la gestion des signalements de vulnérabilités, des mises à jour, du stockage des paramètres sensibles, des communications sécurisées et de la réduction de la surface d’attaque.[3]
Ces thèmes donnent une grille de questions utile, mais la simple présence d’une mention commerciale « sécurisé » ne prouve ni une certification ni la durée réelle du suivi. Cherchez la page de sécurité du fabricant, une politique de divulgation des vulnérabilités, l’historique des versions et une procédure de fin de support. Si ces éléments sont introuvables, considérez cette absence comme une information de choix.
2. Protéger le compte qui administre la porte
Le compte propriétaire peut créer ou révoquer des accès : il mérite donc un mot de passe unique, jamais réutilisé pour la messagerie ou un autre service. L’ANSSI recommande un mot de passe différent pour chaque accès et l’authentification à double facteur lorsqu’elle est disponible.[2] Activez-la sur le compte de la serrure, mais aussi sur l’adresse électronique qui servirait à réinitialiser ce compte.
Ne partagez pas un compte administrateur commun à tout le foyer si le système autorise des utilisateurs distincts. Créez plutôt un accès nominatif pour chaque personne, avec le niveau de privilège strictement nécessaire. L’ANSSI rappelle le principe du privilège minimum : chaque utilisateur ne doit disposer que des permissions dont il a besoin.[2] Un invité ponctuel n’a pas à modifier les réglages, consulter tout l’historique ou inviter d’autres personnes.
3. Appairer localement et remplacer les réglages initiaux
Lors de la première mise en service, vérifiez que l’appairage exige une action physique sur la serrure ou une autre preuve de proximité prévue par le fabricant. La CNIL conseille de contrôler qu’un objet connecté ne laisse pas n’importe qui s’y connecter et cite notamment l’usage d’un bouton d’accès physique ou d’un mot de passe ; elle recommande aussi de modifier le mot de passe ou le code PIN par défaut.[1]
Faites l’opération dans un environnement maîtrisé. Téléchargez l’application depuis le canal officiel indiqué par le fabricant, refusez les permissions sans rapport clair avec l’usage et notez où se trouvent les fonctions de révocation et de réinitialisation. Si un pont Wi-Fi est nécessaire, protégez également le réseau domestique et son interface d’administration.
4. Installer les mises à jour sans attendre
Après l’installation, contrôlez immédiatement les versions du micrologiciel, de l’application et, le cas échéant, du pont réseau. L’ANSSI recommande d’appliquer les mises à jour dès qu’elles sont proposées, de les télécharger uniquement depuis les sites officiels des éditeurs et d’activer leur installation automatique lorsqu’elle existe.[2] L’ETSI consacre également une section entière au maintien à jour des logiciels des produits IoT grand public.[3]
Ne confondez pas une nouvelle fonction avec un correctif de sécurité : l’absence de nouveauté visible ne signifie pas qu’une mise à jour est facultative. En revanche, ne coupez pas l’alimentation et ne forcez pas la porte pendant une mise à jour. Suivez la procédure du modèle exact et vérifiez ensuite que le secours mécanique fonctionne toujours porte ouverte.
5. Gérer les accès comme un trousseau de clés
- Attribuez des accès personnels plutôt qu’un code partagé.
- Limitez les plages horaires des prestataires ou visiteurs lorsque cette fonction est documentée.
- Révoquez immédiatement un ancien téléphone, un invité parti ou un logement rendu.
- Examinez périodiquement la liste des administrateurs, utilisateurs, claviers et appareils associés.
- Désactivez Wi-Fi, Bluetooth ou NFC sur les appareils qui ne s’en servent plus ; l’ANSSI conseille de couper les connexions sans fil inutilisées.[2]
Le journal d’activité, s’il existe, peut aider à repérer un accès inattendu, mais il contient aussi des informations sur les habitudes du foyer. La CNIL rappelle que les objets connectés peuvent produire beaucoup de données stockées en ligne et conseille de vérifier la possibilité d’y accéder et de les supprimer.[1] Limitez donc la conservation et le partage à ce qui est réellement utile.
6. Préparer perte, revente et fin de support
Écrivez à l’avance la procédure en cas de téléphone perdu : révocation depuis un autre appareil, changement du mot de passe du compte et utilisation du moyen mécanique de secours. En cas de compromission supposée, changez aussi tout secret réutilisé — même si cette réutilisation aurait dû être évitée — et contactez le support officiel.
Avant une revente ou un changement d’occupant, supprimez les associations, les utilisateurs et les données, puis effectuez la réinitialisation d’usine prévue par le fabricant. Ce sont précisément les gestes recommandés par la CNIL avant la mise au rebut ou un changement d’utilisateur d’un objet connecté.[1] Enfin, si le fabricant annonce la fin du support ou si l’application indispensable n’est plus maintenue, ne laissez pas le dispositif administrer durablement un accès sensible sans réévaluation.
Une vérification annuelle de dix minutes
Une fois par an — et après tout déménagement, changement de téléphone ou départ d’un occupant — contrôlez les utilisateurs, les appareils appairés, la double authentification, les versions logicielles, la récupération du compte, la batterie et le secours mécanique. Pour toute anomalie de porte, de cylindre ou de verrouillage, faites intervenir un serrurier qualifié : la cybersécurité protège la couche numérique, pas la résistance mécanique de l’ensemble.