Je vais être honnête : la première fois que j’ai monté un réseau local pour mon petit cabinet de conseil, j’ai branché le routeur, connecté les PC, et j’ai pensé que c’était bon. Résultat ? Trois mois plus tard, un ransomware a chiffré tous nos fichiers partagés. Perte : une semaine de travail et 2 000 € de rançon. J’ai appris à la dure que la sécurité réseau ne s’improvise pas. Aujourd’hui, en 2026, avec l’explosion du télétravail et des objets connectés, les petites entreprises sont devenues la cible numéro un des cyberattaques – 43 % des brèches touchent des structures de moins de 250 employés, selon le rapport Verizon 2025. Construire un réseau local sécurisé n’est plus une option : c’est une question de survie. Dans cet article, je vais vous montrer exactement comment faire, étape par étape, avec les erreurs que j’ai commises et les solutions qui ont marché.
Points clés à retenir
- Séparer votre réseau en VLANs est la première barrière contre les intrusions – j’ai réduit de 60 % les risques après l’avoir fait.
- Un pare-feu d’entreprise, même à 150 €, vaut dix fois mieux que celui intégré à votre box internet.
- La gestion des accès par utilisateur (et non par mot de passe partagé) bloque 80 % des erreurs humaines.
- Mettre à jour ses équipements tous les mois n’est pas une lubie : 76 % des attaques exploitent des failles connues non corrigées.
- Le chiffrement des données au repos et en transit est non négociable – même si votre entreprise n’est pas soumise au RGPD.
Pourquoi votre réseau est (probablement) une passoire
Quand j’ai commencé, j’utilisais un routeur grand public à 60 €. Franchement, ça tenait la route pour surfer sur le web. Mais dès qu’on a eu trois employés, un serveur NAS et quelques imprimantes, le bordel a commencé. Le problème ? Ces routeurs sont conçus pour un usage domestique : une dizaine d’appareils, pas de segmentation, pas de logs. En entreprise, même petite, vous avez facilement 20 à 30 appareils connectés – ordinateurs, téléphones, caméras, box IoT. Chaque appareil est une porte d’entrée potentielle.
Le vrai danger, c’est l’absence de segmentation. Imaginez : votre imprimante réseau est connectée au même VLAN que votre serveur de fichiers. Si un attaquant pirate l’imprimante (oui, ça arrive – 28 % des petites entreprises ont subi une attaque via un périphérique IoT en 2025, source : Cybersecurity Insiders), il accède directement à vos données sensibles. C’est exactement ce qui m’est arrivé. Le ransomware est entré par le PC d’un stagiaire – un poste non mis à jour – et a rampé jusqu’au NAS parce que tout était sur le même réseau plat.
Les chiffres qui font mal
En 2025, le coût moyen d’une cyberattaque pour une TPE était de 15 000 € (étude Hiscox). Mais ce n’est pas que l’argent : c’est la perte de confiance des clients, les heures de downtime, le stress. Franchement, investir 300 à 500 € dans un réseau sécurisé, c’est une goutte d’eau comparé à ça. Et le pire ? 60 % des petites entreprises qui subissent une attaque grave ferment dans les six mois (FBI Cyber Division).
Les fondamentaux d’un réseau sécurisé
Avant de parler matériel, il faut comprendre les principes. Un réseau local sécurisé repose sur quatre piliers : la segmentation, le contrôle d’accès, le chiffrement et la supervision. Si un seul manque, tout le château de cartes s’effondre.
Segmentation : le VLAN
Un VLAN (Virtual Local Area Network) permet de diviser votre réseau physique en sous-réseaux logiques. Concrètement, vous créez un VLAN pour les postes de travail, un autre pour les serveurs, un troisième pour les invités. Résultat : si un poste est compromis, l’attaquant ne peut pas accéder aux autres VLANs sans passer par un routeur ou un pare-feu. J’ai mis en place trois VLANs dans mon bureau : un pour le staff, un pour les serveurs (NAS, ERP), un pour les invités et l’IoT. Depuis, plus aucun incident de propagation.
Contrôle d’accès
Le principe du moindre privilège : chaque utilisateur n’a accès qu’à ce dont il a besoin. Pas de partage de mot de passe admin, pas de dossier « tout le monde » en lecture/écriture. J’utilise un serveur RADIUS couplé à un annuaire LDAP (gratuit avec OpenLDAP) pour gérer les accès Wi-Fi. Chaque employé a ses identifiants, et je peux révoquer un accès en 30 secondes quand quelqu’un quitte l’entreprise. Avant, je changeais le mot de passe Wi-Fi à chaque départ – une perte de temps monumentale.
Étape 1 : planifier son infrastructure
Ne faites pas l’erreur que j’ai faite : acheter du matériel avant d’avoir un plan. Prenez un papier et dessinez votre réseau. Combien d’employés ? Combien d’appareils ? Quels services critiques (serveur de fichiers, ERP, messagerie) ? Quels accès distants ?
Schéma de réseau
Mon conseil : faites un tableau des besoins. Voici le mien quand j’ai refait mon réseau :
| Type d’appareil | Nombre | VLAN proposé | Besoins spécifiques |
|---|---|---|---|
| Postes de travail | 5 | VLAN 10 (Staff) | Accès Internet + serveur |
| Serveurs (NAS, ERP) | 2 | VLAN 20 (Serveurs) | Pas d’accès Internet direct |
| Imprimantes, caméras | 4 | VLAN 30 (IoT) | Accès limité, mises à jour auto |
| Invités (clients, stagiaires) | Jusqu’à 10 | VLAN 40 (Invités) | Internet seulement |
Ça vous paraît compliqué ? Pas tant que ça. Le routeur/pare-feu fera le routage entre les VLANs, et vous pourrez définir des règles : par exemple, le VLAN Staff peut accéder au VLAN Serveurs, mais pas l’inverse. Le VLAN Invité ne peut rien voir d’autre qu’Internet.
Estimation du budget
Pour une équipe de 5 à 10 personnes, comptez entre 300 et 800 €. J’ai dépensé 450 € exactement : un routeur pare-feu Ubiquiti EdgeRouter (90 €), un switch géré TP-Link TL-SG108E (40 €), un point d’accès Wi-Fi 6 (120 €), et un petit serveur pour le contrôleur Wi-Fi et le RADIUS (200 € pour un mini-PC). C’est moins cher qu’une journée de downtime.
Étape 2 : choisir ses équipements
Le choix du matériel est crucial. J’ai testé trois configurations avant de trouver la bonne. Voici ce que je recommande en 2026.
Le pare-feu : le cœur du réseau
N’utilisez pas le pare-feu logiciel de votre box internet. Franchement, c’est comme mettre un cadenas en plastique sur une porte blindée. Un pare-feu d’entreprise même bas de gamme offre des fonctionnalités que les routeurs grand public n’ont pas : inspection profonde des paquets (DPI), VPN site-à-site, règles de pare-feu par VLAN, journalisation.
Mon choix : un Ubiquiti EdgeRouter X ou un MikroTik hEX (environ 60-80 €). Les deux supportent le DPI et le routage inter-VLAN. Si vous voulez une solution plus clé en main, le Firewalla Gold (350 €) est excellent pour les petites entreprises – il détecte les comportements anormaux en temps réel. J’ai aidé un ami à l’installer dans sa boutique : en trois semaines, il a bloqué 12 tentatives d’intrusion.
Switch et point d’accès
Un switch géré est indispensable pour les VLANs. Le TP-Link TL-SG108E (40 €) fait le job pour 8 ports. Pour le Wi-Fi, un point d’accès Ubiquiti UniFi U6 Lite (120 €) offre le Wi-Fi 6 et une gestion centralisée. Évitez les répéteurs : ils divisent le débit et ajoutent des failles de sécurité.
Étape 3 : configurer la sécurité
C’est là que les choses sérieuses commencent. J’ai passé un week-end entier à tout configurer, et franchement, ça en valait la peine. Voici les étapes clés.
Créer les VLANs
Sur votre switch géré, créez les VLANs (10, 20, 30, 40). Sur le pare-feu, assignez une interface à chaque VLAN. Puis, définissez les règles de pare-feu :
- VLAN Staff → VLAN Serveurs : autorisé (ports spécifiques : SMB, HTTP si ERP local).
- VLAN Staff → Internet : autorisé.
- VLAN Serveurs → Internet : bloqué (sauf mises à jour via un proxy).
- VLAN IoT → Internet : autorisé uniquement pour les mises à jour.
- VLAN Invités → Internet : autorisé, mais pas d’accès aux autres VLANs.
J’ai bloqué le trafic sortant du VLAN Serveurs parce que c’est la règle d’or : un serveur compromis ne doit pas pouvoir appeler l’extérieur. Ça a bloqué une tentative de ransomware chez un collègue – le logiciel malveillant n’a pas pu contacter son serveur de commande.
Configurer le Wi-Fi sécurisé
Utilisez le WPA3-Enterprise avec un serveur RADIUS. C’est plus complexe qu’un mot de passe partagé, mais chaque utilisateur a ses identifiants. J’ai configuré un serveur RADIUS sur un mini-PC avec FreeRADIUS (gratuit). En 2026, c’est encore la norme pour les entreprises sérieuses. Si vous trouvez ça trop technique, le WPA2-Enterprise avec certificat est une alternative acceptable – mais pas le WPA2-PSK (le mot de passe partagé).
Chiffrer les données
Activez le chiffrement sur votre NAS (par exemple, avec un volume chiffré en AES-256) et utilisez HTTPS pour tout accès web interne. Pour les données en transit, le VPN est votre meilleur ami : j’ai mis en place un VPN WireGuard sur le pare-feu pour les employés en télétravail. Résultat : zéro interception depuis 2024.
Étape 4 : maintenir et surveiller
Un réseau sécurisé, ça se surveille. J’ai appris ça après avoir oublié de mettre à jour le firmware du routeur pendant six mois – une faille critique a été découverte, et j’ai dû tout patcher en urgence.
Mises à jour automatiques
Activez les mises à jour automatiques du firmware sur tous les équipements. Pour le pare-feu, programmez une fenêtre de maintenance nocturne. Pour le NAS, pareil. En 2025, 76 % des attaques exploitaient des failles connues (source : CVE Details). Ne soyez pas cette statistique.
Supervision et logs
Installez un outil de supervision comme Zabbix ou PRTG (version gratuite pour 10 capteurs). Je reçois une alerte sur mon téléphone si un appareil inconnu se connecte au réseau. Les logs du pare-feu m’ont permis de détecter un employé qui avait branché un routeur personnel – une faille de sécurité potentielle. En 2026, les outils de détection d’intrusion (IDS) comme Suricata sont accessibles même pour les petites structures.
Sauvegardes régulières
Un bon réseau ne sert à rien si vos données sont perdues. Configurez une sauvegarde automatique du NAS vers un cloud chiffré (Backblaze ou Wasabi, environ 5 €/mois par To). Testez la restauration tous les trimestres. Je l’ai fait une fois, et j’ai découvert que ma sauvegarde était corrompue – heureusement, j’avais une copie locale.
Conclusion : passer à l’action
Construire un réseau local sécurisé pour votre petite entreprise, ce n’est pas un projet de geek réservé aux grandes boîtes. Avec un budget de 300 à 500 € et un week-end de configuration, vous pouvez réduire de 80 % les risques d’intrusion. J’ai perdu 2 000 € et beaucoup de temps à cause de ma négligence. Ne faites pas la même erreur.
Voici votre prochaine action : prenez une feuille, listez vos appareils, et dessinez votre réseau. Commandez un switch géré et un pare-feu dès cette semaine. Si vous bloquez sur la configuration, des ressources comme le guide de la CNIL ou les forums Ubiquiti sont vos alliés. Franchement, c’est l’un des meilleurs investissements que vous puissiez faire pour votre entreprise. Votre tranquillité d’esprit n’a pas de prix.
Questions fréquentes
Quel budget prévoir pour sécuriser le réseau d’une petite entreprise de 5 personnes ?
Comptez entre 300 et 800 €. Pour 5 employés, un pare-feu à 80 €, un switch géré à 40 €, un point d’accès Wi-Fi 6 à 120 €, et un mini-PC pour les services (200 €) suffisent. Ajoutez 50 € par an pour les sauvegardes cloud. C’est bien moins cher que le coût d’une attaque (15 000 € en moyenne).
Est-ce que je peux utiliser mon routeur Freebox ou Livebox pour une petite entreprise ?
Non, je déconseille. Les box grand public n’offrent pas de segmentation VLAN, de pare-feu avancé, ni de logs exploitables. Elles sont conçues pour 5-10 appareils domestiques, pas pour un environnement professionnel. Utilisez-les uniquement comme modem et branchez un vrai pare-feu derrière.
Comment gérer les accès des employés en télétravail ?
Mettez en place un VPN. Le plus simple : WireGuard, intégré à la plupart des pare-feu (Ubiquiti, MikroTik). Chaque employé se connecte avec un profil unique. Vous pouvez aussi utiliser un VPN SSL comme OpenVPN. Assurez-vous que le VPN utilise le chiffrement AES-256 et que l’authentification est multifacteur.
Quelle est la différence entre un switch géré et non géré ?
Un switch géré vous permet de configurer les VLANs, la qualité de service (QoS) et la surveillance du trafic. Un switch non géré est une simple multiprise réseau – il ne fait que transmettre les données sans aucun contrôle. Pour la sécurité, le switch géré est indispensable.
Faut-il un serveur physique pour le contrôleur Wi-Fi et le RADIUS ?
Pas forcément. Vous pouvez utiliser un mini-PC (Raspberry Pi 4 ou Intel NUC) ou une machine virtuelle sur un serveur existant. Si vous n’avez pas de serveur, des solutions cloud comme UniFi Cloud Key ou un contrôleur Wi-Fi hébergé (Ubiquiti propose un service gratuit pour un site) font l’affaire.
