Wifi : changer votre mot de passe ne protège pas tant que ce bouton de la box reste actif

Une imprimante sort de son carton, un répéteur wifi attend d'être branché, et la même corvée recommence : retrouver la clé wifi collée sous la box, puis la recopier caractère par caractère. Sur la box, un bouton promet d'éviter tout cela. Il s'appelle WPS, et l'agence française de cybersécurité demande de le désactiver.

Ce que fait vraiment le bouton WPS

WPS signifie Wi-Fi Protected Setup. La fonction a été créée en 2007 par la Wi-Fi Alliance, le consortium qui normalise le wifi, dans un but simple : supprimer la saisie du mot de passe. Vous appuyez sur le bouton de la box, vous lancez le même mode sur l'appareil, et les deux se reconnaissent tout seuls.

Le gain est réel sur les appareils dépourvus de clavier : saisir une clé de 20 caractères avec les flèches d'une télécommande de téléviseur est une épreuve.

Cette ouverture ne dure pas. Bouygues Telecom indique que le mode WPS reste actif 1 à 2 minutes après l'appui. Free précise de son côté que l'appairage reste disponible quelques minutes, puis se referme seul.

Le bouton et le code à 8 chiffres n'offrent pas la même sécurité

Le WPS ne désigne pas une seule méthode, mais plusieurs. Bouygues Telecom en détaille trois : l'appui sur un bouton, la saisie d'un code PIN à 8 chiffres, et le rapprochement de deux appareils par la technologie sans contact. C'est la deuxième qui pose problème, et tout dépend des méthodes que votre box accepte encore.

Le bouton physique protège par son principe même. L'assistance de SFR le résume ainsi : personne ne peut se connecter à votre box tant que vous n'avez pas appuyé dessus. Sa seule faiblesse tient à ces quelques minutes d'ouverture, pendant lesquelles un appareil situé à proximité peut tenter sa chance.

Le code PIN est une autre histoire. L'ANSSI, l'agence nationale de la sécurité des systèmes d'information, décrit la faille : au lieu de vérifier les 8 chiffres d'un seul bloc, la box les contrôle en deux morceaux, 4 chiffres puis 3. Sur le papier, ce code représente 100 millions de combinaisons. Découpé ainsi, il n'en demande plus que 10 000 d'un côté et 1 000 de l'autre, soit 11 000 essais au maximum.

L'agence donne un ordre de grandeur : de quelques minutes à quelques heures, sans même être déjà connecté au réseau. Et ce que l'attaquant obtient au bout n'est pas un accès de passage, mais la clé du réseau elle-même. Changer votre mot de passe wifi ne règle donc rien : le code PIN inscrit sur l'étiquette de la box, lui, ne change pas.

L'ANSSI a repris cette recommandation dans son guide Sécurisation des réseaux Wi-Fi, publié le 31 août 2026, destiné en priorité aux professionnels. Bouygues Telecom tient le même discours à ses abonnés : désactivez la fonction si vous ne vous en servez pas, et évitez la méthode par code PIN.

Où vérifier et couper le WPS, opérateur par opérateur

Le bouton lui-même ne se désactive pas : le réglage se trouve dans l'interface d'administration de la box.

Orange

Dans l'interface de la Livebox, ouvrez le menu Wifi, puis Modifier les réseaux Wifi, votre réseau, et Modifier les paramètres avancés. Le champ WPS propose alors Bouton WPS ou Désactivé. Dans l'application Orange et moi, la méthode d'association n'offre que deux choix : Bouton ou écran de la Livebox, et Désactivé.

SFR

Ouvrez l'interface de gestion de la box SFR à l'adresse http://monmodem, avec l'identifiant admin et la clé wifi inscrite sur l'étiquette. Le réglage se trouve dans l'onglet WiFi, puis Sécurité, partie WiFi Protected Setup. L'opérateur liste trois méthodes d'appairage, dont deux reposent sur un code PIN, et recommande celle du bouton.

Free

Dans Freebox OS, ouvrez Paramètres de la Freebox, puis Wi-Fi, onglet Mode avancé. L'application Freebox Connect donne accès au même réglage, via Ajouter un appareil en WPS. Free ajoute une étape : il faut d'abord activer l'option Autoriser le WPS, puis redémarrer le wifi, avant de lancer l'appairage.

Bouygues Telecom

L'opérateur renvoie à l'interface de gestion de la Bbox pour vérifier l'état du WPS. Sur le boîtier, il faut maintenir le bouton 3 à 5 secondes, jusqu'à ce que le voyant WPS se mette à clignoter.

Un bouton compatible avec de moins en moins d'appareils

Le WPS a perdu ses utilisateurs sans faire de bruit. L'assistance de SFR l'écrit noir sur blanc : les produits Apple ne prennent pas en charge cette technologie. Du côté d'Android, Google a abandonné le WPS à partir de la version 9 : sa documentation marque comme obsolètes les fonctions qui le déclenchaient. Pour connecter un téléphone, le bouton ne sert donc plus à rien.

Il reste utile aux imprimantes, aux répéteurs et aux objets connectés. C'est aussi sur les box les plus anciennes que la méthode PIN subsiste, alors que les modèles récents ne proposent plus que le bouton. Un comparateur d'offres box permet de voir ce que proposent aujourd'hui les opérateurs.

ADSL sans engagement, dès 20,99 € par mois

Boîte Sosh ADSL

Sans engagement 20 Mbit/s 1 Mbit/s WiFi 5

20,99 €/mois

Tarifs vérifiés le 30/09/2026

Souscrire

Voir les détails

1er prix et tarif fixe

RED Box Fibre

Sans engagement 1 Gbit/s 1 Gbit/s WiFi 5

22,99 €/mois

Tarifs vérifiés le 30/09/2026

Souscrire

Voir les détails

Offre 4GFIX Vital

Sans engagement 150 Mbit/s 30 Mbit/s WiFi 6

24,90 €/mois puis 29,90 €/mois après 6 mois

Tarifs vérifiés le 12/10/2026

Souscrire

Voir les détails

Le QR code et le réseau invité rendent le même service

Pour partager votre wifi sans dicter une longue suite de caractères, le QR code a remplacé le WPS. Sur Android, Google documente le chemin : Paramètres, Réseau et Internet, Internet, votre réseau, puis Partager. Sur iPhone, Apple prévoit un partage direct du mot de passe entre appareils Apple. Le QR code n'a rien à voir avec le WPS : il contient le nom du réseau et le mot de passe, rien de plus.

Pour les visiteurs et les objets connectés, la meilleure réponse reste le réseau invité, un second wifi avec son propre nom et son propre mot de passe, sans accès à vos ordinateurs ni à vos disques partagés.

Une fois le WPS désactivé, deux gestes complètent la mise en sécurité : passer en revue les appareils connectés à votre box, et vérifier que le nom de votre réseau n'en dit pas trop sur vous.