Wi-Fi invité : offrir internet à vos clients sans exposer votre réseau

Pourquoi le réseau invité doit être séparé

Sur un réseau unique, n'importe quel appareil connecté peut voir les autres : imprimante, terminal de caisse, ordinateur de gestion, caméras. Un téléphone client infecté, ou un visiteur curieux, devient alors un risque pour toute l'entreprise.

L'ANSSI recommande qu'un Wi-Fi invité soit « dédié et cloisonné des autres réseaux ». La CNIL rappelle de son côté qu'il faut séparer le Wi-Fi ouvert au public du réseau interne et utiliser un chiffrement à l'état de l'art.

Comment le mettre en place

Pour un petit local, la fonction réseau invité de la box suffit souvent : elle crée un nom de réseau distinct, isolé du réseau principal. Dès que plusieurs points d'accès sont nécessaires, on crée un réseau invité sur chacun d'eux, rattaché à un réseau virtuel séparé (VLAN), avec un pare-feu qui bloque les échanges avec le réseau professionnel.

• Un nom de réseau invité clair, différent du réseau pro
• L'isolation entre appareils clients activée quand l'équipement le permet
• Un mot de passe invité changé régulièrement, affiché ou partagé par QR code
• Une limite de débit pour les invités, afin de préserver la connexion pro
• Les téléphones personnels des salariés sur le réseau invité, pas sur le réseau pro

Les obligations quand on offre internet au public

La CNIL précise que les organismes qui offrent un accès internet au public sont concernés : bars, restaurants, cafés, hôtels, mais aussi les employeurs pour l'accès proposé à leurs visiteurs. Ils doivent conserver certaines données de trafic, sur le fondement de l'article L34-1 du Code des postes et des communications électroniques, sans jamais conserver le contenu des échanges ni les sites consultés.

En principe, vous n'êtes pas obligé d'identifier vos clients pour un Wi-Fi ouvert. Selon la CNIL, les durées de conservation sont d'un an pour les données techniques (adresse IP, identifiant de l'appareil) et pour les données de compte, et de trois mois au maximum pour les données de sécurité du réseau. Si vous choisissez d'identifier les utilisateurs, leur identité est conservée cinq ans.

En pratique, ce sont les solutions de hotspot ou le prestataire qui assurent cette journalisation : vérifiez avec lui comment elle est faite, et limitez l'accès à ces données aux seules personnes habilitées.

Portail captif : utile ou pas ?

Un portail captif affiche une page d'accueil avant la connexion : conditions d'utilisation, logo, éventuellement collecte d'email. Il n'est pas obligatoire. Si vous l'utilisez pour collecter des emails à des fins marketing, le consentement doit être libre et séparé de l'accès au Wi-Fi, et les règles du RGPD s'appliquent.