Installer des caméras de sécurité chez soi, c’est un peu comme adopter un chien de garde : ça doit aboyer quand il le faut, pas vous réveiller à 3h du mat’ parce qu’un écureuil a éternué dans le jardin. Et surtout, ça ne doit pas vous coûter un rein ou, pire, transformer votre salon en épisode de Black Mirror où votre propre matériel vous espionne.
AliExpress : le Far West des caméras IP (ou comment éviter de nourrir un botnet)
Sur AliExpress, une caméra IP à 20€ avec résolution 4K, vision nocturne et IA intégrée, ça existe. Enfin, presque. La résolution est souvent interpolée, la vision nocturne ressemble à un film de found footage des années 90, et l’IA se résume à un algorithme open source mal optimisé qui confond votre chat avec un intrus. Mais bon, pour le prix d’un repas chez Deliveroo, on ne va pas chipoter.
Le vrai problème, c’est la sécurité. Beaucoup de ces caméras sont des clones de modèles connus (comme les fameuses caméras Xiaomi ou Hikvision low-cost), avec des firmwares modifiés qui envoient des données vers des serveurs chinois dont vous n’avez jamais entendu parler. Certaines intègrent même des backdoors documentées sur des forums underground. Bref, si vous tenez à votre vie privée, évitez de brancher ces appareils directement sur votre réseau principal.
Si vous optez pour cette solution, voici quelques règles d’or :
- Changez le mot de passe par défaut (oui,
admin/adminest encore trop souvent la norme). - Désactivez le cloud si possible, ou au moins le stockage en ligne non chiffré.
- Mettez à jour le firmware dès la réception (si une mise à jour existe, ce qui est rare).
- Isolez la caméra sur un VLAN dédié (on y vient).
Et surtout, ne vous attendez pas à une qualité professionnelle. Ces caméras sont parfaites pour surveiller votre porte d’entrée ou votre jardin, mais si vous voulez du 4K net avec une latence de 50ms, préparez votre portefeuille.
Fortinet : quand le pro se met au DIY (sans se ruiner)
Si vous voulez monter d’un cran en sécurité sans pour autant vendre un rein, un firewall FortiGate d’occasion peut être une excellente solution. Les modèles comme le FortiGate 60F ou le 80F se trouvent autour de 200-300€ sur eBay ou des sites spécialisés, et ils offrent des fonctionnalités dignes d’un petit datacenter : VLANs, règles de firewall granulaires, VPN, et même de l’inspection SSL si vous êtes motivé.
L’idée ici est simple : créer un LAN dédié pour vos caméras, isolé de votre réseau principal. Voici comment procéder :
- Créez un VLAN pour les caméras (par exemple, VLAN 20, subnet
192.168.20.0/24). - Configurez une interface sur votre FortiGate pour ce VLAN.
- Appliquez des règles de firewall strictes : autorisez uniquement le trafic vers votre serveur de stockage (NAS, Raspberry Pi, etc.) et bloquez tout le reste, y compris l’accès à Internet.
- Si vous voulez accéder aux caméras depuis l’extérieur, utilisez un VPN (OpenVPN ou IPsec) plutôt qu’une exposition directe sur Internet.
Voici un exemple de configuration FortiGate pour un VLAN dédié :
config system interface
edit "CAMERAS"
set vdom "root"
set ip 192.168.20.1 255.255.255.0
set allowaccess ping
set device-identification enable
set role lan
set interface "internal"
set vlanid 20
next
end
config firewall policy
edit 1
set name "CAMERAS_TO_NAS"
set srcintf "CAMERAS"
set dstintf "internal"
set srcaddr "all"
set dstaddr "NAS_IP"
set action accept
set schedule "always"
set service "ALL"
set logtraffic all
next
edit 2
set name "BLOCK_CAMERAS_INTERNET"
set srcintf "CAMERAS"
set dstintf "wan1"
set srcaddr "all"
set dstaddr "all"
set action deny
set schedule "always"
set service "ALL"
set logtraffic all
next
end
Avec cette configuration, vos caméras ne peuvent communiquer qu’avec votre NAS (pour le stockage des vidéos) et sont bloquées vers Internet. Vous gardez le contrôle total sur ce qui entre et sort de ce réseau.
Le LAN dédié : parce que votre réseau principal n’est pas une auberge espagnole
Isoler vos caméras sur un LAN dédié, c’est un peu comme mettre vos invités bruyants dans une pièce à part : ça évite que le bruit ne se propage dans toute la maison. Même si une caméra est compromise, elle ne pourra pas scanner votre réseau local ou envoyer des paquets vers l’extérieur sans votre accord.
Pour mettre en place un LAN dédié, vous avez plusieurs options :
- Un switch géré : Si vous n’avez pas de firewall comme un FortiGate, un switch géré (comme un
TP-Link TL-SG108E) permet de créer des VLANs et d’isoler le trafic. Moins sécurisé qu’un firewall, mais mieux que rien. - Un routeur dédié : Un vieux routeur en mode bridge ou un Raspberry Pi avec
pfSensepeut faire office de firewall léger pour votre LAN caméras. - Un NAS avec virtualisation : Si vous avez un NAS Synology ou QNAP, vous pouvez y installer un firewall virtuel (comme
OPNsense) pour gérer le trafic.
L’important, c’est de ne pas laisser vos caméras sur le même réseau que vos ordinateurs, smartphones ou objets connectés. Parce qu’un jour, vous finirez par cliquer sur un lien douteux, et ce jour-là, vous serez bien content que votre caméra ne puisse pas discuter avec votre PC.
Conclusion : la sécurité, c’est comme le café, ça se dose
Entre les caméras AliExpress à 20€ et les solutions pro à 1000€, il y a un juste milieu. Un LAN dédié avec un firewall comme Fortinet, c’est un bon compromis : ça ne coûte pas une fortune, ça évite les mauvaises surprises, et ça vous permet de dormir sur vos deux oreilles sans avoir l’impression d’être dans un épisode de Mr. Robot.
Si vous optez pour des caméras low-cost, assumez les limites : qualité moyenne, firmware douteux, et risque de sécurité. Mais avec un peu de rigueur (VLAN, règles de firewall, pas de cloud), vous pouvez limiter la casse. Et si un jour vous trouvez une caméra à 5€ avec reconnaissance faciale et stockage illimité, fuyez. Parce que si c’est trop beau pour être vrai, c’est probablement un piège.
Enfin, n’oubliez pas : une caméra de sécurité, c’est comme un parapluie. Si vous l’achetez après la pluie, c’est trop tard.