Objets connectés sans application VPN : j’ai fini par protéger le réseau autour d’eux plutôt que chercher une application qui n’existait pas

Tout est parti d’une caméra. Mon téléphone avait son VPN. Mon ordinateur aussi. Même la télévision du salon pouvait installer des applications. La petite caméra Wi-Fi que je venais d’ajouter, elle, n’avait rien de tout cela.

Pas de magasin d’applications. Pas de menu « VPN ». Pas de possibilité d’importer WireGuard ou OpenVPN.

Seulement un QR code, une application mobile du fabricant et une connexion permanente au Wi-Fi. J’ai regardé ensuite le robot aspirateur, les prises connectées et l’enceinte du salon. Même constat.

J’avais passé des années à considérer un VPN comme quelque chose que l’on installe sur l’appareil à protéger. Devant ces objets, ce raisonnement s’arrêtait brutalement.

La mauvaise question était donc : « Quel VPN possède une application pour tous mes objets connectés ? » La bonne était : où faut-il placer le VPN quand l’objet lui-même est incapable de l’exécuter ?

Un objet peut être très connecté sans savoir protéger sa propre connexion

Cette question me semblait plus actuelle qu’elle ne l’aurait été quelques années auparavant.

Le Cyber Resilience Act européen est désormais entré dans sa phase d’application progressive, avec notamment des obligations de signalement de certaines vulnérabilités activement exploitées et d’incidents graves à partir du 11 septembre 2026.Le texte renforce progressivement les responsabilités des fabricants de produits comportant des éléments numériques.

Mais cela ne transforme pas soudainement chaque caméra, prise ou aspirateur déjà présent dans une maison en petit ordinateur parfaitement administrable.

L’ANSSI souligne justement une difficulté propre aux objets connectés : certains disposent de ressources limitées et de possibilités de mise à jour ou de sécurisation beaucoup moins souples que celles d’un ordinateur classique.

C’était exactement ce que j’avais devant moi. Je pouvais installer autant d’applications de sécurité que je voulais sur mon téléphone ; cela ne faisait apparaître aucun bouton VPN sur la caméra. À partir de là, continuer à chercher une application compatible n’avait plus beaucoup de sens.

Il fallait déplacer la protection ailleurs.

J’ai commencé par le routeur, et cette fois l’idée était correcte

La solution la plus évidente consistait à mettre le VPN sur le routeur.

Le principe est beaucoup plus simple que sa documentation technique ne le laisse parfois penser : si le tunnel commence au niveau du routeur, l’objet connecté n’a plus besoin de savoir ce qu’est un VPN.

La caméra demande simplement à accéder à Internet. Le routeur prend en charge le trajet.

Les fournisseurs qui prennent réellement en charge ce type de configuration l’expliquent clairement. Proton VPN indique par exemple qu’un VPN installé au niveau du routeur peut couvrir des appareils incapables d’exécuter leur propre application VPN. Il faut néanmoins disposer d’un routeur capable de fonctionner comme client OpenVPN ou WireGuard, ce qui n’est pas le cas de toutes les box fournies par les opérateurs.

J’avais heureusement un routeur compatible derrière ma box. J’ai chargé la configuration du fournisseur que j’utilisais déjà, activé le tunnel et déplacé temporairement la caméra et le robot aspirateur sur ce Wi-Fi. Ils se sont reconnectés.

L’image de la caméra est revenue. Le robot apparaissait en ligne. Et leur trafic Internet passait désormais par le routeur VPN.

À cet instant, j’ai vraiment cru que j’avais terminé. En réalité, j’avais résolu le trajet vers Internet. Pas encore la manière dont mes appareils vivaient ensemble à l’intérieur de la maison.

Le tunnel à la sortie de la maison ne construit pas de murs entre les pièces

J’avais fait une association trop rapide :

objet derrière le VPN = objet isolé et sécurisé.

Un VPN de routeur ne fonctionne pas ainsi. Il protège le trafic qui part vers Internet. Il ne transforme pas automatiquement chaque appareil du réseau local en île séparée.

La documentation de Proton fait cette distinction : le tunnel protège le trafic entre le routeur et Internet, tandis que les échanges locaux restent un autre sujet.ExpressVPN explique également que le trafic Internet de ses routeurs peut passer par le VPN sans que les communications à l’intérieur du même réseau local soient, elles, transformées par ce tunnel.

L’image qui m’a finalement aidé était assez simple. J’avais sécurisé la route qui quittait la maison. Je n’avais pas installé de cloisons entre les pièces.

Si mon seul objectif était de faire passer les connexions Internet de la caméra par le VPN, le routeur avait déjà fait son travail.

Mais je ne voulais pas qu’un appareil auquel je faisais moins confiance partage exactement le même espace réseau que mon ordinateur professionnel ou mon NAS.

Pour cela, il fallait ajouter une séparation réseau. Et c’est à cet endroit que mon problème a cessé d’être « quel VPN installer sur ma caméra ? ».

Les expériences d’autres utilisateurs m’ont confirmé que je n’étais plus en train de résoudre le même problème

Dans des discussions récentes sur r/HomeNetworking, des utilisateurs décrivaient justement des installations dans lesquelles les objets connectés finissaient sur un SSID ou un VLAN séparé : éclairages, interrupteurs, capteurs, aspirateurs, enceintes et autres appareils.

Ce qui m’a intéressé n’était pas le détail de leurs configurations. C’était le problème qui apparaissait ensuite.

Une fois les objets isolés, certains doivent encore communiquer avec un téléphone, découvrir une enceinte ou recevoir des commandes depuis le réseau principal. La difficulté devient donc de laisser passer ce qui est nécessaire, sans remettre tous les appareils dans le même espace.

C’était beaucoup plus proche de mon besoin réel que la promesse vague de « protéger tous les appareils avec un VPN ». Je ne voulais plus seulement changer leur adresse IP publique. Je voulais savoir quels appareils pouvaient parler à quoi.

J’ai donc séparé les objets avant de chercher à tout faire passer par le même outil

J’ai créé un réseau réservé aux objets connectés. La caméra. Le robot.

Les prises. L’enceinte. Ils pouvaient toujours atteindre Internet, mais ils n’avaient plus besoin de partager le même environnement réseau que mon ordinateur de travail.

J’ai ensuite conservé le VPN au niveau de la passerelle de ce réseau. L’ensemble devenait enfin logique : la séparation contrôlait ce qui se passait dans la maison ; le VPN s’occupait du trafic qui en sortait.

Certains systèmes de routeur permettent même d’aller plus loin. ExpressVPN documente par exemple la création de groupes d’appareils pouvant emprunter différentes connexions VPN, une connexion directe ou aucune connexion Internet.

Une caméra, une télévision et un ordinateur professionnel n’ont après tout aucune raison d’avoir systématiquement la même politique réseau.

Et c’est à ce moment-là que mon critère a vraiment changé. Pour un objet incapable d’installer une application, le nombre de fonctions disponibles dans l’application mobile du VPN est presque secondaire.

Ce qui compte d’abord, c’est que le réseau puisse porter la protection à sa place.

Cette conclusion a aussi évité une erreur assez tentante : essayer de faire entrer le même produit de force dans chaque couche de mon installation.

Je n’ai pas essayé de transformer OnlydogVPN^↗ en VPN de routeur par principe

J’utilisais déjà OnlydogVPN sur mes appareils personnels. Mais sur le réseau IoT, j’ai gardé la solution dont la configuration OpenVPN ou WireGuard était officiellement documentée pour mon routeur. C’était le choix logique.

Une caméra qui n’exécute aucune application ne devient pas un meilleur endroit pour un produit simplement parce que j’apprécie ce produit ailleurs.

En revanche, une fois le réseau IoT correctement isolé, j’ai remarqué le problème suivant. Le téléphone avec lequel je contrôlais cette caméra ne restait évidemment pas toute la journée dans la maison. Mon portable non plus.

Le VPN du routeur faisait son travail tant qu’ils utilisaient mon Wi-Fi. Dès que je passais en 5G ou sur un autre réseau, ce tunnel restait chez moi.

Et là, le rôle de la petite application devenait beaucoup plus évident. Pas sur la caméra. Sur les appareils qui bougent avec moi.

En quittant le Wi-Fi, j’ai compris pourquoi je ne voulais finalement pas un seul VPN « partout »

Le lendemain, j’ai ouvert l’application de la caméra depuis mon téléphone en 5G. La caméra était toujours chez moi, sur son réseau IoT séparé. Le téléphone avait son propre tunnel.

Je n’essayais plus de faire dépendre toute l’installation d’une seule configuration géante. Le routeur s’occupait des appareils qui ne pouvaient rien installer. Le téléphone et le portable pouvaient se protéger eux-mêmes.

C’est précisément sur ces appareils mobiles que l’approche de la petite application me semblait plus intéressante. Son transport basé sur HTTP/3 et sa manière de gérer les changements de réseau sont conçus pour faciliter la récupération de la connexion quand un appareil passe, par exemple, du Wi-Fi au réseau mobile.

Dans les essais qui avaient motivé cette installation, c’était exactement l’avantage que je voulais conserver : pouvoir quitter mon réseau domestique sans devoir penser à reconstruire manuellement ma protection.

Sur une caméra vissée au même mur toute l’année, cette caractéristique m’aurait peu servi. Sur le téléphone depuis lequel je la consulte, elle devient immédiatement concrète. Après avoir vérifié l’image de la caméra, j’ai continué à naviguer normalement et j’ai vu le compteur de requêtes bloquées commencer à monter.

Le filtrage de publicités et de trackers n’était pas la raison de toute cette réorganisation.

Mais une fois la tâche principale accomplie, c’était un petit avantage facile à apprécier : la fonction apparaissait exactement sur l’appareil où j’utilisais réellement un navigateur et des applications.

Chaque couche faisait enfin le travail qui lui convenait.

Le VPN n’était finalement qu’une moitié de la réponse

Si une caméra, une télévision, une console, une enceinte ou un autre objet connecté refuse toute application VPN, je ne commence donc plus par chercher une application miraculeusement compatible.

Je regarde d’abord le réseau. Le routeur peut-il fonctionner comme client VPN ? Puis-je faire passer uniquement les appareils concernés par ce tunnel ?

Et si je veux aussi éviter qu’un objet connecté communique librement avec mes appareils personnels, puis-je l’isoler sur un réseau séparé ?

C’est cette dernière distinction que mon premier essai avait ratée. Le VPN de routeur protégeait correctement le trajet vers Internet. Il n’était simplement pas censé remplacer la segmentation du réseau local. Pour les objets qui ne savent rien installer, je choisirais donc d’abord une solution disposant d’un vrai support routeur documenté.

Pour les appareils que je transporte avec moi, je préfère une logique différente : une application légère qui reste avec eux, simplifie le choix du mode de connexion et récupère proprement lorsque le réseau change.

Je pensais au départ qu’il me fallait un VPN capable de s’installer partout.

La caméra m’a appris l’inverse : lorsqu’un appareil ne peut pas accueillir la protection, il vaut mieux protéger son chemin — puis laisser les appareils capables d’utiliser une bonne application emporter leur propre protection avec eux.