Une serrure connectée, est-ce que ça se pirate ?

C'est la question qui revient avant chaque achat : en remplaçant une serrure mécanique par une serrure connectée, est-ce qu'on n'ouvre pas une porte… aux pirates ? La réponse honnête tient en deux temps. Oui, une serrure connectée est un objet électronique, et tout objet électronique peut théoriquement être attaqué. Mais pas du tout de la manière qu'on imagine : le scénario du hacker qui ouvre votre porte depuis un ordinateur à l'autre bout du monde n'est pas le vrai sujet. Voici ce qui est réellement attaquable, ce qui ne l'est pas, et ce qui dépend de vous.

Le vrai risque n'est pas celui qu'on croit

Commençons par démonter le scénario de film. Pour ouvrir votre porte « à distance », il faudrait que votre serrure accepte des connexions venues d'Internet. Ce n'est pas ainsi qu'elle fonctionne. Une serrure connectée n'écoute rien : elle n'a pas d'adresse publique, pas de port ouvert, rien qui traîne sur le réseau. C'est elle qui part contacter le serveur, dans un tunnel chiffré, pour dire « je suis là » et récupérer vos éventuelles commandes. Il n'y a pas de poignée à saisir de l'extérieur.

Les incidents réels, eux, ressemblent beaucoup moins à du piratage qu'à de la négligence. Dans l'ordre de fréquence :

— un code trop simple : 1234, une année de naissance, ou le même code que le digicode de l'immeuble ;
— une configuration initiale bâclée : le code administrateur d'usine jamais changé, ou un accès laissé actif après un déménagement ;
— un code observé, tout simplement, par-dessus l'épaule ou grâce aux traces de doigts sur le clavier ;
— du matériel bas de gamme acheté sans marque ni suivi, dont personne ne corrigera jamais les défauts ;
— et l'attaque la plus banale de toutes, la force brute physique — pied-de-biche, perceuse — qui n'a strictement rien d'informatique et concerne aussi les serrures classiques.

Autrement dit : le maillon faible n'est presque jamais le chiffrement, mais la configuration, l'habitude et la qualité du matériel — trois points qui se maîtrisent. Nous passons en revue les autres craintes fréquentes (batterie, application, SAV) dans notre page sur la fiabilité réelle d'une serrure électronique ; ici, on reste sur la sécurité pure.

Chiffrement et cloud Tuya : ce qui protège la connexion

Nos modèles connectés s'appuient sur l'écosystème Tuya, l'une des plateformes d'objets connectés les plus déployées au monde. Concrètement, cela veut dire trois choses.

1. Tout ce qui circule est chiffré. Les échanges entre la serrure, votre téléphone et les serveurs passent par des canaux chiffrés de bout en bout du trajet. Quelqu'un qui capterait le trafic WiFi de l'immeuble ne récupérerait pas votre code : il verrait passer un flux illisible.

2. Votre code n'est pas un mot de passe qui voyage. Les identifiants d'accès physiques (code, empreinte, visage) sont gérés dans la serrure. Ils ne sont pas expédiés en clair à chaque ouverture pour être validés ailleurs : la vérification est locale, immédiate, et elle continue même si la connexion tombe.

3. L'appairage est lié à l'appareil. Chaque serrure est associée à votre compte lors de l'installation, avec ses propres clés. Un voisin qui achèterait le même modèle ne pourrait pas « prendre la main » sur la vôtre depuis son application.

Reste la part qui vous appartient, et il faut le dire clairement : le point le plus sensible du système, c'est votre compte. Si quelqu'un connaît votre e-mail et votre mot de passe, il n'a rien à « pirater » — il lui suffit de se connecter. D'où trois réflexes qui valent tous les chiffrements du monde : un mot de passe fort et unique, jamais recyclé d'un autre site ; ne pas partager le compte principal (créez des accès invités plutôt que de prêter vos identifiants) ; et garder les notifications activées, pour voir immédiatement une ouverture qui n'aurait pas lieu d'être.

Badges RFID et codes PIN : clonage, brute-force, et comment on s'en protège

C'est là que se situent les vraies faiblesses techniques — et autant les nommer.

Le badge RFID peut être copié. Les badges d'entrée de gamme, en basse fréquence et sans chiffrement, se dupliquent en quelques secondes avec un appareil qu'on trouve pour quelques centaines de dirhams. C'est une réalité du format, pas une faille exotique. La parade n'est pas de fuir le badge, qui reste très pratique : c'est de le traiter pour ce qu'il est, un confort, pas une protection ultime. Ne le laissez pas dans la boîte aux lettres, sous le paillasson ou dans la voiture ; et en cas de perte, supprimez-le depuis l'application — il devient inerte instantanément, ce qu'aucune clé mécanique perdue ne permet.

Le code PIN peut être deviné — en théorie. Essayer tous les codes à six chiffres, c'est un million de combinaisons : infaisable à la main, mais l'idée inquiète. Sauf qu'une serrure sérieuse ne se laisse pas faire. Après plusieurs saisies erronées d'affilée, elle se bloque quelques minutes et déclenche une alerte. Ce verrouillage temporaire transforme un million d'essais en années d'acharnement devant une porte, alarme comprise. Le brute-force n'est pas un risque réaliste.

La vraie menace sur le code est beaucoup plus prosaïque : on vous regarde le taper, ou les traces de doigts trahissent les quatre touches utilisées. D'où une fonction trop peu connue et qu'il faut prendre l'habitude d'utiliser : le code leurre (ou « mot de passe virtuel »). Vous tapez une série de chiffres au hasard avant et après votre vrai code — la serrure retrouve la bonne séquence à l'intérieur et ouvre. Résultat : l'observateur ne voit qu'une bouillie de chiffres, et les traces sur le clavier ne veulent plus rien dire. C'est gratuit, ça prend deux secondes, et ça neutralise la principale attaque du quotidien.

WiFi ou Bluetooth : ce que ça change pour la sécurité

Question fréquente : une serrure en Bluetooth est-elle plus sûre qu'une serrure en WiFi ? Techniquement, la surface d'exposition n'est pas la même, mais la conclusion pratique surprend.

En Bluetooth, la portée se compte en mètres. Pour tenter quoi que ce soit, il faut être physiquement devant votre porte — ce qui, disons-le, décrit déjà un cambrioleur classique. En contrepartie, pas de pilotage à distance : vous ne pouvez ni ouvrir ni créer un code depuis l'extérieur.

En WiFi, la serrure dialogue avec le cloud, donc elle est joignable de partout — pour vous. Cela n'en fait pas pour autant une cible exposée, puisque, on l'a vu, la connexion est sortante et chiffrée : il n'y a pas de service en écoute sur lequel frapper.

Ce qui compte davantage que ce choix, c'est l'hygiène de votre box Internet : un mot de passe WiFi qui n'est plus celui collé sous le routeur, un chiffrement WPA2 ou WPA3 activé, et si votre box le permet, un réseau invité dédié aux objets connectés. Et si votre inquiétude porte plutôt sur ce qui continue de fonctionner quand la connexion tombe, tout est expliqué dans notre article sur la serrure électronique sans WiFi.

Reconnaissance faciale : pourquoi c'est le plus dur à contourner

Reprenons les faiblesses listées plus haut : un code s'observe, un badge se clone, une clé se perd. Toutes ont un point commun — ce sont des objets ou des séquences qui existent en dehors de vous, donc copiables. La reconnaissance faciale casse cette logique : il n'y a rien à taper, rien à sortir de sa poche, rien à égarer. Rien à voler, donc.

Encore faut-il que le module soit sérieux. Sur la FutureLock, la reconnaissance ne se contente pas de comparer une image : elle analyse le relief du visage à l'infrarouge. Une photo imprimée ou affichée sur un écran est plate ; elle est rejetée. Bénéfice secondaire : la reconnaissance fonctionne dans le noir. L'empreinte du visage est enregistrée dans la serrure, pas baladée sur Internet.

Il y a enfin un effet rarement mentionné : la reconnaissance faciale ouvre en moins d'une seconde, sans que vous touchiez le clavier. Donc plus de code tapé devant un voisin, plus de traces de doigts, plus de séquence à mémoriser pour les enfants. La faille la plus courante — l'observation — disparaît simplement parce qu'il n'y a plus rien à observer.

La FutureLock ajoute par-dessus un visiophone intégré : vous voyez qui se présente à votre porte, et le passage est horodaté — un visiteur filmé est un visiteur dissuadé. Et si besoin, les méthodes de secours restent là : empreinte, code, badge et clé mécanique. C'est la combinaison que nous recommandons quand la sécurité est la préoccupation principale : ne rien exposer au quotidien, tout en gardant plusieurs portes de sortie. Nos installations incluent la pose et la configuration complète — codes d'usine changés, accès nommés, notifications réglées avec vous. Le détail des modèles et des zones d'intervention est sur www.elactronics.ma.

Questions fréquentes