Wifi clients et caisse sur le même réseau : le risque à éviter

Dans beaucoup de restaurants, il n'y a qu'un seul wifi : celui de la box. La caisse y est connectée, le terminal de paiement aussi, l'imprimante de tickets, parfois les caméras et l'ordinateur du bureau. Et son mot de passe est écrit sur l'ardoise, pour les clients.

Autrement dit, chaque client qui se connecte entre dans le même réseau que vos outils de travail. La plupart ne feront jamais rien de mal. Mais vous n'avez aucun moyen de savoir lesquels.

L'essentiel

Un client connecté à votre wifi de travail peut « voir » votre caisse, votre TPE et vos autres appareils.

La solution n'est pas un mot de passe plus compliqué, c'est un second réseau, réservé aux clients.

Le wifi invité de votre box suffit pour séparer. Il ne suffit en général pas pour être en règle avec la loi.

Ce qui se passe quand tout le monde partage le même wifi

Sur un réseau local, les appareils se voient entre eux. C'est ce qui permet à votre caisse d'envoyer un ticket à l'imprimante. C'est aussi ce qui permet à l'ordinateur d'un client d'apercevoir cette imprimante, votre caisse, vos caméras, et de tenter d'y accéder.

Trois risques concrets en découlent.

Un appareil infecté. Un ordinateur porteur d'un logiciel malveillant cherche d'autres machines autour de lui. Son propriétaire n'en sait rien, et n'a aucune mauvaise intention.

Un curieux. Les interfaces de réglage des box, des caméras et des imprimantes sont souvent protégées par un mot de passe d'usine, que l'on trouve en quelques secondes sur internet.

Un encaissement qui ralentit. Un client qui télécharge un film ou lance une visioconférence consomme le débit dont votre terminal de paiement a besoin, en plein service.

Ajoutez à cela qu'un mot de passe donné à tous les clients finit par être connu de tout le quartier, des anciens salariés et des voisins du dessus.

Séparer : le principe

La bonne réponse est la même dans un café de vingt places et dans un grand hôtel : deux réseaux.

Un réseau privé, pour vous : la caisse, le TPE, l'imprimante, le bureau. Son mot de passe n'est connu que de l'équipe.
Un réseau clients, à part. Ceux qui s'y connectent ont internet, et rien d'autre : ils ne voient pas vos appareils.

Les règles de sécurité des paiements par carte vont dans le même sens : les équipements qui encaissent ne doivent pas être accessibles depuis un réseau ouvert au public.

Trois façons de le faire

Le wifi invité de votre box

La plupart des box proposent un « wifi invité » : un second réseau, avec son propre nom, séparé de votre réseau principal. Il s'active dans les réglages de la box, en quelques minutes. C'est gratuit, et c'est déjà un vrai progrès.

Ses limites : il faut toujours donner un mot de passe aux clients, le débit de chacun n'est en général pas plafonné, et il ne tient en général pas le journal de connexion que la loi demande à ceux qui offrent internet au public.

Un second routeur, réglé par vos soins

Un routeur branché sur la box et configuré pour créer un réseau clients isolé. C'est efficace, à condition de savoir le régler et de le tenir à jour.

Un portail captif, sur un réseau à part

C'est la solution la plus complète : un routeur dédié crée le réseau des clients, les isole de votre réseau privé et les uns des autres, plafonne le débit de chacun, et affiche une page de connexion qui tient le journal légal. Nous expliquons le principe dans notre article sur le portail captif.

	Wifi partagé	Wifi invité de la box	Portail captif dédié
Clients séparés de la caisse et du TPE	Non	Oui	Oui
Débit de chaque client plafonné	Non	Rarement	Oui
Journal de connexion légal	Non	En général non	Oui
Mot de passe à donner	Oui	Oui	Non

Huit réflexes pour un réseau sain

Changez le mot de passe d'administration de votre box. Celui d'usine est souvent imprimé sur l'étiquette, à la vue de tous.
Gardez votre wifi privé pour vous, avec un mot de passe long, jamais communiqué aux clients.
Créez un réseau à part pour les clients.
Branchez la caisse et le terminal de paiement sur le réseau privé, par câble quand c'est possible.
Faites les mises à jour de la box, de la caisse et du routeur quand elles sont proposées.
Changez les mots de passe d'usine des caméras, des imprimantes et des autres appareils connectés.
Changez le mot de passe du wifi privé quand un salarié s'en va.
Ne laissez pas la box à portée de main des clients : une prise réseau libre est une porte ouverte.

Ce que fait Clicspot

Le routeur Clicspot se branche sur votre box et crée un wifi réservé à vos clients. Ils sont séparés de votre caisse et de votre TPE, isolés les uns des autres, et le débit de chacun est plafonné. Votre wifi privé ne change pas : il reste pour vous.

Le même boîtier tient le journal de connexion que la loi exige, expliqué dans notre article sur les obligations légales du wifi, et vous aide à récolter des avis Google. Il s'installe en deux minutes, sans technicien : voyez comment ça marche.

Questions fréquentes

Le wifi invité de ma box suffit-il ?

Pour la sécurité, c'est une bonne première étape : vos clients ne sont plus sur le même réseau que votre caisse. Pour la loi, en général non : il ne tient pas de journal de connexion conservé un an.

Mes clients peuvent-ils voir les appareils des autres clients ?

Sur un wifi partagé classique, oui. Sur un réseau où les clients sont isolés les uns des autres, non : chacun n'a accès qu'à internet.

Mon terminal de paiement est en 4G. Suis-je concerné ?

Moins pour le paiement, puisqu'il n'utilise pas votre wifi. Mais votre caisse, votre imprimante et vos caméras restent sur votre réseau : la séparation garde tout son intérêt.

Faut-il un informaticien pour séparer les réseaux ?

Pas forcément. Activer le wifi invité d'une box se fait soi-même. Un portail captif clé en main arrive déjà réglé : il suffit de le brancher.

Par Nans, de l'équipe Clicspot. Clicspot équipe les restaurants, les cafés et les bars d'un wifi clients qui leur rapporte des avis Google et un fichier clients.