Mot de passe "admin/admin" : quand la passerelle domotique devient la porte d'entrée des cambrioleurs et des hackers
La passerelle cloud que vous configurez est devenue le maillon faible préféré des attaquants. Un mot de passe par défaut oublié, et le domoticien se retrouve responsable d'une intrusion réseau, d'une fuite de données, voire d'un cambriolage piloté à distance.
- Laisser un identifiant par défaut ou un port ouvert sur une passerelle domotique est une faute de sécurité directement imputable au concepteur.
- Une intrusion via la passerelle peut entraîner un cambriolage physique, le pilotage malveillant des équipements et une fuite de données personnelles relevant du RGPD.
- La RC Pro seule ne suffit pas : il faut l'option cyber pour couvrir les frais de notification, d'investigation et les conséquences d'une compromission réseau.
- Le durcissement systématique des accès et une clause de maintenance écrite répartissant la responsabilité dans le temps sont vos deux meilleures protections.
Pourquoi la passerelle est le talon d'Achille de toute installation domotique
Un système domotique moderne expose presque toujours une passerelle (gateway) vers l'extérieur : accès distant via une application mobile, intégration cloud avec Apple Home, Google Home ou Alexa, supervision à distance par le domoticien lui-même. Cette ouverture est précisément ce que recherchent les clients — et ce que recherchent les attaquants.
Le maillon faible n'est presque jamais le protocole de terrain (KNX, Loxone) bien isolé sur son bus. C'est la passerelle, parce qu'elle est exposée sur Internet et qu'elle est configurée par un humain qui peut oublier un détail. Les vecteurs classiques :
- un identifiant par défaut jamais changé (le tristement célèbre admin/admin) ;
- un port ouvert et redirigé sur la box du client sans VPN ni filtrage ;
- un firmware non mis à jour portant une vulnérabilité connue ;
- une clé d'API cloud stockée en clair ou partagée.
Pour un concepteur, ce n'est pas un détail technique : c'est le cœur de votre responsabilité. Vous êtes le professionnel qui a paramétré l'accès. Si la porte était grande ouverte, c'est vous qui l'avez laissée ainsi.
Trois conséquences d'une intrusion, trois préjudices distincts
Une passerelle compromise ne provoque pas un seul sinistre mais une cascade, chacune relevant d'une logique d'indemnisation différente :
| Conséquence | Préjudice | Couverture mobilisée |
|---|---|---|
| Pilotage malveillant des équipements (déverrouillage de portes, désactivation alarme) | Cambriolage, dommages physiques | RC Pro (faute) + cyber |
| Espionnage via caméras et micros connectés | Atteinte à la vie privée | Cyber + protection juridique |
| Fuite de données personnelles (habitudes, présences, vidéos) | Violation RGPD | Cyber (notification, sanctions) |
| Rebond vers le réseau professionnel du client | Compromission de tiers | Cyber (responsabilité étendue) |
Le point crucial : une partie de ces préjudices n'est pas couverte par une RC Pro classique. Les frais d'investigation forensique, la notification obligatoire aux personnes concernées, l'assistance d'un expert en cybersécurité et les conséquences d'une violation RGPD relèvent d'une garantie assurance cyber dédiée. Sans elle, vous absorbez ces coûts seul.
Le volet RGPD que les domoticiens sous-estiment
Un système domotique collecte des données d'une intimité rare : heures de présence et d'absence, habitudes de vie, flux vidéo, données de géolocalisation. Ce sont des données personnelles au sens du RGPD, parfois sensibles.
En tant que concepteur, vous n'êtes généralement pas le responsable de traitement — c'est votre client. Mais vous pouvez être qualifié de sous-traitant au sens de l'article 28 du RGPD si vous accédez à ces données dans le cadre de la supervision ou de la maintenance à distance. À ce titre, vous avez une obligation de sécurité des traitements (article 32) : mettre en œuvre des mesures techniques appropriées, dont… le durcissement des accès.
Conséquence concrète : si une fuite survient à cause d'une passerelle que vous avez mal sécurisée, vous pouvez être directement mis en cause, pas seulement votre client. La CNIL peut sanctionner un sous-traitant négligent, et le responsable de traitement peut exercer un recours contre vous. C'est une responsabilité que ni votre RC Pro de base ni votre intuition ne couvrent spontanément.
Dès que vous accédez à distance aux données d'un système domotique, vous entrez dans le périmètre du RGPD. Un contrat de sous-traitance et une option cyber ne sont plus optionnels.
Les réflexes techniques qui font tomber votre responsabilité
La meilleure assurance reste de ne pas créer la faille. Voici le socle de durcissement qu'un expert attend d'un concepteur professionnel — et dont l'absence sera retenue contre vous en cas de litige :
- Changer tous les identifiants par défaut, sans exception, et documenter ce changement dans votre dossier de mise en service.
- Bannir les redirections de port brutes : privilégier un VPN, un tunnel sécurisé ou le cloud officiel du fabricant plutôt qu'une exposition directe sur Internet.
- Appliquer les mises à jour de firmware à la livraison et documenter la version installée.
- Segmenter le réseau : isoler les objets connectés sur un VLAN dédié pour éviter qu'une compromission n'atteigne le réseau personnel ou professionnel du client.
- Remettre une notice de sécurité au client : qui détient les accès, comment les renouveler, qui gère les mises à jour après livraison.
Ce dernier point est juridiquement décisif : il permet de transférer une partie de la responsabilité dans le temps. Sans contrat de maintenance, une faille apparue dix-huit mois après livraison à cause d'un firmware non mis à jour ne devrait plus relever de vous — à condition de l'avoir écrit.
Pourquoi l'option cyber n'est pas un luxe pour un domoticien
Un domoticien concepteur est, qu'il le veuille ou non, un acteur de la cybersécurité du domicile de ses clients. Cette position l'expose à des sinistres d'une nature très différente de la simple erreur de paramétrage :
- les coûts ne sont pas que financiers mais aussi opérationnels (investigation, expertise forensique, reconfiguration complète) ;
- les délais légaux du RGPD sont contraignants (notification d'une violation sous 72 heures) et nécessitent un accompagnement immédiat ;
- la réputation est en jeu : un domoticien associé à un cambriolage piloté à distance perd sa clientèle haut de gamme.
L'option cyber complète la RC Pro en prenant en charge l'investigation, la gestion de crise, l'assistance juridique RGPD et les conséquences financières d'une compromission. Pour un professionnel qui ouvre des portes sur Internet à longueur de chantiers, c'est une couverture structurante, pas un supplément cosmétique.
Le bon réflexe : faire chiffrer une RC Pro avec option cyber dès la souscription, et conserver la traçabilité de votre durcissement. Code propre, accès durcis, contrat clair et assurance adaptée : c'est la combinaison qui vous garde maître de votre responsabilité.
Questions fréquentes
Si la compromission résulte d'un défaut de configuration de votre part — identifiant par défaut laissé en place, port exposé sans protection, firmware obsolète à la livraison — votre responsabilité professionnelle est engagée. Vous êtes le professionnel qui a paramétré l'accès. En revanche, une faille apparue après une longue période sans maintenance contractualisée vous est plus difficilement imputable.
Non, pas seule. La RC Pro couvre votre faute professionnelle, mais les frais spécifiques d'une cyberattaque — investigation forensique, notification RGPD, assistance d'un expert en sécurité, gestion de crise — relèvent d'une option cyber dédiée. Sans elle, ces coûts, souvent les plus lourds, restent à votre charge.
Oui dès que vous accédez aux données du système, notamment en supervision ou maintenance à distance. Vous devenez alors sous-traitant au sens de l'article 28 du RGPD, avec une obligation de sécurité des traitements. Une fuite causée par une passerelle mal sécurisée peut vous être directement reprochée, par la CNIL comme par votre client.
Remettez une notice de sécurité, documentez les accès et leur détenteur, et surtout proposez un contrat de maintenance écrit précisant qui gère les mises à jour de firmware et de sécurité. Sans cet écrit, une faille apparue longtemps après la livraison risque de vous être imputée alors qu'elle relève de l'absence d'entretien côté client.
Oui, les intégrations cloud et IoT entrent dans le périmètre de votre prestation et sont couvertes par la RC Pro pour la partie faute de paramétrage. L'option cyber est fortement recommandée pour prendre en charge les conséquences d'une intrusion exploitant ces passerelles, qui constituent le point d'exposition principal du système.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Conception domotique (hors pose) — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Conception domotique (hors pose) →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.