QR code Wi-Fi au bureau : réseau invité, accueil et sécurité
L'hôtesse d'accueil a répondu à la question des centaines de fois. Un visiteur arrive, demande le Wi-Fi, et reçoit une carte plastifiée avec un mot de passe inchangé depuis l'emménagement. Une fois sur deux, elle le lit à voix haute par-dessus le comptoir, devant six personnes assises dans le hall.
Un QR code règle la lecture à voix haute. Il ne répond pas à la question de fond, qui est : sur quoi ce mot de passe donne-t-il accès ? L'hôtellerie-restauration a sa propre version du Wi-Fi invité, traitée dans les QR codes pour restaurants. Un bureau engage des enjeux différents, parce que le même bâtiment abrite des serveurs de fichiers, des imprimantes avec des identifiants enregistrés, et les portables d'une équipe finance.
Pointez-le vers le réseau invité, pas vers celui où vit votre travail
Une seule décision compte vraiment : le code destiné aux visiteurs doit ouvrir un réseau séparé de celui sur lequel travaillent vos équipes.
Écrit ainsi, cela paraît évident. En pratique, les petits bureaux font souvent tourner un unique réseau à plat. Tout est dessus. Le mot de passe sur la carte de l'accueil est le même que celui du portable de la comptable. En faire un QR code ne crée pas l'exposition, mais transforme le partage en un geste d'une seconde au lieu de quinze, et le volume change la forme du risque.
La plupart des routeurs et bornes de qualité professionnelle savent diffuser un second SSID destiné aux invités. Le matériel grand public le permet souvent aussi. Si votre équipement l'autorise, le code visiteur doit mener là et nulle part ailleurs.
L'isolation est la condition préalable, pas un bonus
Un nom de réseau distinct, à lui seul, est décoratif. Ce qui lui donne un sens, c'est ce qui se trouve derrière : le trafic invité sur son propre VLAN ou son propre segment isolé, sans route vers les sous-réseaux internes, sans accès aux disques partagés, et généralement sans visibilité sur les autres clients du même réseau invité.
C'est une pratique courante plutôt qu'une règle universelle. Les exigences varient selon le secteur, l'assureur, le référentiel auquel une entreprise s'est engagée, et selon ce qu'elle garde réellement sur son propre réseau par rapport à des services hébergés. Ce qu'on peut dire honnêtement en général : la valeur d'un QR code invité dépend presque entièrement de ce dont le réseau invité est isolé. Réglez cette partie avant d'imprimer quoi que ce soit.
Posez deux questions à qui administre votre réseau. Un appareil sur le SSID invité peut-il atteindre quoi que ce soit sur l'interne ? Les appareils du SSID invité se voient-ils entre eux ? Si l'une des réponses est oui, ou "pas sûr", c'est le travail à faire d'abord.
Où placer le code dans un bureau
Le placement suit le moment du besoin.
Comptoir d'accueil. Un petit chevalet, pas une carte qu'on tend et qui repart avec quelqu'un. Les visiteurs sont déjà arrêtés là et regardent déjà la surface du comptoir.
Salles de réunion. L'endroit le plus utile et le plus souvent oublié. Les participants externes se connectent en s'asseyant et en ouvrant un portable, pas en franchissant la porte d'entrée. Un code au bout de la table, ou au mur à côté de l'écran, les attrape à la bonne seconde.
Badges visiteurs ou feuilles d'émargement. Si vous imprimez des badges, un petit code sur le badge voyage avec la personne.
Tenez-le à l'écart du palier d'ascenseur, du parking et de tout ce qui est hors de la zone contrôlée. Une partie de l'intérêt d'un code physique est qu'y accéder suppose d'être quelque part où l'on vous a laissé entrer.
Concevez la carte de sorte que le nom du réseau soit lisible en texte à côté du code, car un visiteur avec un téléphone d'entreprise verrouillé peut être incapable de scanner. Le générateur de QR code personnalisé gère le logo et les couleurs sans ruiner la lisibilité, ce qui compte pour un panneau qui restera un an dans un hall.
Un code imprimé dans un hall public est un objet physique
Voici la partie sous-estimée. Un QR code sur un mur n'est pas une invite de connexion. C'est le mot de passe, rendu en image, en public.
N'importe qui dans ce hall peut le photographier en moins d'une seconde, à l'autre bout de la pièce, sans le toucher et sans que personne le remarque. Un livreur. Quelqu'un qui attend un autre occupant du même étage. Quelqu'un entré derrière un employé badgé. Cette photo fonctionne depuis le trottoir si le signal porte, et elle continue de fonctionner jusqu'au changement de mot de passe.
Rien de tout cela ne plaide contre l'affichage d'un code. Cela plaide pour traiter le code du hall comme réservé au réseau invité, pour s'attendre à ce qu'il voyage, et pour savoir qu'un code dans une zone publique non surveillée peut aussi être recouvert d'un autocollant par quelqu'un d'autre. Ce type de substitution est bon marché et bien réel ; les faux QR codes explique comment cela fonctionne et à quoi ressemble en général un code trafiqué. Prenez l'habitude, à l'accueil, de jeter un œil au panneau, et choisissez un visuel assez distinctif pour qu'un remplacement en noir et blanc saute aux yeux de loin.
La rotation, et la facture de réimpression qu'elle crée
Beaucoup d'équipes informatiques changent le mot de passe invité selon un calendrier. Le trimestre est courant. Certaines changent après un événement qui a fait passer beaucoup d'externes, ou après le départ d'un salarié.
Chaque rotation invalide tous les codes imprimés que vous avez. Le code se scanne toujours, le téléphone tente toujours la connexion, et la connexion échoue : un mode de panne qui génère des tickets d'assistance plutôt que des erreurs évidentes. Ce coût de réimpression est la vraie limite à la fréquence de rotation, et il explique pourquoi un bureau avec des codes dans douze salles de réunion en change moins souvent que prévu.
Trois façons de contenir le coût. Standardisez une seule maquette de carte, pour que réimprimer soit un travail d'impression et non de design. Tenez une liste écrite de chaque emplacement physique où un code existe, car celui qu'on oublie dans la salle du fond est celui qui génère le ticket. Et mettez la date de rotation et la réimpression dans la même entrée de calendrier au lieu d'en faire deux tâches séparées.
Et en France ?
L'ANSSI, l'agence nationale de la sécurité des systèmes d'information, a publié des recommandations de sécurité pour les réseaux Wi-Fi. Parmi les principes de base : séparer strictement le réseau des visiteurs du réseau interne de l'entreprise, et utiliser un chiffrement récent avec un mot de passe robuste.
Le QR code d'accueil s'inscrit parfaitement dans ce cadre, à condition qu'il donne accès au seul réseau invité. Ajoutez une habitude simple : changer ce mot de passe à intervalles réguliers, par exemple chaque trimestre, et réimprimer la carte à ce moment-là. Le QR code rend ce changement indolore, puisque personne n'a plus à retenir ni à dicter le mot de passe.
Prestataires, appareils personnels, et le visiteur qui reste six mois
Le réseau invité est fait pour le visiteur présent une heure, et pour le téléphone personnel qu'un salarié préfère ne pas connecter au réseau de l'entreprise. C'est exactement pour ces cas que le QR code est utile.
Là où cela cesse de fonctionner, c'est le prestataire de longue durée qui doit atteindre des systèmes internes. Cette personne n'a pas sa place sur le réseau invité, et ne devrait pas non plus recevoir le mot de passe Wi-Fi d'entreprise sur une carte. C'est une question d'accès par compte, réglée en général par des identifiants nominatifs ou une authentification par certificat plutôt que par un mot de passe partagé, et un QR code Wi-Fi standard ne peut rien exprimer de tout cela.
Tracez la ligne explicitement : le QR code fournit un accès internet à des personnes qui ne sont pas salariées. Tout ce qui exige un accès interne passe par le processus de provisionnement que vous avez déjà.
Les petites structures sans informatique dédiée peuvent tout de même faire l'essentiel, et les arbitrages d'une organisation légère figurent sur la page QR codes pour petites entreprises. La forme technique du format de code Wi-Fi lui-même se trouve dans le guide complet des QR codes Wi-Fi.
Fabriquez le code visiteur d'après votre SSID invité avec le générateur de QR code Wi-Fi, puis, avant d'imprimer le moindre exemplaire, faites confirmer par qui administre le réseau qu'un appareil sur ce SSID ne peut atteindre aucune ressource interne.
