Wifi en entreprise : couverture, bornes et sécurité

Un wifi d’entreprise se dimensionne sur le nombre d’appareils connectés en même temps, pas sur la surface à couvrir. Trois décisions le structurent : les bandes de fréquences retenues et leur cadre réglementaire, le nombre et l’emplacement des bornes, le mode d’authentification qui sépare les collaborateurs des visiteurs.

Trois bandes, trois comportements physiques

Le wifi domestique se contente de la bande occupée par le voisinage. En entreprise, le choix des fréquences détermine le débit ressenti autant que le matériel acheté.

La bande 2,4 GHz traverse les cloisons, les portes et les faux plafonds mieux que les autres. Elle n’offre en revanche que trois canaux réellement disjoints, ce qui suffisait quand une pièce comptait deux ordinateurs. Aujourd’hui, elle sert surtout aux capteurs, aux imprimantes anciennes et aux équipements techniques qui ne savent rien faire d’autre. La traiter comme un réseau de service, séparé du réseau bureautique, évite qu’un thermostat ne consomme le temps de parole d’une visioconférence.

La bande 5 GHz porte moins loin et supporte mal les murs porteurs, mais elle multiplie les canaux disponibles. L’Arcep en fixe les conditions d’utilisation dans sa décision n° 2022-1960 du 4 octobre 2022, qui couvre les sous-bandes 5150-5250, 5250-5350 et 5470-5725 MHz. Deux mécanismes y sont obligatoires au-dessus de 5250 MHz : la sélection dynamique de fréquence, qui libère le canal dès qu’un radar est détecté, et le contrôle de puissance à l’émission, qui doit apporter en moyenne au moins 3 dB d’atténuation. Sur la sous-bande 5470-5725 MHz, la puissance isotrope rayonnée équivalente moyenne est plafonnée à 1 W, avec une densité de 50 mW par mégahertz.

Ce détail réglementaire a une conséquence très concrète. Une borne installée près d’un aéroport, d’un port ou d’une station météo bascule régulièrement de canal sous l’effet du DFS, et chaque bascule coupe brièvement les associations en cours. Les appels chutent, personne ne comprend pourquoi, et l’administrateur cherche du côté du fournisseur d’accès.

Ce que la bande 6 GHz apporte vraiment

L’Arcep a désigné la bande 5945-6425 MHz pour les systèmes d’accès sans fil par sa décision n° 2021-2184 du 14 octobre 2021 : 480 MHz supplémentaires, attribués à titre non exclusif, sans droit à protection contre les brouillages. Les points d’accès de faible puissance y sont réservés à l’intérieur des bâtiments, avec une puissance isotrope rayonnée équivalente moyenne limitée à 23 dBm.

L’intérêt de cette bande 6 GHz ne tient pas au débit théorique affiché sur les emballages. Il tient au fait qu’elle est vierge : aucun ancien matériel n’y émet, aucun réseau du voisinage installé avant 2022 ne l’occupe. Sur un plateau dense entouré d’autres entreprises, c’est la seule ressource propre disponible.

Compter les bornes par la densité d’usage

L’erreur de dimensionnement la plus fréquente consiste à diviser une surface par un rayon de couverture annoncé par le fabricant. Le résultat couvre effectivement le bâtiment, et sature dès la première réunion.

Le raisonnement utile part des terminaux. Chaque collaborateur en apporte au moins deux, souvent trois, et ces appareils émettent même au repos : synchronisation de messagerie, sauvegarde, mises à jour. Les usages ne pèsent pas le même poids non plus. Une session de visioconférence occupe le canal en continu, dans les deux sens, là où la consultation de documents produit des rafales espacées.

Un ordre de priorité tient en quatre points, à établir avant tout devis :

• le nombre d’appareils actifs simultanément dans la zone la plus dense, généralement une salle de réunion ou un open space
• la part de trafic temps réel, visioconférence et téléphonie sur IP, qui tolère mal la latence
• les zones où la mobilité compte réellement, couloirs et espaces communs, par opposition aux postes fixes
• les matériaux traversés, béton armé, cloisons vitrées, rayonnages métalliques, mesurés sur place et pas déduits d’un plan

Cette densité d’usage conduit presque toujours à installer plus de bornes que prévu, chacune émettant moins fort. Le réflexe inverse, une borne unique poussée au maximum, produit un signal reçu partout et un canal inutilisable dès que plusieurs appareils parlent.

La largeur de canal, le réglage qui se retourne

Les interfaces d’administration proposent des canaux de 20, 40, 80, voire 160 MHz. Le débit crête grimpe avec la largeur, et la tentation est évidente.

Sauf qu’élargir un canal revient à en supprimer d’autres. En bande 5 GHz, quelques canaux de 80 MHz suffisent à consommer tout l’espace exploitable, et deux bornes voisines finissent par se marcher dessus. Sur un site dense, des canaux plus étroits en 2,4 GHz et de 40 à 80 MHz en 5 GHz donnent une expérience nettement plus stable qu’une configuration maximaliste. Le débit affiché baisse, le débit réellement obtenu monte.

Le câblage et l’alimentation décident du placement

Une borne se pose là où arrive un lien cuivre, pas là où le plan de couverture serait idéal. Ce détail matériel commande le projet entier, et il se traite avant l’achat des équipements radio.

L’alimentation par le câble réseau évite de tirer une prise électrique à chaque emplacement. La norme IEEE 802.3bt, publiée fin 2018, définit deux nouveaux niveaux : le type 3 délivre jusqu’à 60 W côté équipement source, dont environ 51 W parviennent à l’appareil alimenté, et le type 4 monte jusqu’à 90 W, pour environ 71 W utiles. Les deux exploitent les quatre paires du câble simultanément avec les données.

Le piège se trouve du côté du commutateur. Un modèle annoncé comme compatible dispose souvent d’un budget PoE global inférieur à la somme de ses ports : douze ports capables d’alimenter 30 W chacun ne signifient pas 360 W disponibles. Vérifiez ce budget total, ajoutez les caméras et les téléphones déjà branchés, et gardez une marge. Un commutateur qui atteint sa limite coupe des ports par ordre de priorité, sans prévenir.

La qualité du chemin cuivre compte autant. Les longueurs, les reprises et le rangement se décident dans la baie de brassage, et une borne alimentée en bout d’un câble médiocre redémarre par intermittence sans qu’aucun voyant ne l’explique. Cette même baie mérite une protection électrique dimensionnée : le calcul est détaillé dans notre article sur l’onduleur informatique.

Authentifier les postes plutôt que partager une clé

Le mot de passe unique affiché sur un tableau blanc fonctionne jusqu’au premier départ. Ensuite, il faut le changer partout, sur les ordinateurs, les téléphones, l’imprimante et les capteurs, ce qui n’arrive jamais.

L’ANSSI, dans sa note technique consacrée aux réseaux wifi, retient pour une clé partagée un secret d’au moins vingt caractères, renouvelé régulièrement. Elle recommande surtout, pour les réseaux professionnels, une infrastructure d’authentification centralisée fondée sur le protocole EAP, qui identifie chaque utilisateur individuellement. Son guide de déploiement du protocole 802.1X décrit la mise en œuvre côté commutateurs et bornes.

Le bénéfice est opérationnel avant d’être théorique. Une arrivée se traduit par la création d’un compte, un départ par sa révocation, et aucun autre appareil n’a besoin d’être reconfiguré. Cette discipline suppose un inventaire tenu à jour, sujet traité dans notre article sur la gestion de parc informatique.

Côté chiffrement, la Wi-Fi Alliance impose WPA3 et le programme Enhanced Open pour la certification des équipements Wi-Fi 6E fonctionnant en 6 GHz, sans rétrocompatibilité avec WPA2 sur cette bande. WPA3-Personnel s’appuie sur le mécanisme SAE, conçu pour résister aux tentatives de recherche de mot de passe hors ligne, une faiblesse structurelle des générations précédentes. Le chiffrement opportuniste OWE, introduit en 2018 avec Enhanced Open, chiffre les échanges d’un réseau ouvert sans demander de mot de passe.

Le réseau invité n’est pas une simple politesse

Un visiteur connecté au même réseau que la comptabilité voit le voisinage réseau, les partages de fichiers et les imprimantes. La CNIL recommande explicitement de réserver un réseau distinct aux visiteurs, en complément d’un chiffrement à l’état de l’art.

Un réseau invité correct se reconnaît à trois propriétés : il ne route que vers internet, jamais vers les ressources internes ; il isole les clients les uns des autres ; il journalise les connexions. Le même principe s’applique aux objets connectés du bâtiment, dont les mises à jour cessent souvent bien avant leur mise au rebut. Cette segmentation prolonge les mesures décrites dans notre article sur la cybersécurité en PME.

Mesurer avant, mesurer après

Une couverture se vérifie sur le terrain, jamais sur un plan. Deux relevés suffisent à éviter la plupart des mauvaises surprises.

Le premier se fait avant l’installation, portes fermées et mobilier en place, en notant la puissance reçue et le bruit ambiant aux emplacements de travail réels. Les réseaux voisins font partie de la mesure : leur nombre et leurs canaux déterminent l’espace qu’il vous reste. Le second se fait après, en charge, un jour ouvré normal, parce qu’un plateau vide et un plateau occupé ne se comportent pas de la même façon.

Deux réglages méritent une attention particulière au moment de la mise en service. La puissance d’émission se règle à la baisse pour que les zones se recouvrent sans se superposer, faute de quoi un ordinateur reste accroché à une borne lointaine alors qu’il en côtoie une meilleure. Les débits les plus lents se désactivent, pour éviter qu’un terminal ancien n’occupe le canal pendant un temps disproportionné.

Prochaine étape : relever le nombre d’appareils actifs sur votre zone la plus dense un mardi matin, puis comparer ce chiffre au nombre de bornes réellement installées. L’écart, quand il existe, explique la quasi-totalité des plaintes sur la lenteur du réseau.