J’ai créé un code sur mon clavier connecté juste pour éviter de refaire un jeu de clés : quand j’ai ouvert la liste des accès six mois après le départ du locataire, il était trop tard

Un code à quatre chiffres tapé une fois, jamais reconsulté. Voilà comment un simple raccourci pris pour éviter de refaire un jeu de clés peut transformer une porte d’entrée en passoire pendant des mois, sans que personne ne s’en aperçoive. L’histoire est banale : un locataire quitte le logement, le propriétaire ou le colocataire se dit qu’il supprimera l’accès “plus tard”, et ce plus tard devient six mois. Le jour où la liste des codes s’ouvre enfin sur l’application, le constat est sans appel : l’accès est toujours actif. Personne ne sait s’il a été utilisé entre-temps.

Le code temporaire, solution miracle… sur le papier

Les fabricants de serrures connectées vendent cette promesse depuis des années : plus besoin de courir chez le serrurier à chaque changement de locataire, il suffit de générer un code numérique et de le transmettre par SMS. Chaque locataire dispose ainsi d’un code unique valide uniquement pendant la durée du séjour, et une fois le départ effectué, le code expire automatiquement, ce qui évite tout risque d’intrusion ultérieure. Sur le papier, le système est irréprochable. Dans la réalité, cette expiration automatique dépend entièrement de la configuration initiale : si le code a été créé sans date de fin, ou si le propriétaire l’a saisi manuellement “pour aller vite”, il reste valide jusqu’à suppression manuelle. Et une suppression manuelle, ça s’oublie.

C’est là que le bât blesse. La serrure connectée n’est pas magique, elle exécute ce qu’on lui demande. Un code sans limite de temps ne “sait” pas que le locataire est parti. Il continue de fonctionner, aussi fiable et docile qu’au premier jour, pendant que son créateur pense sincèrement avoir réglé le problème en un clic.

Le maillon faible n’est pas le boîtier, c’est la mémoire humaine

Les experts en sécurité résidentielle sont unanimes sur ce point : la technologie tient ses promesses, c’est la gestion humaine qui flanche. La gestion des accès numériques, avec ses codes temporaires et ses accès partagés, introduit un risque humain : un code mal géré, transmis à la mauvaise personne ou non révoqué après usage, devient une faille. le maillon faible n’est jamais le chiffrement Bluetooth ni l’algorithme de la serrure, mais l’oubli banal, celui qu’on commet sans y penser un jeudi soir en rendant les clés (ou plutôt, en ne les rendant pas).

Des chercheurs en sécurité informatique ont d’ailleurs documenté ce phénomène sur des serrures grand public. Une étude technique sur une marque de cadenas connectés a montré que d’anciens invités peuvent continuer à déverrouiller le dispositif après que leur accès aurait dû expirer, un défaut qui touche directement à la logique de révocation des codes. Ce n’est pas un piratage sophistiqué digne d’un film d’espionnage : c’est un bug de gestion des droits, exactement le genre de faille qui transforme un oubli de six mois en porte ouverte.

Ce que révèlent les études sur les serrures connectées

Le marché des serrures intelligentes a explosé ces dernières années. Aux États-Unis, 11 % des foyers utilisaient déjà une serrure connectée en 2024, soit plus de 11 millions de logements, une tendance qui progresse aussi en France, portée par l’essor des locations meublées et de la colocation. Mais cette adoption massive s’accompagne de son lot de mauvaises surprises. Une analyse portant sur dix-huit serrures Bluetooth grand public a révélé que quatorze d’entre elles restaient vulnérables à des attaques, affectant plus de 20 millions d’utilisateurs. Un autre cas, très médiatisé, concerne un logiciel de gestion de serrures utilisé dans des dizaines de milliers de foyers : certaines serrures pilotées par ce système pouvaient être déverrouillées à distance par des inconnus à cause d’identifiants codés en dur dans l’application Android, un défaut revendiqué comme touchant plus de 50 000 foyers.

Ces chiffres donnent le vertige, mais ils racontent surtout une histoire simple : la porte d’entrée reste, connectée ou non, le point d’accès numéro un des cambrioleurs. Selon une étude du Centre National de Prévention et de Protection, 84 % des Français se disent préoccupés par le risque de cambriolage, et la porte d’entrée est identifiée comme le point d’accès le plus vulnérable. Ajouter une couche numérique à cette porte ne supprime pas ce risque, elle le déplace. On ne crochète plus la serrure, on exploite un code oublié ou une application mal configurée.

Trois réflexes pour ne pas revivre ça

La bonne nouvelle, c’est que la plupart de ces incidents sont évitables avec une discipline minimale. Les spécialistes recommandent de programmer chaque code avec une date d’expiration automatique plutôt que de compter sur sa propre mémoire, de vérifier la liste des accès à intervalles réguliers (une fois par trimestre suffit largement) et d’activer les notifications en temps réel pour être alerté à chaque ouverture. Côté sécurité pure, les mêmes règles reviennent systématiquement : mot de passe unique, double authentification, firmware à jour et marque établie assurant un suivi logiciel. Ce ne sont pas des options de confort, ce sont les fondations mêmes du système.

Un audit trimestriel de la liste des accès prend moins de deux minutes. Face aux six mois d’oubli qui ont suivi le départ du locataire de cette histoire, le calcul est vite fait. La prochaine génération de serrures mise justement sur l’automatisation de cette vigilance, avec des expirations calées par défaut et des rappels poussés directement sur le smartphone du propriétaire. En attendant que ces garde-fous deviennent la norme sur tous les modèles du marché, la meilleure protection reste encore la plus low-tech : un calendrier, une alarme sur son téléphone, et le réflexe de traiter chaque code temporaire comme une clé physique qu’on n’oublierait jamais de récupérer.

Sources : protonfx.com | promotelec.com