Trois jours après avoir empoché mes 35 euros sur Leboncoin, un message est tombé : « Bonjour, je viens de brancher le routeur, mais j’ai encore accès à votre ancien réseau Wi-Fi depuis mon téléphone, c’est normal ? » Non. Ce n’était clairement pas normal. Et cette petite phrase résume à elle seule le piège dans lequel tombent des milliers de vendeurs occasionnels chaque année : revendre du matériel réseau sans passer par la case reset usine.
À retenir
- Un routeur conserve en mémoire flash tous vos paramètres personnels, mots de passe et historiques — même éteint
- L’acheteur peut accéder à votre interface d’administration et consulter des logs sensibles sans faire le moindre effort
- Le Reset usine n’est pas un geste intuitif comme pour un smartphone, mais c’est le seul moyen de vraiment nettoyer l’appareil
Ce qui reste vraiment dans la mémoire d’un routeur
Un routeur, contrairement à ce qu’on imagine, n’est pas une simple boîte qui distribue du Wi-Fi. C’est un petit ordinateur qui garde en mémoire flash absolument tout ce qu’on lui a demandé de retenir. La réinitialisation d’usine efface tous les paramètres personnalisés, y compris les paramètres Internet, Wi-Fi, les règles de redirection de ports et les contrôles parentaux. Après la réinitialisation, le routeur retrouve ses identifiants de connexion et son adresse IP par défaut. tant qu’on n’a pas fait cette manipulation, tout ça reste accessible bêtement dans l’interface d’administration.
Et ce n’est pas qu’une question de mot de passe Wi-Fi oublié. Sur certains modèles plus haut de gamme, le routeur conserve aussi un historique de navigation complet. La réinitialisation matérielle réinitialise les paramètres d’usine par défaut et efface également tout le journal de données pour l’analyse du trafic et l’historique Web. Ça veut dire que sans reset, un acheteur un minimum curieux peut se connecter à l’interface d’admin (souvent avec le mot de passe par défaut collé sous l’appareil, cocasse) et consulter des logs de connexion, voire des règles de redirection de ports qui pointaient vers une caméra de surveillance ou un NAS domestique. Pas franchement anodin.
Pourquoi le geste est si simple à zapper
Le réflexe du reset avant revente n’est pas gravé dans le marbre collectif, contrairement à celui du smartphone. Là, tout le monde a intégré qu’il faut se déconnecter de son compte Apple ou Google avant de vendre un téléphone, sous peine de le rendre inutilisable pour l’acheteur. Pour un routeur, le sujet est moins visible, moins médiatisé, et surtout moins bloquant : l’appareil fonctionne très bien sans reset, l’acheteur peut même s’en servir immédiatement en changeant juste le nom du réseau. Le problème, c’est que ça laisse une porte grande ouverte derrière soi.
Une réinitialisation d’usine est fortement recommandée quand on s’apprête à vendre ou à se débarrasser de son routeur, pour que le nouvel utilisateur démarre avec une configuration propre, sans risque d’accéder aux informations personnelles comme le mot de passe Wi-Fi. Le hic, c’est que cette opération est irréversible : une réinitialisation d’usine est irréversible, il est donc conseillé de bien se préparer avant de s’y lancer, en sauvegardant ce qu’on veut garder.
La fausse bonne idée du « je débranche juste le câble »
Certains pensent qu’éteindre l’appareil, le débrancher quelques heures ou même le laisser hors tension pendant le transport suffit à « vider » la mémoire. Faux. La mémoire flash d’un routeur n’a rien d’une RAM volatile : elle garde les données tant qu’on ne lance pas explicitement la procédure de réinitialisation. Et cette confusion existe ailleurs aussi, sur du matériel bien plus sensible. Formater un disque dur, réinstaller Windows, même effectuer une réinitialisation d’usine ne suppriment aucune de ces opérations réellement les données au sens strict du terme, sur certains supports de stockage classiques. Pour un routeur, la bonne nouvelle c’est que le reset usine, lui, fait bel et bien le ménage complet dans la configuration et les logs, contrairement à un simple redémarrage.
Manuellement, la manip est presque toujours la même sur tous les modèles du marché : un bouton dédié, parfois combiné avec le WPS, à maintenir enfoncé une dizaine de secondes appareil allumé. Il suffit d’insérer l’extrémité d’un trombone dans le trou indiqué à l’arrière du routeur, de maintenir la pression pendant au moins 10 secondes, puis de relâcher. Dix secondes. C’est littéralement le temps qu’il faut pour éviter de recevoir un message gênant trois jours après la vente.
Ce que dit le droit, et ce que ça change concrètement
Sur le plan légal, la revente en elle-même ne pose aucun souci : personne n’interdit de vendre un routeur d’occasion sur Leboncoin. Le RGPD impose une obligation claire, les données personnelles ne doivent pas être accessibles à des tiers non autorisés, mais il n’interdit pas la revente ou la cession de matériel : il impose simplement que les données soient rendues irrécupérables avant toute cession. Pour un particulier, il n’y a évidemment pas de sanction RGPD à la clé, ce texte vise avant tout les entreprises. Mais l’esprit reste le même : c’est à vous, vendeur, de faire le ménage avant de passer la main.
La CNIL, de son côté, donne des recommandations qui valent pour n’importe quel appareil connecté qui change de main. Que vous souhaitiez vendre, donner ou jeter votre ordinateur personnel, votre téléphone ou votre tablette, il faut penser à bien effacer les données qui s’y trouvent pour qu’elles ne soient pas réutilisées par d’autres personnes. Le routeur n’est pas explicitement cité dans ces fiches pratiques, mais la logique s’applique à l’identique : moins il y a de traces personnelles, moins il y a de risque.
Dans mon cas, l’histoire s’est bien terminée : un reset usine réalisé à distance en expliquant la manip par message, et un acheteur qui a pu reconfigurer son réseau tranquillement. Mais le détail qui m’a le plus marqué, c’est que sans ce message de sa part, je n’aurais probablement jamais su que mon ancien réseau Wi-Fi restait actif chez un inconnu, avec potentiellement l’appareil connecté dessus pendant plusieurs jours. La prochaine fois, le bouton reset, c’est la toute première chose que je fais, avant même de prendre la photo pour l’annonce.
Sources : cnil.fr | itgreen.eu