Le cylindre européen reste le point d’attaque principal sur une porte d’entrée. Les serrures connectées ne changent pas cette réalité physique, elles ajoutent une couche de contrôle logiciel par-dessus. Comprendre où se situent les vrais gains de sécurité, et les nouvelles surfaces d’attaque, suppose de regarder au-delà des arguments marketing habituels.
Protocoles de communication des serrures connectées : Bluetooth, Z-Wave, Wi-Fi
Le choix du protocole radio détermine directement le niveau d’exposition de la serrure. Une serrure pilotée en Bluetooth Low Energy (BLE) limite la portée de communication à quelques mètres, ce qui réduit la fenêtre d’interception. En contrepartie, le contrôle à distance depuis un smartphone nécessite un pont Wi-Fi ou une box domotique, ajoutant un maillon dans la chaîne de confiance.
Les protocoles Z-Wave et Zigbee fonctionnent en réseau maillé avec un chiffrement AES-128 au niveau de la couche applicative. Le Wi-Fi direct offre la commande à distance native, mais expose la serrure aux mêmes vulnérabilités qu’un routeur domestique mal configuré : mot de passe par défaut, firmware non mis à jour, port UPnP ouvert.
Nous observons que la plupart des fabricants grand public ne documentent pas le protocole de chiffrement utilisé entre l’application smartphone et le cylindre motorisé. C’est un point de vigilance lors du choix d’un système connecté pour porte d’entrée.
Cyber Resilience Act et serrures connectées : ce qui change en 2027
Le Règlement UE 2024/2847, dit Cyber Resilience Act (CRA), s’appliquera pleinement à partir du 11 décembre 2027. Toute serrure connectée commercialisée en Europe sera considérée comme un « produit comportant des éléments numériques » et devra s’y conformer pour obtenir le marquage CE.
Les obligations concrètes modifient la donne pour les fabricants et, par ricochet, pour les installateurs :
- Le principe de security by design impose l’absence de vulnérabilités exploitées connues au moment de la livraison, ainsi qu’une configuration sécurisée par défaut (plus de mot de passe « 0000 » en sortie d’usine).
- Le fabricant devra fournir une nomenclature logicielle (SBOM) et maintenir un canal public de signalement des failles, avec obligation de signaler toute faille activement exploitée sous 24 heures.
- Des mises à jour de sécurité obligatoires pendant plusieurs années après la mise sur le marché sont exigées, souvent au moins cinq ans pour ce type de produit.
Pour les professionnels de la serrurerie, cela signifie qu’un système connecté acheté aujourd’hui auprès d’un fabricant qui ne prépare pas sa conformité CRA risque de se retrouver sans support logiciel avant la fin de sa durée de vie mécanique. Nous recommandons de vérifier l’engagement du fabricant sur la durée de maintenance logicielle avant toute installation.
Gestion des accès et cylindre numérique : au-delà du badge et du code
Les modes de déverrouillage se sont multipliés : badge NFC, code sur clavier, empreinte digitale, commande via smartphone ou cloud. Chaque méthode présente un compromis spécifique entre praticité et surface d’attaque.
Le badge NFC peut être cloné si le système utilise un protocole non chiffré (type MIFARE Classic). Les codes à clavier sont vulnérables à l’observation et aux traces d’usure sur les touches. L’empreinte digitale offre le meilleur rapport sécurité/commodité à condition que le gabarit biométrique soit stocké localement dans le cylindre et non sur un serveur cloud.
Gestion des droits d’accès à distance
L’intérêt principal d’une serrure connectée pour les bâtiments collectifs ou les locations saisonnières réside dans la gestion granulaire des droits. Un accès temporaire peut être attribué à un prestataire avec une plage horaire précise, puis révoqué automatiquement. L’historique des entrées et sorties est horodaté.
Ce fonctionnement repose sur une infrastructure cloud ou sur une passerelle locale. La dépendance au cloud pose une question concrète : en cas de panne du service distant, la porte doit rester manoeuvrable. Les systèmes les mieux conçus conservent un mode de déverrouillage autonome (clé mécanique de secours ou code local) indépendant de toute connexion réseau.
Sécurité physique de la porte d’entrée : le verrou connecté ne remplace pas le blindage
Un point que les articles orientés domotique passent systématiquement sous silence : la résistance mécanique de la porte conditionne la sécurité globale. Une serrure connectée certifiée A2P montée sur une porte à simple panneau n’arrêtera pas un pied-de-biche.
La certification A2P, délivrée par le CNPP, évalue la résistance à l’effraction du bloc serrure (cylindre, mécanisme, gâche). Elle se décline en trois niveaux correspondant à des durées de résistance croissantes. Certaines serrures connectées commencent à intégrer cette certification, mais la majorité du marché grand public ne la propose pas encore.
Points de contrôle pour une installation cohérente
- Vérifier que le cylindre connecté est compatible avec la serrure multipoints existante, sans réduire le nombre de points d’ancrage.
- S’assurer que la motorisation du pêne ne fragilise pas la résistance au crochetage ou au bumping du cylindre.
- Prévoir une alimentation de secours (pile) et un accès mécanique d’urgence en cas de défaillance électronique.
- Contrôler la fixation du boîtier extérieur, qui ne doit pas pouvoir être arraché pour accéder au mécanisme.
L’installation d’un système connecté sur une porte d’entrée mérite une évaluation complète du bâti, de la serrure existante et de l’environnement réseau. Un cylindre numérique performant associé à une porte fragile ou à un réseau Wi-Fi non sécurisé ne produit qu’une illusion de protection. La sécurité connectée ne vaut que par son maillon le plus faible.
