Pourquoi désactiver l’accès à distance de votre Freebox ne protège pas totalement votre réseau

Freebox OS, l’interface d’administration des Freebox, peut s’ouvrir depuis n’importe quelle connexion : on retrouve alors les réglages de sa box sans être chez soi. C’est pratique, mais beaucoup d’abonnés n’en ont pas l’usage et préfèrent couper cet accès. Une interface d’administration n’a pas de raison d’être visible depuis Internet quand on ne s’en sert pas.

Le problème, c’est que le réglage qu’on vérifie spontanément pour cela est trompeur. Les failles PHP d’octobre 2026 m’ont forcé à aller fouiller dans les réglages de la Freebox, même si a priori, ces box ne sont pas impactées par ces failles.

Le réglage qu’on croit suffisant

Le premier réflexe consiste à ouvrir Freebox OS, à passer les paramètres en « Mode avancé » et à se rendre dans « Gestion des accès ». On y trouve une case « Activer l’authentification par mot de passe » : décochée, elle donne l’impression que l’accès à distance est coupé.

Ce n’est pas le cas. Cette case empêche seulement de se connecter à distance avec le mot de passe administrateur. Elle ne ferme pas le port. L’interface l’indique d’ailleurs, en petits caractères, juste au-dessus : « Lorsque vous utilisez des applications ou des liens de partage, l’accès à votre Freebox est rendu possible automatiquement », puis, en orange : « L’accès distant est possible pour les applications et les liens de partages ».

Ce que nous avons constaté

Nous avons fait le test sur une Freebox Ultra (Freebox Server v9), sous la version 4.13.1 du firmware. L’accès par mot de passe était décoché et aucun lien de partage n’était actif. Pourtant, depuis un smartphone en 5G, Wi-Fi coupé (pour simuler une personne située en dehors de notre réseau local), la page de connexion de Freebox OS s’affichait sans difficulté à l’adresse personnelle de la box.

Pour aller plus loin
Faille PHP : les abonnés Free peuvent souffler, leur Freebox n’est pas concernée

Elle n’a cessé de répondre qu’une fois toutes les applications associées à la box révoquées. Nous en avons ensuite associé une seule, en ne lui laissant qu’une permission, « Modification des réglages de la Freebox » : la page est aussitôt redevenue accessible depuis Internet. Les droits accordés à l’application ne changent donc rien, c’est sa présence qui compte. Une seule suffit, qu’il s’agisse de Freebox Connect, de l’application Freebox de votre iPhone ou d’un logiciel tiers associé il y a des années et oublié depuis.

Ce fonctionnement n’a rien d’une faille : les applications ont besoin de joindre la box depuis l’extérieur, et l’accès leur est donc ouvert. Mais rien dans le réglage ne le laisse deviner au premier coup d’œil. Voir la page de connexion ne veut pas dire qu’on peut entrer. C’est néanmoins une interface d’administration visible par des personnes qui connaîtraient son adresse. Nous n’avons pas pu vérifier ce comportement sur les Freebox Delta, Pop ou Révolution.

Vérifiez si votre box est visible de l’extérieur

1. Depuis un appareil connecté à votre Freebox, ouvrez l’adresse mafreebox.freebox.fr/api_version. Une petite fiche de texte s’affiche. Notez deux valeurs : api_domain (une adresse qui se termine par fbxos.fr) et https_port (un nombre à cinq chiffres).
2. Sur votre smartphone, coupez le Wi-Fi pour passer en 4G ou 5G. C’est indispensable : depuis chez vous, la box répond toujours, et le test ne prouverait rien.
3. Ouvrez https:// + l’adresse api_domain + : + le port, suivi de /login.php. Par exemple : https://abcd1234.fbxos.fr:12345/login.php.

Si la page « Freebox OS :: Identification » s’affiche, votre interface est visible depuis Internet. Si le navigateur finit par afficher une erreur de connexion, elle ne l’est pas.

Comment la fermer

Dans Freebox OS, en mode avancé, ouvrez « Gestion des accès », puis l’onglet « Applications ». La liste montre tout ce qui est associé à votre box, avec la date du dernier accès. Vous y trouverez sans doute des appareils oubliés.

• Pour fermer la porte complètement, cliquez sur « Révoquer tous les accès », puis vérifiez dans la fenêtre « Liens de partage » qu’aucun partage n’est actif. Refaites ensuite le test en 5G : la page ne doit plus répondre.
• Si vous tenez à Freebox Connect, supprimez au moins les applications que vous n’utilisez plus, avec l’icône de corbeille. Sachez toutefois que tant qu’il en subsiste une, l’interface reste visible depuis Internet.

La contrepartie est simple : les applications révoquées ne fonctionnent plus. Rien n’est définitif pour autant. Si vous avez de nouveau besoin de l’une d’elles, vous pouvez l’associer à tout moment, en validant la demande directement sur l’écran du Freebox Server.

On vous l’accorde : ces précautions seront sûrement inutiles pour la plupart des personnes, et du tant que les Freebox n’ont pas de faille de vulnérabilité. Mais pour les personnes qui aiment bien que leur réseau local vive en totale autarcie, ce réglage pourrait être utile.