Un freelance connecté au Wi-Fi du cinquième étage télécharge un fichier client pendant qu’un coworker inconnu, deux tables plus loin, utilise le même réseau sans aucune restriction d’accès. Ce scénario se répète chaque jour dans la plupart des espaces de coworking français. La sécurité informatique d’un espace de coworking ne repose pas sur un seul outil, mais sur un ensemble de réflexes techniques appliqués au quotidien par les gestionnaires et les membres.
Segmentation réseau Wi-Fi : le premier rempart souvent absent
Dans beaucoup d’espaces partagés, un seul réseau Wi-Fi dessert l’ensemble des postes. On croit que le mot de passe affiché à l’accueil suffit. En réalité, sur un réseau plat, n’importe quel appareil connecté peut potentiellement scanner le trafic des autres.
La première mesure concrète consiste à séparer le réseau en VLAN distincts : un segment pour les membres permanents, un pour les visiteurs ponctuels, un pour les objets connectés (imprimantes, caméras). Chaque VLAN dispose de son propre sous-réseau et de règles de pare-feu qui interdisent la communication latérale entre segments.
On complète cette segmentation par l’activation du protocole WPA3 sur chaque point d’accès, et par un portail captif qui attribue des identifiants nominatifs plutôt qu’un mot de passe partagé. Un gestionnaire qui détaille ses mesures sur la page sécurité d’Open Syd montre aux membres que la protection des données n’est pas un discours marketing, mais une infrastructure vérifiable.
Les retours varient sur ce point selon la taille de l’espace : un coworking de dix postes peut se contenter d’un routeur professionnel avec VLAN intégrés, alors qu’un site de plusieurs centaines de membres nécessite un contrôleur Wi-Fi centralisé.
Authentification multifacteur et accès nominatifs dans un espace de coworking
Le mot de passe unique reste le maillon faible. Quand un membre quitte l’espace, son accès aux services partagés (NAS, plateforme de réservation, outil de facturation) persiste souvent des semaines. C’est un problème de gestion des identités, pas de technologie.
Chaque compte doit être nominatif et associé à une authentification multifacteur (MFA). En pratique, cela signifie qu’à la connexion au réseau ou à un service interne, le membre entre son mot de passe puis valide via une application d’authentification sur son téléphone.
La suppression des accès doit suivre un processus simple : quand un membre résilie son abonnement, ses identifiants sont désactivés le jour même. Un tableur partagé ne suffit pas pour ce suivi. On recommande un annuaire centralisé (de type LDAP ou un service cloud de gestion des identités) qui permet de couper un accès en un clic.
Ce que la directive NIS2 change pour les coworkings
La directive NIS2, transposée en France par la loi sur la résilience des infrastructures critiques et la cybersécurité adoptée en 2025, ne cible pas directement les petits espaces de coworking. Elle s’applique aux fournisseurs de services numériques (cloud, hébergeurs) que ces espaces utilisent.
L’effet cascade est concret : des clients soumis à NIS2 exigent désormais des accès nominatifs et des sauvegardes testées de la part de leur lieu de travail. Un espace qui ne peut pas fournir un inventaire de ses systèmes ou une procédure de notification d’incident perd ces clients au profit d’un concurrent mieux préparé. Les entités concernées doivent s’enregistrer auprès de l’ANSSI via la plateforme MonEspaceNIS2.
Protection contre le visual hacking et les fuites physiques
La cybersécurité ne se limite pas aux câbles et aux serveurs. En open space, un écran visible depuis le couloir expose des données confidentielles sans qu’aucun logiciel malveillant n’intervienne.
- Installer des filtres de confidentialité sur les écrans partagés et encourager chaque membre à en poser un sur son ordinateur portable. Le coût est faible, l’effet immédiat.
- Positionner les postes de travail pour que les écrans soient orientés vers un mur ou une cloison, jamais vers une zone de passage ou une baie vitrée.
- Verrouiller systématiquement sa session dès qu’on quitte son poste, même pour aller chercher un café. Sous Windows, le raccourci Win+L prend moins d’une seconde.
- Réserver les appels confidentiels à une cabine acoustique ou une salle fermée. Une conversation téléphonique avec un client, entendue par dix personnes, constitue une fuite de données au sens du RGPD.
Choix des prestataires cloud et référentiel ANSSI 2026
Un espace de coworking utilise généralement plusieurs services cloud : gestion des réservations, facturation, stockage de documents partagés, supervision réseau. Le choix de ces prestataires a un impact direct sur la protection des données des membres.
Le référentiel d’exigences relatif aux prestataires de services d’informatique en nuage, approuvé par un arrêté du 12 août 2026 en application de l’article 31 de la loi du 21 mai 2024, crée un cadre officiel pour qualifier ces services. Pour un gestionnaire d’espace, privilégier un prestataire cloud qualifié par l’ANSSI réduit le risque juridique et technique.
Concrètement, on vérifie trois points avant de signer un contrat avec un prestataire :
- La localisation des données (serveurs en Union européenne, hors portée du Cloud Act américain).
- La politique de chiffrement au repos et en transit, avec des clés gérées par le client ou par un tiers de confiance.
- Les engagements contractuels sur la notification d’incident : le prestataire doit alerter dans un délai défini, compatible avec les obligations NIS2 de vos membres.
Remplacer un outil cloud grand public par un service qualifié demande du temps de migration, mais un espace de coworking qui stocke des données de dizaines d’entreprises a une responsabilité comparable à celle d’un hébergeur.
Routine quotidienne de cybersécurité pour un espace partagé
Les outils ne compensent pas l’absence de discipline. Une checklist quotidienne appliquée par le gestionnaire ancre la sécurité dans le fonctionnement réel de l’espace.
Chaque matin, on vérifie que les mises à jour du firmware des routeurs et points d’accès sont appliquées. Les correctifs de sécurité non installés représentent la porte d’entrée la plus exploitée par les attaquants. Chaque soir, on contrôle la liste des appareils connectés au réseau pour repérer toute machine inconnue.
Une fois par mois, on teste la restauration d’une sauvegarde. Une sauvegarde qui n’a jamais été testée n’existe pas. On en profite pour révoquer les accès des anciens membres et mettre à jour la documentation interne.
La sécurité informatique d’un espace de coworking se joue moins dans l’achat de matériel que dans la rigueur des habitudes. Un réseau segmenté, des accès nominatifs, des prestataires qualifiés et une routine de vérification quotidienne forment un socle que chaque espace peut mettre en place sans budget démesuré. Le référentiel ANSSI 2026 et les exigences NIS2 ne font qu’accélérer un mouvement qui profite autant aux gestionnaires qu’aux membres.