Caméras de surveillance · 10 min de lecture
En bref
- Un appareil Hikvision neuf s'active avec votre propre mot de passe : Hikvision recommande au moins 8 caractères de trois types.
- Chacun reçoit son propre compte, avec les seuls droits utiles ; le compte administrateur reste au propriétaire.
- Le micrologiciel vient du site du fabricant ; Hikvision conseille la version la plus récente, pour les dernières mises à jour de sécurité.
- Pour voir à distance, le service P2P du fabricant ou un VPN passent avant l'ouverture de ports, que Hikvision classe en risque élevé.
- Un avis de sécurité nomme les modèles et versions concernés et la version corrigée ; le numéro CVE identifie le défaut.
Six points à vérifier sur chaque appareil
Une caméra IP, un enregistreur ou un terminal de pointage a une adresse sur le réseau, une interface web et des comptes. Hikvision conseille de n'ouvrir que les ports et services nécessaires, et rappelle que la sécurité est un travail continu. La figure ci-dessous résume les six points de cet article.
Aucun réglage ne rend un appareil invulnérable : ces mesures réduisent le risque, et elles s'entretiennent dans le temps.
Le mot de passe : choisi à l'activation, jamais partagé
Un appareil Hikvision neuf s'active avant tout usage, en créant le mot de passe administrateur depuis un navigateur, l'outil SADP ou le logiciel iVMS-4200. Le guide de Hikvision de 2025 recommande :
- au moins 8 caractères ; une phrase de passe, plus longue, est plus difficile à deviner ;
- au moins trois types : chiffres, majuscules, minuscules, caractères spéciaux ;
- ni le nom d'utilisateur, ni « admin » ou « 123 », ni quatre chiffres qui se suivent, ni quatre caractères répétés, ni un mot de passe des listes de fuites ;
- un mot de passe unique, changé à intervalle régulier, jamais enregistré par le navigateur, envoyé par e-mail ou partagé.
Le jour de l'activation, renseignez aussi les questions de sécurité et l'e-mail de secours : l'article sur le mot de passe oublié explique leur rôle.
Le blocage après des essais erronés
Sur une caméra Hikvision, le verrouillage est actif par défaut : après 7 échecs sur un compte, l'adresse IP qui essaie est bloquée 30 minutes, et le guide conseille moins d'essais et un blocage plus long. Sur un enregistreur de la série K, 7 erreurs bloquent le compte 60 secondes, selon son manuel.
Les terminaux ZKTeco
Sur un terminal ZKTeco, le menu reste ouvert à tous tant qu'aucun super administrateur n'est enregistré : le manuel du SpeedFace-V3L(Lite) conseille d'en créer un dès la première utilisation. La « Comm Key », de 1 à 6 chiffres, est demandée pour relier le terminal au logiciel sur ordinateur ; elle vaut 0 par défaut et se change.
Un compte par personne, avec les seuls droits utiles
Hikvision prévoit trois rôles : administrateur, opérateur et utilisateur. L'administrateur crée les autres comptes et règle leurs permissions une à une. Hikvision recommande le moindre privilège, chacun n'ayant que l'accès utile à son travail, et la suppression des comptes inactifs. Le tableau ci-dessous les résume, avec ceux de ZKTeco.
| Compte | Ce qu'il peut faire, selon le fabricant |
|---|---|
| Administrateur (Hikvision) | Tous les droits, dont la gestion des comptes |
| Opérateur, utilisateur (Hikvision) | Les permissions données par l'administrateur |
| Invité (enregistreur série K) | Vue en direct, lecture, recherche dans les journaux |
| Super administrateur (ZKTeco) | Tous les droits de gestion |
| Utilisateur normal (ZKTeco) | Se fait reconnaître, sans gérer l'appareil |
| Rôle personnalisé (ZKTeco) | Les options de menu qui lui sont permises |
En pratique, le compte administrateur reste au propriétaire, et chaque personne qui regarde les images a son propre compte, limité. Les journaux notent l'utilisateur de chaque opération : un compte commun ne dit plus qui a agi. En fin de travaux, demandez le mot de passe administrateur à l'installateur.
Les mises à jour du micrologiciel
Le micrologiciel (firmware) est le logiciel interne de l'appareil. Hikvision conseille la version la plus récente, pour ses mises à jour de sécurité et corrections, prise sur son site officiel. Chez ZKTeco, les bulletins renvoient au support du fabricant pour la version corrigée.
Connaître la version installée
Sur une caméra Hikvision, la version se lit dans Configuration, System, System Settings, Basic Information ; sur un terminal ZKTeco, dans System Info, Firmware Info. Notez le modèle exact et cette version : c'est ce que l'on compare à un avis.
Installer la mise à jour
Sauvegardez d'abord : Hikvision conseille d'exporter les paramètres dans un fichier protégé par mot de passe, et un bulletin de ZKTeco demande d'archiver les données. Sur la caméra, la mise à jour se lance dans Maintenance and Security, Maintenance, Upgrade ; elle dure de 1 à 10 minutes, sans couper l'alimentation, puis l'appareil redémarre seul. L'enregistreur de la série K se met à jour par clé USB, ou en ligne si Hik-Connect est activé. La figure ci-dessous résume le parcours.
Avis de sécurité et numéros CVE
Quand un défaut de sécurité est trouvé, le fabricant publie un avis de sécurité. Chez Hikvision, les avis du HSRC (Hikvision Security Response Center) donnent un résumé, le numéro CVE, une note de gravité, les produits et versions concernés et la façon d'obtenir la version corrigée. Chez ZKTeco, les bulletins de l'équipe PSIRT donnent les produits et versions concernés, la solution et le contact du support.
Le CVE est un catalogue public des failles divulguées, avec un enregistrement par faille, numéroté CVE-AAAA-NNNN : l'année, puis au moins quatre chiffres. Le CVE ne donne en général pas de note de gravité : elle vient le plus souvent du système CVSS, de 0 à 10, que traduit le tableau ci-dessous.
| Note CVSS (version 3.1) | Niveau de gravité |
|---|---|
| 0,0 | Aucune |
| 0,1 à 3,9 | Faible |
| 4,0 à 6,9 | Moyenne |
| 7,0 à 8,9 | Élevée |
| 9,0 à 10,0 | Critique |
Un avis ne veut pas dire que votre appareil est concerné : lisez-le dans l'ordre de la figure ci-dessous, en comparant le modèle et la version.
Sur masec.ma, la page Avis de sécurité résume les avis des fabricants du catalogue : produits concernés, version corrigée, gravité, gestes à faire et lien vers l'avis du fabricant, qui fait foi.
Voir ses caméras à distance sans les exposer
Hikvision déconseille de raccorder un appareil directement à internet sans besoin particulier. La figure ci-dessous compare trois façons de voir les images de l'extérieur.
Le service P2P du fabricant, Hik-Connect chez Hikvision, n'a pas besoin de l'interface web de l'appareil. Une FAQ de Hikvision de 2021 sur l'évaluation du risque le classe en risque faible, comme le VPN, qui n'admet que des utilisateurs vérifiés. Elle classe en risque élevé l'ouverture de ports, qui laisse entrer vers l'appareil le trafic d'internet, et le DDNS qui s'appuie sur elle. Hikvision n'envisage l'ouverture de ports que si le P2P ou le VPN ne conviennent pas.
Si des ports doivent être ouverts, Hikvision demande d'en exposer le moins possible, de préférer des ports personnalisés au port 80 habituel, de filtrer les adresses IP, de garder un mot de passe fort et un micrologiciel à jour. Avec Hik-Connect, liez l'appareil à votre propre compte et activez le chiffrement du flux, protégé par un code de vérification. L'article sur la vue à distance détaille le P2P, le cloud et le DDNS.
Désactiver les services inutiles
Plusieurs services sont désactivés par défaut, et le guide de Hikvision conseille de les laisser ainsi s'ils ne servent pas :
- UPnP, qui ouvre seul des ports sur le routeur ;
- SSH, un accès de maintenance que le manuel du SpeedFace-V3L(Lite) cite aussi ;
- DDNS, qui rend l'appareil joignable depuis internet ;
- SNMP, seulement en version SNMPv3 s'il est utile ;
- ONVIF, seulement pour un enregistreur ou un logiciel d'une autre marque, avec l'authentification digest.
D'autres réglages restent actifs sur la caméra que le guide de 2025 prend en exemple : HTTPS, activé par défaut, l'authentification digest avec SHA256 et la déconnexion après 15 minutes sans action. Avec le filtre d'adresses IP en liste autorisée, ajoutez d'abord le poste administrateur, sinon il peut perdre l'accès.
Le réseau, l'heure et les journaux
Gardez caméras et enregistreur sur un réseau séparé des ordinateurs du bureau, par exemple un VLAN : Hikvision conseille de séparer le réseau de vidéosurveillance du reste du réseau interne. Les visiteurs utilisent un Wi-Fi invités. L'article sur le VLAN l'explique.
Selon Hikvision, une heure exacte est essentielle pour l'enregistrement et les journaux ; la synchronisation NTP est conseillée. Les journaux de l'enregistreur notent les opérations avec l'utilisateur et l'adresse IP distante ; ils ne se modifient ni ne s'effacent, et les plus anciens sont remplacés quand la place manque. Une caméra peut aussi envoyer ses journaux à un serveur syslog, de préférence chiffré.
Ce que disent les fiches du catalogue
Voici les fonctions de sécurité inscrites sur les fiches techniques des modèles présentés plus bas.
| Modèle | Sécurité annoncée sur la fiche |
|---|---|
| Caméras DS-2CD1063G2-LIU et DS-2CD1083G2-LIU | Mot de passe complexe, filigrane, authentification digest, journal d'audit, authentification par adresse MAC ; 3 niveaux et jusqu'à 32 comptes ; réinitialisation par e-mail |
| Enregistreurs DS-7608NXI-K1/8P et DS-7604NXI-K1/4P | Flux chiffré par TLS ; HTTPS parmi les protocoles, avec UPnP, SNMP et DDNS |
| Terminal ZKTeco F18 | Droits sur plusieurs niveaux ; serveur web ; HTTPS en option |
| Terminal ZKTeco SpeedFace-V3L | Serveur web intégré ; niveaux d'accès ; alarme d'arrachement ; « AES256/TLS1.2 Encryption » sur le schéma |
Une fonction absente d'une fiche peut exister dans les menus ou dépendre du micrologiciel : vérifiez sur l'appareil.
Caméras, enregistreurs et terminaux cités
![SpeedFace-V3L [FP] ZKTeco - Terminal de reconnaissance faciale à lumière visible](/web/image/product.template/14155/image_256)
Prix et disponibilité à jour dans la page de chaque produit.
Les erreurs fréquentes
- Le même mot de passe partout, ou écrit sur l'appareil.
- Le compte administrateur donné à chaque utilisateur.
- Un terminal ZKTeco sans super administrateur, au menu ouvert à tous.
- Des ports ouverts alors que Hik-Connect ou un VPN suffisent.
- UPnP activé sans besoin : il ouvre seul des ports.
- Un micrologiciel trouvé sur un forum, ou le courant coupé pendant la mise à jour.
- Un avis jugé sans comparer le modèle et la version exacts.
Pour aller plus loin
- Avis de sécurité des fabricants
- Mot de passe de l'enregistreur oublié : la procédure du fabricant
- Voir ses caméras à distance : P2P, cloud ou ouverture de ports
- Le VLAN : séparer caméras, téléphones et bureautique
- Wi-Fi invités : séparer les clients du réseau du magasin
- Adresse IP et DHCP : les bases pour raccorder un appareil
- Routeur, switch, point d'accès : qui fait quoi ?
- Guide d'achat : choisir un enregistreur NVR ou DVR
- Logiciel Hik-Connect
- Solution Réseau, Wi-Fi et téléphonie IP
- Voir les enregistreurs NVR et DVR
Questions fréquentes
Mon installateur a gardé le mot de passe administrateur : est-ce normal ?
Le compte administrateur gère tous les autres : il revient au propriétaire. Demandez-le en fin de travaux, et donnez à l'installateur un compte à part pour la maintenance.
Faut-il mettre à jour dès qu'une nouvelle version sort ?
Hikvision conseille la version la plus récente. Sauvegardez d'abord et ne coupez pas le courant. Si un avis concerne votre modèle et votre version, ne tardez pas.
Un avis de sécurité cite ma marque : suis-je concerné ?
Pas forcément : vérifiez si votre modèle et votre version figurent dans la liste. Selon Hikvision, le risque est plus faible si l'appareil n'est pas joignable directement depuis internet.
Hik-Connect est-il plus sûr que l'ouverture de ports ?
Selon une FAQ de Hikvision, Hik-Connect présente un risque faible et l'ouverture de ports un risque élevé. Utilisez votre propre compte et activez le chiffrement du flux.
Où trouver le bon micrologiciel ?
Sur le site du fabricant, pour le modèle exact, ou par la mise à jour en ligne de l'enregistreur. Pour ZKTeco, auprès du support du fabricant.
Une question sur votre installation ?
Décrivez-nous votre projet : nous vous aidons à choisir le matériel adapté, avec un devis.
Demander un devisWhatsApp 07 73 30 59 51Demander un document
Sources
- Hikvision : Network Security Hardening Guide (2025), NVR Security Guide (2018), page « About Port Forwarding », FAQ sur l'évaluation du risque (2021) et avis de sécurité du HSRC
- Hikvision : Network Video Recorder User Manual (séries DS-7600NXI-K1/K2 et DS-7700NXI-K4, 2021)
- ZKTeco : SpeedFace-V3L(Lite) User Manual (2023), Security Center et bulletins de sécurité du PSIRT
- CVE Program, FAQ ; FIRST, CVSS v3.1 Specification Document ; fiches techniques DS-2CD1063G2-LIU, DS-2CD1083G2-LIU, DS-7608NXI-K1/8P, DS-7604NXI-K1/4P, F18 et SpeedFace-V3L
Mis à jour le 3 novembre 2026. Rédaction : MA SECURITE.