Votre NAS contient les devis, les contrats, la comptabilité et les photos de chantier. Dès que vous pouvez l’ouvrir depuis votre téléphone ou chez un client, la question change : à qui d’autre cet appareil est-il accessible ? Cet article fait le tour des réglages qui comptent vraiment pour un NAS Synology ou QNAP en entreprise, dans l’ordre où je les traiterais.
Un NAS (serveur de stockage branché sur votre réseau) fonctionne comme un petit ordinateur avec son propre système et ses propres failles. Quand vous « ouvrez des ports » sur votre box ou votre routeur pour y accéder de l’extérieur, vous le rendez joignable par n’importe quel robot qui balaie Internet. Les éditeurs publient régulièrement des correctifs. Synology a ainsi diffusé le 18 septembre 2026 un bulletin classé critique pour DSM (son système), avec des failles exploitables à distance sans identifiant. Aucune parade n’est indiquée en dehors de la mise à jour (DSM 7.4-90075, 7.3.2-86009-4, 7.2.2-72806-9 ou 7.2.1-69057-12, et versions suivantes, selon votre branche).
QNAP donne la même consigne de fond dans son guide officiel de bonnes pratiques : ne pas exposer le NAS à Internet, c’est-à-dire désactiver la redirection des ports 8080 et 443 sur le routeur et désactiver l’UPnP (une fonction qui ouvre des ports automatiquement, souvent à votre insu).
Commencez par un contrôle de votre box ou routeur : y a-t-il des redirections de ports vers le NAS ? Si personne ne sait pourquoi elles existent, c’est le premier signal d’alerte. Chez QNAP, la désactivation de l’UPnP se fait dans myQNAPcloud, rubrique « Auto Router Configuration » (source : guide QNAP, dernière modification indiquée le 16/12/2022, à confirmer sur votre version de QTS).
Un mot de passe seul ne suffit plus : il peut être deviné, réutilisé ou volé. La double authentification (2FA) ajoute un code temporaire généré par une application sur votre téléphone.
Synology. DSM propose le « Secure SignIn » : validation d’une demande dans l’application mobile, clé de sécurité matérielle ou codes d’application d’authentification (Google Authenticator, Microsoft Authenticator). Un administrateur peut imposer la 2FA à certains utilisateurs ou groupes, et DSM 7.4 propose aussi une authentification multifacteur adaptative. Deux limites à connaître : la validation par application exige que le NAS puisse joindre le compte Synology, et les clés matérielles ne fonctionnent pas via QuickConnect ni par adresse IP, seulement par nom de domaine en HTTPS.
QNAP. Dans QTS, l’option se trouve dans le menu de votre compte, « Options », puis « 2-step Verification ». Une application d’authentification est nécessaire, et l’horloge du NAS doit être synchronisée avec celle du téléphone. Prévoyez une méthode de secours : sans elle, un administrateur qui perd son téléphone peut se retrouver bloqué. Le guide QNAP consulté date de 2020 et ne mentionne pas les clés de sécurité : vérifiez ce que propose votre version actuelle de QTS.
Il existe trois approches, de la moins à la plus exposée.
Un VPN. Un VPN (réseau privé virtuel) crée un tunnel chiffré entre votre poste et le réseau de l’entreprise. Une fois connecté, vous vous comportez comme si vous étiez au bureau, sans publier le NAS sur Internet. Synology propose l’application VPN Server (protocoles PPTP, OpenVPN, L2TP/IPSec d’après sa page produit), QNAP propose QVPN Service via l’App Center. WireGuard, un protocole plus récent et plus rapide, n’apparaît pas dans la liste de Synology ; QNAP le propose dans QVPN Service 3 sur les modèles x86 sous QTS 5.0 ou plus récent. PPTP est un protocole ancien, à éviter.
QuickConnect (Synology) ou myQNAPcloud Link (QNAP). Ces services évitent de configurer le routeur. Le livre blanc de Synology explique que QuickConnect tente d’abord une connexion directe, puis une connexion établie à travers les routeurs des deux côtés, et en dernier recours passe par un serveur relais Synology. Le trafic n’est chiffré de bout en bout que si le SSL est activé. QNAP recommande, pour myQNAPcloud Link, de décocher les services publiés et de régler le contrôle d’accès sur « Private » ou « Customized ». C’est plus sûr qu’une redirection de port, mais cela reste une porte d’entrée : la 2FA et les mises à jour y restent indispensables.
La redirection de ports. Elle expose directement le NAS. À réserver aux cas où vous avez une raison précise, un accompagnement, et une surveillance. Si vous la maintenez, QNAP recommande de ne pas utiliser les ports 443, 80, 8080 et 8081.
DSM 7.4 intègre une protection du compte et un blocage automatique d’adresses IP (« Auto Block ») : après un nombre d’échecs de connexion défini, l’adresse est bloquée. Le pare-feu intégré permet aussi de filtrer par adresse, plage, port ou pays. Chez QNAP, les tentatives de saisie de code 2FA suivent les règles de « Network Access Protection » dans le panneau de configuration. Les noms exacts des menus évoluent d’une version à l’autre : contrôlez-les sur votre appareil.
C’est le réglage le moins spectaculaire et le plus rentable. QNAP indique, dans « Panneau de configuration > Système > Mise à jour du micrologiciel », la possibilité d’activer la mise à jour automatique de la version recommandée, et dans l’App Center l’installation automatique des mises à jour d’applications. Chez Synology, consultez régulièrement la page des avis de sécurité de l’éditeur : si un bulletin concerne votre version, la mise à jour devient une priorité du jour, pas du trimestre. Avant toute mise à jour importante, assurez-vous que vos sauvegardes sont à jour.
Aucune protection n’est absolue. Si un incident survient quand même, c’est la sauvegarde qui vous sauve, d’où l’intérêt de la règle 3-2-1 : au moins une copie hors ligne ou hors site. La sécurité de l’accès distant réduit le risque, la sauvegarde limite les dégâts. Il faut les deux.
Pour une TPE, un ordre de priorité raisonnable tient en quatre points : supprimer les redirections de ports inutiles, activer la 2FA pour tous les comptes, passer par un VPN pour l’accès extérieur, et mettre à jour dès qu’un correctif de sécurité paraît. Une heure de vérification vaut mieux qu’une semaine d’arrêt d’activité.
Si vous souhaitez savoir comment votre NAS est exposé aujourd’hui, contactez-moi via makantet.fr/contact : je commence par un état des lieux, puis je vous propose des réglages adaptés à votre usage et à votre équipe.
Une question sur ce sujet ?
Vous vous demandez ce que cela change pour votre entreprise ? Je vous réponds personnellement.
Posez-moi votre question© 2026 Makantet. Tous droits réservés. ‑ Mentions légales ‑ Politique de confidentialité ‑ Plan du site ‑ Gérer les cookies
