Comment consulter l’historique de navigation sur votre routeur Wi-Fi ?

Votre routeur garde-t-il votre historique de navigation ?

En général, non, du moins pas sous une forme lisible. Un routeur se contente de faire passer le trafic ; il n’a aucun besoin de retenir où ce trafic est allé, et la plupart ne le font pas. Google le dit sans détour à propos des siens : Google Wifi et Nest Wifi « ne suivent pas les sites web que vous visitez ». AVM précise que le journal des événements de la FRITZ!Box n’affiche pas les « messages déclenchés par des programmes sur les ordinateurs connectés ».

Ce que les routeurs conservent, c’est un journal système ou journal des événements (Event Log). On y trouve les redémarrages, les appareils qui reçoivent une adresse, les tentatives de connexion échouées et les mises à jour du firmware. C’est vers ce journal que renvoient la plupart des guides, et il ne vous dira pas quels sites web quelqu’un a ouverts.

Une liste de sites n’apparaît que dans trois cas :

• Votre routeur a une fonction d’historique, et quelqu’un l’a activée (chapitre 3).
• Le DNS de votre réseau passe par un service qui enregistre les requêtes (chapitre 4).
• Vous utilisez un firmware de routeur ou un pare-feu qui enregistre le DNS, comme OpenWrt, pfSense ou OPNsense (chapitre 5).

Dans tous les cas, vous obtenez des noms de domaine (youtube.com, pas la vidéo), l’appareil et l’heure. Rien n’apparaît pour la période qui précède le début de l’enregistrement : impossible de remonter à hier si l’enregistrement n’était pas déjà en marche.

Ce que votre fournisseur d’accès à internet peut voir et conserver est une autre question, traitée dans Combien de temps les fournisseurs d’accès à internet conservent-ils mon historique ?

Avant de commencer : trouver l’adresse IP du routeur et se connecter

Il vous faut trois choses : l’adresse du routeur, son mot de passe administrateur et un appareil connecté à son réseau.

L’adresse et le mot de passe par défaut sont en général imprimés sur une étiquette collée sur le routeur. Les adresses les plus courantes sont 192.168.0.1 et 192.168.1.1 ; les passerelles Xfinity utilisent 10.0.0.1. Certaines marques acceptent aussi un nom à la place des chiffres, comme routerlogin.net (Netgear) ou asusrouter.com (ASUS). Si le routeur vous a été remis par votre fournisseur d’accès, le mot de passe peut se trouver sur l’étiquette ou dans l’application du fournisseur.

Trouver l’adresse IP du routeur sous Windows

Si l’étiquette a disparu, votre ordinateur connaît l’adresse : c’est la « Passerelle par défaut ».

Il vous faut : un PC Windows connecté au routeur, en Wi-Fi ou par câble.

↓

1. Ouvrir la zone de recherche

Cliquez sur la zone de recherche de la barre des tâches : en bas à gauche sous Windows 10, à côté du bouton Démarrer sous Windows 11. Vous pouvez aussi appuyer sur la touche Windows.

↓

2. Lancer l’Invite de commandes (Command Prompt)

Tapez cmd et sélectionnez la suggestion Invite de commandes.

↓

3. Exécuter ipconfig

Dans la fenêtre de l’Invite de commandes, tapez ipconfig et appuyez sur Entrée.

↓

4. Lire la Passerelle par défaut (Default Gateway)

Repérez la carte réseau par laquelle vous êtes connecté (Wi-Fi ou Ethernet). L’adresse IP indiquée à côté de Passerelle par défaut est celle de votre routeur.

Tapez cette adresse dans votre navigateur pour ouvrir la page de connexion du routeur.

Captures d’écran : Windows, tirées de notre guide original de 2022.

Sur Mac, sur téléphone ou sous Linux

• Mac : menu Pomme > Réglages Système > Réseau, cliquez sur Wi-Fi (ou Ethernet), puis sur Détails > TCP/IP. L’adresse figure à côté de Routeur.
• iPhone ou iPad : Réglages > Wi-Fi, touchez le bouton Infos à côté de votre réseau. L’adresse figure à côté de Routeur.
• Android : ouvrez les détails du réseau Wi-Fi dans les Paramètres et cherchez Passerelle ou Routeur. Le nom des menus varie d’un fabricant de téléphones à l’autre.
• Linux : lancez ip route. L’adresse qui suit « default via » est celle du routeur.

Se connecter

Tapez l’adresse dans la barre d’adresse de votre navigateur et connectez-vous avec le mot de passe administrateur. Si vous l’avez changé et que vous ne vous en souvenez plus, une réinitialisation d’usine rétablit le mot de passe de l’étiquette, mais elle efface aussi le nom et le mot de passe de votre Wi-Fi, ainsi que tous les autres réglages.

Certains systèmes n’ont pas de page web du tout. Les réseaux eero « ne peuvent être gérés qu’avec l’application mobile », le routeur Starlink « n’a pas de portail d’administration », et Google Nest Wifi se gère dans l’application Google Home. Beaucoup d’autres marques proposent une application en plus de la page web (TP-Link Tether et Deco, ASUS Router, Netgear Nighthawk et Orbi).

Consulter l’historique intégré au routeur, marque par marque

Oubliez le journal système et cherchez plutôt une fonction de contrôle parental ou de statistiques (« insights »). Quand elle existe, il faut en général l’activer d’abord, et elle ne couvre que la période écoulée depuis.

TP-Link

Sur les routeurs Archer, créez un profil pour la personne concernée sous Advanced > Parental Controls et ajoutez-y ses appareils. La colonne Insights affiche alors « les sites web visités et le temps passé en ligne pour chacun des 7 derniers jours », et History ouvre la liste complète. TP-Link prévient que l’adresse MAC privée de l’appareil doit être désactivée, « sinon le contrôle parental ne fonctionnera pas ».

Les systèmes mesh Deco et les routeurs plus récents utilisent HomeShield, dans l’application Deco ou Tether. TP-Link promet des « statistiques détaillées sur l’utilisation d’internet par vos enfants » ; certaines fonctions nécessitent la formule Advanced Parental Controls (à partir de 2,99 $ par mois).

ASUS

Connectez-vous à la page web et ouvrez Adaptive QoS > Web History (sur les firmwares récents, Parental Controls > Web History). La fonction est désactivée par défaut. Une fois activée, « la page affiche l’historique de navigation de tous les clients ». Vous pouvez choisir un seul appareil, exporter la liste ou l’effacer. Vérifiez d’abord les caractéristiques de votre modèle : tous les routeurs ASUS n’ont pas cette fonction.

Netgear

La page web (routerlogin.net, ou orbilogin.com pour Orbi) propose un journal sous ADVANCED > Administration > Logs. Les manuels de Netgear le présentent comme un relevé des sites web que vous avez consultés. Sa page d’assistance est plus modeste : « les entrées du journal ne s’affichent que si le blocage par mots-clés est activé », rien n’est enregistré pour l’utilisateur de confiance, et le journal contient au maximum 256 entrées.

Pour une vraie liste, Netgear vend Smart Parental Controls. Avec la formule Premium, l’application Orbi affiche Parental Controls > profile > History > Visited. Netgear Armor, l’abonnement de sécurité, se contente de lister les menaces qu’il a bloquées.

Linksys

Sur la page web, allez dans Troubleshooting > Logs et activez la journalisation. L’Outgoing Log (journal du trafic sortant) indique, pour chaque appareil, son adresse IP locale, la « Destination URL or IP Address » (URL ou adresse IP de destination) et le port. Linksys le présente comme un journal temporaire, et il a un bouton Clear.

Les marques sans historique des sites

eero Plus affiche le nombre d’analyses et de blocages, pas une liste de sites. Google Wifi et Nest Wifi montrent la quantité de données consommée par chaque appareil, mais pas où elles sont allées. La page de la passerelle Xfinity signale les tentatives de contournement de vos règles de contrôle parental, l’application de Verizon indique le temps passé en ligne par profil, et Smart Home Manager d’AT&T propose des profils, des pauses et des limites de temps. Les routeurs FRITZ!Box, Starlink et Keenetic n’enregistrent pas non plus les sites, même si Keenetic peut montrer quelles applications un appareil a utilisées. Pour tous ces routeurs, passez par l’enregistrement DNS.

Un détail qui piège tout le monde, quelle que soit la marque : les téléphones et les ordinateurs portables utilisent souvent une adresse Wi-Fi privée (aléatoire), si bien qu’un appareil peut apparaître sous un nom inconnu, ou comme un nouvel appareil au bout d’un certain temps.

Pas de fonction d’historique ? Enregistrez le DNS de tout le réseau

Avant d’ouvrir un site web, un appareil demande son adresse au DNS. Si votre routeur envoie ces requêtes à un service qui tient un journal, vous obtenez une liste de noms de domaine pour chaque appareil du réseau. Le réglage se trouve dans les paramètres internet ou DHCP du routeur, en général sous l’intitulé « Serveur DNS » (DNS server).

• NextDNS : en ligne, gratuit jusqu’à 300 000 requêtes par mois. Vous choisissez la durée de conservation des journaux, « d’une heure à deux ans », ou vous les désactivez. Au-delà de la limite gratuite, il répond toujours aux requêtes, mais fonctionne comme un simple service DNS.
• Control D : en ligne et payant, avec un essai de 14 jours. Les journaux bruts des requêtes sont conservés jusqu’à 1 mois avec son niveau « Full Analytics ».
• Pi-hole : un logiciel gratuit que vous faites tourner chez vous sur un Raspberry Pi ou un autre petit ordinateur. Son Query Log affiche chaque requête ; la base de données les conserve 91 jours par défaut. Vous réglez le routeur pour qu’il distribue le Pi-hole comme serveur DNS.
• AdGuard Home : le même principe que Pi-hole. Son journal des requêtes est conservé 90 jours par défaut, et cette durée peut aller d’une heure à un an.
• OpenDNS Home : gratuit avec un compte. Ses statistiques par réseau listent des domaines, pas des URL complètes (Reporting FAQ). OpenDNS cesse de stocker les données des comptes gratuits qui ne génèrent aucun rapport pendant environ un mois, et des utilisateurs du forum de Cisco ont signalé des statistiques vides : vérifiez qu’il enregistre bien avant de compter dessus.

L’offre Zero Trust de Cloudflare enregistre elle aussi le DNS, pendant 24 heures avec la formule gratuite. Le service plus simple 1.1.1.1 for Families filtre, mais ne vous donne aucun journal à consulter.

Deux choses à savoir avant de mettre ça en place. Le journal se trouve désormais chez le service DNS : choisissez-en un dont la politique de confidentialité vous inspire assez confiance pour lui confier la navigation de votre foyer. Et il ne couvre que les appareils qui utilisent le DNS du routeur (le chapitre 6 liste ceux qui y échappent).

Pour les utilisateurs avancés : firmware, pare-feu et captures de paquets

Si votre routeur tourne sous OpenWrt, activez la journalisation des requêtes de dnsmasq (option logqueries ’1’ dans /etc/config/dhcp) et lisez les entrées avec logread. La documentation d’OpenWrt précise que le journal inclut l’adresse IP à l’origine de la requête. Le journal système est un petit tampon circulaire en mémoire : envoyez-le vers un stockage externe si vous voulez garder plus que les dernières heures.

Sous pfSense, ajoutez server: et log-queries: yes dans les options personnalisées (Custom options) du DNS Resolver, puis consultez Status > System Logs > System > DNS Resolver. OPNsense propose un rapport tout prêt sous Reporting > Unbound DNS, qui montre quel client a demandé quel domaine ; les données sont « conservées sur le système pendant 7 jours au total ».

L’autre voie, c’est Wireshark. Il affiche les requêtes DNS et le nom du site dans le premier message d’une connexion HTTPS (le SNI). En Wi-Fi, en revanche, un ordinateur portable ne capture que son propre trafic : le wiki de Wireshark note que les paquets échangés avec les autres appareils d’un réseau protégé « ne pourront pas être déchiffrés par l’adaptateur ». Pour voir les autres appareils, il faut capturer sur le routeur lui-même ou sur un port de switch qui reçoit une copie (en miroir) du trafic du routeur.

Ce que l’historique du routeur ne peut pas montrer

Même avec l’enregistrement activé, beaucoup de choses restent invisibles.

• Les pages, les recherches et le contenu. HTTPS chiffre tout ce qui vient après le nom de domaine. Vous verrez youtube.com mais pas la vidéo, google.com mais pas la recherche.
• Le temps passé sur un site. Un journal montre des requêtes, pas des visites. Les applications, les mises à jour et les régies publicitaires font des requêtes en arrière-plan : un domaine dans le journal ne veut pas dire que quelqu’un l’a ouvert.
• Le DNS chiffré. Firefox active par défaut le DNS over HTTPS pour les utilisateurs sur ordinateur aux États-Unis et dans quelques autres pays, Chrome et Edge passent au DNS chiffré quand votre fournisseur DNS le prend en charge, et Android bascule automatiquement vers le DNS chiffré quand c’est possible. Si quelqu’un configure son propre serveur DNS chiffré, ses requêtes échappent complètement au journal de votre routeur. Un réseau peut désactiver le réglage par défaut de Firefox (mais pas un choix fait par l’utilisateur) en bloquant le domaine canari use-application-dns.net ; Pi-hole le fait d’office.
• Relais privé iCloud. Sur les iPhone, iPad et Mac où le Relais privé est activé, le DNS est chiffré et le trafic de Safari passe par des relais. Apple permet aux réseaux de le bloquer en refusant de résoudre mask.icloud.com et mask-h2.icloud.com ; l’utilisateur reçoit alors une alerte.
• Encrypted Client Hello. Chrome et Firefox masquent désormais le nom du site dans la négociation HTTPS sur les sites compatibles, ce qui est le cas de nombreux sites derrière Cloudflare. Une capture de paquets ne voit alors que cloudflare-ech.com. Un journal DNS affiche quand même le domaine si la requête elle-même n’était pas chiffrée.
• VPN et Tor. Le routeur voit une connexion à un serveur VPN ou au réseau Tor, et rien des sites qui se trouvent derrière.
• Les données mobiles. Un téléphone en 4G ou en 5G ne passe pas du tout par votre routeur.

Les fenêtres de navigation privée ne cachent rien au réseau. Google le reconnaît sur sa propre page d’aide : les organisations qui gèrent votre réseau « peuvent être en mesure d’observer votre activité en navigation privée ». Si vous êtes de l’autre côté de la barrière, lisez Le propriétaire du Wi-Fi peut-il voir les sites que j’ai visités ?

Consulter la navigation de quelqu’un d’autre : ce que dit la loi

Lire les journaux de votre propre réseau, c’est une chose ; surveiller d’autres personnes, c’en est une autre. Ceci n’est pas un conseil juridique, et les règles varient d’un pays et d’un État à l’autre, mais voici les grandes lignes.

• États-Unis : le Wiretap Act, la loi fédérale sur les écoutes, fait de l’interception intentionnelle de communications électroniques une infraction pénale, sauf lorsque « l’une des parties à la communication a donné son consentement préalable ». Certains États exigent le consentement de toutes les parties. Pour les parents et leurs enfants mineurs, un rapport du Congressional Research Service (le service d’études du Congrès) note que « quelques tribunaux reconnaissent une exception de “consentement par procuration” ». Certains États fixent des règles pour les employeurs ; l’État de New York, par exemple, impose d’informer les salariés par écrit dès l’embauche avant de surveiller leur utilisation d’internet.
• Royaume-Uni : l’Investigatory Powers Act (la loi britannique sur les pouvoirs d’enquête) exempte de l’infraction pénale la personne qui contrôle un réseau privé, mais les personnes dont les communications ont été interceptées peuvent tout de même agir en justice (section 8), et les entreprises doivent faire des efforts raisonnables pour en informer tous les utilisateurs du système. Dans ses recommandations de 2023 sur la surveillance au travail, l’ICO, l’autorité britannique de protection des données, demande aux employeurs de faire connaître aux salariés « la nature, l’étendue et les raisons de la surveillance ».
• Union européenne : le RGPD (GDPR) ne s’applique pas aux activités strictement personnelles ou domestiques. Au travail, si : les autorités européennes de protection des données (à l’époque réunies au sein de l’Article 29 Working Party) ont écrit en 2017 qu’il est « très peu probable » que le consentement soit une base légale valable dans ce cadre, et qu’il vaut mieux bloquer des sites que tout surveiller.

Sur un réseau familial ou partagé, le plus simple est de prévenir les gens que le réseau tient un journal des sites demandés. Pour les enfants, un filtre qui bloque ce qu’ils ne devraient pas voir est souvent plus utile qu’un journal qu’on lit après coup.

Comment effacer l’historique du routeur

Quand un routeur garde un historique, il a un bouton pour l’effacer : Clear dans Web History chez ASUS, Clear Log chez Netgear, Clear dans les journaux Linksys. Sur une FRITZ!Box, All > Delete List vide le journal des événements, et un redémarrage l’efface aussi. Le journal d’OpenWrt disparaît quand le routeur redémarre.

Les services DNS gardent leurs journaux dans votre compte : supprimez-les là, ou raccourcissez leur durée de conservation (NextDNS descend jusqu’à une heure, Pi-hole et AdGuard Home vous laissent choisir la durée ou désactiver le journal).

Effacer l’historique du routeur ne touche ni à l’historique de votre navigateur ni à ce que conserve votre fournisseur d’accès. Ces deux points sont traités dans Comment supprimer mon historique Wi-Fi ?