Freebox Ultra testée : une appli laisse visible sa page de connexion

Concerné ?

Le constat concerne une Freebox Ultra sous le logiciel 4.13.1, avec au moins une application associée. Sur cette box, désactiver l’authentification distante par mot de passe n’a pas suffi à masquer la page de connexion. Les Freebox Delta, Pop et Révolution n’ont pas été testées.

Pas concerné au moment du test si la page ne répond pas depuis votre téléphone en 4G ou 5G, Wi-Fi coupé. Ce résultat décrit l’état de la box lors de la vérification, sans garantie pour la suite.

Comment on le sait

La page répondait depuis un téléphone en 5G, malgré la désactivation de l’authentification distante par mot de passe et l’absence de lien de partage actif. Frandroid a publié ce test le 21 octobre 2026. Après révocation de toutes les applications associées, la page a cessé de répondre. Elle est redevenue visible dès qu’une application a été liée à la box.

Le réglage du mot de passe bloque cette manière de se connecter ; il ne ferme pas l’accès nécessaire aux applications et aux liens de partage.

Le risque

Le risque établi est faible : quelqu’un qui connaît l’adresse de la box pourrait voir sa page de connexion. Cette visibilité ne signifie pas qu’il puisse accéder aux réglages ou aux données.

Ce qu’on ne sait pas : ce test ne permet pas de dire si le même comportement se produit sur d’autres modèles ou versions du logiciel. Il ne démontre aucune intrusion.

Le contexte

• Freebox OS date du 27 juin 2013 et permettait déjà d’accéder à sa Freebox depuis l’extérieur, d’après Clubic, le 27 juin 2013.
• En 2014, une mise à jour a corrigé un problème de sécurité de l’interface Freebox OS, sans précision sur sa nature, d’après Clubic, le 8 décembre 2014.
• Depuis le 6 janvier 2026, les fonctions de Freebox Connect sont intégrées à l’application Free, d’après Numerama, le 6 janvier 2026.

Quoi faire maintenant

Testez d’abord la page depuis votre téléphone, Wi-Fi coupé. Procédez dans cet ordre :

1. Depuis un appareil connecté à votre Freebox, ouvrez mafreebox.freebox.fr/api_version et relevez les valeurs api_domain et https_port.
2. Sur le téléphone, passez en 4G ou 5G. Dans le navigateur, utilisez en HTTPS le domaine relevé, suivi de deux-points, du port relevé et du chemin /login.php. Si « Freebox OS :: Identification » s’affiche, la page est visible depuis Internet. Une erreur de connexion signifie qu’elle ne répond pas lors de ce test.
3. Si vous n’avez pas besoin d’accès distant, ouvrez Freebox OS en mode avancé, puis « Gestion des accès » et « Applications ». Révoquez tous les accès, vérifiez qu’aucun lien de partage n’est actif, puis refaites le test hors Wi-Fi. Les applications révoquées cesseront de fonctionner.
4. Si vous souhaitez conserver une application, supprimez au moins celles que vous n’utilisez plus. Tant qu’une application reste associée, la page peut rester visible. Vous pourrez associer de nouveau une application révoquée si nécessaire.