Jak zabezpečit domácí Wi‑Fi: nastavení pro každý router

Domácí router bývá připojený nepřetržitě a přes něj prochází komunikace počítačů, telefonů, televizí i chytrých spotřebičů. Základní zabezpečení proto stojí na několika nastaveních, která lze obvykle udělat během jedné návštěvy administrace routeru. Začněte přihlášením přes webový prohlížeč nebo aplikaci výrobce; údaje k prvnímu přístupu bývají na štítku zařízení nebo v návodu.

Změňte heslo do administrace routeru

Heslo do Wi‑Fi a heslo pro správu routeru jsou dvě rozdílné věci. První zadávají zařízení při připojení k síti, druhé umožňuje měnit její pravidla. Výchozí přístupové údaje výrobce, například běžně používané kombinace „admin“, nenechávejte aktivní ani tehdy, když administrace funguje jen z domácí sítě.

Zvolte unikátní heslo, které nepoužíváte pro e-mail, banku ani jiné služby. Praktická je dlouhá heslová věta složená z několika nesouvisejících slov, doplněná číslicí či znakem. Uložte ji do správce hesel nebo na jiné bezpečné místo. Pokud router nabízí dvoufázové ověření pro účet výrobce, zapněte ho.

Nastavte WPA3, případně WPA2 s AES

V nabídce zabezpečení bezdrátové sítě hledejte typ šifrování. Přednost má WPA3-Personal. Starší telefony, tiskárny nebo zařízení chytré domácnosti jej ale nemusí umět. Pak lze použít smíšený režim WPA2/WPA3, pokud ho router nabízí, nebo WPA2-Personal s šifrováním AES.

Nepoužívejte zastaralé režimy WEP, WPA ani WPA2 s TKIP. Tyto možnosti mohou být v nastavení uvedené hlavně kvůli kompatibilitě se starými zařízeními. Pokud kvůli jednomu starému zařízení musíte bezpečnost snížit, připojte ho raději do oddělené sítě a zvažte jeho výměnu.

Heslo k Wi‑Fi by mělo být dlouhé a jedinečné; rozumné minimum je alespoň 16 znaků. Nemá obsahovat jméno rodiny, adresu, název sítě ani snadno odhadnutelnou kombinaci typu „Letopocet2026“. Sdílení hesla přes QR kód je pohodlné, ale QR kód nenechávejte veřejně vystavený v chodbě nebo na lednici.

Název Wi‑Fi může být libovolný, neměl by ale prozrazovat příjmení, číslo bytu ani model routeru.

Aktualizace firmwaru nenechávejte na později

Firmware je software, který řídí router. Jeho aktualizace opravují chyby v zabezpečení i problémy se stabilitou. V administraci proto najděte položku jako „Aktualizace“, „Firmware“ nebo „System update“ a ověřte, zda router nenabízí novější verzi.

Nejjednodušší je zapnout automatické aktualizace, pokud je výrobce poskytuje. U ruční aktualizace stahujte soubor pouze z oficiálních stránek výrobce a pečlivě ověřte přesný model routeru. Během nahrávání firmware zařízení nevypínejte; přerušení může router vyřadit z provozu.

Některé staré routery už bezpečnostní opravy nedostávají. Jestliže výrobce ukončil podporu a zařízení je vystavené internetu, je výměna bezpečnější než hledání kompromisního nastavení. Před nákupem nového modelu se vyplatí ověřit, zda výrobce uvádí pravidelné aktualizace a jak se instalují.

Vypněte WPS a přístup z internetu

WPS dovoluje připojit zařízení stisknutím tlačítka nebo zadáním krátkého kódu. Jde o pohodlnou funkci, ale pro běžnou domácnost není potřeba. V nastavení Wi‑Fi ji vypněte. Nové zařízení připojíte zadáním hesla nebo přes QR kód.

Zkontrolujte také vzdálenou správu routeru. Pokud ji nepotřebujete, má být vypnutá. Tato funkce umožňuje otevřít administraci z internetu a zbytečně rozšiřuje prostor pro útok. Totéž platí pro automatické otevírání portů UPnP: může pomoci herní konzoli nebo některým aplikacím, ale není vhodné ho zapínat bez konkrétního důvodu. Když ho nepotřebujete, nechte ho vypnuté.

Přesměrování portů nastavujte jen pro službu, u níž víte, proč ho potřebujete. Záznamy, které vznikly kvůli staré hře, kameře nebo domácímu serveru a už je nepoužíváte, odstraňte.

Hosty a chytrou domácnost oddělte

Návštěvám nedávejte heslo k hlavní síti. Zapněte hostovskou Wi‑Fi, nastavte jí vlastní heslo a ověřte, že hosté nemají přístup k zařízením v místní síti. Tato volba se podle značky jmenuje například izolace klientů, přístup jen k internetu nebo zákaz přístupu do intranetu.

Podobné oddělení se hodí pro levnější chytrá zařízení: zásuvky, kamery, robotické vysavače nebo televize. Pokud router podporuje samostatnou síť pro zařízení internetu věcí či více oddělených sítí, nepřipojujte tyto přístroje ke stejné síti jako pracovní počítač a úložiště souborů. U běžného routeru lze pro tento účel někdy využít hostovskou síť, ovšem jen pokud zařízení stále funguje bez vzájemného přístupu, který některé chytré prvky vyžadují.

Průběžná kontrola odhalí cizí zařízení

Jednou za čas otevřete seznam připojených zařízení. Neznámý název ještě nemusí znamenat cizí přístup: telefony a televizory se mohou zobrazovat pod technickým označením. Porovnejte proto název, výrobce nebo MAC adresu s vlastními zařízeními. Pokud položku nedokážete rozpoznat, nejdřív odpojte své přístroje nebo se podívejte do jejich síťového nastavení.

Při podezření změňte heslo k Wi‑Fi, zkontrolujte heslo administrace a odpojte všechna zařízení, pokud to router umožňuje. Jestliže se neznámé zařízení vrací nebo nevíte, která nastavení byla upravena, uložte si potřebné údaje, proveďte tovární reset a router nastavte znovu. Obnovu staré zálohy konfigurace použijte jen tehdy, když jí důvěřujete.

Bezpečný základ tvoří aktuální firmware, WPA3 nebo WPA2‑AES, dvě různá silná hesla a vypnutý WPS. Hostovskou síť berte jako běžné vybavení domácnosti, ne jako funkci navíc: chrání hlavní síť pokaždé, když připojíte návštěvu nebo méně důvěryhodné chytré zařízení.