Le 6 octobre 2026, la Floride, rejointe par l’Iowa, le Montana et le Nebraska, a engagé des poursuites judiciaires contre TP-Link, premier fabricant mondial de routeurs grand public en part de marché. Cette offensive concertée intervient six mois à peine après l’interdiction générale prononcée par la Federal Communications Commission (FCC) contre les routeurs grand public fabriqués hors du territoire américain.
Figure : Le routeur Archer 8 Ultra et le système maillé Deco 8 Ultra de TP-Link. Source : TP-Link (Ars Technica)
Au cours des six derniers mois, des concurrents directs comme Netgear, Asus, Eero (Amazon) ou encore la division Starlink de SpaceX ont tour à tour décroché des dérogations auprès de la FCC. TP-Link, pour sa part, n’en a obtenu aucune. Privée d’autorisation pour lancer ses routeurs Wi-Fi 8 de nouvelle génération sur le sol américain, l’entreprise se retrouve contrainte d’affronter les équipements de pointe de ses rivaux avec des gammes vieillissantes.
Le refus de dérogation bloque le cycle de renouvellement
La conséquence la plus brutale de la décision de la FCC réside dans l’interruption forcée du cycle de vie des produits du constructeur. L’accès au marché américain du matériel repose impérativement sur l’autorisation d’équipement (Equipment Authorization) délivrée par la FCC. Dépourvu de ce sésame, un fabricant ne peut ni commercialiser de nouveaux boîtiers embarquant les derniers standards comme le Wi-Fi 8, ni apporter la moindre révision matérielle à ses gammes existantes.
Pour les modèles plus anciens déjà commercialisés, la FCC n’a accordé qu’une dérogation temporaire restreinte au déploiement de correctifs de micrologiciel, qui expirera le 1er mars 2027. D’ici un an, le simple fait de corriger une vulnérabilité logicielle sur des appareils en service placera le fabricant dans l’illégalité. En verrouillant l’homologation des nouveaux matériels, le régulateur organise matériellement l’éviction de la marque du marché. Refuser une dérogation revient purement et simplement à lui confisquer son billet d’entrée dans la compétition technologique de demain.
L’illusion de l’étiquette “Fabriqué au Vietnam”
Afin de désamorcer les risques de non-conformité, TP-Link avait pourtant déployé la parade classique des industriels du secteur : installer son siège social en Californie en octobre 2024 et fournir aux régulateurs des déclarations attestant que l’ensemble des équipements destinés aux États-Unis était assemblé au Vietnam.
Le procureur général de Floride, James Uthmeier, a toutefois qualifié cette réorganisation logistique de pure « fiction ». La plainte s’appuie sur une enquête menée en avril 2025 par l’agence Bloomberg : celle-ci révélait que les composants achetés localement au Vietnam ne représentaient que 0,5 % de la valeur totale injectée dans l’usine, l’intégralité des autres pièces détachées continuant d’être importée de Chine.
Dès lors que le regard du régulateur transperce le site d’assemblage final pour auditer directement la nomenclature des composants (Bill of Materials, BOM), la stratégie de délocalisation s’effondre. Les sous-ensembles vitaux et les chaînes de R&D demeurent indissociables de l’écosystème d’origine. Un simple assemblage final ne suffit plus à combler les exigences politiques entourant la traçabilité du matériel.
Le droit de la consommation érigé en arme réglementaire
Le choix tactique opéré par la coalition des quatre États s’avère particulièrement affûté. Plutôt que de s’enfermer dans le champ nébuleux et difficilement quantifiable de la sécurité nationale, les magistrats ont fait du droit de la consommation leur principal levier d’action.
La plainte reproche à TP-Link d’avoir vanté sa suite logicielle « HomeShield » comme offrant une « protection à 100 % », alors même que ses routeurs ont été détournés et exploités par le renseignement militaire russe (GRU) et des groupes de cyberespionnage étatiques. Les procureurs ont ainsi habilement requalifié l’existence de failles techniques en pratiques commerciales trompeuses et en fraude au consommateur.
Figure : Les failles des équipements réseau sont fréquemment exploitées pour constituer des réseaux de zombies (botnets) ou orchestrer des attaques de l’homme du milieu. Source : Ars Technica
Les plaignants ne réclament pas seulement une injonction de vente, mais également des sanctions civiles pouvant atteindre 10 000 dollars par infraction, montant porté à 15 000 dollars lorsque les faits visent des personnes âgées, des anciens combattants ou des personnes en situation de handicap. Exploiter le cadre de la protection des consommateurs pour sanctionner des vulnérabilités de cybersécurité offre aux États un levier juridique redoutable et peu coûteux pour contourner les lourdeurs fédérales du commerce technologique.
Les passerelles domestiques au cœur du front géopolitique
Les plaintes des quatre États s’ouvrent sur une même métaphore percutante pour caractériser le rôle d’un routeur : « Un routeur sert de bouche et d’oreilles virtuelles au consommateur sur Internet. Ce que le consommateur transmet au réseau sort par la bouche du routeur, et ce que le réseau renvoie passe par ses oreilles. S’il est compromis, il peut murmurer des mensonges dans les deux sens, usurper l’identité du consommateur et établir une tête de pont au sein même du domicile pour des cyberattaques commanditées par des États. »
Cette personnification révèle la prise de conscience des autorités judiciaires. Les routeurs résidentiels (SOHO) fonctionnent en continu, ne bénéficient presque jamais de mises à jour de firmware et restent directement exposés à l’Internet public. Ils constituent des hôtes de premier choix pour les groupes APT en quête de réseaux relais furtifs. La passerelle domestique n’est plus ce simple boîtier en plastique à quelques dizaines de dollars : elle est désormais traitée comme une infrastructure critique sur la ligne de front des équilibres géopolitiques.
En réponse, TP-Link a réaffirmé sa stricte conformité avec les réglementations américaines sur la vie privée et précisé confier ses tests de sécurité à des laboratoires tiers indépendants. L’entreprise assure ne partager aucune donnée réseau avec des gouvernements étrangers et n’avoir aucune intention de le faire. Mais face à un appareil réglementaire qui applique de facto une présomption de culpabilité, les dénégations techniques peinent à convaincre. Dès lors que les critères d’accès au marché délaissent les stricts standards d’ingénierie pour se muer en un contrôle d’ascendance de la chaîne logistique, l’étau se referme inéluctablement sur les constructeurs internationaux.
Liens de référence :
- Article Ars Technica
- Avis officiel de la FCC sur l’interdiction des routeurs
