KCSIE et WiFi scolaire : combiner accès sécurisé et filtrage de contenu

Le programme Keeping Children Safe in Education (KCSIE) exige des écoles et collèges d'Angleterre qu'ils mettent en place un filtrage et une surveillance appropriés. Les normes du DfE exigent un filtrage pour chaque personne, compte invité et appareil utilisant votre connexion. Les journaux doivent identifier l'individu lorsque cela est possible. Associer une authentification réseau par personne à un filtrage DNS répond à ces deux exigences sur les réseaux du personnel, des élèves et des invités.

Qu'exige le KCSIE en matière de filtrage et de surveillance du WiFi scolaire ?

Keeping Children Safe in Education est une directive statutaire du Department for Education (DfE). Les écoles et collèges d'Angleterre doivent la prendre en compte lorsqu'ils s'acquittent de leurs obligations en matière de protection de l'enfance. Elle responsabilise les conseils d'administration et les propriétaires quant à la mise en place de systèmes de filtrage et de surveillance appropriés, ainsi qu'à l'évaluation de leur efficacité.

Le KCSIE confie au responsable désigné de la protection de l'enfance (DSL) la responsabilité principale de la sécurité en ligne. Cela inclut la compréhension des systèmes de filtrage et de surveillance en place. Votre réseau est désormais un outil de protection, et le DSL doit savoir comment il fonctionne.

Le KCSIE regroupe les risques en ligne en quatre domaines : contenu, contact, conduite et commerce. Le filtrage traite principalement le contenu. La surveillance permet de détecter rapidement les risques liés au contact et à la conduite.

Les quatre normes de filtrage et de surveillance du DfE

Le KCSIE oriente les établissements vers les normes de filtrage et de surveillance du DfE pour les écoles et collèges, publiées pour la première fois en mars 2023. Elles définissent quatre attentes :

1. Identifier et attribuer les rôles et responsabilités pour gérer vos systèmes de filtrage et de surveillance.
2. Réviser votre dispositif de filtrage et de surveillance au moins une fois par an.
3. Bloquer les contenus nocifs et inappropriés sans impacter de manière déraisonnable l'enseignement et l'apprentissage.
4. Disposer de stratégies de surveillance efficaces répondant aux besoins de protection de votre école ou collège.

Ce que la troisième norme implique pour votre WiFi

C'est avec la troisième norme que la conception du réseau sans fil devient spécifique. Le filtrage doit s'appliquer à tout le monde, y compris aux comptes invités, aux appareils appartenant à l'école et à tout appareil utilisant votre connexion haut débit. Un réseau réservé au personnel non filtré ou un réseau visiteurs sur une ligne distincte constitue une faille.

Cette même norme exige que votre système identifie le nom ou l'identifiant de l'appareil, l'adresse IP et, si possible, l'individu. Elle exige également l'heure et la date de la tentative d'accès ainsi que le terme de recherche ou le contenu bloqué.

Votre fournisseur de filtrage doit être membre de l'Internet Watch Foundation (IWF). Il doit également bloquer les contenus figurant sur la liste de la Counter-Terrorism Internet Referral Unit (CTIRU). Le UK Safer Internet Centre publie des définitions du filtrage et de la surveillance appropriés, et les fournisseurs s'auto-certifient par rapport à celles-ci. Demandez à tout fournisseur que vous sélectionnez ce document de réponse, y compris à nous.

Pourquoi le filtrage WiFi KCSIE dépend-il de l'identification des personnes connectées ?

La plupart des filtres scolaires bloquent déjà les catégories évidentes. Le point faible réside dans l'attribution. Si vos réseaux pour le personnel et les élèves fonctionnent avec des mots de passe partagés, le filtre ne voit qu'une adresse IP et rien d'autre.

Cette adresse IP passe à un autre appareil chaque fois que son bail d'adresse expire. Derrière la traduction d'adresse, un bâtiment entier peut ressembler à une seule adresse pour un filtre en amont. Lorsque le responsable de la protection de l'enfance demande qui a recherché un terme lié à l'automutilation à 13h42, la réponse honnête est souvent "un appareil sur le réseau des élèves de terminale".

Les mots de passe partagés fuient également. Une clé WiFi du personnel partagée dans une discussion de groupe place les téléphones des élèves sur le réseau du personnel et sa politique plus permissive. Un enseignant parti le trimestre dernier a toujours la clé enregistrée. Aucun de ces événements n'apparaît dans les journaux, car le réseau ne peut pas distinguer un titulaire de clé d'un autre.

L'authentification par personne corrige l'attribution au point de connexion. Chaque appareil se connecte avec des identifiants liés à une personne nommée, afin que chaque ligne de journal corresponde à cette personne.

Comment l'authentification réseau et le filtrage DNS fonctionnent-ils ensemble ?

Pensez-y comme à trois couches. L'authentification décide qui est sur le réseau et dans quel segment il atterrit. Le filtrage DNS décide de ce qu'il peut atteindre. Les journaux des deux, regroupés par adresse IP et par heure, fournissent au responsable de la protection un enregistrement nominatif.

Couche 1 : l'identité lors de la connexion de l'appareil

Pour le personnel, la norme est l'IEEE 802.1X, le cadre de contrôle d'accès basé sur les ports derrière WPA2-Enterprise et WPA3-Enterprise. L'appareil présente ses identifiants à un serveur RADIUS (Remote Authentication Dial-In User Service), qui les vérifie par rapport à votre annuaire. Le RADIUS cloud de Purple vérifie le personnel par rapport à Microsoft Entra ID, Google Workspace ou Okta. Vous gérez un compte par personne, et non un mot de passe WiFi par bâtiment.

Les téléphones personnels des élèves, les consoles des internats et le matériel de classe qui ne peut pas gérer le 802.1X ont besoin d'une autre voie. Les clés partagées d'identité (iPSK) donnent à chaque personne ou appareil sa propre clé WiFi sur un seul SSID (nom de réseau). SecurePass de Purple délivre ces clés individuelles, de sorte que le téléphone d'un élève de terminale se connecte avec une clé qui lui est propre.

Les visiteurs, les prestataires et les groupes de location se connectent via un Captive Portal. Il s'agit de la page web qu'un appareil voit avant d'accéder à Internet, où le visiteur s'enregistre ou un membre du personnel le parraine. Le WiFi invité gère cet enregistrement et définit une limite de durée pour chaque session.

La réponse RADIUS peut également placer chaque appareil sur un VLAN (LAN virtuel), un segment de réseau logiquement séparé. Le personnel, les élèves et les invités se retrouvent alors sur des segments distincts avec des politiques de filtrage séparées, même sur les mêmes points d'accès.

Couche 2 : filtrage DNS sur chaque segment

Avant qu'un navigateur ou une application ne se connecte à un site, il demande l'adresse de ce domaine à un résolveur DNS. Un résolveur de filtrage vérifie le domaine par rapport à des listes de catégories. Il renvoie une page de blocage si la catégorie est interdite sur ce segment.

Parce qu'il agit sur la requête, le filtrage DNS couvre chaque appareil du segment, qu'il soit géré ou non. Il ne nécessite aucun agent sur l'appareil ni aucun certificat d'inspection. Cela convient parfaitement aux réseaux invités et BYOD, qui rentrent dans le périmètre des normes DfE mais que vous ne pouvez pas gérer. L'option Shield de Purple applique le filtrage de contenu à ce niveau.

Vous pouvez également y imposer la recherche sécurisée. Google fournit la documentation d'un mappage DNS vers forcesafesearch.google.com qui impose SafeSearch sur tout appareil utilisant votre résolveur. YouTube prend en charge un mappage similaire vers restrict.youtube.com pour le mode restreint.

Niveau 3 : le croisement des journaux

La comptabilité RADIUS enregistre quelle identité détenait quelle adresse IP, et à quel moment. Le filtre DNS enregistre quelle adresse IP a demandé quel domaine, et à quel moment. Croisez les deux sur la base de l'adresse IP et du horodatage, et une requête bloquée devient un élève nommé, un appareil et un terme de recherche.

Ce croisement correspond exactement à ce que la troisième norme entend par identifier l'individu lorsque cela est possible. Il fournit également des preuves pour la révision annuelle exigée par la deuxième norme : quelles catégories ont été touchées, à quelle fréquence et sur quel réseau.

Comparaison des réseaux personnel, élèves et invités

Réseau	Qui se connecte	Mode d'authentification	Source d'identité	Politique de filtrage	Ce que le journal nomme	Fin de l'accès
Personnel	Enseignants, personnel d'encadrement, administrateurs	802.1X (WPA2- ou WPA3-Enterprise)	Microsoft Entra ID, Google Workspace ou Okta	Contenu illégal et nocif bloqué, accès élargi pour les ressources pédagogiques	Compte personnel nommé et appareil	Compte désactivé dans l'annuaire
Élèves, appareils de l'école	Élèves sur ordinateurs portables et tablettes de l'école	802.1X avec comptes élèves, ou clé par appareil	Annuaire de l'école	Politique adaptée à l'âge par niveau scolaire, recherche sécurisée imposée	Élève nommé ou appareil identifié par étiquette d'actif	Élève retiré de l'annuaire
Élèves BYOD	Téléphones et ordinateurs personnels des élèves de terminale, si la politique l'autorise	iPSK individuel via SecurePass	Annuaire de l'école	Politique élèves avec catégories VPN, proxy et DNS chiffré bloquées	Élève nommé et appareil	Clé personnelle révoquée
Invités et locations	Visiteurs, prestataires, parents, groupes en location	Captive Portal avec inscription ou parrainage par le personnel	Registre d'inscription des visiteurs	Au moins la politique de base élèves partout où des enfants peuvent se connecter	Visiteur inscrit et appareil	La session expire à la limite de temps

Où cela se situe-t-il par rapport au filtrage déjà en place ?

La plupart des écoles utilisent déjà une forme de filtrage. Les fournisseurs d'accès Internet et les consortiums régionaux en fournissent souvent un, et de nombreux pare-feu intègrent le filtrage web. Les appareils appartenant à l'école peuvent embarquer un agent de filtrage déployé via la gestion des appareils mobiles (MDM). L'authentification réseau et le filtrage DNS viennent renforcer ces contrôles plutôt que de les remplacer purement et simplement.

Approche	Ce qu'elle voit	Couvre les appareils BYOD et invités	Couvre les appareils hors site	Lacune principale
Filtrage DNS	Noms de domaine recherchés	Oui, tout appareil utilisant votre résolveur	Non	Impossible de bloquer des pages isolées, et le DNS chiffré ou les VPN le contournent sauf s'ils sont bloqués
Filtrage par pare-feu avec inspection HTTPS	URL complètes et contenu après déchiffrement	Niveau domaine uniquement, car les appareils non gérés n'ont pas votre certificat	Non	Déploiement de certificats, problèmes de confidentialité et applications qui ne fonctionnent plus sous inspection
Agent d'appareil via MDM	Activité sur l'appareil lui-même	Non, appareils appartenant à l'établissement uniquement	Oui	Rien sur les appareils des visiteurs, BYOD ou non inscrits

La méthode pratique repose sur la superposition. Conservez les agents d'appareil sur les ordinateurs portables de l'école afin que le filtrage les suive à la maison. Utilisez le filtrage DNS sur les appareils BYOD et visiteurs qu'aucun agent n'atteint. Utilisez une authentification par personne pour que les deux types de journaux identifient un individu.

Purple fonctionne comme une superposition cloud sur les points d'accès que vous possédez déjà : Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Nous expliquons pourquoi cela évite un remplacement complet dans Why your next WiFi upgrade doesn't need new hardware. Pour la conception des SSID et de la segmentation, consultez Network Best Practices for Venues and Enterprises in 2026.

Si vous faites passer le personnel à WPA3-Enterprise, les trames de gestion protégées (IEEE 802.11w) deviennent obligatoires. Elles bloquent les trames de déconnexion falsifiées, un moyen économique de pousser un appareil vers un réseau frauduleux. Protected Management Frames: A Practical Guide for 2026 aborde le sujet en détail.

Purple fonctionne sur plus de 80 000 sites actifs et a géré 440 millions de connexions en 2024 (données Purple), avec une disponibilité de 99,999 %. Dans le secteur de l'éducation, nos clients comprennent l'University of Sheffield, l'University of Leeds et l'University of the Arts London. Les universités ne relèvent pas du KCSIE, mais le modèle d'identité reste le même.

À quoi cela ressemble-t-il sur un parc scolaire réel ?

Les deux scénarios ci-dessous sont illustratifs. Les résultats découlent directement de la configuration décrite.

Un établissement secondaire supprime trois mots de passe partagés

Situation. Un établissement secondaire de 1 100 élèves et un lycée utilisent trois SSID. Le personnel partage une clé, les lycéens partagent une clé changée à chaque trimestre, et les visiteurs lisent la leur à l'accueil. Le filtrage se situe sur la ligne haut débit. La ligne DSL ne peut attribuer aucune recherche bloquée à une personne, et la clé du personnel s'est retrouvée sur les téléphones des élèves.

Ce qui a été fait. Le personnel passe à 802.1X avec Microsoft Entra ID. Chaque lycéen reçoit une clé SecurePass personnelle sur un VLAN élève. Les visiteurs s'inscrivent via un Captive Portal avec des sessions de huit heures. Le filtrage DNS fonctionne par VLAN, avec la recherche sécurisée appliquée et les catégories de DNS chiffré et de VPN bloquées sur les segments élèves et invités.

Résultat. Le nombre de mots de passe WiFi partagés passe de trois à zéro. Chaque ligne de journal de filtrage sur les réseaux du personnel et des élèves de terminale est associée à un compte nommé. L'accès du personnel prend fin lorsque le service informatique désactive le compte dans Microsoft Entra ID, et non lors du prochain changement de clé trimestriel.

Un regroupement d'établissements scolaires ouvre ses locaux pour des locations communautaires

Situation. Un regroupement de huit écoles primaires loue ses salles pour des clubs du soir, des foires le week-end et un programme de football le samedi. Les groupes locataires reçoivent la clé invité de chaque école. Après plusieurs conversions d'établissements, les sites utilisent un mélange de Cisco Meraki et d'Ubiquiti UniFi avec des paramètres locaux différents.

Ce qui a été fait. Le regroupement déploie un Captive Portal unique sur les huit sites sous forme de superposition pour les deux fournisseurs. Les responsables de site parrainent les sessions de location planifiées en fonction de chaque réservation. Le réseau de location applique la ligne de base de filtrage des élèves, car des mineurs participent à la plupart des réservations.

Résultat. Huit configurations invités locales deviennent une politique centrale unique. Chaque appareil locataire est lié à un contact enregistré et à une réservation. Le regroupement produit des preuves d'examen annuel pour les huit écoles à partir d'un seul endroit, ce qui répond à la deuxième norme. WiFi Analytics affiche le nombre de connexions par site, ce qui aide l'équipe immobilière à planifier le personnel pour les locations.

Quelles sont les limites que vous devez connaître ?

Le filtrage DNS voit les domaines, pas les pages

Le filtrage DNS prend des décisions sur le nom de domaine. Il ne peut pas bloquer une vidéo nocive sur un domaine que vous autorisez. Pour cela, utilisez l'inspection HTTPS sur les appareils gérés ou des contrôles au sein de la plateforme, tels que le mode restreint de YouTube.

Le DNS chiffré et les VPN peuvent le contourner

Les navigateurs peuvent envoyer du DNS sur HTTPS (DoH), ce qui masque les requêtes au sein du trafic web chiffré et contourne votre résolveur. Bloquez les résolveurs DoH publics connus ainsi que les catégories VPN et proxy. Bloquez ensuite le DNS sortant vers tout résolveur autre que le vôtre au niveau du pare-feu. Firefox désactive le DoH par défaut lorsque votre résolveur bloque son domaine canari, use-application-dns.net. La définition de filtrage du UK Safer Internet Centre exige que les prestataires gèrent ce type de contournement.

Les données mobiles se trouvent en dehors de votre réseau

Un élève sur réseau 4G ou 5G ne touche jamais à votre WiFi. Le guide KCSIE note lui-même que de nombreux enfants disposent d'un accès internet non restreint via les réseaux mobiles. Il exige que votre approche de la sécurité en ligne reflète cette réalité. Le guide 2024 du DfE sur les téléphones portables à l'école préconise l'interdiction de l'utilisation du téléphone pendant la journée scolaire.

Les journaux sont des preuves, pas de la surveillance

La quatrième norme demande des stratégies de surveillance, et un journal que personne ne lit ne répond à rien. Convenez de qui examine les alertes, à quelle vitesse, et comment les préoccupations parviennent au responsable de la protection de l'enfance. La surveillance en classe fait partie de la stratégie, elle n'est pas une solution de secours.

Le blocage excessif comporte ses propres risques

Le guide KCSIE met en garde les conseils d'administration contre un blocage excessif qui entraînerait des restrictions déraisonnables sur l'enseignement. Des politiques séparées pour le personnel et les élèves, graduées par niveau d'enseignement, permettent à une classe de sciences politiques de terminale d'accéder aux sites d'actualités tout en maintenant un filtrage strict pour les plus jeunes.

KCSIE s'applique uniquement en Angleterre

Le Pays de Galles, l'Écosse et l'Irlande du Nord publient leurs propres directives de protection de l'enfance pour les écoles. L'architecture présentée ici fonctionne dans les quatre nations, mais vérifiez les attentes locales.

Que devez-vous faire ensuite ?

1. Cartographiez chaque réseau. Listez chaque SSID sur chaque site avec sa méthode d'authentification et sa politique de filtrage. Signalez tout réseau avec une clé partagée ou sans politique.
2. Désignez les rôles. La première norme exige qu'un cadre dirigeant soit responsable du filtrage et de la surveillance, que le responsable de la protection de l'enfance (DSL) pilote la démarche, et qu'un prestataire IT soit désigné. Consignez-le par écrit.
3. Testez depuis chaque SSID. L'outil de test de filtrage de SWGfL vérifie si une connexion bloque les catégories clés, y compris les contenus IWF et CTIRU. Exécutez-le depuis les réseaux invités et BYOD, pas uniquement depuis le réseau du personnel.
4. Séquencez la transition. Commencez par le personnel sur 802.1X, car une clé de personnel divulguée expose les élèves à la politique la plus permissive. Ajoutez ensuite des clés individuelles par élève, puis le Captive Portal invité.
5. Filtrez par segment. Appliquez le filtrage DNS par VLAN, imposez la recherche sécurisée et bloquez le DNS chiffré ainsi que les catégories de VPN.
6. Simulez la question. Demandez-vous "qui a recherché ceci, et quand ?" avec le DSL avant qu'un incident ne vous y contrenne. Enregistrez le résultat dans votre revue annuelle.

Si vous gérez également le WiFi dans des établissements commerciaux, notre Check-list RFP WiFi d'hôtel : authentification, filtrage de contenu et marketing invité applique les mêmes questions à un parc public.

Foire aux questions

KCSIE exige-t-il un filtrage sur le WiFi invité d'une école ?

Oui. Les normes de filtrage et de surveillance du DfE stipulent que le filtrage doit s'appliquer à tous, y compris aux comptes invités, et à tout appareil utilisant votre connexion haut débit. Un réseau de visiteurs ou de locations qui contourne votre filtre est une faille que votre revue annuelle devrait détecter. Bloquez au minimum les contenus illégaux et nocifs, et alignez-vous sur la politique des élèves partout où des enfants peuvent se connecter, comme les clubs du soir, les journées portes ouvertes et les centres de vacances.

Purple peut-il fonctionner sur les points d'accès que nous possédons déjà ?

Oui. Purple est indépendant du matériel et fonctionne comme un overlay cloud sur Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks et Fortinet. Les groupements d'écoles qui héritent de matériels mixtes lors de conversions d'académies peuvent exécuter une seule politique d'authentification et de filtrage sur l'ensemble des sites. Vous pointez vos contrôleurs vers le RADIUS cloud et le Captive Portal de Purple, en suivant la documentation de support de Purple spécifique à votre fournisseur.

Devons-nous remplacer le filtre de notre fournisseur d'accès à Internet ?

Non. De nombreuses écoles conservent le filtre de leur fournisseur ou consortium et ajoutent une authentification individuelle, de sorte que ses journaux d'événements identifient une personne plutôt qu'une adresse IP. D'autres ajoutent un filtrage DNS sur les segments BYOD et invités que le filtre existant n'atteint pas. Quel que soit votre système, vérifiez qu'il répond à la définition du filtrage approprié du UK Safer Internet Centre. Confirmez également que votre fournisseur est membre de l'IWF et bloque la liste CTIRU.

Le filtrage DNS suffit-il à lui seul pour répondre aux normes du DfE ?

Non. Le filtrage DNS couvre tous les appareils de votre réseau pour la norme de filtrage, mais il détecte les domaines plutôt que les pages complètes. Seul, il ne sert à rien pour le suivi. Les normes exigent également des rôles nommés, un réexamen annuel et une stratégie de suivi gérée par des personnes et menée par votre responsable de la protection de l'enfance. Associez le filtrage DNS à une authentification individuelle, à des agents logiciels installés sur le matériel de l'établissement et à une surveillance en classe.

Que devient l'accès WiFi lorsqu'un membre du personnel quitte l'établissement ?

Avec les réseaux basés sur l'identité, l'accès prend fin lorsque vous désactivez le compte dans Microsoft Entra ID, Google Workspace ou Okta. Le personnel s'authentifie via 802.1X auprès de votre annuaire, ainsi aucune clé partagée ne reste sur le téléphone d'un ancien employé. Les arrivées, changements de poste et départs suivent le processus RH que vous appliquez déjà. Vous n'avez plus besoin de modifier un mot de passe partagé ni de reconfigurer chaque appareil après chaque départ.

Comment devons-nous gérer les téléphones personnels des élèves ?

Définissez d'abord la politique, puis appliquez-la sur le réseau. Si les élèves ne sont pas autorisés à utiliser leur téléphone pendant la journée, conformément aux directives 2024 du DfE sur les téléphones portables, bloquez-leur complètement l'accès au WiFi de l'établissement. Si les élèves de terminale peuvent se connecter, attribuez à chacun une clé personnelle SecurePass sur un segment d'élèves filtré. Les téléphones en 4G ou 5G contournent votre réseau, la politique de comportement et la surveillance restent donc essentielles.

Comment les données d'authentification et de filtrage sont-elles traitées dans le cadre du GDPR ?

Purple est conforme au GDPR et certifié ISO 27001 et Cyber Essentials. Les journaux qui associent un élève nommé à des termes de recherche constituent des données personnelles relatives à des enfants. Réalisez une analyse d'impact sur la protection des données avant de les activer. Définissez une durée de conservation conforme à votre politique de protection de l'enfance et restreignez l'accès au responsable de la protection de l'enfance et aux adjoints désignés. Indiquez la base légale dans votre politique de confidentialité.