Preferowaną konfiguracją domowego Wi‑Fi jest WPA3‑Personal z szyfrowaniem AES, jeśli router i urządzenia je obsługują, aktualnym firmware’em, wyłączonym WPS i osobnym, losowym hasłem administratora. Jeśli starsze urządzenia nie obsługują WPA3, wybierz tryb przejściowy WPA2/WPA3. WPA3 wprowadzono w styczniu 2018 roku, a NIST rekomenduje je wszędzie tam, gdzie router i klienci są kompatybilni.
Zanim zaczniesz: sprawdź model routera i wykonaj aktualizację
Zanim zmienisz ustawienia, odczytaj model routera, wersję firmware’u oraz listę obsługiwanych trybów zabezpieczeń. WPA3 został wprowadzony w styczniu 2018 roku, dlatego urządzenia wyprodukowane wcześniej lub około tego okresu mogą nie oferować WPA3-Personal. Informację znajdziesz na etykiecie routera, w panelu administracyjnym albo w dokumentacji producenta.
Połącz komputer z routerem i otwórz panel producenta. Jeśli konfigurujesz router do światłowodu, sprawdź dodatkowo, czy aktualizacja nie zmienia ustawień połączenia z operatorem. Pobierz firmware wyłącznie z oficjalnej strony producenta i zainstaluj najnowszą wersję przeznaczoną dla dokładnie tego modelu, nie dla podobnego wariantu.
Przed aktualizacją zapisz najważniejsze ustawienia, jeśli router oferuje funkcję eksportu konfiguracji. Nie przerywaj zasilania podczas instalacji. Po ponownym uruchomieniu sprawdź, czy nazwa sieci, dostęp do internetu i panel administracyjny działają prawidłowo. NIST w dokumencie IR 8235 z 2022 roku zaleca aktualizowanie lub wymianę urządzeń, które nie obsługują WPA3.
Konfiguruj wyłącznie własny router i własną sieć; nie obchodź zabezpieczeń, nie przechwytuj haseł i nie testuj cudzych sieci bez jednoznacznej zgody właściciela.
Krok 1: zaloguj się do panelu i zmień dane administratora
Połącz się z własną siecią lokalną, najlepiej przewodowo, i wpisz w przeglądarce adres panelu podany przez producenta. Jeżeli potrzebujesz stabilnego połączenia podczas zmian, pomocny może być kabel Ethernet do domu. Zaloguj się przy użyciu aktualnych danych administratora.
Natychmiast zmień domyślny login lub hasło administratora, jeśli router na to pozwala. Hasło panelu powinno być inne niż bezpieczne hasło Wi-Fi. Nie zapisuj go na naklejce urządzenia ani w miejscu dostępnym dla osób postronnych. Zapisz nowe dane w menedżerze haseł lub innym zabezpieczonym miejscu.
Odszukaj ustawienia dostępu zdalnego, administracji przez WAN, chmury producenta oraz zarządzania z internetu. Wyłącz bezpośrednią administrację z sieci publicznej. CERT Polska zaleca, aby interfejsy administracyjne urządzeń sieciowych były dostępne wyłącznie z sieci lokalnej albo przez VPN. Nie włączaj dostępu zdalnego tylko dlatego, że znajduje się w menu. Panel administracyjny powinien być dostępny tylko jedną z dwóch dróg: z sieci lokalnej albo przez VPN.
Jeśli router oferuje osobną opcję administracji przez HTTPS, wybierz ją zamiast nieszyfrowanego połączenia. Po zapisaniu ustawień wyloguj się i zaloguj ponownie, aby sprawdzić, czy nowe dane administratora zostały przyjęte. Zachowaj także nazwę modelu i wersję firmware’u — ułatwią późniejsze sprawdzenie aktualizacji.
Krok 2: wybierz WPA3 albo tryb przejściowy WPA2/WPA3
W ustawieniach sieci bezprzewodowej znajdź pole „Tryb zabezpieczeń”, „Security mode” albo „Authentication”. Jeśli wszystkie używane urządzenia obsługują WPA3, wybierz WPA3-Personal. NIST zaleca WPA3 z szyfrowaniem AES tam, gdzie jest dostępne. Nie wybieraj trybu otwartego ani starszych, niezalecanych metod tylko po to, by podłączyć pojedyncze urządzenie.
Gdy część sprzętu nie łączy się z WPA3, wybierz tryb przejściowy WPA2/WPA3, o ile router go udostępnia. Pozwala on obsługiwać 2 generacje zabezpieczeń jednocześnie: starsze urządzenia korzystają z WPA2, a nowsze z WPA3. NIST wskazuje, że większość punktów dostępowych i kontrolerów obsługuje mixed mode security.
| Profil | Zweryfikowane funkcje | Zgodność i zastosowanie | Parametr liczbowy potwierdzony w źródle |
|---|---|---|---|
| WPA2-Personal | Klasyczny profil zabezpieczeń sieci domowej | Najszersza zgodność ze starszymi urządzeniami; może być używany w trybie przejściowym z WPA3 | Wersja profilu: 2021-01 |
| WPA3-Personal | SAE; w certyfikacji widoczne także Beacon Protection i SAE-Public Key | Preferowany dla nowych urządzeń; starsze urządzenia mogą go nie obsługiwać | Wersja profilu: 2024-10 |
| Tryb przejściowy WPA2/WPA3 | Jednoczesna obsługa WPA2 i WPA3 | Ułatwia migrację: starsze urządzenia łączą się przez WPA2, nowsze przez WPA3 | 2 generacje zabezpieczeń działające równolegle |
| WPA3-Enterprise | EAP; tryb 192-bitowego bezpieczeństwa | Profil dla środowisk wymagających silniejszego uwierzytelniania i zarządzania tożsamością | 192 bity |
| WPS | PIN oraz Pushbutton | Funkcja parowania urządzeń; ze względów bezpieczeństwa zalecane wyłączenie, jeśli nie jest konieczna | 2 metody WPS: PIN i Pushbutton |
Tabela obejmuje wyłącznie parametry potwierdzone w przywołanych dokumentach. Źródła nie potwierdzają tu minimalnej długości klucza WPA2-Personal ani WPA3-Personal, dlatego tych wartości nie podano.
WPA3-Enterprise nie jest zwykłym ustawieniem dla typowej sieci domowej. Certyfikat Wi-Fi Alliance WFA133712 z 2026 roku wymienia dla niego tryb bezpieczeństwa 192-bitowego oraz uwierzytelnianie EAP. W domu wybieraj WPA3-Personal, a nie profil Enterprise, chyba że posiadasz odpowiednią infrastrukturę uwierzytelniania.
Krok 3: ustaw bezpieczne hasło Wi-Fi
W polu hasła wpisz długą, losową frazę, której nie używasz w poczcie, sklepie internetowym ani panelu routera. Bezpieczne hasło Wi-Fi nie powinno zawierać nazwy sieci, adresu, imienia domownika ani łatwego wzoru. Najlepiej wygeneruj je w menedżerze haseł i zapisz w jego zabezpieczonym magazynie.
Nie podaję minimalnej liczby znaków, ponieważ dla WPA2-Personal i WPA3-Personal nie została ona potwierdzona w przywołanych źródłach. Praktyczna zasada konfiguracji pozostaje jednak konkretna: hasło ma być możliwie długie, losowe i unikatowe. Nie skracaj go tylko dlatego, że urządzenie IoT ma niewygodną klawiaturę.
Po zmianie hasła może być konieczne ponowne podłączenie dotychczasowych klientów. Podłącz ponownie telefon, komputer, telewizor, drukarkę i urządzenia smart home, wpisując nowe dane ręcznie. Jeśli używasz trybu przejściowego, sprawdź, czy starsze urządzenia łączą się przez WPA2, a nowsze przez WPA3. Nie przywracaj starego hasła wyłącznie po to, by uniknąć ponownego parowania.
Nazwa sieci może pozostać taka sama, jeśli zależy Ci na łatwiejszym przejściu urządzeń, ale nie umieszczaj w niej adresu ani danych właściciela. Dla gości utwórz sieć gościnną, jeżeli router ją obsługuje, zamiast podawać główne hasło Wi-Fi.
Krok 4: wyłącz WPS
Odszukaj w panelu sekcję WPS i wyłącz tę funkcję, jeśli nie jest niezbędna. Wi-Fi Alliance wymienia 2 tryby WPS: PIN oraz Pushbutton. NIST wskazuje, że WPS jest podatny na ataki siłowe, dlatego wygoda szybkiego parowania nie powinna przeważać nad ograniczeniem zbędnego mechanizmu dostępu.
Po wyłączeniu WPS urządzenia podłączaj przez wybór nazwy sieci i wpisanie hasła. PIN i Pushbutton to dwa tryby WPS; jeśli WPS nie jest potrzebny, wyłącz tę funkcję. Jeżeli panel pokazuje osobne przełączniki dla PIN i przycisku, sprawdź oba i wyłącz każdy dostępny wariant.
Następnie sprawdź, czy wcześniej połączone urządzenia nadal korzystają z właściwego profilu WPA2 lub WPA3. Certyfikat Wi-Fi Alliance z identyfikatorem WFA133712 również rozróżnia te 2 metody WPS: PIN i Pushbutton.
Krok 5: sprawdź konfigurację na urządzeniach
Po zakończeniu zmian przetestuj połączenie na kilku własnych urządzeniach. W panelu routera sprawdź listę klientów i nazwę aktywnego profilu zabezpieczeń. Na telefonie lub komputerze otwórz szczegóły połączonej sieci i poszukaj oznaczenia WPA3, WPA2 albo trybu mieszanego WPA2/WPA3.
NIST IR 8235 z 2022 roku opisuje 3 stany połączenia Wi-Fi oraz 4-way handshake jako część procesu uwierzytelniania. W praktyce oznacza to, że samo pojawienie się nazwy sieci nie potwierdza jeszcze poprawnego uwierzytelnienia. Potwierdź, że urządzenie otrzymało dostęp do internetu i zachowuje połączenie po przejściu między punktami dostępowymi, jeśli masz więcej niż jeden.
Jeżeli urządzenie nie łączy się z WPA3, zaktualizuj jego oprogramowanie i sprawdź dokumentację producenta. Gdy nadal nie obsługuje tego standardu, użyj trybu przejściowego WPA2/WPA3. Nie obniżaj zabezpieczeń całej sieci do starszego profilu tylko z powodu jednego klienta, jeśli router oferuje jednoczesną obsługę obu generacji.
Na koniec sprawdź ponownie 4 elementy: aktualność firmware’u, hasło administratora, tryb WPA oraz wyłączony WPS. Upewnij się także, że panel administracyjny nie jest dostępny bezpośrednio z internetu. Tak skonfigurowane Wi-Fi w domu ogranicza zbędne ścieżki dostępu i ułatwia późniejszą kontrolę urządzeń.
Czytaj również: sieć gościnna Wi-Fi.
Powiązany temat: pomiar sygnału Wi-Fi.
Najczęstsze pytania
Czy WPA3 jest bezpieczniejsze od WPA2?
Tak. NIST zaleca WPA3 z AES tam, gdzie jest dostępny, i wskazuje WPA2 jako rozwiązanie starsze. Jeśli część urządzeń nie obsługuje WPA3, wybierz tryb przejściowy WPA2/WPA3 zamiast pozostawiać sieć bez odpowiedniego zabezpieczenia.
Jak sprawdzić typ zabezpieczenia Wi-Fi?
W panelu routera otwórz ustawienia sieci bezprzewodowej i odszukaj pole „Tryb zabezpieczeń”, „Security mode” albo „Authentication”. Na urządzeniu klienckim wybierz szczegóły aktualnie połączonej sieci; szukaj oznaczenia WPA3, WPA2 lub trybu mieszanego WPA2/WPA3.
Czy należy wyłączyć WPS w routerze?
Tak, jeśli nie jest niezbędny. NIST wskazuje, że WPS jest podatny na ataki brute force. Po wyłączeniu podłączaj urządzenia, wpisując hasło Wi-Fi.
Źródła
- Security Guidance for First Responder Mobile and Wearable Devices, National Institute of Standards and Technology, 2022, NIST IR 8235
- Wi-Fi CERTIFIED Certificate, Wi-Fi Alliance, 2026, Certification ID WFA133712
- Bezpieczny dostęp zdalny – Baza wiedzy CERT Polska, CERT Polska, 2026, Baza wiedzy CERT Polska
Tekst został utworzony przy pomocy sztucznej inteligencji (modeli językowych).
