Alors le Wi-Fi invité est exclu. Je l’ai fait pour la boulangerie de ma sœur et deux cafés, tous en Ubiquiti, donc à peu près ta configuration :Crée un nouveau SSID « store-iot » en WPA2 PSK, associe-le à son propre VLAN (disons 30), active l’isolation des clients pour que les capteurs ne puissent pas communiquer entre eux, et dans les règles du pare-feu, autorise ce VLAN uniquement en sortie : DNS, NTP et TCP 8883 vers le broker Hermetry (443 aussi si quelque chose utilise HTTPS). Bloque le VLAN 30 vers tous les autres réseaux internes. C’est ce que l’auditeur veut voir, et c’est une après-midi par magasin.Je n’ajouterais pas de Pi pour cela. Un Pi se justifie quand tes appareils ne peuvent pas accéder eux-mêmes à Internet (BLE, Modbus, Zigbee) et que quelque chose doit remonter les données pour eux en tant que passerelle. Tes ESP32 font déjà du TLS par eux-mêmes ; un Pi ajouterait simplement une carte SD qui peut tomber en panne dans l’arrière-boutique.Côté Hermetry, deux petits plus peu coûteux : dans le profil de réfrigérateur, renseigne Allowed networks avec l’IP publique de chaque magasin, pour qu’un jeton volé soit inutile depuis ailleurs. Et vérifie que Plain MQTT est désactivé : seul TLS sur 8883 est la valeur par défaut, mais ton responsable informatique a peut-être activé l’option pendant les tests. La checklist se trouve en bas de Device transport security.