Wi-Fi public : les vrais risques et les bons réflexes

Par La rédaction de Mon-Adresse-IP.net·Publié le 21 août 2026·

Depuis quinze ans, le même avertissement circule : « ne consultez jamais votre banque depuis le Wi-Fi d'un café ». Il décrit un web qui n'existe plus. Ce guide fait le tri entre les menaces qui ont réellement disparu, celles qui subsistent, celles qu'on exagère, et les gestes qui changent quelque chose.

Le discours ambiant et ce qui a changé

L'avertissement n'est pas né de rien. Au début des années 2010, une part importante du web circulait sans chiffrement, cookies de session compris. Une extension diffusée en 2010, Firesheep, rendait spectaculairement simple la récupération, sur un réseau partagé, des sessions ouvertes de sites très fréquentés : s'asseoir dans un café avec une carte Wi-Fi en écoute suffisait à moissonner des comptes.

Trois évolutions ont retiré à cette attaque l'essentiel de sa portée. La gratuité des certificats, à partir de 2015, a levé l'obstacle économique au chiffrement pour les petits sites. Les navigateurs ont ensuite signalé les pages en HTTP simple comme non sécurisées, puis tenté d'office une connexion en HTTPS. Enfin, l'en-tête HSTS leur demande de refuser toute connexion en clair vers un domaine déjà visité, et une liste de préchargement intégrée applique cette règle dès la première visite pour un grand nombre de domaines, dont ceux des banques et des messageries.

La phrase « on peut voler votre mot de passe bancaire sur le Wi-Fi d'un café » est donc aujourd'hui fausse dans la quasi-totalité des situations réelles. Elle a pourtant survécu, largement entretenue par les argumentaires commerciaux du secteur, et cela a un coût : à force d'agiter une menace périmée, on détourne l'attention de celles qui subsistent. Le risque ne porte plus sur ce que vous dites, mais sur à qui vous parlez, quand et depuis quel appareil ; et il se concentre sur le moment de la connexion, avant que le chiffrement ne s'installe.

Ce que HTTPS protège, et ce qu'il laisse voir

HTTPS apporte trois garanties précises. La confidentialité : contenus, identifiants, cookies et formulaires sont chiffrés entre votre appareil et le serveur. L'intégrité : un intermédiaire ne peut pas modifier une page en vol sans faire échouer la connexion. L'authentification du serveur : le certificat présenté doit être signé par une autorité reconnue par votre système, pour le nom de domaine exact demandé, et il est publié dans des journaux de transparence consultables publiquement. En revanche, TLS ne rend pas votre connexion invisible.

Le point le plus mal connu est le SNI. Pour joindre un site, votre navigateur doit indiquer lequel il demande, puisqu'une même adresse IP en héberge souvent des milliers ; cette indication figure dans le tout premier message TLS, avant que le chiffrement ne soit négocié. TLS 1.3 a chiffré le certificat du serveur, mais pas ce champ. L'extension Encrypted Client Hello corrige ce défaut, au prix d'un enregistrement DNS particulier côté serveur et d'un résolveur chiffré côté client ; son déploiement reste partiel.

Le DNS est l'autre fuite structurelle : par défaut, votre appareil interroge le résolveur annoncé par le réseau, celui de l'exploitant, à qui chaque nom de domaine consulté est adressé en clair. C'est un journal de navigation d'une précision redoutable, que le DNS chiffré (DoH et DoT) supprime sans coût perceptible ; notre guide pour changer de DNS décrit la manipulation.

Reste l'identité de votre appareil. Les systèmes récents attribuent une adresse MAC aléatoire et distincte par réseau, encore faut-il que la fonction n'ait pas été désactivée « pour améliorer la compatibilité ». S'y ajoute le nom diffusé sur le réseau local, souvent de la forme « iPhone de Prénom Nom » : dans un hôtel, cela revient à afficher votre identité sur la porte de votre chambre. Côté site visité, enfin, c'est votre navigateur qui parle : notre page mon navigateur montre ce qu'il transmet, et notre guide sur l'empreinte de navigateur explique pourquoi changer de réseau ne vous rend pas méconnaissable.

Les menaces réelles, par ordre de probabilité

Les listes habituelles classent les menaces par effet dramatique. Nous les classons par probabilité réelle de rencontre, du banal vers le rare.

1. L'observation par-dessus l'épaule

La menace la plus fréquente est aussi la plus sous-estimée. Aucun chiffrement ne protège un écran lisible à deux mètres, un code composé en terrasse ou une conversation tenue en salle d'embarquement ; dans un train, la disposition des sièges met votre écran sous les yeux de la rangée arrière pendant deux heures. Les parades sont physiques : dos au mur, écran incliné, filtre de confidentialité, saisie sensible différée. Un gestionnaire de mots de passe aide aussi, puisqu'il évite de taper ce que quelqu'un pourrait lire.

2. L'exploitation des métadonnées par l'exploitant du réseau

Celui qui gère le point d'accès voit tout ce que le tableau ci-dessus laisse passer. Les réseaux d'enseignes sont souvent opérés par des prestataires qui adossent au service une collecte marketing : adresse électronique demandée au portail, fréquence des visites, durée de présence. En France, les personnes qui offrent un accès public à Internet relèvent en outre d'obligations de conservation des données de connexion, susceptibles d'être requises par l'autorité judiciaire ; notre page sur la conservation des données par les fournisseurs d'accès détaille ce cadre. Ce n'est pas une attaque, c'est le fonctionnement normal : et c'est exactement ce à quoi un tunnel chiffré permet de se soustraire.

Un détail technique mérite d'être connu : le mot de passe affiché au comptoir ne vous isole pas des autres clients. En WPA2 personnel, les clés de session dérivent du secret partagé ; qui le connaît et a capturé le moment où votre appareil rejoint le réseau peut déchiffrer votre trafic Wi-Fi. Seuls WPA3, avec sa négociation individuelle, et le mode Enhanced Open, qui chiffre les échanges d'un réseau sans mot de passe, donnent des clés propres à chaque client ; notre guide pour sécuriser sa box Internet explique comment basculer en WPA3 chez vous.

3. Les appareils exposés par un partage resté actif

Sur un réseau public, vos voisins sont sur le même segment que vous : tout service à l'écoute leur est potentiellement accessible, qu'il s'agisse du partage de fichiers, d'une imprimante, d'un serveur multimédia ou d'un bureau à distance. Windows pose la question sous la forme du type de réseau, « public » ou « privé », et la réponse commande l'activation du partage et de la découverte : répondre « privé » dans un hôtel est l'erreur classique. Sur macOS, le partage d'écran survit souvent à une configuration domestique, et les protocoles de découverte locale annoncent spontanément le nom et le modèle de vos appareils.

4. Le faux point d'accès portant le nom d'un lieu connu

Un nom de réseau n'est qu'une chaîne de caractères librement choisie : rien n'empêche d'émettre un point d'accès annonçant le nom exact d'une enseigne. Deux mécanismes rendent le piège efficace : les appareils mémorisent les réseaux déjà utilisés et s'y reconnectent dès qu'ils en retrouvent le nom, et l'utilisateur choisit spontanément le signal le plus fort. La limite exacte de l'attaque est rarement dite : pour un réseau protégé par mot de passe, l'appareil vérifie que le point d'accès connaît la clé, et un imitateur qui ne la possède pas ne captera pas la connexion. La reconnexion silencieuse concerne donc surtout les réseaux ouverts que vous avez mémorisés. Une fois vos paquets chez lui, l'opérateur du faux réseau n'obtient d'ailleurs pas le contenu de vos sessions HTTPS : il obtient la position idéale pour tenter les deux manœuvres suivantes.

5. Le portail captif qui demande d'installer un profil ou un certificat

C'est le scénario réellement dangereux, et le seul qui rende possible la lecture de votre trafic chiffré. Un certificat d'autorité ajouté à votre magasin de confiance permet à celui qui détient la clé correspondante de forger des certificats valides pour n'importe quel domaine, sans aucune alerte du navigateur. Sur iOS, la même chose passe par un « profil de configuration », qui peut en outre imposer un serveur mandataire ou un VPN. Aucun portail captif de lieu public n'a besoin de cela : seuls les réseaux d'entreprise ou universitaires en 802.1X, type eduroam, distribuent légitimement un profil, et jamais via une page qui s'ouvre toute seule. Dans un lieu public, la règle est donc absolue, on n'accepte jamais. Sur Android, une atténuation existe depuis la version 7 : les autorités ajoutées par l'utilisateur ne sont pas approuvées par les applications, seulement par le navigateur, ce qui réduit les dégâts sans les annuler.

6. La rétrogradation et les tentatives de suppression du chiffrement

La technique consiste à intercepter une requête HTTP initiale et à empêcher le passage en HTTPS, en réécrivant liens et redirections. HSTS, la liste de préchargement et le mode « HTTPS d'abord » l'ont considérablement affaiblie : pour un domaine déjà visité ou préchargé, la connexion en clair est simplement refusée. Il reste des interstices : la toute première visite d'un domaine non préchargé, un site qui n'impose pas HSTS, du trafic non navigateur mal protégé. Dans la même famille, l'injection de contenu dans les pages non chiffrées permet d'insérer une fausse page de connexion ou une invitation à « mettre à jour » un logiciel. Une alerte de certificat ignorée transforme n'importe laquelle de ces tentatives en interception réussie : ne passez jamais outre.

Les menaces largement surestimées

« On peut intercepter votre mot de passe bancaire sur un site en HTTPS. » Il faudrait pour cela qu'une autorité de certification frauduleuse ait été installée sur votre appareil, ce qui suppose votre accord ou une compromission préalable, ou que vous ayez cliqué à travers un avertissement explicite. Sinon, l'attaquant se heurte à la vérification du certificat, adossée aux journaux de transparence, et les applications bancaires ajoutent souvent un contrôle strict de l'identité du serveur. Le facteur déterminant n'est pas le réseau : c'est l'état de votre appareil et votre réaction à une alerte.

« Ils capturent votre trafic et le déchiffrent ensuite. » Capturer du trafic TLS est trivial ; en tirer quelque chose ne l'est pas. Les suites de chiffrement modernes reposent sur un échange de clés éphémère : la clé de session est détruite à la fin de la connexion et reste irrécupérable, même si la clé privée du serveur venait à fuiter plus tard. Un enregistrement de session HTTPS est un bloc inexploitable ; ce qu'on en tire, ce sont les métadonnées déjà décrites.

« Être sur le même réseau qu'un pirate suffit à faire pirater votre téléphone. » Encore faut-il que la machine expose un service à l'écoute et que ce service soit vulnérable. Un téléphone à jour n'en expose aucun par défaut, un ordinateur en profil « public » pratiquement aucun. C'est bien pourquoi les deux premières mesures ci-dessous sont la mise à jour et la fermeture des partages : elles retirent sa prise à l'attaque, là où un VPN ne ferme aucun port ouvert. Notre page sur les risques liés à l'exposition de votre adresse IP replace ces scénarios dans leur ordre de grandeur réel.

Les bons réflexes, par ordre d'efficacité

Ces mesures sont classées du plus utile au plus accessoire, et non par ordre de facilité. Les trois premières valent davantage que toutes les suivantes réunies.

1. Maintenir le système et le navigateur à jour La mesure la plus rentable : elle neutralise précisément les vulnérabilités qui rendraient une attaque locale possible. Un appareil qui n'est plus pris en charge n'a rien à faire sur un réseau partagé, et aucun VPN ne compense un correctif absent.
2. Ne jamais installer un certificat ou un profil demandé par un portail Un accès légitime ne réclame jamais l'ajout d'une autorité de certification, d'un profil de configuration ou d'une application pour ouvrir une simple page web. Cette demande est à elle seule le signal d'arrêt.
3. Vérifier le nom exact du réseau auprès de l'établissement Demandez-le au comptoir plutôt que de choisir dans la liste celui qui semble plausible. Méfiez-vous des variantes proches et surtout d'un réseau ouvert portant le nom d'un lieu dont l'accès est normalement protégé.
4. Désactiver la connexion automatique aux réseaux ouverts C'est cette option qui permet à un faux point d'accès de capter votre appareil sans le moindre geste de votre part. Désactivez au passage la recherche permanente de réseaux ouverts.
5. Désactiver le partage de fichiers et la découverte réseau Déclarez le réseau comme « public » sous Windows, coupez les partages de fichiers, d'imprimante et d'écran sous macOS, limitez la réception sans fil de fichiers à vos contacts sur mobile. Renommez un appareil qui porterait votre nom complet.
6. Préférer le partage de connexion de votre téléphone Quand le forfait le permet : vous êtes seul sur votre réseau, la liaison est chiffrée par une clé que vous choisissez, et il ne reste qu'un intermédiaire, votre opérateur. C'est souvent plus rapide qu'un Wi-Fi d'hôtel saturé.
7. Utiliser un VPN de confiance pour les usages sensibles Sur un réseau que vous ne contrôlez pas, le tunnel soustrait vos métadonnées à l'exploitant. Choisissez-le en connaissance de cause : journalisation, juridiction, audits, coupe-circuit. Nos guides sur les VPN et les protocoles VPN détaillent ces critères.
8. Activer le DNS chiffré DoH ou DoT empêchent l'exploitant de lire la liste des domaines consultés. La configuration se fait au niveau du système sur mobile, du navigateur sur ordinateur.
9. Se déconnecter et oublier le réseau après usage Un réseau mémorisé est un réseau que votre appareil réclamera ensuite ailleurs. Supprimez-le une fois le séjour terminé, en particulier pour les hôtels, les aéroports et les salons.

Sous Windows, cette dernière étape se vérifie et s'exécute en ligne de commande :

netsh wlan show profiles
# liste tous les réseaux mémorisés par la machine
netsh wlan delete profile name="Nom du reseau"
# supprime le réseau et sa reconnexion automatique

Sous macOS, la commande équivalente prend le nom de l'interface, généralement en0 :

networksetup -listpreferredwirelessnetworks en0
networksetup -removepreferredwirelessnetwork en0 "Nom du reseau"

Le rôle exact d'un VPN sur un réseau public

Sur un Wi-Fi public, la fonction d'un VPN est précise : le tunnel chiffré fait que l'exploitant du réseau ne voit plus qu'un flux unique vers une seule destination. Noms de domaine, SNI, requêtes DNS et nature des services utilisés lui deviennent inaccessibles ; et comme plus rien ne circule en clair, toute injection de bandeau ou de fausse page devient impossible.

Reste la question que les publicités éludent : le VPN ne supprime pas la confiance, il la déplace. Vous cessez de faire confiance au café ou à l'hôtel pour faire confiance au fournisseur du tunnel, qui voit désormais ce que l'exploitant du réseau voyait, et qui le voit en permanence, chez vous comme en déplacement. L'échange est rationnel quand le nouveau dépositaire est plus digne de confiance que l'ancien ; il l'est beaucoup moins avec un service gratuit au financement opaque. Et pour un besoin d'anonymat véritable, et non de simple confidentialité, la réponse n'est pas le VPN mais le réseau Tor, avec les lenteurs qui l'accompagnent.

Les portails captifs : fonctionnement et bonne pratique

Un portail captif est la page qui s'ouvre pour faire accepter des conditions d'utilisation ou saisir un code de chambre. Le réseau vous attribue une adresse par DHCP, puis place votre appareil dans un état non authentifié où presque aucune destination n'est joignable : vos requêtes DNS reçoivent une réponse falsifiée pointant vers le serveur du portail, et vos connexions HTTP sont redirigées vers la page d'authentification. Une fois le formulaire validé, votre adresse MAC rejoint la liste des clients autorisés.

Cette mécanique explique deux frustrations courantes. La détection d'abord : les systèmes interrogent périodiquement une adresse de test connue et concluent à la présence d'un portail si la réponse diffère de celle attendue ; c'est ce contrôle qui ouvre automatiquement la fenêtre de connexion. Les conflits ensuite : un résolveur DoH refuse par construction de suivre une réponse DNS falsifiée, et un VPN démarré avant l'authentification tente d'atteindre un serveur encore injoignable. Dans les deux cas, l'appareil semble connecté mais rien ne s'affiche.

1. Connectez-vous d'abord sans VPN Laissez le portail s'ouvrir seul. S'il ne vient pas, ouvrez une adresse en HTTP simple dans un onglet privé : une adresse en HTTPS échouera à cause de HSTS, sans déclencher la redirection.
2. Regardez ce que le portail demande Conditions d'utilisation, adresse électronique ou code de chambre sont habituels. Un certificat, un profil ou une application ne le sont jamais : à ce stade, on renonce.
3. Ne réutilisez jamais un mot de passe existant Si un compte est exigé, employez une adresse secondaire et un mot de passe unique. Ces formulaires sont des collecteurs marketing autant que des mécanismes d'accès.
4. Activez ensuite le VPN et le DNS chiffré Une fois la session ouverte, remettez vos protections en marche, coupe-circuit compris s'il avait été désactivé pour franchir le portail.
5. Fermez la page du portail Certains la maintiennent ouverte pour mesurer votre présence ou afficher de la publicité ; elle n'est pas nécessaire au maintien de la session.

Cas particuliers : hôtel, aéroport, train, entreprise

Hôtels

Le contexte le moins favorable : réseau ouvert ou clé unique communiquée à tous, authentification par numéro de chambre et nom de famille, infrastructure souvent ancienne et confiée à un prestataire. Vous partagez le segment avec des dizaines d'appareils inconnus, plusieurs nuits d'affilée. Profil « public », partages coupés, tunnel chiffré, puis oubli du réseau au départ.

Aéroports et gares

Forte densité et rotation permanente : terrain naturel pour un faux point d'accès. Les sessions limitées en durée poussent à se reconnecter et à baisser la garde. Le risque visuel y est maximal, votre écran étant visible par plusieurs dizaines de personnes assises. Pour une consultation rapide, le partage de connexion mobile reste préférable.

Trains et transports

Le Wi-Fi de bord repose sur un lien satellite ou cellulaire partagé entre tous les voyageurs : débit faible, latence élevée, et fréquemment un filtrage ou une compression des contenus, ce qui suppose une inspection du trafic non chiffré. Le tunnel VPN y est souvent instable à cause des ruptures de couverture : privilégiez un protocole tolérant aux changements de réseau.

Conférences et salons professionnels

Le contexte rend la cible intéressante : documents commerciaux, accès distants, messageries d'entreprise. Le réseau officiel change parfois de nom d'un jour à l'autre, ce qui rend la vérification auprès de l'organisateur d'autant plus nécessaire. Pour les données professionnelles, préférez le partage de connexion.

Réseaux d'entreprise ouverts aux visiteurs

Un réseau « invités » correctement conçu est isolé du réseau interne et cloisonne les clients entre eux ; vous n'avez aucun moyen de le vérifier, et l'inspection du trafic y est fréquente pour des raisons de conformité. Traitez-le comme un réseau public quelconque. Si vous administrez un tel accès, l'isolation des clients et la séparation stricte du réseau interne sont les deux réglages qui comptent ; le même principe de cloisonnement s'applique à la maison, comme le montre notre guide sur la sécurisation de la box.

Wi-Fi partagé entre abonnés d'un même opérateur

Les principaux opérateurs français mutualisent une partie de la bande passante des box de leurs abonnés pour créer un réseau communautaire. Le mode ouvert, avec portail captif et identifiants d'abonné, présente les caractéristiques de n'importe quel réseau public. Le mode sécurisé, fondé sur une authentification par carte SIM ou par certificat, chiffre individuellement la liaison radio et connecte automatiquement : il est nettement préférable quand il est proposé. Dans les deux cas, votre trafic ressort par l'accès d'un particulier mais dans une session distincte de la sienne, et l'adresse publique observée est celle de l'opérateur ; le partage d'adresse y est la règle, comme l'explique notre page sur le CGNAT. Côté hébergeur, ce partage est activé par défaut sur la plupart des box et se désactive depuis l'espace client.

Que faire après coup en cas de doute

Si vous pensez vous être connecté à un faux réseau, ou avoir accepté quelque chose que vous n'auriez pas dû, la réaction utile suit cet ordre.

1. Quittez le réseau et oubliez-le Déconnectez-vous, supprimez le profil réseau, coupez le Wi-Fi le temps de reprendre la main, et poursuivez depuis une connexion mobile ou votre domicile.
2. Cherchez ce qui aurait pu être installé Sur iOS : Réglages, Général, « VPN et gestion de l'appareil ». Sur Android : les identifiants installés par l'utilisateur, dans les paramètres de sécurité. Sur Windows : les autorités racines approuvées, via le gestionnaire de certificats. Sur macOS : le trousseau système. Supprimez tout élément que vous n'avez pas ajouté vous-même.
3. Changez les mots de passe critiques depuis un appareil sain Messagerie principale d'abord, puisqu'elle commande la réinitialisation des autres comptes, puis banque et comptes professionnels. Un mot de passe unique par service, et une double authentification par application ou clé physique plutôt que par SMS.
4. Fermez les sessions actives La plupart des grands services listent les appareils connectés et permettent de révoquer les sessions à distance : c'est l'étape qui invalide un éventuel cookie de session capté. Changer un mot de passe sans révoquer les sessions laisse la porte ouverte.
5. Surveillez vos comptes quelques semaines Activez les notifications d'opération de votre banque, relisez les relevés et prêtez attention aux courriels signalant une connexion inhabituelle. Un débit frauduleux se conteste auprès de la banque.
6. Analysez l'appareil Lancez une analyse complète, appliquez les mises à jour en attente, vérifiez les extensions de navigateur et les applications installées récemment.

Dans la grande majorité des cas, cette procédure ne révélera rien, ce qui est en soi une information : se connecter à un réseau douteux ne suffit presque jamais à compromettre un appareil à jour. Elle vaut surtout si vous avez cliqué à travers un avertissement, saisi un mot de passe existant dans un portail, ou installé ce qu'on vous demandait d'installer.

Questions fréquentes