Un réseau Wi-Fi public transmet des données entre votre appareil et un point d’accès qui ne vous appartient pas. Cette configuration expose le trafic à des interceptions si le réseau n’applique aucun chiffrement, ce qui reste fréquent dans les cafés, hôtels et gares. Comprendre les mécanismes en jeu permet de limiter les risques sans renoncer à la connexion.
Chiffrement sur Wi-Fi public : ce que votre appareil négocie vraiment
Quand vous rejoignez un réseau ouvert, la liaison entre votre terminal et le point d’accès peut ne bénéficier d’aucun chiffrement au niveau radio. Un attaquant positionné à portée capte alors les trames en clair, technique appelée écoute passive du trafic Wi-Fi.
La plupart des sites web utilisent désormais HTTPS, ce qui protège le contenu échangé entre votre navigateur et le serveur distant. Le chiffrement HTTPS empêche la lecture du corps des requêtes, même sur un réseau non sécurisé.
En revanche, certaines métadonnées restent visibles : noms de domaine consultés (via les requêtes DNS non chiffrées), volume de données, horaires de connexion. Ces informations suffisent à dresser un profil de navigation exploitable.
Une évolution technique mérite d’être mentionnée : la norme Opportunistic Wireless Encryption (OWE), intégrée au standard WPA3, permet de chiffrer la liaison radio sur un réseau ouvert sans exiger de mot de passe. Le trafic entre l’appareil et le point d’accès est protégé de l’écoute passive, même sans authentification préalable. Cette technologie se déploie progressivement, mais la grande majorité des hotspots publics actuels n’en disposent pas encore.
Faux point d’accès Wi-Fi et détournement de connexion
L’interception passive n’est pas la seule menace. Un pirate peut créer un faux point d’accès portant le nom exact du réseau légitime d’un lieu public. Votre appareil s’y connecte automatiquement s’il a mémorisé ce nom de réseau.
Une fois connecté au point d’accès frauduleux, tout votre trafic transite par la machine de l’attaquant. Celui-ci peut alors :
- Rediriger vos requêtes vers des pages de connexion factices pour capturer identifiants et mots de passe (technique dite de portail captif piégé)
- Injecter du contenu malveillant dans les pages non chiffrées que vous consultez
- Collecter les requêtes DNS pour cartographier l’ensemble de votre activité en ligne
- Intercepter les échanges d’applications mobiles qui ne vérifient pas correctement les certificats TLS
La CNIL recommande de toujours vérifier le nom exact du réseau auprès du commerçant ou du gestionnaire du lieu avant de s’y connecter. Cette précaution simple réduit le risque de tomber sur un réseau usurpé.
VPN et DNS chiffré : deux couches de protection complémentaires
Un réseau privé virtuel (VPN) crée un tunnel chiffré entre votre appareil et un serveur distant. Tout le trafic qui y transite devient illisible pour quiconque surveille le réseau local, y compris l’opérateur du point d’accès.
Le VPN protège à la fois le contenu des échanges et les métadonnées de navigation (noms de domaine, adresses IP de destination). C’est la mesure la plus efficace pour un usage individuel sur un réseau non maîtrisé.
Activer un DNS chiffré (DNS-over-HTTPS ou DNS-over-TLS) constitue un complément utile. Sans cette protection, vos requêtes DNS circulent en clair et révèlent chaque site que vous consultez. La plupart des navigateurs récents proposent cette option dans leurs paramètres de confidentialité.
Ces deux mécanismes fonctionnent indépendamment : le VPN englobe tout le trafic, le DNS chiffré cible spécifiquement la résolution de noms. Les combiner offre une couverture large, même face à un point d’accès compromis.
Paramétrage de l’appareil pour réduire la surface d’attaque
Au-delà des outils de chiffrement, la configuration de votre appareil joue un rôle direct dans l’exposition aux risques sur un réseau public.
Désactivez la connexion automatique aux réseaux Wi-Fi connus. Cette fonction, pratique au quotidien, pousse votre appareil à se reconnecter sans validation à tout réseau dont il a mémorisé le nom, y compris un faux point d’accès.
- Supprimez régulièrement les réseaux publics de la liste des connexions mémorisées pour éviter les reconnexions silencieuses
- Désactivez le partage de fichiers et la découverte réseau lorsque vous êtes connecté à un réseau qui ne vous appartient pas
- Maintenez votre système d’exploitation et vos applications à jour : les correctifs de sécurité colmatent les failles exploitables par un attaquant présent sur le même réseau
Sur un appareil professionnel, des approches plus structurantes existent. Des sources techniques récentes recommandent de mettre en place un accès conditionnel avec authentification par certificat, où le poste de travail ne peut accéder aux ressources de l’entreprise que s’il répond à des critères de conformité vérifiés en temps réel. Ce modèle limite les dégâts même si l’utilisateur se connecte à un réseau hostile.
Portail captif et données personnelles : ce que vous confiez au réseau
Beaucoup de hotspots publics affichent un portail captif qui demande une adresse e-mail, un numéro de téléphone ou une authentification via un réseau social avant d’autoriser la navigation.
Ces données alimentent souvent des bases de prospection commerciale. Le niveau de protection appliqué à ces informations varie considérablement d’un opérateur à l’autre. La CNIL conseille de ne pas utiliser son adresse e-mail principale et de remplir le minimum d’informations requis.
Un portail captif n’indique rien sur la sécurité du réseau lui-même. Un réseau avec portail peut très bien ne pas chiffrer le trafic radio. À l’inverse, un réseau ouvert sans portail peut implémenter OWE et offrir un meilleur niveau de protection contre l’écoute passive.
La présence d’un portail est un mécanisme d’accès, pas un indicateur de sécurité. Seule la vérification du protocole de chiffrement radio (WPA3, OWE) ou l’utilisation d’un VPN garantit la confidentialité effective de vos échanges sur un réseau Wi-Fi public.
