Le TGV file vers Lyon. Vous ouvrez votre portable, le Wi-Fi de la rame apparaît dans la liste. Gratuit, pas de mot de passe, connexion immédiate. Vous vous dites que c'est pratique. Et vous avez raison. Sauf que dans les trente secondes qui suivent, tout ce que vous tapez peut passer par une machine que vous n'avez jamais vue, contrôlée par quelqu'un dont vous ignorez tout.
Je ne suis pas un paranoïaque de la cybersécurité. J'ai longtemps trouvé les avertissements sur le Wi-Fi public un peu théâtraux, un peu trop dignes d'un film d'espionnage. Puis j'ai passé une semaine à bosser depuis des gares, des hôtels et deux aéroports, et j'ai vu ce qu'un simple outil de capture de trafic affiche quand vous êtes connecté à un réseau ouvert. La liste des sites visités par les autres utilisateurs du même point d'accès s'affichait en clair. Pas leurs mots de passe, pas leurs messages, mais assez pour comprendre que le Wi-Fi public n'est pas un réseau, c'est une place publique. Sécuriser une connexion Wi-Fi publique en déplacement, ça n'a rien de compliqué une fois qu'on a compris ce qui se passe vraiment sous le capot.
Points clés à retenir
- Un réseau ouvert ne chiffre pas votre trafic entre vous et le point d'accès : ce qui circule reste lisible pour qui écoute.
- La plupart des sites sensibles (banques, messageries, services pro) utilisent HTTPS, ce qui protège déjà une bonne partie des échanges. Le maillon faible, c'est tout ce qui n'est pas chiffré et le comportement de votre appareil.
- Le partage de connexion depuis votre téléphone reste, dans la majorité des cas, plus sûr qu'un hotspot public — à condition que votre forfait suive.
- Un VPN règle beaucoup de choses, mais mal configuré ou gratuit et douteux, il ajoute un intermédiaire au lieu d'en retirer un.
- Le vrai danger n'est pas seulement l'espionnage : c'est le réseau piégé qui imite un réseau légitime.
- Côté entreprise, une connexion pro sur un hotspot inconnu engage la responsabilité de l'organisation autant que celle de l'utilisateur.
Sécuriser une connexion Wi-Fi publique : ce qui vous expose réellement
Première chose à comprendre : le Wi-Fi public n'est pas dangereux « en soi ». C'est un tuyau. Le problème, c'est que ce tuyau traverse un espace que n'importe qui peut brancher.
Quand vous vous connectez à un réseau domestique, le chiffrement WPA2 ou WPA3 protège le trafic entre votre appareil et la box. Sur un réseau ouvert, il n'y a rien. Aucun mot de passe requis, donc aucune clé partagée, donc aucun chiffrement. Tout ce qui part de votre machine vers le point d'accès circule comme une carte postale, pas comme une lettre fermée.
L'interception, ou pourquoi « je n'ai rien à cacher » ne tient pas
L'attaque la plus simple s'appelle l'écoute passive. Un utilisateur mal intentionné, connecté au même réseau, lance un outil qui capture les paquets qui passent. Je l'ai testé sur mon propre réseau, chez moi, pour comprendre. En quelques minutes, sans configuration avancée, j'ai vu passer les requêtes DNS de mon propre téléphone : les noms de domaine que je consultais, en clair. Le contenu de mes pages, non — HTTPS s'en chargeait. Mais la carte de mes déplacements numériques, oui.
Et là, une nuance importante que beaucoup d'articles oublient : HTTPS protège le contenu, pas les métadonnées. Votre banque ne verra pas ses identifiants volés, mais un observateur saura que vous vous êtes connecté à votre espace client à 14 h 32, que vous avez consulté un site médical, puis un site d'offres d'emploi. Dans un cadre professionnel, cette seule information peut avoir de la valeur.
Le faux réseau, la menace qu'on sous-estime
Plus vicieux : le point d'accès pirate. Quelqu'un monte un hotspot qui s'appelle « Free_WiFi_Hotel » à trois mètres du vrai. Votre téléphone, qui a déjà mémorisé un réseau au nom proche, s'y connecte automatiquement. Vous ne voyez rien. Vous ne tapez rien. Vous êtes simplement sur le réseau de quelqu'un d'autre, qui peut alors rediriger votre connexion, intercepter ce qui n'est pas chiffré, ou pousser une page de connexion factice.
La règle que j'applique maintenant, systématiquement : je demande le nom exact du réseau à l'accueil, et je le saisis à la main. Jamais de connexion automatique à un SSID qui « ressemble ». Ça paraît bête. Ça élimine une bonne partie du risque.
Ce qui vous protège vraiment (et ce qui ne sert à rien)
Il existe une industrie du conseil Wi-Fi qui vend des réflexes rassurants sans expliquer pourquoi. Faisons le tri.
| Méthode | Ce que ça protège | Limite réelle |
|---|---|---|
| HTTPS seul | Le contenu des échanges avec les sites bien configurés | Ne masque pas les métadonnées, inutile si le site est mal configuré |
| VPN | Tout le trafic, chiffré de bout en bout jusqu'au serveur VPN | Le fournisseur VPN voit tout ce que vous faites |
| Partage de connexion mobile | Rien à partager avec des inconnus, réseau contrôlé | Consommation de données, batterie, couverture |
| Désactiver le partage de fichiers | Ferme une porte d'entrée locale classique | Ne protège pas le trafic sortant |
| Se connecter « seulement 5 minutes » | Rien du tout | Le temps n'a aucun rapport avec le risque |
Le VPN : utile, mais pas magique
Un VPN crée un tunnel chiffré entre votre appareil et un serveur distant. Tout ce qui passe dedans est illisible pour le point d'accès. C'est efficace. C'est même la solution la plus simple pour un usage régulier en déplacement.
Le problème, c'est le choix du fournisseur. Un VPN gratuit qui monétise autrement que par l'abonnement — et la plupart le font — déplace simplement le problème : au lieu d'un inconnu dans le hall de la gare, c'est un inconnu qui voit tout votre trafic. J'ai utilisé pendant un an un VPN gratuit « recommandé partout ». J'ai arrêté quand j'ai lu sa politique de confidentialité jusqu'au bout. Elle autorisait la revente de données agrégées. Agrégées, dans leur vocabulaire, ça laisse de la marge.
Deuxième piège : le VPN qu'on oublie d'activer. J'ai perdu l'habitude de vérifier pendant des mois. Trois déplacements sur cinq, je me connectais au hotspot avant de lancer l'application. Le tunnel ne sert à rien s'il s'allume après.
Le partage de connexion, l'option sous-cotée
Franchement, dans 80 % des cas, c'est ce que je fais. Mon téléphone, mon forfait, mon réseau. Les risques d'un hotspot public disparaissent d'un coup, parce qu'il n'y a plus de tiers inconnu dans l'équation. Le coût : la data. Un partage de connexion qui fait tourner une visio ou une synchronisation de fichiers peut engloutir plusieurs gigaoctets en une après-midi.
Ma règle perso : si j'ai moins de 5 Go restants sur le mois, je bascule sur le partage pour les tâches sensibles uniquement (banque, mail pro), et j'utilise le Wi-Fi public pour de la lecture, avec un VPN actif. C'est un compromis, pas une vérité absolue.
Le volet que personne ne traite : votre entreprise est concernée
La plupart des articles sur le sujet parlent au voyageur isolé. Mais la question devient autre quand votre portable contient l'accès à la comptabilité, au CRM, aux boîtes mail de toute une équipe.
Pourquoi les PME sont les premières exposées
Un salarié en déplacement qui se connecte au Wi-Fi d'un hôtel avec son ordinateur pro, c'est un point d'entrée potentiel vers le système d'information de l'entreprise. Pas parce que l'hôtel est malveillant, mais parce que le maillon faible, c'est la chaîne : un appareil compromis, un identifiant récupéré, et l'accès au réseau interne devient possible. Or beaucoup de petites structures n'ont ni VPN d'entreprise obligatoire, ni politique d'usage claire, ni gestion fine des droits d'accès. On m'a raconté, dans une PME de quinze personnes, qu'un commercial se connectait « comme chez lui » depuis les halls d'aéroport, avec le même mot de passe que pour le serveur de fichiers. Le jour où ça casse, personne ne saura par où c'est entré.
Ce que je recommande, et que j'ai fini par imposer chez moi :
- VPN d'entreprise obligatoire dès que l'appareil quitte le bureau, sans exception — et configuré pour démarrer automatiquement.
- Aucun accès aux systèmes métiers (compta, RH, serveur de fichiers) depuis un réseau non maîtrisé, même avec VPN.
- Authentification à deux facteurs sur tous les services accessibles de l'extérieur. Ce n'est pas un détail : c'est souvent ce qui transforme un incident en non-événement.
- Un appareil dédié au déplacement quand c'est possible, avec un disque chiffré et le minimum de données locales.
- Une règle écrite, connue de tous. Ce qui n'est pas écrit n'existe pas le jour où il faut expliquer ce qui s'est passé.
Qui est responsable : vous, l'établissement, ou l'opérateur ?
Question qu'on me pose souvent, et la réponse surprend : l'établissement qui fournit le Wi-Fi a des obligations. En France, un point d'accès ouvert au public qui permet d'accéder à internet implique, pour son exploitant, une forme de responsabilité — notamment l'obligation de pouvoir identifier les utilisateurs si la justice le demande, ce qui explique pourquoi tant de cafés et d'hôtels vous demandent un numéro de téléphone ou une adresse mail à la connexion. Ce n'est pas pour vous embêter. C'est pour se couvrir.
Cette contrainte a un effet secondaire intéressant : les réseaux qui exigent une authentification (portail captif avec numéro, compte, ou code envoyé par SMS) sont statistiquement moins anonymes, donc moins attractifs pour un poseur de faux hotspot qui veut rester invisible. Ça ne les rend pas sûrs pour autant, mais ça change le profil du risque.
Et côté utilisateur, votre marge de manœuvre est simple : lire les conditions d'utilisation, même en diagonale. Pas pour le plaisir. Pour savoir si vous acceptez de voir votre trafic analysé, tracé, ou revendu à des fins publicitaires. Certains réseaux gratuits en ville fonctionnent exactement comme ça.
Le Wi-Fi des trains et des hôtels est-il plus sûr que celui d'un café ?
Pas nécessairement. La différence tient au modèle économique et à l'exploitant. Un opérateur de transport ou une chaîne hôtelière a une réputation à défendre et une infrastructure professionnelle. Mais un réseau reste un réseau : si vous vous y connectez sans VPN, votre trafic circule de la même façon. Le confort ne remplace pas la prudence.
Faut-il éviter complètement le Wi-Fi public ?
Non, ce serait excessif. Pour consulter un site d'actualité ou lire une documentation, avec un VPN actif, le risque est négligeable. En revanche, pour une opération bancaire, un virement ou l'accès à des données clients, la question ne se pose même pas : partage de connexion ou on attend.
La liste que j'applique, dans l'ordre
Rien de théorique ici. C'est ce que je fais depuis maintenant deux ans, et ce qui a réellement changé quelque chose.
- Avant de partir : VPN installé, connecté, testé. Pas « je le ferai sur place ».
- Désactiver la connexion automatique aux réseaux ouverts dans les réglages Wi-Fi. Une case à décocher, une fois, pour toujours.
- Demander le nom exact du réseau au personnel. Le taper à la main.
- Vérifier deux fois le portail captif : l'URL, le certificat, le nom de domaine. Une page de connexion qui demande votre mot de passe de messagerie pour « accéder à internet », c'est non.
- Couper le partage de fichiers et les services de découverte réseau.
- Éviter les postes partagés (cybercafés, bornes en libre accès) pour tout ce qui touche à un identifiant. Sur un ordinateur public, vous ne maîtrisez ni le clavier ni ce qui tourne en arrière-plan.
- À la fin : déconnecter le Wi-Fi, pas seulement fermer l'onglet. Un appareil qui reste associé à un réseau se reconnecte tout seul.
La dernière fois que j'ai failli me faire avoir, ce n'était ni au café ni à l'aéroport. C'était dans un hôtel correct, avec un réseau qui portait le bon nom. Sauf que le portail captif demandait mes identifiants de messagerie, « pour vérifier votre réservation ». J'ai fermé, basculé sur mon partage de connexion, et signalé à la réception. Le vrai portail demandait un simple numéro de chambre. Deux réseaux, deux portails, un seul légitime.
La sécurité sur un réseau public ne tient pas à un outil. Elle tient à une habitude : considérer chaque réseau inconnu comme hostile par défaut, et agir en conséquence. Le jour où vous vous connectez sans y penser, c'est ce jour-là que vous êtes vulnérable — pas parce que quelqu'un vous espionne, mais parce que vous avez cessé de vérifier.
