Le Wi-Fi public est-il sûr ? Ce qui se passe vraiment quand vous vous connectez à l’aéroport

Vous atterrissez après neuf heures de vol. Il vous reste 18 % de batterie, aucune donnée mobile sur place, et votre porte de correspondance vient d'être déplacée à l'autre bout du terminal. Vous ouvrez la liste des réseaux Wi-Fi, et le voilà : Airport_Free_WiFi. Sans mot de passe. Une pression, et vous êtes connecté.

Presque tout le monde appuie. Et presque à chaque fois, il ne se passe rien — c'est précisément pour cela que l'habitude s'installe.

Mais ce « presque à chaque fois » porte une charge considérable. Les aéroports, les hôtels et les gares font partie des rares endroits où un parfait inconnu peut discrètement se placer entre vous et le reste d'internet. Et quand cela tourne mal, le prix n'est pas une page qui met du temps à charger : c'est un compte vidé ou une adresse e-mail détournée qu'il vous faudra des mois à récupérer.

Ce guide se veut honnête. Une grande partie de ce qui s'écrit sur le Wi-Fi public a dix ans de retard, et une autre partie n'a jamais été autre chose que du marketing de la peur, vendu par des entreprises qui commercialisent des abonnements VPN. Voyons donc ce qui a réellement changé, quels risques subsistent en 2026, et ce qui vaut vraiment la peine d'être fait.

Pourquoi le Wi-Fi public n'a rien à voir avec celui de chez vous

Chez vous, trois choses travaillent en votre faveur sans que vous y pensiez. Vous savez à qui appartient la box. La liaison entre vos appareils et cette box est chiffrée par un mot de passe que seul votre foyer possède. Et personne d'autre n'est sur le réseau.

Un réseau public ouvert jette ces trois garanties par la fenêtre.

Vous ne pouvez pas vérifier que le réseau est bien ce qu'il prétend être. C'est le point essentiel, et il surprend beaucoup de monde. Le nom d'un réseau Wi-Fi n'est qu'une étiquette que n'importe quel appareil peut diffuser. Aucun registre, aucune vérification, aucun certificat. Si votre téléphone affiche un réseau nommé Roissy_WiFi_Gratuit, cela vous en apprend exactement autant qu'un inconnu en gilet jaune vous affirmant qu'il travaille ici.

Sur un réseau réellement ouvert, le trafic radio n'est pas chiffré. Toute personne à portée, équipée du bon logiciel, distingue la silhouette de ce que font les gens autour : quels services, quelles applications, quel volume de données, à quelle heure. Pas forcément le contenu, mais bien plus que ce que l'on imagine.

Celui qui exploite le réseau voit passer votre trafic. Même un opérateur de hotspot parfaitement légitime se trouve, techniquement, au milieu de votre connexion. Que cela pose problème ou non dépend entièrement de qui il est et de ce que ses conditions d'utilisation l'autorisent à faire.

Ce qui a changé : la moitié des vieux conseils sont devenus faux

Vers 2010, un développeur a publié une extension Firefox baptisée Firesheep. Elle permettait à n'importe qui, assis dans un café, de cliquer sur un nom dans une barre latérale et de prendre la main sur la session Facebook de la personne concernée. Techniquement, rien de sophistiqué. Cela fonctionnait parce que la plupart des sites de l'époque ne chiffraient que la page de connexion et transmettaient tout le reste en clair.

Ce monde a disparu. L'écrasante majorité du trafic web est aujourd'hui chiffrée de bout en bout via HTTPS. Votre navigateur vous alerte bruyamment quand un site ne l'est pas. Les applications vérifient elles-mêmes leurs certificats. Et les requêtes DNS circulent de plus en plus chiffrées elles aussi. L'image classique du type encapuchonné à la table voisine qui lit votre mot de passe bancaire dans les airs relève, en 2026, de la pièce de musée.

Voici toutefois ce qui compte : le risque n'a pas disparu, il s'est déplacé. Les attaquants ont cessé de vouloir écouter du trafic chiffré — c'est devenu réellement ardu — et se sont tournés vers quelque chose de bien plus simple : vous amener à leur donner vos données de votre plein gré.

Les risques qui restent bien réels

Le jumeau maléfique : un faux réseau portant le nom de l'aéroport

Le matériel nécessaire pour diffuser un réseau Wi-Fi coûte moins cher qu'un bon dîner et tient dans une poche de veste. On le pose dans une salle d'embarquement, on lui donne un nom crédible — Free_Airport_WiFi, Terminal2_Guest, ou le nom réel du réseau de l'aéroport avec un tiret bas déplacé — et on attend. Les téléphones qui cherchent le signal ouvert le plus fort le trouveront. Certains s'y connecteront tout seuls.

Une fois que vous êtes sur ce réseau, celui qui l'exploite décide de ce que votre téléphone considère comme « internet ». Il décide quelle page s'affiche quand vous saisissez une adresse. Il décide de la réponse envoyée à votre appareil lorsqu'il cherche des mises à jour. Il ne peut pas casser HTTPS, mais il n'en a pas besoin : il lui suffit d'une seule décision confiante de votre part.

Les faux portails captifs : l'attaque la plus efficace en aéroport

Le portail captif, c'est cette page de connexion qui surgit dès que vous rejoignez un réseau public. Les vrais demandent en général une adresse e-mail, un numéro de chambre, ou un simple clic sur « J'accepte ».

Les faux en demandent un peu plus. Les coordonnées de votre carte, « uniquement pour vérifier votre âge, aucun débit ne sera effectué ». Votre numéro de passeport ou votre référence de réservation. Ou, le plus dommageable de tous, un bouton « Se connecter avec Google » qui mène à une copie parfaitement crédible de la page d'authentification de Google.

Cela marche si bien parce que le procédé retourne vos réflexes. En temps normal, une demande inattendue de coordonnées bancaires déclencherait toutes les alarmes. Sauf qu'ici, vous attendiez une page de connexion. C'est vous qui l'avez provoquée. Elle apparaît exactement au moment prévu. Votre garde est déjà baissée, vous êtes fatigué, et votre porte ferme dans vingt minutes.

Aucun réseau légitime, dans un aéroport, un hôtel ou un café, n'a besoin de votre numéro de carte, de votre numéro de passeport ou du mot de passe de votre messagerie pour vous donner internet. Aucun. Si un portail le réclame, ce réseau est soit hostile, soit si agressivement commercial que mieux vaut passer votre chemin de toute façon.

« Téléchargez notre application pour vous connecter »

Quelques vraies chaînes hôtelières le font, ce qui est regrettable, car cela habitue les gens à ce schéma. Dans un aéroport, la réponse est non, sans réfléchir. Installer un logiciel fourni par un réseau que vous ne pouvez pas vérifier annule toutes les autres précautions de cet article.

Les avertissements de certificat qu'on est tenté d'ignorer

Si un réseau hostile tente d'intercepter une connexion chiffrée, votre navigateur le remarque et affiche un avertissement pleine page — le plus souvent rouge, alarmant, avec un discret « continuer quand même » relégué en bas.

Cet avertissement, c'est la preuve que le système fonctionne. Sur un réseau public, il doit être traité comme un arrêt net, à chaque fois. Il n'existe aucune raison légitime pour que le site de votre banque produise une erreur de certificat dans un salon d'aéroport.

Les réseaux qui vous exploitent en toute légalité

Tous les risques ne sont pas délictueux. Une part importante du Wi-Fi public « gratuit » est exploitée par des sociétés publicitaires. Le marché est écrit noir sur blanc dans des conditions que personne ne lit : vous recevez de la bande passante, elles reçoivent votre adresse e-mail, l'identifiant de votre appareil, votre localisation approximative dans la durée, et l'autorisation d'en tirer un profil puis d'en revendre l'accès.

Au sein de l'UE, le RGPD pose certaines limites et vous donne un droit d'accès et d'effacement. Encore faut-il que cela vous serve à quelque chose quand vous avez accepté sans lire et que l'exploitant est établi hors d'Europe. Rien ne vous a été volé. Vous avez consenti. Simplement, le prix n'était pas nul — et il n'était pas affiché.

Le Wi-Fi des hôtels, souvent pire que celui des aéroports

Les hôtels attirent moins l'attention que les aéroports et mériteraient souvent l'inverse. Les identifiants sont fréquemment votre numéro de chambre et votre nom de famille — des informations imprimées sur la pochette de votre carte magnétique. Le matériel a parfois dix ans et n'est presque jamais mis à jour. Et sur beaucoup de réseaux hôteliers, les appareils des clients se voient entre eux : l'ordinateur infecté trois étages plus haut se trouve sur le même segment que votre téléphone.

S'ajoute à cela le fait qu'à l'hôtel, vous êtes plus détendu. Vous défaites votre valise, vous vous asseyez, et vous réglez enfin ce virement que vous repoussiez depuis des jours. C'est exactement l'environnement où l'on effectue ses opérations les plus sensibles sur sa connexion la moins fiable.

Comment utiliser le Wi-Fi public sans se brûler

Si vous vous connectez malgré tout — et parfois on n'a pas le choix — voici les habitudes qui comptent vraiment, à peu près classées par utilité.

1. Gardez la double authentification active partout. C'est de loin l'élément le plus précieux de cette liste. Presque toutes les attaques réalistes se terminent avec quelqu'un qui détient un mot de passe inutilisable, faute de votre second facteur. Si vous ne faites rien d'autre, faites cela.
2. Demandez au personnel le nom exact du réseau. Dix secondes à un comptoir d'accueil suffisent à neutraliser complètement le jumeau maléfique. Et notez bien le mot exact : les attaquants comptent sur le fait que vous ne remarquerez pas un tiret bas en trop.
3. Désactivez la connexion automatique aux réseaux ouverts. Sur iPhone : Réglages → Wi-Fi → « Confirmer l'accès », et désactivez la connexion automatique réseau par réseau. Sur Android, c'est dans les préférences Wi-Fi. Cela évite que votre téléphone se connecte en silence à n'importe quoi depuis votre poche.
4. Considérez toute page de connexion comme hostile jusqu'à preuve du contraire. Adresse e-mail ou numéro de chambre : très bien. Carte bancaire, passeport ou bouton de connexion via un réseau social : on ferme et on s'en va.
5. Ne passez jamais outre un avertissement de certificat. Pas une seule fois, pas « juste cette fois ».
6. Reportez tout ce qui est réellement sensible. La banque, les démarches administratives, tout ce qui implique un paiement. Cela peut attendre une heure.
7. Oubliez le réseau une fois que vous avez terminé. Sinon votre téléphone le cherchera dans toutes les villes suivantes — et ce nom-là, n'importe qui peut le diffuser.
8. Coupez le partage de fichiers et réglez AirDrop sur « Contacts uniquement ». Dix secondes, et toute une catégorie de désagréments disparaît.
9. Tenez votre système d'exploitation à jour. Ennuyeux, sans panache — et c'est la raison pour laquelle la plupart des attaques connues ne fonctionnent pas sur vous.

Un VPN, ça sert vraiment à quelque chose ?

Oui, pour une chose précise, et il vaut la peine de dire laquelle.

Un VPN enferme tout ce qui sort de votre appareil dans un tunnel chiffré vers un serveur situé ailleurs. Pour le réseau de l'aéroport — ou pour un jumeau maléfique — votre trafic devient du bruit dénué de sens. Cela neutralise effectivement l'écoute passive et l'interception.

Ce qu'il ne fait pas est encore plus important à comprendre :

• Il ne vous sauve pas si vous saisissez votre numéro de carte dans un faux portail. Vous avez remis les données vous-même ; le chiffrement du trajet n'y change rien.
• Il ne vous empêche pas d'installer un logiciel malveillant.
• Il ne vous rend pas anonyme, quoi qu'en disent les encarts sponsorisés.
• Il déplace votre confiance au lieu de la supprimer : de l'exploitant de l'aéroport vers le fournisseur du VPN. Avec un VPN gratuit, c'est en général un net recul. Les applications VPN gratuites ont un historique long et bien documenté d'enregistrement et de revente du trafic qu'elles promettaient précisément de protéger.

Un service payant sérieux est un outil raisonnable. Ce n'est pas un bouclier qui rend le Wi-Fi public sûr, et le prendre pour tel a plutôt tendance à rendre les gens moins prudents que l'inverse.

La solution la plus simple : ne pas utiliser le Wi-Fi public du tout

Tous les risques décrits ici partagent une même racine : vous vous êtes connecté à un réseau que vous ne pouviez pas vérifier, exploité par quelqu'un que vous ne pouvez pas identifier.

Utilisez vos propres données mobiles, et cette racine disparaît. Pas atténuée : supprimée.

Les réseaux mobiles fonctionnent exactement à l'inverse du Wi-Fi public. Votre SIM s'authentifie auprès du réseau par un mécanisme cryptographique : un inconnu ne peut donc pas se faire passer pour un opérateur mobile comme il se fait passer pour un hotspot. La liaison entre votre téléphone et l'antenne est chiffrée par défaut. Il n'y a pas de page de connexion, donc rien à falsifier. Et vous ne partagez pas un segment de réseau avec quelques centaines d'inconnus.

L'obstacle, historiquement, c'était le prix. Les frais d'itinérance à l'étranger piquaient assez pour que le Wi-Fi gratuit paraisse la seule option raisonnable. C'est précisément ce qui a changé. Une eSIM de voyage est une carte SIM numérique que vous installez sur votre téléphone avant de partir, en général en deux minutes, sans retirer la carte qui porte votre numéro habituel. Vous atterrissez, les données fonctionnent déjà, et vous passez devant le Wi-Fi gratuit sans même ouvrir la liste.

Si vous ne savez pas si votre téléphone est compatible, notre liste des appareils compatibles couvre tous les modèles actuels. Et si la technologie vous est inconnue, ce guide constitue un bon point de départ.

Soyons justes : les données mobiles ne sont pas magiques. Votre opérateur voit toujours des métadonnées, et aucune connexion n'échappe à tout soupçon. Mais elles éliminent toute la famille d'attaques qui repose sur votre confiance envers le réseau d'un inconnu — et dans un aéroport, cette famille, c'est à peu près tout.

Réponses rapides

Puis-je consulter mon compte bancaire sur le Wi-Fi de l'aéroport ?

L'application est bien protégée et la connexion chiffrée : ce n'est plus la catastrophe que c'était autrefois. Mais si vous pouvez attendre d'être en données mobiles, attendez. Vous ne gagnez rien à le faire sur un réseau que vous ne pouvez pas vérifier.

Un réseau protégé par mot de passe est-il plus sûr qu'un réseau ouvert ?

Un peu — le trafic radio est chiffré, l'écoute opportuniste est donc écartée. Mais si le mot de passe est affiché sur une ardoise derrière le comptoir, tout le bâtiment le connaît, y compris la personne qui vous inquiète. Cela relève le plancher, pas le plafond.

Peut-on pirater mon téléphone simplement parce qu'on est sur le même Wi-Fi ?

Par ce seul fait, non. Un téléphone moderne et à jour n'accepte pas les connexions non sollicitées venant d'autres appareils. Le risque vient de ce à quoi on vous persuade — une fausse page, un avertissement ignoré, une application installée — et non de la simple proximité.

Vaut-il mieux utiliser le partage de connexion de mon téléphone que le Wi-Fi de l'hôtel ?

Oui, et c'est sous-estimé. En reliant votre ordinateur à votre téléphone, tout transite par votre propre connexion mobile. Si vous voyagez avec un forfait confortable, c'est la réponse évidente pour travailler depuis une chambre d'hôtel.

Et les bornes de recharge publiques ?

Des attaques par ports USB de recharge sont documentées, mais elles restent rares, et les téléphones récents demandent votre accord avant d'autoriser un accès aux données via USB. Répondez non à cette demande et rechargez tranquillement. Une batterie externe bon marché évite complètement la question.

En résumé

• La vieille peur — quelqu'un qui lit votre mot de passe dans les airs — est largement dépassée. HTTPS a réglé le problème.
• Le risque actuel, c'est la tromperie : faux réseaux, fausses pages de connexion, et ce que vous saisissez vous-même.
• Aucun réseau gratuit légitime n'a besoin de votre carte, de votre passeport ou du mot de passe de votre messagerie.
• La double authentification vous protège plus que tout le reste de cette liste.
• Un VPN chiffre le trajet. Il ne vous protège pas de votre propre geste confiant.
• Vos données mobiles suppriment le problème à la racine, et une eSIM de voyage rend cela abordable comme ce ne l'était pas il y a quelques années.

La prochaine fois que vous atterrirez dans un endroit inconnu et que ce réseau gratuit apparaîtra en tête de liste, la bonne question n'est pas de savoir s'il est dangereux. C'est de savoir si vous en avez réellement besoin.