Se connecter au Wi-Fi gratuit d'un café, d'un aéroport ou d'une chambre d'hôtel est devenu un réflexe si banal qu'on n'y pense presque plus. C'est précisément ce qui en fait un point faible : le risque n'est pas théorique, mais il reste largement invisible tant que rien ne se passe visiblement mal. Comprendre ce qui se joue techniquement sur ce type de réseau permet de savoir quand la prudence est réellement nécessaire, plutôt que de vivre dans une méfiance permanente et improductive.
Un réseau Wi-Fi domestique moderne chiffre le trafic entre votre appareil et le routeur grâce à un protocole comme WPA2 ou WPA3, ce qui empêche un autre appareil connecté au même réseau de lire directement vos données. Un réseau Wi-Fi public "ouvert" (sans mot de passe, ou avec un mot de passe partagé affiché sur un comptoir) offre une protection nettement plus faible, voire nulle sur ce point précis : selon la configuration, d'autres utilisateurs connectés au même point d'accès peuvent, avec des outils d'analyse de trafic accessibles gratuitement, observer une partie de ce qui circule sur le réseau local. Ce n'est pas systématique ni trivial à exploiter pour un trafic déjà chiffré (HTTPS), mais la marge de sécurité est structurellement plus faible que sur un réseau privé dont vous contrôlez l'accès.
L'attaque "man-in-the-middle" (homme du milieu) consiste, pour un attaquant présent sur le même réseau, à s'insérer techniquement entre votre appareil et la destination réelle de votre connexion, sans que rien ne le signale visuellement à l'écran. Sur un réseau bien configuré et avec des sites utilisant HTTPS, cette position ne permet généralement pas de lire le contenu chiffré des échanges, mais elle permet souvent d'observer les domaines visités, la durée des connexions, et parfois de rediriger une requête vers une version falsifiée d'un site si l'attaquant combine cette position avec d'autres techniques comme le DNS spoofing. C'est un scénario qui demande des compétences réelles, mais les outils qui l'automatisent sont documentés et accessibles, ce qui abaisse la barrière technique nécessaire pour le tenter dans un lieu public fréquenté.
Une technique plus simple à mettre en œuvre consiste à créer un point d'accès Wi-Fi portant un nom identique ou très proche du réseau légitime d'un établissement ("Cafe_WiFi_Free" à côté du vrai "CafeWiFi-Free"). Un appareil configuré pour se reconnecter automatiquement aux réseaux connus, ou un utilisateur qui choisit simplement le premier réseau visible dans la liste, se connecte alors directement à l'équipement de l'attaquant, qui contrôle dès lors intégralement le trafic qui y transite avant de le relayer, ou non, vers l'internet réel. Ce type de faux point d'accès ne nécessite aucune compétence de piratage du réseau existant : il s'agit simplement de diffuser un signal Wi-Fi plus fort avec un nom trompeur, à portée de main dans n'importe quel lieu public.
Le système DNS traduit un nom de domaine (comme celui de votre banque) en adresse IP technique du serveur à contacter. Sur un réseau public compromis ou mal configuré, un attaquant en position de contrôler la résolution DNS peut rediriger cette traduction vers un serveur qu'il contrôle, sans que l'adresse tapée dans la barre du navigateur ne change visuellement. Un certificat HTTPS valide reste la meilleure protection contre ce scénario précis, car un faux site ne peut normalement pas présenter le certificat légitime du vrai domaine ; c'est pourquoi un avertissement de certificat invalide affiché par le navigateur ne doit jamais être ignoré sur un réseau public, même si le site semble par ailleurs familier.
Le "packet sniffing" (reniflage de paquets) consiste à capturer passivement l'ensemble du trafic circulant sur un réseau, sans avoir besoin d'intercepter activement quoi que ce soit. Sur un réseau filaire classique, cette technique est limitée par l'architecture même du réseau moderne (commutateurs qui isolent le trafic entre appareils), mais sur un réseau Wi-Fi partagé, en particulier ouvert ou protégé par un mot de passe commun à tous les clients, une partie plus large du trafic peut être visible à qui sait où regarder. Combinée à une attaque ARP spoofing, qui consiste à tromper un appareil sur l'identité réseau de sa passerelle, cette technique permet à un attaquant de forcer le trafic d'une victime à transiter physiquement par son propre équipement avant de repartir vers l'internet, rendant possible l'analyse détaillée du flux non chiffré.
Le passage quasi généralisé au protocole HTTPS a considérablement réduit la gravité des risques liés au Wi-Fi public par rapport à il y a dix ans : le contenu des échanges (mots de passe saisis, contenu des pages consultées) est chiffré de bout en bout entre votre appareil et le serveur distant, et un attaquant présent sur le même réseau local ne peut généralement pas le lire directement. Ce que HTTPS ne masque en revanche pas, c'est le fait même qu'une connexion a lieu, ni le domaine de destination (via le SNI, visible en clair dans la négociation TLS sur de nombreuses configurations), ni le volume et le rythme des échanges. Pour la majorité des usages courants, HTTPS suffit largement ; pour des usages sensibles (accès à des documents professionnels confidentiels, consultation médicale en ligne), une couche de protection supplémentaire réduit une surface d'exposition qui reste réelle même avec HTTPS actif.
Un VPN chiffre l'intégralité du trafic sortant de votre appareil avant qu'il n'atteigne le réseau Wi-Fi public, ce qui rend inutile la plupart des techniques d'interception locale décrites plus haut : un attaquant positionné sur le même point d'accès ne voit alors qu'un flux chiffré vers un serveur VPN, sans visibilité sur les domaines réellement visités ni sur le contenu des échanges. Cela ne protège pas contre un appareil déjà compromis par un logiciel malveillant, ni contre un mot de passe saisi sur un site de phishing dont l'adresse était déjà trompeuse avant même la connexion au VPN. C'est un outil qui réduit un risque précis et réel lié au réseau local, pas une protection universelle contre l'ensemble des menaces abordées ailleurs sur ce site.
Désactiver la connexion automatique aux réseaux Wi-Fi connus dans les paramètres de votre appareil évite de se connecter sans le savoir à un faux point d'accès portant un nom déjà mémorisé. Vérifier auprès du personnel de l'établissement le nom exact du réseau officiel, plutôt que de se fier au premier nom plausible dans la liste, élimine l'essentiel du risque lié aux "evil twins". Éviter de saisir des identifiants sensibles (banque, messagerie principale) tant que la connexion n'est pas confirmée comme fiable, et privilégier le partage de connexion de son propre téléphone mobile pour ces usages précis, reste la solution la plus simple quand elle est disponible. Enfin, garder son système d'exploitation et son navigateur à jour assure que les correctifs de sécurité contre les techniques d'interception les plus récentes sont bien appliqués, ce qui compte au moins autant que le choix du réseau lui-même.
Ces réflexes se combinent naturellement avec ceux détaillés dans notre page sur la gestion des mots de passe et dans celle consacrée au phishing : un réseau public mal sécurisé est rarement l'unique maillon faible, il s'ajoute le plus souvent à un mot de passe réutilisé ou à un lien cliqué trop vite.
