Le Wi-Fi public (café, hôtel, aéroport) est-il sûr ?

Pour aller plus loin

Le Wi-Fi public est le terme générique pour tout réseau que vous ne contrôlez pas : café, hôtel, aéroport, salon, maison d’un ami, Wi-Fi invités d’entreprise. Le portrait honnête en 2026, c’est que la menace a fondu de façon spectaculaire depuis le milieu des années 2010, surtout grâce à un changement structurel : presque tous les sites légitimes utilisent désormais HTTPS, qui chiffre votre trafic entre votre appareil et le site, indépendamment de qui exploite le réseau entre les deux.

Concrètement, ce qui a changé :

• 2010-2015 : beaucoup de sites étaient encore en HTTP, les mots de passe partaient en clair, « Firesheep » et outils similaires rendaient le sniffing en café trivial. Le conseil « ne vous connectez à rien sur Wi-Fi public » de cette époque était juste et important.
• 2016-2020 : Let’s Encrypt s’est lancé, Chrome et Firefox ont commencé à alerter les utilisateurs sur les sites HTTP, l’industrie a poussé HTTPS par défaut. La couverture est passée de minoritaire à massivement majoritaire.
• 2020-2026 : HTTPS est partout. Les navigateurs avertissent ou bloquent HTTP. L’ancienne attaque de sniffing au café ne fonctionne plus sur aucun site moderne.

Ce qui compte vraiment encore sur Wi-Fi public en 2026 :

1. Les jumeaux maléfiques. Quelqu’un crée un point d’accès au même nom que le vrai (Starbucks_Free, Aeroport_WiFi, Hilton_Guest). Votre appareil le rejoint en automatique. L’attaquant est alors le réseau et peut faire passer un phishing par portail captif, vous rediriger vers de fausses pages, etc. Défense : pas d’auto-connexion aux réseaux inconnus ; vérifier le vrai SSID sur l’affichage officiel du lieu, pas sur une feuille manuscrite.
2. Les portails captifs. La page « accepter les conditions / se connecter au réseau ». La plupart sont légitimes mais ils sont un canal récurrent de phishing et de sur-collecte de données personnelles. À traiter comme un inconnu qui demande des informations — donner le minimum.
3. Le shoulder-surfing et la capture d’écran. La personne à la table d’à côté peut voir votre écran. C’est bien plus facile et fiable que n’importe quelle attaque réseau. Utiliser un filtre de confidentialité pour le travail vraiment sensible.
4. Le DNS non fiable. Le réseau d’un café peut répondre aux requêtes DNS par de fausses réponses (vous envoyant sur une fausse banque au lieu de la vraie). HTTPS attrape la version la plus évidente (le certificat ne correspondra pas) mais évitez quand même de vous connecter à votre banque ou à votre gestionnaire de mots de passe depuis un Wi-Fi non vérifié.

Ce qui ne compte plus vraiment (malgré le marketing) :

• L’ancienne attaque « sniffer votre mot de passe dans les airs ». HTTPS l’a brisée.
• « Les pirates sur le Wi-Fi peuvent installer un malware sur votre téléphone juste parce que vous êtes sur le même réseau. » C’était déjà rare ; les défenses modernes au niveau OS l’ont rendu plus rare encore.
• « N’importe qui sur le Wi-Fi du café peut lire vos e-mails. » Pas sur Gmail, iCloud, Outlook.com, Proton — tous en HTTPS par défaut.

Réflexes pratiques 2026 :

• Tout ce qui est vraiment sensible (banque, coffre maître du gestionnaire de mots de passe, outils pro qui vous gêneraient d’être faits au café) — préférer le partage de connexion en cellulaire, ou attendre d’être sur un réseau de confiance.
• Désactiver l’auto-connexion aux réseaux nommés « Free Wi-Fi », « Airport », etc. iOS : Réglages → Wi-Fi → toucher le réseau → désactiver « Se connecter automatiquement ». Android : équivalent dans les réseaux enregistrés.
• Oublier les réseaux Wi-Fi d’hôtel et de salon en partant, pour que votre téléphone ne tente pas de rejoindre un jumeau maléfique du même nom plus tard.
• Un VPN (voir VPN) ajoute de la confidentialité face au lieu et à l’opérateur, pas de protection face aux sites eux-mêmes. Utile pour du travail sensible dans des lieux inconnus, pas une exigence stricte.
• HTTPS / le cadenas (voir l’entrée) reste le signal unique le plus important — et il fait son travail de la même façon sur n’importe quel réseau.

Résumé honnête : le Wi-Fi public en 2026 est un non-sujet pour la navigation normale sur HTTPS, une préoccupation modérée pour les portails captifs piégés et les jumeaux maléfiques, et un vrai sujet uniquement si vous vous connectez à quelque chose de vraiment sensible sur un réseau que vous ne pouvez pas vérifier. La menace a évolué ; le conseil aussi.