Comment protéger vos données sur un Wi-Fi public

C'est pourquoi les données qui circulent en clair sur un tel réseau sont, en principe, susceptibles d'être interceptées par n'importe qui d'autre sur ce même réseau. Voici d'où vient ce risque, en quoi WPA2 et WPA3 diffèrent, et ce que vous pouvez faire en quelques minutes pour le réduire.

Pourquoi le Wi-Fi public constitue une catégorie de risque à part

Un réseau domestique ou professionnel a généralement un propriétaire connu et un mot de passe qui n'est pas distribué à des inconnus. Dans un café ou un aéroport, des dizaines d'appareils inconnus se connectent en même temps au même point d'accès, et ce point d'accès lui-même peut avoir été mis en place par n'importe qui. Cela donne lieu à trois scénarios courants :

• Interception du trafic (packet sniffing). Si le réseau est ouvert ou utilise un mot de passe partagé par tout le monde sans chiffrement supplémentaire au niveau de la session, tout autre participant de ce réseau peut techniquement analyser le trafic d'autrui avec les bons outils.
• Points d'accès malveillants. Un attaquant crée son propre réseau avec un nom similaire — par exemple « Free_Airport_Wifi » au lieu du nom officiel de l'établissement — et fait transiter par lui-même tout le trafic des appareils connectés.
• Attaques de l'homme du milieu (MITM). L'appareil d'un attaquant se positionne entre vous et le véritable point d'accès et peut altérer le contenu de pages non chiffrées ou vous rediriger vers de faux formulaires de connexion.

Aucun de ces scénarios n'exige que l'attaquant dispose d'un accès particulier aux équipements de l'établissement — il suffit d'être sur le même réseau public.

WPA2 contre WPA3 : ce qui a changé pour les réseaux partagés

Le WPA2 est la norme Wi-Fi de référence depuis des années, mais il présente des limites précisément dans le contexte des réseaux partagés : le mot de passe est le même pour tout le monde, ce qui signifie que, dans des conditions favorables à la capture de la négociation (handshake), quelqu'un qui le connaît pourrait en théorie tenter de déchiffrer le trafic d'autres personnes sur ce même réseau. Le WPA3 comble une partie de cette faille — selon un rapport technique de l'Agence de sécurité nationale des États-Unis (NSA) sur le WPA3, la nouvelle norme utilise le protocole SAE à la place de l'échange de clés du WPA2, ce qui rend le cassage de mot de passe hors ligne plus difficile, et ajoute la confidentialité persistante (forward secrecy) : chaque session reçoit sa propre clé unique, de sorte qu'un mot de passe compromis plus tard ne peut pas servir à déchiffrer un trafic capturé auparavant. Une fonctionnalité distincte du WPA3, Enhanced Open (OWE), chiffre le canal entre un appareil et le point d'accès même sur des réseaux entièrement ouverts, sans aucun mot de passe — ce que le WPA2 ne pouvait tout simplement pas faire.

Une réserve importante : de nombreux routeurs publics dans les cafés et les hôtels fonctionnent encore en WPA2, voire sans aucun chiffrement, et le déploiement de la prise en charge d'Enhanced Open reste inégal selon les fabricants de points d'accès. Il ne faut donc pas se fier uniquement à la norme de chiffrement du réseau lui-même — les étapes ci-dessous fonctionnent quelle que soit la norme Wi-Fi utilisée par un établissement donné.

Liste de contrôle : que faire avant et pendant une connexion

Chaque étape prend moins de cinq minutes et ne demande aucune connaissance particulière.

1. Désactivez la connexion automatique aux réseaux ouverts. Les paramètres Wi-Fi de votre téléphone et de votre ordinateur portable comportent une option du type « se connecter automatiquement aux réseaux ouverts » — désactivez-la pour que votre appareil ne se rattache pas à des points d'accès aléatoires sans que vous le sachiez.
2. Confirmez le nom exact du réseau auprès du personnel. Les points d'accès malveillants portent souvent un nom presque identique au vrai, avec une petite faute de frappe ou un mot ajouté.
3. Désactivez le partage de fichiers et de dossiers. Lorsque vous êtes sur un réseau public, désactivez le partage de fichiers, le partage d'imprimante et AirDrop/« partage à proximité » — ces fonctionnalités sont conçues pour les réseaux de confiance.
4. Vérifiez la présence du HTTPS. L'icône de cadenas et une adresse en https:// signifient que le contenu de cette page précise est chiffré entre votre navigateur et le site, mais cela ne protège pas le réseau en lui-même — la connexion peut toujours être analysée au niveau des métadonnées, et les requêtes DNS peuvent toujours être interceptées ou usurpées.
5. Utilisez un tunnel chiffré pour l'ensemble du trafic de votre appareil, pas seulement celui du navigateur — nous y revenons dans la section suivante.
6. Activez l'authentification à deux facteurs pour vos comptes importants. Si un mot de passe venait à être intercepté ou capturé via un formulaire de phishing, le second facteur empêche quiconque de se connecter à votre compte depuis un autre appareil.
7. « Oubliez » le réseau une fois que vous avez terminé. Cela empêche votre appareil de s'y reconnecter automatiquement la prochaine fois que vous serez à proximité.

En quoi le chiffrement du trafic complète la sécurité du réseau

Même si le point d'accès lui-même utilise une norme obsolète ou ne chiffre pas du tout le canal, vous pouvez encore corriger la situation au niveau de l'appareil. Une application qui établit un tunnel chiffré entre votre appareil et un serveur distant enveloppe tout votre trafic dans ce tunnel — pas seulement celui de votre navigateur, mais aussi celui de toutes les autres applications. Pour un observateur extérieur présent sur le même réseau public, tout ce qui est visible est un flux de données chiffré, sans aucun moyen d'en lire le contenu ou de le modifier en transit. Pour un examen technique plus approfondi du fonctionnement du chiffrement du trafic, consultez notre article séparé — « Ce qu'est réellement le chiffrement du trafic internet, en termes simples ».

En pratique, cela signifie qu'avoir sous la main une application capable de chiffrer votre connexion et de s'activer d'un seul geste dans les réglages est une bonne habitude pour composer avec des réseaux inconnus. HamikVPN est l'un de ces outils : il chiffre la connexion sur votre téléphone et votre ordinateur et se connecte en un seul geste ; les applications pour différentes plateformes sont disponibles sur la page de téléchargement.

Une précision pour Android

Sur Android 10 et versions ultérieures, le système utilise par défaut une adresse MAC aléatoire pour chaque réseau enregistré — comme le décrit la documentation officielle du projet Android Open Source (AOSP). Cette randomisation complique le suivi d'un même appareil sur différents réseaux publics, mais elle ne protège pas le contenu de votre trafic — c'est une tâche distincte, assurée par le chiffrement au niveau de l'application, et non par l'identifiant de la carte réseau. Une liste plus complète de réglages pour une protection Android au quotidien figure dans notre liste de contrôle de sécurité Android, et les exigences et fonctionnalités d'une application VPN mobile pour Android sont détaillées sur une page dédiée.

Que vérifier également

Le Wi-Fi public n'est qu'un des canaux par lesquels des données personnelles peuvent fuiter. Il vaut aussi la peine de revoir vos pratiques générales d'hygiène numérique : utilisez des mots de passe différents pour chaque service, conservez-les dans un gestionnaire de mots de passe plutôt que dans des notes, et activez l'authentification à deux facteurs — pourquoi c'est important et comment la mettre en place est expliqué dans notre article sur l'authentification à deux facteurs. Si vous voyagez souvent, il est également utile de garder à portée de main une liste de contrôle plus large — par exemple notre liste de contrôle rapide de sécurité en voyage.