Wi-Fi public : les vrais risques et comment se protéger

Le Wi-Fi public est aujourd'hui plus sûr qu'avant, car la plupart des sites et des applications chiffrent désormais leurs connexions. Il convient raisonnablement à la navigation de tous les jours, mais le réseau lui-même peut toujours être faux, indiscret ou mal configuré. Avec quelques habitudes, comme vérifier le nom du réseau, passer en données mobiles pour la banque et désactiver les fonctions de partage, vous pouvez utiliser le Wi-Fi gratuit avec peu de risques.

Pourquoi est-ce important ? Un faux réseau ou un réglage négligé peut exposer vos mots de passe, vos données personnelles ou les fichiers de votre appareil. Les escrocs comptent sur les personnes qui se connectent au premier réseau gratuit venu et appuient sur « OK » sans lire.

Les vrais risques du Wi-Fi public aujourd'hui

Les faux réseaux qui imitent les vrais (evil twin)

Un « evil twin » (jumeau maléfique) est un réseau créé par une personne à proximité, avec un nom qui ressemble au vrai, par exemple « Aeroport_WiFi_Gratuit » à côté de « Aeroport WiFi Gratuit ». Si vous vous y connectez, l'attaquant contrôle votre connexion et peut vous afficher de fausses pages de connexion ou vous envoyer vers de faux sites. Votre téléphone peut même s'y connecter automatiquement.

Les portails captifs trop gourmands

Le portail captif est la page qui s'affiche avant l'accès à internet, où vous acceptez les conditions ou saisissez un numéro de chambre. Beaucoup sont inoffensifs, mais certains demandent votre nom complet, votre numéro de téléphone, votre date de naissance ou une connexion via un réseau social qui partage votre profil. Ne donnez que le strict nécessaire.

Un faux portail peut aussi demander un mot de passe, un numéro de carte bancaire, ou l'installation d'une application, d'un « certificat de sécurité » ou d'un profil. Le vrai Wi-Fi d'un café ou d'un hôtel n'a jamais besoin de tout cela.

Les sites non chiffrés

La plupart des sites utilisent désormais le HTTPS, mais certains sites anciens et petites pages ne le font toujours pas. Sur un réseau ouvert, tout ce que vous tapez sur une page non chiffrée peut être lu par les autres utilisateurs du réseau ou par son gestionnaire.

La connexion automatique et les réglages de partage

Les appareils aiment se reconnecter automatiquement aux réseaux connus, ce qui est risqué avec des noms publics courants. Les fonctions de partage, comme le partage de fichiers d'un ordinateur portable ou la réception de fichiers de n'importe qui à proximité, peuvent permettre à des inconnus de voir votre appareil ou de vous envoyer des contenus indésirables.

Ce que protège le HTTPS, et ce qu'il ne protège pas

Un cadenas ou « https:// » dans la barre d'adresse signifie que la connexion entre votre appareil et ce site est chiffrée.

Le HTTPS protège :

• Les mots de passe, messages et numéros de carte que vous saisissez sur ce site
• Le contenu des pages que vous ouvrez

Le HTTPS ne protège pas :

• La liste des sites que vous visitez. Le gestionnaire du réseau peut généralement voir le nom des sites, mais pas les pages.
• Contre les faux sites. Un site d'arnaque peut lui aussi afficher un cadenas. Le cadenas veut dire « chiffré », pas « digne de confiance ».
• Vos choix. Si un evil twin vous envoie vers une fausse page de connexion et que vous tapez votre mot de passe, le HTTPS n'y peut rien.

Vérifiez donc toujours l'adresse du site, pas seulement le cadenas. Si votre navigateur affiche un avertissement « non sécurisé » ou un problème de certificat sur un Wi-Fi public, arrêtez-vous et n'allez pas plus loin.

Quand un VPN est utile, et comment le choisir

Un VPN (réseau privé virtuel) crée un tunnel chiffré entre votre appareil et le serveur du fournisseur de VPN. Le réseau local voit seulement que vous utilisez un VPN, pas les sites que vous visitez.

Un VPN n'empêche ni le phishing, ni les faux sites, ni les malwares, ni les messages d'arnaque. Il déplace aussi la confiance : c'est désormais le fournisseur du VPN, et non plus le café, qui peut voir vos habitudes de navigation. Choisissez-le donc avec soin :

• Évitez les applications VPN gratuites inconnues. Faire tourner des serveurs VPN coûte de l'argent, et certaines applications gratuites se rémunèrent avec beaucoup de publicité, en collectant vos données ou en demandant des autorisations inutiles.
• Choisissez un fournisseur bien établi, avec une politique de confidentialité claire et des audits de sécurité indépendants, ou utilisez le VPN fourni par votre employeur pour le travail.
• Installez-le uniquement depuis l'App Store, Google Play ou le site officiel du fournisseur.
• Activez l'option « VPN permanent » ou « kill switch », pour que votre trafic ne fuie pas si le VPN se déconnecte.

Les bons réflexes sur un Wi-Fi public

Avant de vous connecter

• Vérifiez le nom du réseau. Demandez au personnel ou consultez une affiche officielle pour connaître le nom exact. Si deux noms se ressemblent beaucoup, demandez lequel est le bon.
• Préférez les données mobiles ou votre propre partage de connexion pour la banque et les paiements. C'est beaucoup plus difficile à imiter pour un inconnu à proximité.
• Gardez votre appareil à jour. Les mises à jour pour iPhone, Android, Windows et macOS corrigent des failles que des attaquants pourraient exploiter.

Pendant la connexion

• Utilisez les applications officielles de votre banque et de vos boutiques plutôt que des liens.
• N'installez jamais rien de ce que demande une page Wi-Fi.
• Activez la double authentification, pour qu'un mot de passe volé ne suffise pas. Notre guide de la double authentification explique comment faire.

Vérifiez vos réglages de partage

• iPhone et Mac : réglez AirDrop sur « Contacts uniquement » ou « Réception désactivée », pas sur « Tout le monde ».
• Android : réglez le partage à proximité (Quick Share) sur vos contacts ou vos propres appareils.
• Windows : définissez les réseaux des cafés et hôtels comme publics, pour que votre PC soit invisible des autres appareils, et laissez le partage de fichiers désactivé.
• macOS : dans les réglages de Partage, désactivez le partage de fichiers et le partage d'écran si vous n'en avez pas besoin.

Après votre départ

• Oubliez le réseau. Dans les réglages Wi-Fi, touchez le nom du réseau et choisissez « Oublier », pour que votre appareil ne se connecte pas plus tard à une fausse copie.
• Désactivez la connexion automatique pour les réseaux publics que vous utilisez rarement.
• Laissez activée l'option d'adresse Wi-Fi privée ou aléatoire. L'iPhone et Android l'activent généralement par défaut, ce qui rend votre appareil plus difficile à pister.

Les QR codes Wi-Fi dans les cafés et les hôtels

Beaucoup de cafés et d'hôtels affichent un QR code qui vous connecte au Wi-Fi en un scan. C'est généralement sans danger, mais un autocollant peut être posé sur le vrai code et mener vers un evil twin ou vers un site web.

• Un QR code Wi-Fi doit proposer de rejoindre un réseau et afficher son nom, pas ouvrir un site web.
• Après la connexion, vérifiez le nom du réseau dans vos réglages Wi-Fi et comparez-le à l'affiche officielle.
• Méfiez-vous des codes sur des autocollants volants ou collés par-dessus un autre code.
• Si un code « Wi-Fi » ouvre une page qui vous demande de vous connecter, de payer ou de télécharger quelque chose, fermez-la.

En cas de doute, scannez le QR code en ligne avec QR-TH pour voir d'abord ce qu'il contient. Pour partager votre propre Wi-Fi en toute sécurité, lisez notre guide du QR code Wi-Fi.

Check-list rapide

1. Vérifiez le nom exact du réseau auprès du personnel ou sur une affiche officielle.
2. Utilisez les données mobiles ou votre propre partage de connexion pour la banque et les paiements.
3. Ne saisissez jamais de numéro de carte et n'installez rien sur une page de connexion Wi-Fi.
4. Vérifiez l'adresse du site, pas seulement le cadenas.
5. Arrêtez-vous si votre navigateur affiche un avertissement de sécurité.
6. Réglez AirDrop, Quick Share et le partage de fichiers sur « contacts uniquement » ou désactivez-les.
7. Utilisez un VPN de confiance, pas une application gratuite inconnue.
8. Oubliez les réseaux publics après usage et désactivez la connexion automatique.
9. Gardez votre téléphone et votre ordinateur à jour.

FAQ

Peut-on consulter sa banque sur un Wi-Fi public ?

Les applications bancaires chiffrent leurs connexions, mais un faux réseau peut quand même essayer de vous piéger : il est donc plus prudent d'utiliser les données mobiles pour la banque et les paiements.

Peut-on pirater mon téléphone simplement parce que je me suis connecté à un Wi-Fi public ?

Sur un téléphone à jour, la simple connexion suffit rarement. Les risques principaux sont les fausses pages de connexion, les réglages de partage ouverts et l'installation de ce que demande un faux portail.

Faut-il un VPN sur un Wi-Fi public ?

Pas toujours. Le HTTPS protège l'essentiel de ce que vous faites, mais un VPN de confiance apporte plus de confidentialité sur les réseaux que vous utilisez souvent. Évitez les applications VPN gratuites inconnues.

Comment savoir si un réseau Wi-Fi est un evil twin ?

Souvent, on ne peut pas le voir à l'œil nu. Vérifiez le nom exact auprès du personnel, méfiez-vous des noms en double ou légèrement différents, et partez si le réseau demande des mots de passe, un paiement ou un téléchargement.

Le Wi-Fi public est pratique quand on l'utilise avec un peu de prudence. La prochaine fois qu'un café ou un hôtel vous propose un QR code Wi-Fi, vérifiez son contenu avec le lecteur gratuit de QR-TH et contrôlez le nom du réseau une fois connecté.