Un Wi-Fi public, ça dépanne. On s’assoit, on cherche un réseau, on se connecte, et deux minutes plus tard on consulte sa messagerie. Le problème, c’est que rien ne distingue à l’œil nu le point d’accès du café du hotspot monté par quelqu’un dans la salle d’à côté, dans le seul but de récolter des identifiants. Avant de cliquer, il faut donc vérifier deux choses distinctes : l’identité du réseau, puis la configuration de votre appareil. L’ordre compte, parce qu’un téléphone mal réglé peut exposer vos données même sur un réseau légitime.
Le faux hotspot, la menace qu’on ne voit pas venir
Un réseau pirate n’a pas besoin de casser un chiffrement pour vous piéger. Il suffit de diffuser un nom qui ressemble à celui du lieu où vous vous trouvez, « Wifi_Gratuit_Gare » ou « Hotel_Client », et d’attendre que votre téléphone, s’il a déjà vu ce nom quelque part, s’y connecte tout seul. C’est là que tout se joue. La plupart des conseils en ligne passent pourtant ce point sous silence : ils vous disent d’installer un VPN sans expliquer comment repérer l’imposteur avant la connexion.
La CNIL, sur ce point, est assez claire : mieux vaut désactiver le Wi-Fi de l’appareil quand on ne s’en sert pas. Un téléphone qui cherche un réseau en permanence émet des signaux et, surtout, se raccroche à tout ce qui ressemble à une borne connue. La connexion automatique doit rester réservée aux réseaux de votre domicile ou de votre bureau. Partout ailleurs, vous validez à la main, à chaque fois.
Une étude de Norton citée par Noodo donne la mesure du risque. Sur les personnes interrogées, 22 % ont accédé à leurs informations bancaires ou financières depuis un Wi-Fi gratuit. Ils étaient 49 % à consulter leurs réseaux sociaux dans les mêmes conditions, et 61 % à ouvrir leur messagerie personnelle. Une large part des utilisateurs confie donc au réseau du premier venu des accès qui ouvrent ensuite sur tout le reste, y compris sur des services auxquels ils n’auraient jamais pensé rattacher cette connexion de passage.
Vérifier le réseau avant de se connecter
Première chose à regarder : le nom exact du réseau. Demandez-le au comptoir, à l’accueil, au serveur. Pas au voisin de table, pas à l’affichage d’un téléphone. Un vrai réseau d’établissement est annoncé par l’établissement lui-même, et son portail captif s’ouvre sur une page à sa marque, avec des conditions d’utilisation lisibles. Une page blanche, un formulaire qui réclame votre mot de passe de messagerie, une demande de numéro de carte pour « valider l’accès » : vous fermez l’onglet et vous coupez le Wi-Fi.
Ce qui doit vous faire renoncer
Le chiffrement mérite aussi un coup d’œil, même s’il ne garantit pas grand-chose. Un réseau ouvert, sans mot de passe, fait circuler les données en clair entre votre appareil et la borne. Certains lieux utilisent un mot de passe commun affiché au mur, ce qui limite un peu le nombre de personnes connectées, sans protéger pour autant ce qui passe sur le réseau. Le chiffrement ancien WEP, encore présent sur du matériel fatigué, se casse en quelques minutes avec les outils actuels.
Certains signaux ne trompent pas. Quand plusieurs d’entre eux s’empilent, il vaut mieux passer par votre forfait mobile que tenter sa chance. La liste ci-dessous résume les cas où je coupe moi-même le Wi-Fi sans chercher plus loin.
- Deux réseaux portent quasiment le même nom à une lettre près, ce qui arrive rarement dans un lieu sérieux.
- Le portail captif réclame des informations qu’il n’a aucune raison de connaître.
- Aucun mot de passe n’est demandé et personne sur place ne peut vous dire à qui appartient la borne ?
- Vous vous êtes déjà connecté à un réseau portant ce nom dans un autre lieu, à des centaines de kilomètres.
- Le petit cadenas du navigateur disparaît sur des sites où il était présent la veille.
Préparer l’appareil, l’étape qu’on saute toujours
Un réseau légitime reste un réseau partagé. Le gérant du café n’a pas monté son point d’accès pour vous espionner, mais rien ne dit que les autres clients ont de bonnes intentions, et rien ne dit non plus que le routeur a reçu sa dernière mise à jour. La parade tient en une phrase : ce que vous envoyez doit rester illisible pour qui écoute. C’est exactement le rôle d’un VPN.
La CNIL recommande d’en utiliser un, en précisant un point que les comparateurs oublient souvent : mieux vaut un service payant, ou un VPN que vous installez vous-même chez vous pour rejoindre votre connexion personnelle. Les offres gratuites se financent d’une manière ou d’une autre, et revendre le trafic de ses utilisateurs reste un modèle qui a fait ses preuves. Un serveur chez soi, même modeste, vous rend invisible aux yeux du réseau public.
Reste la question du bon réseau au bon moment. Pour transmettre des données personnelles, la CNIL conseille de préférer la 3G ou la 4G de son opérateur. Le forfait mobile coûte parfois quelques mégaoctets, mais la connexion est chiffrée de bout en bout par l’opérateur, sans portail captif ni voisin curieux. Sur un site marchand, depuis une banque en ligne ou pour lire ses messages privés, c’est le choix le plus simple et le plus sûr.
Réglages de l’appareil et bons réflexes
Vous pouvez aussi fermer le partage de fichiers, couper le Bluetooth et vérifier que vos appareils ne se connectent pas seuls à des périphériques inconnus. Le site monsite1.com rappelle d’ailleurs que la configuration d’un poste de travail passe avant l’installation de la moindre extension. Sur un ordinateur portable, ces réglages se trouvent en deux clics et se gardent en mémoire pour les fois suivantes.
Une habitude à prendre, pas une procédure à réciter
Vous ne ferez pas tout à chaque fois, et ce n’est pas grave. Le réflexe utile tient en trois gestes : identifier le réseau auprès d’une personne du lieu, refuser la connexion automatique, et garder un VPN actif quand vous devez transmettre quelque chose de sensible.
Le reste s’ajuste selon l’endroit et selon ce que vous avez à faire. Un Wi-Fi public n’est pas un piège en soi, c’est un espace partagé où l’on ne laisse pas traîner ses affaires. La prochaine fois que votre téléphone vous proposera de rejoindre un réseau « gratuit » sans vous demander votre avis, accepterez-vous encore ?
