Le Wi-Fi public est-il dangereux ? Ce qui a vraiment changé

Fiche complémentaire de la leçon « Sécurité du Wi-Fi : quand une connexion est assez sûre » — cours Sécurité en ligne

La sécurité du Wi-Fi tenait autrefois en une règle simple : ne jamais rien faire d’important sur un réseau public. Cette règle a vieilli, et la version honnête est plus utile : l’essentiel de ce qui comptait est aujourd’hui pris en charge par le chiffrement que tous les sites utilisent déjà.

Les sources publiques françaises restent plus prudentes que ce cours, et il vaut mieux le savoir avant de continuer. Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes de cybermalveillance, range « Évitez les réseaux WiFi publics ou inconnus » parmi ses dix mesures essentielles. Cette fiche ne contredit pas ce conseil : elle explique ce qui a changé, ce qui reste vrai, et pourquoi la prudence française et le raisonnement du cours aboutissent, en pratique, aux mêmes gestes.

A. Pourquoi c’est important

Le Wi-Fi transporte tout : messages, e-mails, mots de passe, banque, fichiers de travail. Pendant des années, on a répété que sur un réseau public, n’importe qui à proximité pouvait tout lire.

C’était vrai ; cela l’est beaucoup moins aujourd’hui. Presque tous les sites utilisent aujourd’hui HTTPS, qui chiffre le contenu entre votre appareil et le site, quel que soit le réseau au milieu. Quelqu’un connecté au même Wi-Fi que vous dans un café peut en général voir quels sites vous avez consultés, mais pas ce que vous y avez fait.

Ce que disent les sources françaises

Cybermalveillance.gouv.fr garde une position ferme. Sa mesure 10 explique que ces réseaux « sont souvent mal sécurisés, et peuvent être contrôlés ou usurpés par des pirates », et conseille : « En mobilité, privilégiez la connexion de votre abonnement téléphonique (3G ou 4G) aux réseaux WiFi publics. » Si vous n’avez pas le choix, veillez « à ne jamais y réaliser d’opérations sensibles » et utilisez « si possible un réseau privé virtuel (VPN) ». Le ministère de l’Économie dit la même chose pour la banque : « Ne réalisez pas d’opérations sensibles sur un réseau Wi-Fi public non sécurisé ».

Sur HTTPS, une seule page française destinée au grand public en parle, et en une ligne : Cybermalveillance.gouv.fr conseille de vérifier que l’adresse du site « commence par « https:// » ». Aucune n’explique ce que HTTPS a changé à la sécurité des réseaux publics. Ce raisonnement repose ici sur une référence internationale, signalée comme telle en partie E.

Un point, en revanche, est bien couvert en français : ce qu’un VPN fait et ne fait pas. La CNIL l’explique précisément, on y revient plus bas.

B. Notions clés

Sept idées, dont les deux qui ont changé.

Le Wi-Fi public

Un réseau ouvert dans un café, un hôtel, un aéroport ou une gare, en général sans mot de passe ou avec un mot de passe partagé par tous.

Pourquoi c’est important pour vous : les personnes connectées au même réseau voient à quels sites vous vous connectez. Avec HTTPS, elles n’en voient pas le contenu — ce qui est l’essentiel de ce que les gens craignent.

HTTPS

Le chiffrement entre votre navigateur et le site, signalé par le cadenas dans la barre d’adresse. C’est aujourd’hui la norme sur la quasi-totalité du web.

Pourquoi c’est important pour vous : c’est ce qui a rendu l’ancien conseil dépassé, et c’est aussi pourquoi le réflexe utile est de regarder l’adresse plutôt que d’éviter les réseaux. Attention : le cadenas indique que la connexion est chiffrée, pas que le site est honnête. Un faux site peut très bien avoir son cadenas.

Votre réseau à la maison

Un réseau privé protégé par un mot de passe, avec un chiffrement WPA2 ou WPA3, fourni en général par la box de votre fournisseur d’accès (le routeur).

Pourquoi c’est important pour vous : c’est le seul réseau que vous maîtrisez vraiment. La fiche « Sécuriser sa box internet : c’est par là que tout commence » traite des autres réglages de la box.

WPA2 et WPA3

Les normes de chiffrement qui protègent un réseau sans fil. WPA3 est la plus récente ; WPA2 reste acceptable.

Pourquoi c’est important pour vous : si votre box ne propose encore que WEP ou WPA, elle est assez ancienne pour que le chiffrement soit le moindre de ses problèmes. Une précision honnête : en France, WPA3 n’est nommé que par l’ANSSI, l’agence nationale de la sécurité des systèmes d’information, dans un guide de 2026 destiné aux organisations, qui recommande « WPA3-Enterprise, WPA2-Entreprise (sous condition) ou WPA3-Personal ». Aucune page institutionnelle destinée au grand public ne le mentionne encore.

Les faux réseaux jumeaux

Un réseau nommé exprès pour ressembler au réseau légitime — le nom du café, le nom de l’hôtel — et installé par quelqu’un à proximité. On parle en anglais d’evil twin ; il n’existe pas de terme français établi. Cybermalveillance.gouv.fr décrit le phénomène sans le nommer : des réseaux « contrôlés ou usurpés par des pirates ».

Pourquoi c’est important pour vous : c’est le risque qui n’a pas disparu. Se connecter est un choix, et la parade consiste donc à vérifier le nom exact auprès du personnel plutôt que de choisir celui qui paraît plausible.

Le VPN, honnêtement

Un VPN — réseau privé virtuel — chiffre votre trafic jusqu’au serveur de celui qui le fournit ; au-delà, le trafic continue normalement.

Pourquoi c’est important pour vous : il cache votre activité au réseau local et à votre fournisseur d’accès, et transfère cette visibilité à celui qui fournit le VPN. La CNIL le dit clairement : avec un VPN, les données de navigation sont protégées d’un attaquant éventuel, mais « l’entreprise qui fournit le service conserve la connaissance de votre adresse IP et des sites visités, et peut transmettre ces informations à des tiers ». Utile dans des situations précises, donc, mais pas la protection générale qu’on vous vend souvent. Cybermalveillance.gouv.fr propose d’ailleurs, avant le VPN, la connexion de votre forfait mobile, qui règle le même problème sans intermédiaire.

Les portails captifs

La page de connexion qui s’affiche quand vous rejoignez le réseau d’un hôtel ou d’un aéroport.

Pourquoi c’est important pour vous : il est utile de savoir que ces pages interceptent légitimement votre connexion pour s’afficher — et c’est aussi pour cela qu’une page qui apparaît d’elle-même plus tard mérite un second regard. Aucune source publique française ne traite ce point.

C. Un exemple concret : le réseau de l’aéroport

Vous êtes dans un aéroport, et deux réseaux aux noms presque identiques apparaissent. L’un appartient à l’aéroport ; l’autre, non.

Si vous vous connectez au mauvais

• Celui qui le gère voit quels sites vous consultez.
• Avec HTTPS, le contenu de ces sessions reste chiffré.
• Il peut en revanche vous présenter une page de connexion convaincante, et attendre que vous y tapiez quelque chose.

Voilà le vrai risque : moins la lecture de vos échanges qu’une page qui demande vos identifiants en ayant l’air d’appartenir au réseau, à la compagnie aérienne ou à un service que vous utilisez. Cybermalveillance.gouv.fr met en garde contre ces réseaux, qui peuvent « intercepter vos connexions et récupérer au passage vos comptes d’accès ».

Les réflexes qui couvrent ce risque

• Demander quel est le bon réseau, plutôt que de choisir le nom plausible.
• Ne taper d’identifiants sur aucune page apparue parce que vous avez rejoint un réseau.
• Laisser décider votre gestionnaire de mots de passe : s’il ne propose pas de remplir, l’adresse n’est pas celle que vous avez enregistrée.
• Passer sur les données mobiles quand l’enjeu est réel et que vous avez un doute — c’est aussi ce que Cybermalveillance.gouv.fr conseille en premier.

Remarquez que trois de ces quatre réflexes sont ceux des fiches sur l’hameçonnage (phishing). Le réseau a changé ; la compétence de fond, non.

D. Essayez : deux vérifications et une décision

Dix minutes : une vérification à la maison, une sur le téléphone, et une règle pour votre prochain déplacement.

Étape 1 — Votre réseau à la maison

• Ouvrez l’interface de réglage de votre box et vérifiez que le chiffrement est en WPA2 ou WPA3.
• Vérifiez que le mot de passe du Wi-Fi (la « clé Wi-Fi ») n’est pas celui imprimé sur la box, et qu’il ne sert à rien d’autre.
• La fiche « Sécuriser sa box internet : c’est par là que tout commence » traite des autres réglages.

Étape 2 — Les réseaux enregistrés sur votre téléphone

• Regardez la liste des réseaux auxquels votre téléphone se reconnecte tout seul.
• Supprimez ceux que vous n’utiliserez plus : un hôtel d’il y a deux ans, le réseau d’un salon professionnel.
• Désactivez la connexion automatique aux réseaux ouverts : c’est elle qui rend un faux réseau jumeau si facile à monter. Dans le même esprit, l’ANSSI conseille de désactiver les connexions sans fil (Wi-Fi, Bluetooth, NFC) quand vous ne vous en servez pas.

Étape 3 — Fixez votre propre règle pour les réseaux publics

• Une règle raisonnable : la navigation ordinaire peut passer par le Wi-Fi public ; la banque, et tout ce que vous ne voudriez pas voir associé à vous, passent par les données mobiles.
• Non parce que l’interception serait probable, mais parce qu’ainsi la décision est déjà prise quand le moment arrive.

L’étape 2 est celle qui vaut la peine d’être faite aujourd’hui. La plupart des téléphones gardent une longue liste de réseaux mémorisés, et chacun est un nom que quelqu’un pourrait réutiliser.

E. Vidéos, articles et autres ressources

Sources institutionnelles françaises d’abord, puis une référence internationale pour ce que les pages françaises ne couvrent pas : ce que HTTPS a changé.

Sources françaises

Cybermalveillance.gouv.fr — Les 10 mesures essentielles pour assurer votre cybersécurité
La mesure 10, « Évitez les réseaux WiFi publics ou inconnus » : la position française de référence, avec le forfait mobile en premier choix et le VPN en recours.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique

Cybermalveillance.gouv.fr — Protéger ses appareils mobiles
La même recommandation côté téléphone, avec la raison : des réseaux qui peuvent être contrôlés par des cybercriminels.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/appareils-mobiles

Cybermalveillance.gouv.fr — Les bonnes pratiques pour naviguer sur Internet
La seule mention française de HTTPS pour le grand public : vérifier que l’adresse commence par « https:// ».
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/les-bonnes-pratiques-pour-naviguer-sur-internet

CNIL — Nouvelles méthodes de traçage en ligne : quelles solutions pour se protéger ?
Une page de 2022, dont certains exemples ont vieilli, mais qui décrit honnêtement le VPN : ce qu’il protège, et ce que son fournisseur continue de voir.
https://www.cnil.fr/fr/nouvelles-methodes-de-tracage-en-ligne-quelles-solutions-pour-se-proteger

Ministère de l’Économie (economie.gouv.fr) — Opérations bancaires à distance : comment vous protéger des fraudes ?
La partie bancaire de la même décision : pas d’opérations sensibles sur un Wi-Fi public, pas de consultation de vos comptes depuis un ordinateur public ou partagé.
https://economie.gouv.fr/particuliers/eviter-les-arnaques/operations-bancaires-distance-comment-vous-proteger-des-risques-de

ANSSI — Les Essentiels : sécurisation des réseaux Wi-Fi
Un guide de 2026 écrit pour les organisations, pas pour le grand public. C’est pourtant la seule source française officielle qui nomme WPA3, et elle recommande un VPN quand on ne peut pas se connecter à un réseau maîtrisé.
https://messervices.cyber.gouv.fr/guides/essentiels-wifi

ANSSI — Bonnes pratiques : protégez-vous
Les conseils de l’agence pour tous : désactiver les connexions sans fil inutilisées, et utiliser si possible un VPN sur les réseaux publics.
https://cyber.gouv.fr/bonnes-pratiques-protegez-vous

Références internationales conservées

EFF — Surveillance Self-Defense (en anglais)
Ce que le chiffrement protège en transit et où se place un VPN, avec plus de détail qu’aucune source française destinée au grand public. Le site propose aussi une version française pour une partie de ses modules.
https://ssd.eff.org/

Liens vérifiés le 26 septembre 2026. Le raisonnement de ce cours sur HTTPS et les réseaux publics est plus nuancé que celui des sources françaises ; les gestes recommandés, eux, sont les mêmes.

F. Le Framework Cyber Welfare : Compétences, Conscience du risque, Comportements sûrs

Cette leçon relève du pilier Comportements sûrs, au niveau FL2 — Initié, et elle demande de désapprendre un conseil qui a longtemps été juste.

Compétences

• Vérifier le chiffrement et le mot de passe de votre propre réseau.
• Gérer la liste des réseaux mémorisés sur un téléphone.
• Reconnaître un portail captif, et savoir ce qu’on n’y tape pas.

Pour les professionnels et les organisations

• Donner des consignes qui correspondent au fonctionnement actuel du web, plutôt que de répéter des conseils vieux de dix ans. Pour les appareils professionnels, l’ANSSI demande de se connecter uniquement à des réseaux Wi-Fi maîtrisés, et sinon d’« utiliser un VPN maîtrisé par l’entité ».

Conscience du risque

• Comprendre que HTTPS a changé ce qu’un réseau public peut voir.
• Reconnaître le faux réseau jumeau comme le risque qui reste, et savoir que s’y connecter est un choix.
• Savoir qu’un VPN déplace la visibilité au lieu de la supprimer.

Pour les futurs formateurs et ambassadeurs

• Corriger l’ancien conseil ouvertement, et présenter la position française telle qu’elle est. Les gens font davantage confiance à des consignes qui reconnaissent ce qui a changé.

Comportements sûrs

• Vérifier le nom du réseau au lieu de le supposer.
• Ne pas taper d’identifiants sur les pages qui apparaissent après la connexion à un réseau.
• Utiliser les données mobiles pour ce que vous préférez garder à l’écart d’un réseau inconnu.

Pour les organisations

• Fournir des forfaits de données mobiles suffisants, plutôt que d’attendre de chacun qu’il évalue chaque réseau (R10, R11).

G. Questions à emporter

1. À combien de réseaux votre téléphone se reconnecte-t-il tout seul ?
2. Savez-vous quel chiffrement utilise votre box ?
3. Sur le dernier réseau public que vous avez utilisé, avez-vous vérifié le nom auprès de quelqu’un ?
4. Avez-vous un VPN ? Si oui, que pensiez-vous qu’il protège, et le protège-t-il vraiment ?

H. Ce que vous pouvez faire maintenant

Les recommandations (R) et les mesures de sécurité (MS) de la base Cyber Welfare sur les connexions.

Les connexions

• R9 — Se connecter uniquement en HTTPS, et regarder l’adresse avant de taper quoi que ce soit.
• R10 — Données sensibles sur les Wi-Fi publics : évitez-les, comme le demandent aussi Cybermalveillance.gouv.fr et le ministère de l’Économie.
• R11 — VPN pour le trafic confidentiel, hors d’un réseau de confiance : c’est le recours que propose Cybermalveillance.gouv.fr sur les réseaux publics.

Engagement minimum : lisez R11 à côté de la description honnête ci-dessus. Un VPN déplace la visibilité au lieu de la supprimer ; les données mobiles font le même travail sans intermédiaire.

Le réseau que vous maîtrisez

• R14 — Mot de passe du partage de connexion : protégez votre point d’accès mobile par un mot de passe propre, et faites de même pour le Wi-Fi de la maison.
• R15 — Chiffrement du partage de connexion : activé.
• MS10 — Envisager un VPN au niveau de la box, dans une installation domestique plus avancée.
• MS5 — Utiliser un navigateur qui privilégie les connexions sécurisées par défaut.
• R6 — Garder à jour le micrologiciel de la box, le logiciel interne qui la fait fonctionner : c’est l’un des réglages les plus oubliés.

En résumé

• HTTPS a changé la donne : un réseau public voit où vous allez, pas ce que vous y faites.
• Le faux réseau jumeau est le risque qui reste, et s’y connecter est un choix que vous pouvez vérifier.
• Un VPN déplace la visibilité du réseau local vers celui qui le fournit ; la CNIL le dit, et Cybermalveillance.gouv.fr propose d’abord les données mobiles.
• Faites le tri dans les réseaux mémorisés par votre téléphone : c’est une liste de noms que quelqu’un pourrait réutiliser.
• Les sources françaises sont plus prudentes que ce cours sur le Wi-Fi public ; en pratique, les gestes sont les mêmes.

Autres ressources de ce cours

Le réseau que vous maîtrisez, et ce qui y circule :

• Sécuriser sa box internet : c’est par là que tout commence
• Un VPN sur le routeur de la maison : ce qu’il fait, et ce qu’il ne fait pas
• Un navigateur respectueux de la vie privée : l’outil de toute la journée

Découvrez d’autres fiches complémentaires des cours du programme Protégez votre Vie Privée Numérique.