Wi‑Fi public : ce qui est vrai, ce qui est mythe

En bref

Le Wi‑Fi du café n’est pas automatiquement un film d’espionnage. Mais ce n’est pas non plus « comme chez toi ». En 2026, le vrai risque se situe surtout autour des réseaux trompeurs, des sites non chiffrés (rares mais encore présents), des portails captifs douteux, et du fait que d’autres personnes partagent le même accès. Beaucoup de mythes datent d’avant le HTTPS généralisé. D’autres restent pertinents — surtout si tu te connectes à n’importe quoi sans regarder.

Mythe 1 : « N’importe qui peut lire tous mes messages »

En partie faux aujourd’hui. La plupart des apps et sites majeurs utilisent HTTPS / TLS : le contenu de tes échanges avec la banque, Gmail, Instagram, etc. est chiffré entre ton téléphone et le serveur. Un voisin sur le même Wi‑Fi ne « lit » pas ton fil en clair comme dans les démos des années 2010.

Ce qui reste vrai : si un site reste en HTTP, ou si une appli est mal conçue, le trafic peut fuiter. Les métadonnées (à qui tu te connectes) sont aussi plus exposées que le contenu.

Mythe 2 : « Le Wi‑Fi public vole mon mot de passe dès que je m’y connecte »

Exagéré. Se connecter ne donne pas magiquement tes mots de passe. Les scénarios réels ressemblent plutôt à :

• un faux hotspot (« Airport_Free_WiFi ») qui imite le vrai
• une page de login piégée qui demande un e-mail / mot de passe
• du phishing classique une fois que tu es en ligne
• un appareil déjà compromis (malware) — le Wi‑Fi n’est alors qu’un détail

Le danger, c’est moins « le Wi‑Fi » que qui contrôle le point d’accès et ce que tu tapes ensuite.

Mythe 3 : « Tant que c’est protégé par un mot de passe affiché au comptoir, c’est sûr »

Faux. Un mot de passe partagé sur un tableau, c’est juste un filtre anti-voisin de palier. Ça n’authentifie pas les clients entre eux de façon forte. Sur beaucoup de réseaux publics, les utilisateurs restent potentiellement visibles les uns pour les autres (selon la config). Le mot de passe du barista ≠ sécurité personnelle.

Risques encore concrets en 2026

• Hotspots jumeaux / evil twin : même nom, mauvaise boîte
• Portails captifs : e-mails marketing, conditions floues, parfois pages douteuses
• Partage de fichiers encore ouvert sur un laptop mal réglé
• Mises à jour / sync sur un réseau que tu ne contrôles pas
• Attaques ciblées rares pour le grand public, plus crédibles pour profils sensibles (journalistes, exécutifs, voyage d’affaires)

Les guides CISA / ANSSI insistent sur la même idée : prudence, HTTPS, mises à jour, et ne pas traiter le Wi‑Fi public comme un réseau de confiance.

Check-list avant de te connecter

À cocher avant le premier chargement de page captive :

• Je connais le nom exact du réseau (demandé au personnel, pas le clone « Airport_Free_WiFi_2 »)
• Le partage de fichiers / AirDrop « Tout le monde » est coupé ; pare-feu actif
• Pour banque / admin / impôts : j’ai une alternative (4G/5G, partage de connexion) — sinon j’attends
• Le portail captif ne me demande pas mon mot de passe e-mail / banque (prénom + acceptation des CGU = OK ; login Google « pour le Wi‑Fi » = freiner)
• OS et apps à jour ; je ne lance pas une sync / màj système massive sur un hotspot inconnu
• Optionnel : VPN de confiance déjà installé et testé (/fr/tools/vpn) — à quoi ça sert vraiment

Ensuite seulement : navigue. Si quelque chose cloche (certificat bizarre, page qui redemande des identifiants hors portail), déconnecte.

Ce qu’il faut vraiment retenir

Le Wi‑Fi public en 2026, c’est surtout un réseau partagé peu fiable, pas une machine à lire ton WhatsApp. Le HTTPS a changé la donne. Les arnaques sociales et les faux réseaux, elles, n’ont pas disparu. Agis comme dans un lieu public : tu peux t’asseoir, tu ne laisses pas ton portefeuille ouvert sur la table.

Pour aller plus loin

• CISA — Using caution with public Wi-Fi : conseils officiels US, toujours utiles.
• EFF — Surveillance Self-Defense : guides pratiques réseaux et vie privée.
• ANSSI / cyber.gouv.fr : bonnes pratiques côté France.
• FTC — consumer security tips : hygiène réseau grand public.