En bref
- La plupart des sites web et des applications chiffrent désormais le trafic entre toi et eux par défaut — un inconnu dans un café ne peut donc plus lire ton mot de passe bancaire comme il y a dix ans.
- Les vrais risques sur le Wi-Fi public aujourd'hui sont les faux réseaux créés pour te piéger, et les pages de phishing affichées une fois connecté.
- Un VPN aide pour certaines choses — surtout pour préserver ta vie privée vis-à-vis du fournisseur réseau — mais ce n'est pas un bouclier magique. Les données mobiles de ton téléphone sont souvent plus sûres et plus simples que n'importe quel VPN sur le Wi-Fi d'un hôtel.
- Avant de partir : mettre tout à jour, activer la 2FA sur les comptes dont tu auras besoin, configurer un verrouillage d'écran que tu utilises vraiment, et décider ce qui reste à la maison.
- À la frontière, en transit et dans les hôtels, les menaces sont surtout physiques (vol) et sociales (shoulder surfing, arnaques), pas du piratage sophistiqué.
C'est quoi ?
Le Wi-Fi public, c'est tout réseau sans fil que tu ne contrôles pas : café, hôtel, aéroport, salon de compagnie aérienne, conférence, centre commercial, transports en commun. Idem pour le « Free Wi-Fi » qu'on trouve dans les stations-service, les gares et la plupart des places publiques des grandes villes.
Pendant des années, le conseil standard était : n'utilise jamais le Wi-Fi public pour quoi que ce soit d'important. La raison : l'opérateur du réseau — ou n'importe qui d'autre sur le même réseau — pouvait voir ton trafic. Ce risque n'a pas disparu, mais il a beaucoup diminué.
La raison : presque tous les sites et applications sérieux utilisent maintenant HTTPS. Le petit cadenas dans la barre d'adresse du navigateur signifie que la conversation entre ton appareil et le site est chiffrée. Même sur un réseau hostile, un inconnu peut voir que tu es allé sur ta banque, mais pas ce que tu y as tapé. La plupart des applications mobiles fonctionnent de la même façon.
Alors, qu'est-ce qu'il reste à craindre ?
Ce qui se passe vraiment sur le Wi-Fi public
Principalement trois choses.
1. Les faux réseaux (evil twins). N'importe qui avec du matériel pour une trentaine d'euros peut diffuser un réseau appelé « Hotel Lobby Wi-Fi » ou « Free Café Wi-Fi » — assez proche du vrai pour que tu te connectes par erreur. Une fois connecté, l'attaquant peut afficher de fausses pages de connexion, intercepter ce qui n'est pas chiffré, et tenter de faire installer des mises à jour malveillantes à ton appareil. La défense la plus simple : confirme le nom exact du réseau avec le personnel avant de te connecter, et préfère les réseaux qui demandent un mot de passe affiché dans l'établissement.
2. Les pages de phishing dans les portails captifs. Un « portail captif », c'est la page qui s'affiche pour te demander de « te connecter » avant d'accéder à Internet. Certains sont légitimes (accepte simplement les conditions et continue). Certains demandent ton adresse e-mail — revendue à des courtiers en données. Certains demandent des informations de carte de crédit — généralement une arnaque. Certains prétendent être un « contrôle de sécurité Microsoft » ou une « mise à jour système » — définitivement une arnaque. Ne saisis jamais un vrai mot de passe dans un portail captif. Ne télécharge jamais une « mise à jour » qu'il te propose.
3. Les appareils qui se signalent. Ton téléphone, ton ordinateur et ta montre s'annoncent aux réseaux qu'ils connaissent (« T'es le Wi-Fi de la maison ? »). Un attaquant à proximité peut usurper le nom de ton réseau domestique et ton appareil s'y connectera volontiers. La solution est simple mais importante : oublie les réseaux dont tu n'as plus besoin, et n'active pas la connexion automatique pour aucun réseau caché ou ouvert.
Note ce qui ne figure pas dans cette liste : quelqu'un à la table d'à côté qui lit ton mot de passe pendant que tu le tapes. C'est une vieille peur. Aujourd'hui, beaucoup plus de compromissions viennent d'un e-mail de phishing que tu aurais reçu n'importe où que du réseau auquel tu es connecté.
Et les VPN ?
Un VPN (Réseau Privé Virtuel) envoie ton trafic via un tunnel chiffré vers un serveur ailleurs, puis sur l'internet normal depuis là. Il est utile pour :
- Masquer le fait que tu utilises des services spécifiques au réseau local ou à ton fournisseur d'accès — utile dans les pays qui bloquent certains sites, ou sur un réseau d'hôtel que tu ne veux pas voir enregistrer ta navigation.
- Faire croire que tu es dans un autre pays pour le streaming ou pour accéder à des services géo-bloqués.
- Ajouter une couche sur des réseaux vraiment peu fiables — mais la plupart de cette protection est déjà assurée par HTTPS, activé par défaut.
Un VPN n'est pas un bouclier magique. Il ne te protège pas contre les pages de phishing, les logiciels malveillants, les mots de passe faibles, les arnaques de portail captif, ni contre quiconque a déjà accès à tes comptes. Le fournisseur VPN voit le même trafic que le café aurait vu — tu as déplacé la confiance, tu ne l'as pas éliminée. Choisis un VPN avec une politique no-logs claire ayant fait l'objet d'un audit indépendant (Mullvad, Proton VPN, IVPN et quelques autres sont souvent recommandés ; beaucoup des marques les plus publicisées ont un historique moins propre). Les VPN gratuits sont généralement gratuits parce que toi tu es le produit.
Pour la plupart des gens sur la plupart des voyages, la réponse la plus simple et la plus sûre est : utilise les données mobiles de ton téléphone pour les choses sensibles, et réserve le Wi-Fi public aux choses qui n'ont pas grande importance.
Comment repérer un problème
- Le portail captif demande des données personnelles complètes (nom, adresse, carte de crédit) — presque certainement pas légitime.
- Le réseau te demande d'installer une application ou d'accepter un certificat. Un réseau légitime ne te demandera jamais d'installer quoi que ce soit. Refuse et pars.
- Ton navigateur avertit d'un certificat de sécurité invalide. Ne clique pas pour continuer. Change de réseau.
- Des pop-ups dans le navigateur ressemblant à des avertissements système Windows/macOS. Les vrais avertissements système n'apparaissent pas dans les navigateurs.
- Le réseau est ouvert alors que l'établissement en a normalement un protégé par mot de passe. Confirme avec le personnel avant de rejoindre.
- Deux réseaux avec des noms similaires — « Hotel Marriot », « Marriott_GUEST », l'un avec une faute de frappe. Ne devine pas.
Avant de partir
Vingt minutes de préparation t'évitent une semaine de récupération.
- Mets à jour les systèmes d'exploitation de ton téléphone, ordinateur portable et tablette. Mets à jour les applications clés (banque, gestionnaire de mots de passe, e-mail).
- Active la 2FA sur chaque compte dont tu auras besoin pendant le voyage. Ajoute des codes de secours dans ton gestionnaire de mots de passe avant de partir — être bloqué à l'étranger est une mauvaise journée à part entière.
- Assure-toi que ton gestionnaire de mots de passe fonctionne hors ligne — ouvre-le une fois à la maison sans réseau et confirme qu'il affiche le coffre-fort.
- Configure un verrouillage d'écran solide sur ton téléphone — code PIN à six chiffres minimum, biométrie activée, verrouillage automatique en moins d'une minute.
- Active Localiser mon appareil / Localiser mon iPhone, y compris l'effacement à distance.
- Désactive la connexion automatique aux réseaux inconnus. Oublie les anciens réseaux auxquels tu ne fais plus confiance.
- Emporte une batterie externe chargée. Un téléphone à plat dans un pays étranger est un vrai problème de sécurité, pas juste un inconvénient.
- Décide ce qui reste à la maison. Un vieil ordinateur est plus sûr que ton principal. Un compte e-mail de voyage vide est plus sûr que ton adresse habituelle. Moins de données à la frontière, c'est moins de risques.
À la frontière
Les agents des douanes dans de nombreux pays ont le droit légal d'inspecter tes appareils. Les règles varient beaucoup — ce qui est acceptable dans un pays peut ne pas l'être dans un autre.
- Ne mens pas sur le contenu de tes appareils. C'est une infraction pénale à part entière.
- Utilise un code PIN solide, pas seulement une empreinte digitale ou ton visage. Dans beaucoup de pays, les autorités peuvent légalement contraindre à la biométrie mais pas aux codes mémorisés — mais c'est propre à chaque pays et en constante évolution ; consulte un avocat si c'est important pour toi.
- Voyage avec un appareil propre si tu traverses des frontières où le risque de perquisition est élevé. Propre signifie : données minimales, pas d'informations client sensibles, pas de sources journalistiques, etc.
- Éteins tes appareils avant de passer les douanes — sur de nombreuses plateformes, ils sont plus difficiles à déverrouiller depuis un démarrage à froid.
À l'hôtel
- N'utilise pas le PC du « business centre » pour quoi que ce soit qui nécessite un mot de passe. Les keyloggers y sont fréquents.
- N'imprime pas de cartes d'embarquement ou de PDF sensibles depuis l'imprimante de l'hôtel si elle a un disque dur. Si tu dois le faire, supprime le travail d'impression ensuite.
- Ne fais pas confiance aux bornes de chargement USB dans les lieux publics — le « juice jacking » est réel mais rare. Un câble USB ne transmettant que l'alimentation, ou ton propre chargeur mural, est la solution simple.
- Fais attention à ce qui t'entoure. Les chambres d'hôtel dans certains pays ont été utilisées pour des cambriolages organisés — la porte est plus importante que le Wi-Fi.
Ce qu'il ne FAUT PAS faire
- Ne te connecte jamais à ta banque depuis un PC de business center d'hôtel. Jamais.
- Ne te connecte pas à un réseau ouvert sans vérification par portail captif dans un établissement qui nécessite normalement un mot de passe.
- Ne publie pas ta localisation en temps réel (« je viens d'atterrir à Bali ! ») publiquement pendant que ta maison est vide.
- Ne partage pas de photos de ta carte d'embarquement — le code-barres contient des détails de réservation pouvant être utilisés pour modifier ou annuler ton vol.
- N'utilise pas le Wi-Fi public pour la première connexion sur un nouvel appareil — c'est l'un des moments où il vaut vraiment la peine d'utiliser les données mobiles à la place.
- Ne néglige pas « les trucs ennuyeux » — un verrouillage d'écran solide, des mises à jour OS à jour et la 2FA sur l'e-mail valent plus que n'importe quel équipement de voyage spécialisé.
Utiliser l'IA pour t'aider
Checklist de préparation rapide au voyage :
« Je voyage au [pays] pour [durée et raison]. J'emporte [liste des appareils]. J'aurai besoin d'accéder à [liste — e-mail, banque, travail, réseaux sociaux, etc.]. Donne-moi une checklist de préparation à la sécurité adaptée à ce voyage, en langage simple, couvrant avant le départ, à la frontière et pendant le séjour. Signale les points spécifiques au pays à vérifier avec des sources récentes. »
Vérification rapide du Wi-Fi :
« Je suis sur le point de me connecter à un réseau Wi-Fi public. Le nom de l'établissement est [nom], le nom du réseau affiché est [SSID], et le portail captif demande [décris ce qu'il demande]. Dois-je être prudent ? Y a-t-il des signes suspects ? »
Un rappel : l'IA ne connaît pas la situation politique ou légale actuelle à une frontière précise. Pour tout pays avec un conflit actif ou des pratiques inhabituelles de fouille des appareils, vérifie les conseils aux voyageurs du ministère des Affaires étrangères de ton pays avant de partir.
Qui appeler
- Ta banque, immédiatement, si tu penses que les détails de ta carte ont pu être captés dans un portail captif ou prélevés à un distributeur à l'étranger.
- Ton opérateur téléphonique, pour activer l'itinérance internationale avec un code PIN de compte afin de rendre le SIM swap plus difficile pendant ton absence.
- Le consulat ou l'ambassade de ton pays dans le pays de destination — note l'adresse et le numéro de téléphone avant de partir.
- Ton assurance voyage, qui propose souvent des lignes d'assistance 24h/24 et couvre de plus en plus les incidents cyber.
Quand escalader au-delà du chat
- Un appareil est perdu ou volé à l'étranger — efface-le à distance si tu peux ; signale-le à la police locale et à l'hôtel pour les documents d'assurance ; change les mots de passe des comptes affectés depuis un appareil sûr.
- Tu soupçonnes que ton ordinateur portable a été manipulé dans une chambre d'hôtel — démarre-le chez toi et lance un scan antivirus ; envisage une réinstallation propre si des données sensibles y sont ; pour les journalistes ou ceux qui gèrent des données particulièrement sensibles, traite l'appareil comme compromis et remplace-le.
- Un portail captif a pris les détails de ta carte et tu vois des transactions étranges — ligne fraude de ta banque, aujourd'hui ; gèle la carte ; conteste les prélèvements par écrit.
- Tu es suivi ou menacé physiquement — les conseils numériques de cette fiche ne s'appliquent plus. Les services d'urgence locaux et ton ambassade sont prioritaires.
Sources et lectures complémentaires
- Mozilla — statistiques de déploiement HTTPS sur le web
- NCSC UK et BSI für Bürger — conseils sur les réseaux publics et les voyages
- Mullvad / Proton — audits no-log VPN et documentation des modèles de menaces
- EFF — guides des pratiques de fouille aux frontières par pays