Wi-Fi public : quels risques réels et comment se protéger ?

Le Wi-Fi public est un réseau sans fil ouvert à tous dans un lieu (gare, café, hôtel, bibliothèque), sans mot de passe ou avec un mot de passe communiqué à chaque client. La SNCF, les bibliothèques municipales, les hôtels et les cafés en proposent, et l’usage est devenu banal. Pourtant l’ANSSI, l’agence française de sécurité numérique, place explicitement ce réseau dans la liste des environnements à éviter : « les réseaux Wi-Fi publics sont une aubaine pour les attaquants » (règle 7 des 10 règles d’or, cyber.gouv.fr). Entre le conseil officiel et la pratique quotidienne, il y a un écart, et cet article l’explique : ce qui est vraiment risqué, ce qui ne l’est presque plus, et quoi faire concrètement quand on n’a pas d’autre choix.

Le Wi-Fi public, c’est quoi exactement ?

Deux situations se cachent derrière cette expression. La première, c’est le réseau ouvert volontairement par un commerce ou un service public pour ses clients. La deuxième, c’est un réseau ouvert par quelqu’un d’autre : un appareil qui émet un nom de réseau attirant (« FreeWifi_Airport », « Airport_Free ») dans l’espoir qu’un passant s’y connecte. D’extérieur, les deux se ressemblent exactement. Un nom de réseau ne prouve rien, et c’est là que commence le problème.

Techniquement, quand vous vous connectez, tout ce que vous envoyez passe par l’équipement qui contrôle le réseau. S’il s’agit d’une borne légitime, vos données vont ensuite vers Internet. S’il s’agit d’un appareil malveillant, elles vont d’abord entre ses mains. Le routeur d’un café ne lit pas votre trafic par méchanceté ; un attaquant le lit par métier.

Quels sont les risques d’un Wi-Fi public en 2026 ?

Le risque historique, celui que tout le monde cite, est l’interception : un « homme du milieu » écoute le trafic et récupère mots de passe et messages. Sauf que ce scénario a beaucoup perdu de sa force. Selon le Google Transparency Report, 97 % du temps de navigation des utilisateurs de Chrome se déroule sur des pages chiffrées en HTTPS (donnée de la semaine du 18 octobre 2026). En mars 2015, ce taux était de 39 % sur Windows et 29 % sur Android. Concrètement, sur un Wi-Fi public, la quasi-totalité de votre navigation est chiffrée de bout en bout entre votre navigateur et le site, et un écouteur ne voit que des données illisibles.

Cette évolution ne supprime pas tout. Trois risques réels subsistent, dans l’ordre d’importance : les sites encore en HTTP (la mention « Non sécurisé » dans la barre d’adresse signale exactement ce cas, et l’ANSSI recommande de n’y jamais transmettre d’information sensible), le faux point d’accès, et les applications mal conçues qui chiffrent mal leurs échanges. Un navigateur à jour intercepte la plupart de ces cas et affiche un avertissement avant que vous ne saisissiez quoi que ce soit. La même logique de prudence s’applique aux arnaques au QR code, où le risque se cache dans le lien derrière le carré.

Le faux point d’accès, la menace qui a la vie dure

L’attaque dite « evil twin » reste la plus documentée. L’attaquant crée un réseau portant le même nom qu’un réseau légitime du lieu, parfois avec un signal plus fort. Votre téléphone peut même s’y connecter tout seul s’il a déjà vu ce nom par le passé et que la reconnexion automatique est active. C’est précisément pour cette raison que l’ANSSI conseille de désactiver le Wi-Fi quand vous ne l’utilisez pas : un appareil qui cherche en permanence un réseau connu se connecte sans vous demander votre avis.

La parade est simple et ne coûte rien : quand vous vous connectez quelque part, vérifiez le nom exact du réseau auprès du personnel du lieu, et préférez toujours le partage de connexion de votre propre mobile, protégé par un mot de passe robuste. C’est la recommandation explicite de l’ANSSI (« lorsque cela est possible, préférez le partage de connexion depuis votre mobile », règle 7 des 10 règles d’or). Quelques gigaoctets de forfait valent mieux qu’un réseau dont on ne sait rien.

Ce que le fournisseur du réseau voit et conserve

Même sur un réseau parfaitement légitime, quelqu’un collecte des données : celles du fournisseur d’accès. La CNIL l’encadre strictement (page du 17 juillet 2024). Les cafés, hôtels, trains et bibliothèques qui offrent une connexion ont l’obligation légale de conserver les données de trafic : adresse IP, dates et durées de connexion. Les données techniques se conservent un an. S’ils choisissent de relever votre identité (nom, email), ces informations se conservent cinq ans. Le contenu de vos messages et des sites consultés n’est pas concerné par cette conservation.

Le point à retenir : se connecter à un Wi-Fi public n’est pas anonyme, même sans fraude. C’est une raison de plus pour réserver ces réseaux à la navigation ordinaire, jamais à une démarche administrative ou bancaire.

5 réflexes pour se protéger, dans l’ordre

Les cinq réflexes suivants reprennent, dans leur ordre de priorité, les recommandations de l’ANSSI et la logique du HTTPS décrite plus haut.

1. Le partage de connexion d’abord. Votre mobile crée un réseau privé entre lui et votre ordinateur, protégé par mot de passe. Personne d’autre n’y a accès.
2. Si vous utilisez quand même un Wi-Fi public, aucune opération sensible. L’ANSSI cite le paiement par carte, la déclaration d’impôts et toute information confidentielle. Ces démarches attendent un réseau de confiance.
3. Un VPN si la connexion sensible est inévitable. Le VPN chiffre tout votre trafic avant même qu’il ne touche le réseau. L’ANSSI le recommande « si possible ». Pour bien choisir, lisez notre article sur les pièges des VPN gratuits, car un VPN douteux déplace le problème au lieu de le résoudre.
4. Désactivez la reconnexion automatique et le Wi-Fi après usage. C’est la défense la plus efficace contre l’evil twin, et elle est gratuite.
5. Attention au « Non sécurisé » dans la barre d’adresse. Si un site s’affiche en HTTP, ne saisissez rien : ni identifiant, ni coordonnée, même sans réseau hostile en face.

Un mot sur le principe de précaution de l’ensemble : aucune de ces mesures ne remplace la sauvegarde. Si votre appareil est compromis un jour, ce qui compte est de pouvoir tout récupérer. La méthode 3-2-1, détaillée dans notre article sur la sauvegarde des données, s’applique aussi bien au particulier qu’à l’entreprise.

Pour aller plus loin sur la sécurité au quotidien : notre guide sur les passkeys pour supprimer vos mots de passe complète utilement ces réflexes, et notre article sur la vérification de la fiabilité d’un site explique comment reconnaître une page piégée avant d’y saisir quoi que ce soit.

Mis à jour le 27 octobre 2026.