En 2026, 68 % des Français se connectent régulièrement à des Wi-Fi publics (hôtels, cafés, aéroports, SNCF). Tous ne sont pas dangereux , mais certains exposent réellement vos données. Voici les risques concrets, les protections qui fonctionnent vraiment, et celles qui sont surestimées.
Les risques réels des Wi-Fi publics en 2026
Le risque le plus médiatisé , l'attaque Man-in-the-Middle (MITM) , consiste à intercepter les communications entre votre appareil et le réseau. Sa fréquence réelle est plus faible qu'on ne le dit : le chiffrement HTTPS (TLS 1.3, généralisé depuis 2023) protège la plupart des échanges même sur un réseau non sécurisé. Les données interceptées apparaissent chiffrées et illisibles.
En revanche, ces menaces sont réelles :
- Evil Twin (point d'accès fantôme) : un attaquant crée un réseau Wi-Fi du même nom que celui du café ou de l'hôtel. Votre téléphone s'y connecte automatiquement. L'attaquant peut alors observer vos requêtes DNS (les sites que vous visitez) et rediriger vers de faux sites pour voler vos identifiants.
- Portails captifs malveillants : certains portails Wi-Fi publics installent des certificats racine falsifiés sur votre appareil, permettant de déchiffrer le trafic HTTPS a posteriori.
- Sniffing de trafic non chiffré : les apps qui utilisent encore HTTP (rare mais existant), les DNS non chiffrés, et les protocoles VoIP anciens restent vulnérables.
VPN sur Wi-Fi public : lesquels fonctionnent vraiment
Un VPN chiffre l'intégralité de votre trafic entre votre appareil et le serveur VPN, neutralisant les attaques Evil Twin et le sniffing DNS. Tous les VPN ne se valent pas , voici les critères qui comptent :
| VPN | Prix/mois | Kill switch | Audit indépendant |
|---|---|---|---|
| Mullvad | 5 € (fixe) | Oui | Cure53 (2023) |
| ProtonVPN | 4 – 10 € | Oui | SEC Consult (2022) |
| NordVPN | 3 – 6 € | Oui | Deloitte (2023) |
| ExpressVPN | 6 – 9 € | Oui | Cure53 (2022) |
Évitez les VPN gratuits qui monétisent votre trafic (Hola VPN, SuperVPN). Le modèle économique d'un VPN gratuit repose souvent sur la revente de données , l'inverse de ce que vous cherchez. Pour aller plus loin sur la protection de vos données mobiles, notre guide sur la protection de la vie privée sur smartphone en 2026 couvre aussi les permissions d'applications et le chiffrement de l'appareil.
Réglages iOS et Android à activer avant de rejoindre un Wi-Fi public
Sur iPhone (iOS 17 / 18)
- Adresse Wi-Fi privée : Réglages → Wi-Fi → réseau → Adresse Wi-Fi privée → activé. Empêche le profilage de votre appareil via l'adresse MAC.
- Désactiver la connexion automatique : idem, désactivez « Rejoindre automatiquement » sur les réseaux inconnus.
- DNS over HTTPS : paramétrable via un profil de configuration (gratuit chez Cloudflare, 1dot1dot1dot1.cloudflare.com) ou inclus dans ProtonVPN et Mullvad.
Sur Android (13 / 14 / 15)
- MAC aléatoire par réseau : Paramètres → Réseau → Wi-Fi → réseau concerné → Confidentialité → Adresse MAC aléatoire. Actif par défaut depuis Android 10 sur les appareils certifiés.
- Désactiver la connexion automatique aux réseaux ouverts : Paramètres → Réseau → Wi-Fi → Préférences Wi-Fi → Activer automatiquement → jamais.
- Private DNS : Paramètres → Réseau → DNS Privé → entrez dns.google ou 1dot1dot1dot1.cloudflare.com pour chiffrer vos requêtes DNS même sans VPN.
7 règles pratiques pour le Wi-Fi public
- Vérifiez le nom exact du réseau auprès du personnel : demandez le SSID exact du Wi-Fi de l'hôtel ou café avant de vous connecter. L'Evil Twin copie souvent le nom à l'identique.
- Activez votre VPN avant de rejoindre le réseau : pas après, avant. Certaines apps se synchronisent dès la connexion.
- Évitez les opérations sensibles : banque, paiement, accès entreprise. Utilisez la 4G/5G pour ces usages.
- Vérifiez le cadenas HTTPS dans votre navigateur : sur Chrome/Safari, le cadenas indique que la connexion est chiffrée entre vous et le site.
- Ne téléchargez pas de mises à jour système sur un Wi-Fi public : risque de substitution de fichiers sur des réseaux compromis.
- Déconnectez-vous après usage : sur iOS, « Oublier ce réseau » pour éviter la reconnexion automatique future.
- Activez l'authentification à deux facteurs (2FA) sur vos comptes importants : même si un mot de passe est intercepté, le 2FA bloque l'accès.
4G/5G vs Wi-Fi public : lequel est le plus sûr ?
La 4G/5G est chiffrée de bout en bout au niveau protocole réseau , l'écoute passive y est techniquement beaucoup plus difficile qu'en Wi-Fi. Pour les opérations sensibles (banque, professionnel), préférez systématiquement votre connexion mobile. Pour du streaming ou de la navigation basique sur des sites HTTPS, le Wi-Fi public avec les réglages ci-dessus est acceptable.
Si vous êtes en déplacement fréquent et utilisez régulièrement des Wi-Fi publics, notre article sur la vérification du SIM lock de votre téléphone vous aidera à utiliser une SIM locale en voyage pour rester sur votre réseau mobile même à l'étranger.