Comment protéger vos données sur un Wi-Fi public aujourd'hui

Les conseils de sécurité pour le Wi-Fi public sont souvent recopiés d'articles vieux de dix ans, où chaque café abritait un pirate avec un renifleur lisant les e-mails d'autrui. Depuis, le web est passé à un chiffrement presque total, et le vieux modèle de menaces est mort en silence. Le nouveau est moins spectaculaire mais bien réel. Voyons ce qui est vraiment dangereux aujourd'hui sur les réseaux d'autrui, ce qui ne l'est plus malgré les légendes et quelles habitudes ferment les risques restants.

Ce que HTTPS a fermé

Presque tout le web moderne est chiffré entre le navigateur et le site : le cadenas de la barre d'adresse signifie que le contenu, les mots de passe et les formulaires ne se lisent pas en chemin, ni par le propriétaire du Wi-Fi ni par les voisins de réseau. Le classique « on te vole ton mot de passe au café » ne fonctionne donc plus sur un vrai site chiffré. Les navigateurs avertissent aussi lors de la saisie sur les rares pages non chiffrées : sur un réseau étranger, lisez cet avertissement comme un ordre d'arrêt, quoi que dise l'écran.

Ce qui reste dangereux

• Faux points d'accès. N'importe qui peut lancer un réseau au nom d'un café ou d'un aéroport : les appareils se connectent seuls aux noms connus. Le propriétaire d'un tel point ne lit pas HTTPS, mais voit quels domaines vous visitez et peut glisser de faux portails et de fausses pages pour les requêtes non chiffrées.
• Portails de connexion. Une page « saisissez votre téléphone pour l'accès » collecte déjà des données à elle seule, et une fausse demande aussi des mots de passe « du Wi-Fi de votre opérateur ». Un portail qui réclame le mot de passe de votre messagerie ou d'un réseau social est une attaque, car les vrais portails n'ont pas besoin de ces mots de passe.
• Métadonnées. Même avec un contenu entièrement chiffré, le réseau voit les noms des domaines visités et les volumes : un profil d'intérêts se forme sans lire le trafic.
• Voisins du réseau local. Un réseau ouvert rend votre appareil visible des autres : les vieilles failles du système et le partage de fichiers activé sont à la portée de tous les clients du café.
• Connexion automatique. Un téléphone qui se souvient d'un réseau FreeWiFi se connectera à tout réseau de ce nom partout dans le monde, y compris un faux.

Une série d'habitudes

L'outil principal de la liste est le tunnel. Il emballe tout le trafic jusqu'à son serveur, et il ne reste au réseau d'autrui qu'un seul flux chiffré, sans domaines ni détails, comme nous l'avons vu dans l'article sur le fonctionnement d'un VPN. L'activer sur téléphone prend quelques minutes, les étapes figurent dans le guide pour smartphones. Un proxy convient à ce rôle avec une réserve : il change l'adresse mais ne chiffre pas le canal par lui-même, sa force est ailleurs.

Portable et téléphone : des profils de risque différents

Un téléphone sur un réseau étranger est mieux protégé qu'il n'y paraît : les systèmes isolent strictement les applis et les banques chiffrent leur trafic en plus de tout canal. Son point faible, ce sont les habitudes : connexion automatique aux noms connus et portails. Un portable est plus vulnérable comme appareil : dossiers partagés, vieux services, accès professionnels. D'où un comportement différent : au téléphone suffisent le tunnel et l'interdiction de la connexion automatique, le portable y ajoute le mode réseau public et la discipline des mises à jour. Un portable professionnel avec les accès de la société n'a pas sa place au café sans VPN d'entreprise : là, les règles de sécurité de l'employeur s'ajoutent à l'hygiène personnelle.

Une astuce à part pour les voyages fréquents : le partage de connexion de votre propre téléphone est presque toujours plus sûr qu'un réseau public. Le canal mobile et votre point d'accès personnel retirent de l'équation les faux points et les voisins, et une soirée de travail consomme peu de trafic.

Un contrôle en deux minutes

Connecté à un réseau étranger, prenez deux minutes. Ouvrez la page de détection d'adresse : quelle adresse voit internet, celle du réseau ou celle de votre tunnel. Regardez le test d'anonymat : les fuites WebRTC et DNS s'y voient aussitôt, et ce sont elles qui trahissent la vraie connexion sous le tunnel. Si vous utilisez un portable avec des dossiers partagés, vérifiez que le système a marqué le réseau comme public : un seul interrupteur ferme l'appareil aux voisins.

Ce qu'il ne faut pas craindre

Pour l'équilibre : tout réseau ouvert n'est pas un piège. Les applis bancaires protègent les paiements par leur propre chiffrement sur tout Wi-Fi, les sites HTTPS ne donnent pas les mots de passe aux voisins, et le « données volées par Wi-Fi » des actualités se révèle presque toujours être du phishing ou une fuite de serveur sans lien avec un café. Un modèle sensé : le réseau d'autrui est la rue, pas la maison. On y marche tranquille, le sac fermé : tunnel, mises à jour fraîches, méfiance envers les portails. Cela suffit pour tout voyage et tout café, et la paranoïa de plus coûte des nerfs sans ajouter de protection.