Le Wi-Fi public en 2026 : ce qui a changé, et ce qui menace encore
Ou : le pirate du café a changé de métier, il ne lit plus, il imite.
La réponse courte : le danger du Wi-Fi public a changé de nature. L’écoute passive, celle qui lisait les mots de passe au vol, est largement neutralisée par le chiffrement du web : selon le rapport de transparence de Google, 87 à 99 % des pages chargées dans Chrome la semaine du 13 septembre 2026 l’étaient en HTTPS, selon le système. L’autorité américaine de protection des consommateurs, la FTC, écrit depuis février 2023 que la généralisation du chiffrement rend la connexion à un Wi-Fi public généralement sûre. Ce qui reste tient en trois risques : les noms des sites visités, encore visibles sur le réseau ; les faux réseaux et les faux portails de connexion, qui volent des identifiants par hameçonnage plutôt qu’en déchiffrant quoi que ce soit ; et les réseaux dont le mot de passe, affiché à l’accueil, permet à n’importe quel client d’en créer une copie. C’est le point de départ de la sécurité sur les réseaux non maîtrisés.
Les autorités européennes restent plus prudentes que la FTC, et pour de bonnes raisons. Le Centre pour la Cybersécurité Belgique conseille dans ses recommandations de vacances de 2025 de préférer le réseau mobile et, si l’on doit vraiment utiliser un Wi-Fi public, de passer par un VPN fiable ; la CNIL et Cybermalveillance.gouv.fr disent la même chose. Les deux positions ne se contredisent pas : elles ne visent pas la même menace. La FTC parle de l’écoute, les autorités européennes des faux réseaux.
Wi-Fi public : les risques réels, et ceux qui ont disparu
| Risque | En 2026 | Ce qui protège |
|---|---|---|
| Lecture des mots de passe et du contenu des pages | Largement neutralisée | HTTPS, déjà en place |
| Liste des sites visités | Visible par le réseau, par le DNS et le nom du site | Un VPN |
| Faux réseau ou faux portail qui demande vos identifiants | Réel, un cas jugé en Australie en 2025 | Ne rien saisir d’inhabituel ; oublier les réseaux |
| Réseau dont le mot de passe est affiché à l’accueil | Clonable par n’importe quel client | Un VPN ; WPA3 SAE-PK côté exploitant |
| Failles du Wi-Fi lui-même | Corrigées par les mises à jour | Mettre à jour ses appareils |
Le chiffrement a une limite que l’on oublie. Avant chaque connexion HTTPS, la requête DNS part en général en clair, et le nom du site figure encore en clair dans le premier message de la connexion, sauf quand le site et le navigateur appliquent la norme qui le chiffre, publiée seulement en mars 2026. L’exploitant du réseau, ou quiconque l’imite, voit donc la liste des sites consultés, même s’il n’en lit pas le contenu.
Le mot de passe affiché ne protège pas autant qu’on le croit. Mathy Vanhoef, chercheur à la KU Leuven, l’a rappelé en 2024 dans un article cosigné sur la sécurité des hotspots : quand le mot de passe d’un réseau est partagé publiquement, quiconque le connaît peut en créer un clone pour intercepter le trafic. La variante WPA3 SAE-PK vise à corriger ce défaut en authentifiant le point d’accès, à condition que l’exploitant l’ait déployée, et le même article y relève encore des failles d’implémentation. Le même chercheur a publié plusieurs failles du Wi-Fi lui-même, KRACK en 2017 et FragAttacks en 2021, corrigées depuis par les mises à jour des systèmes, et une attaque dite de confusion de SSID en 2024, qu’il qualifie lui-même de « rien qui justifie la panique ».
La prudence reste répandue. En 2019, dernière année mesurée par Eurostat, des inquiétudes de sécurité avaient limité ou empêché l’usage du Wi-Fi public pour 16,8 % des Belges et 25 % des Français.
Le faux réseau qui porte le bon nom
Le risque le plus concret est aussi le plus simple : un point d’accès qui imite le nom du lieu. Son fonctionnement et un cas jugé sont décrits dans l’evil twin, ou faux hotspot.
La page de connexion de l’hôtel
Le portail captif d’un hôtel ou d’un aéroport empêche souvent le VPN de s’établir. La marche à suivre est expliquée dans le VPN face au portail captif.
Le réseau mobile, meilleur choix par défaut
Le partage de connexion du téléphone évite la plupart de ces risques. Ce que le VPN y ajoute encore est détaillé dans le VPN en 4G et 5G.