Le portail de l'hôtel contre le VPN : se connecter sans tout désactiver
Ou : pour entrer dans le tunnel, il faut d’abord montrer son numéro de chambre à la porte.
La réponse courte : un portail captif est la page qui s’affiche quand on rejoint le Wi-Fi d’un hôtel, d’un aéroport ou d’un train, et qui bloque l’accès à Internet tant qu’on n’a pas accepté des conditions ou saisi un numéro de chambre. Il pose un problème direct au VPN : pour afficher la page, l’appareil doit ouvrir une connexion non protégée avant que le tunnel soit établi, alors qu’un VPN bien réglé bloque tout ce qui ne passe pas par lui. Le NCSC britannique l’écrit dans son guide sur les VPN : un VPN imposé peut être incompatible avec les portails captifs, sauf si le système prévoit une solution pour s’y authentifier. Trois approches coexistent, du plus strict au plus pratique, et le choix dépend de ce que contient l’ordinateur. C’est le premier obstacle concret de la connexion en déplacement.
Les systèmes détectent le portail en envoyant une requête de test non chiffrée vers une adresse connue : iOS et macOS le font à la première connexion, Android depuis sa version 5.0, Windows avec son indicateur de connectivité. Si la réponse est redirigée, le système ouvre la page du portail. Des normes plus propres existent depuis 2020, qui annoncent le portail par le réseau lui-même, et Apple comme Android les prennent en charge. Apple a d’ailleurs prévu le cas dans son système : même quand une application VPN force tout le trafic dans le tunnel, l’échange avec le portail en reste exclu.
VPN et portail captif : pourquoi ça bloque, et comment passer
| Approche | Ce qu’elle propose | Pour qui |
|---|---|---|
| ANSSI, poste professionnel | Bloquer les portails captifs et passer par la 4G, la 5G ou le partage de connexion d’un téléphone professionnel | Postes d’entreprise, données sensibles |
| NCSC | Utiliser un assistant de connexion au portail, moins risqué que désactiver le VPN | Organisations avec VPN imposé |
| Fournisseurs grand public | Couper brièvement la connexion automatique et le kill switch, se connecter, puis tout réactiver | Particuliers et indépendants |
L’ANSSI est la plus stricte. Dans ses recommandations sur le nomadisme, elle recommande de bloquer tous les flux directs du poste nomade, ce qui interdit de fait les portails captifs, et de passer plutôt par le réseau mobile ou le partage de connexion d’un téléphone professionnel. Elle signale aussi des cas de portails compromis dans des hôtels. La norme qui décrit ces portails, la RFC 8952, reconnaît d’ailleurs qu’ils fonctionnent en falsifiant des réponses DNS ou HTTP, et que certains interceptent même les connexions chiffrées.
Pour un particulier, la procédure publiée par NordVPN résume la méthode commune : désactiver la connexion automatique avant de rejoindre le réseau, couper le kill switch le temps que la page se charge, ouvrir une adresse simple non chiffrée si le portail n’apparaît pas, s’identifier, puis reconnecter le VPN et réactiver le kill switch. Mullvad, dont le kill switch est toujours actif, et Proton ne publient pas de procédure équivalente à notre connaissance.
Deux précautions limitent le risque pendant ces quelques secondes à découvert. La première : ne saisir sur le portail que ce qu’il demande normalement, un numéro de chambre ou l’acceptation de conditions, jamais un mot de passe de messagerie ou de réseau social, qui est la signature des faux portails. La seconde : ne rien ouvrir d’autre tant que le VPN n’est pas rétabli, et vérifier qu’il l’est.
Un seul appareil au portail
Un routeur de voyage franchit le portail une fois pour tous vos appareils, puis les fait tous passer par le VPN. Les modèles et la méthode sont présentés dans le routeur de voyage avec VPN.
Le faux portail
Un faux réseau présente lui aussi une page de connexion, qui réclame vos identifiants. Le mécanisme est décrit dans l’evil twin, ou faux hotspot.
Une fois connecté à l’étranger
Le portail franchi, les outils de l’entreprise peuvent encore refuser une connexion venue d’un autre pays. Les solutions sont réunies dans le travail depuis l’étranger.