Wifi public gratuit : ce que le réseau voit, et ce qu’il ne voit pas

Ouvert, clé affichée au comptoir, OWE : trois situations très différentes

Sur un réseau ouvert (mode Open de la norme 802.11), les trames de données circulent en clair dans l'air. N'importe quel appareil à portée, carte Wi-Fi en mode moniteur, enregistre ce qui passe sans même avoir besoin de se connecter au réseau. C'est le mode de la majorité des hotspots de gare, d'hôtel et de chaîne de restauration.

Le réseau « protégé par un mot de passe affiché au comptoir » ne vaut guère mieux, et c'est le point que presque tout le monde rate. En WPA2-PSK, la clé de session qui chiffre votre trafic se dérive de la clé partagée et des valeurs aléatoires échangées pendant le four-way handshake. Quelqu'un qui connaît cette clé et qui a capturé votre handshake, ou qui vous envoie une trame de désauthentification pour vous forcer à le rejouer, déchiffre ce que vous envoyez. WPA3-SAE corrige cela : chaque session négocie un secret propre, et une capture faite aujourd'hui ne s'ouvre pas avec la clé obtenue demain.

OWE, défini par la RFC 8110 en mars 2017 et vendu par la Wi-Fi Alliance sous le nom Enhanced Open, applique un échange Diffie-Hellman sans mot de passe : le réseau reste ouvert à la connexion, mais chaque client obtient sa propre clé. Sur Android, la fiche du réseau affiche alors « Ouvert (chiffré) » ou la mention OWE. Le déploiement reste très inégal, et surtout OWE n'authentifie pas la borne : il ne protège en rien contre un faux point d'accès.

Mode	Chiffrement radio	Qui peut lire votre trafic Wi-Fi	Cas typique
Ouvert (Open)	Aucun	Toute personne à portée avec une carte en mode moniteur	Café, gare, hall d'hôtel
WPA2-PSK, clé publique	Oui, mais la clé est connue de tous	Qui a la clé et capte votre handshake	Mot de passe écrit sur l'ardoise
OWE / Enhanced Open	Oui, une clé par client	Personne à portée, mais la borne n'est pas authentifiée	Hotspots récents
WPA2/WPA3-Enterprise (802.1X)	Oui, identifiants individuels	Personne	eduroam, Passpoint des opérateurs

Portail captif : pourquoi la page d’authentification refuse de s’ouvrir

Le portail captif n'est pas une couche Wi-Fi, c'est un filtrage en amont. Tant que vous n'avez pas validé, la borne laisse passer le DHCP et le DNS, redirige le HTTP vers sa page et bloque le reste. Votre système détecte cette capture en interrogeant une URL témoin dès l'association.

Le symptôme le plus courant reste la page qui ne s'ouvre jamais. Trois causes, par ordre de fréquence : votre navigateur a mémorisé le premier site tenté en HSTS et refuse la redirection en clair ; le DNS sécurisé (DoH) contourne le résolveur du hotspot, donc la redirection DNS du portail n'a pas lieu ; ou le portail attend une requête HTTP alors que votre page d'accueil part directement en HTTPS. Le remède tient en une manipulation : forcer une requête HTTP simple vers une URL sans HSTS, par exemple http://captive.apple.com/hotspot-detect.html, et couper temporairement le DNS sécurisé du navigateur.

En ligne de commande, le test tient en une ligne : curl -sI -o /dev/null -w '%{http_code}\n' http://connectivitycheck.gstatic.com/generate_204. Un 204 signifie que vous sortez librement. Un 200 ou un 302 signifie que quelqu'un intercepte, et l'en-tête Location vous donne l'adresse du portail.

Les RFC 8908 et 8910, publiées en septembre 2020, normalisent la sortie de ce bricolage : le serveur DHCP annonce l'URL de l'API du portail dans l'option 114, et le client interroge une API JSON qui lui indique s'il est capturé et combien de temps il lui reste. iOS, macOS et Android savent l'exploiter, encore faut-il que l'équipement du lieu le publie.

Panne voisine mais cause différente : votre appareil s'attribue une adresse en 169.254.x.x. Là, le portail n'y est pour rien. Le serveur DHCP de la borne n'a pas répondu, en général parce que le pool d'adresses est saturé aux heures de pointe. Oubliez le réseau, reconnectez-vous, ou attendez qu'un bail expire.

Système	URL de test	Réponse attendue sans portail
Android	http://connectivitycheck.gstatic.com/generate_204	HTTP 204, corps vide
Windows (NCSI)	http://www.msftconnecttest.com/connecttest.txt	HTTP 200, corps « Microsoft Connect Test »
macOS et iOS	http://captive.apple.com/hotspot-detect.html	HTTP 200, page contenant « Success »

Vous partagez l’adresse IP publique de tout le hotspot

Le DHCP de la borne vous donne une adresse privée, en 192.168.x.x ou 10.x.x.x, et vous sortez derrière son NAT. Tous les clients partagent donc la même adresse IP publique. La vérification prend dix secondes : lancez curl -s ifconfig.me depuis deux appareils connectés au même réseau, la valeur renvoyée est identique.

Les conséquences sont très concrètes. Vous héritez de la réputation de cette adresse : si un client a scrapé un site depuis le hall une heure plus tôt, c'est vous qui récoltez le CAPTCHA, parfois un blocage sec. Votre banque ou votre webmail déclenche une vérification supplémentaire parce que la géolocalisation de l'IP ne colle pas à votre historique. Certaines plateformes refusent d'emblée les plages d'adresses connues comme appartenant à des hôtels ou des aéroports.

Côté exploitant, la visibilité est large sur tout ce qui n'est pas chiffré au-dessus de TLS : vos requêtes DNS si vous n'utilisez ni DoH ni DoT, le champ SNI du handshake TLS qui transporte le nom de domaine en clair (sauf si le site et le navigateur négocient Encrypted Client Hello), les IP de destination, les horaires et les volumes. En France, qui offre un accès à internet au public relève de l'article L. 34-1 du code des postes et des communications électroniques : les données permettant d'identifier la source d'une connexion, dont l'adresse IP attribuée, sont conservées un an, conformément à l'article R. 10-13 issu du décret n° 2021-1362 du 20 octobre 2021. Un hotspot ne vous rend pas anonyme, il vous rend simplement plus difficile à distinguer des autres clients du même lieu.

Faux SSID et connexion automatique : le vrai risque du terrain

Un SSID n'est qu'une chaîne de caractères diffusée dans les balises 802.11. Rien n'empêche de monter une borne qui annonce le nom du café d'en face ou celui du réseau de la gare. Votre téléphone, lui, mémorise les réseaux ouverts qu'il a déjà rejoints et s'y reconnecte tout seul dès qu'il croit reconnaître le nom. C'est l'attaque dite du jumeau maléfique, montable en quelques minutes avec un hostapd, une carte Wi-Fi et un partage 4G pour l'accès sortant.

Ce que gagne l'attaquant, c'est la position de passerelle. À partir de là : DNS menteur, tentative de dégradation en HTTP sur les sites sans HSTS, certificat maison présenté au navigateur (rejeté avec une alerte, mais acceptée par une part non négligeable des utilisateurs), et lecture de tout ce qui reste en clair. Il n'a pas besoin de casser TLS pour être efficace, le SNI et le DNS suffisent à reconstituer votre parcours.

Deux réglages coupent l'essentiel du problème. Désactivez la connexion automatique aux réseaux ouverts (iOS : Réglages, Wi-Fi, « Demander à se connecter » sur Demander ; Android : option de connexion automatique aux réseaux ouverts dans les préférences Wi-Fi). Puis purgez la liste des réseaux mémorisés. Un téléphone qui traîne quarante SSID ouverts en mémoire finira par se connecter à un faux.

La randomisation d'adresse MAC, active par défaut depuis iOS 14 et Android 10, limite le pistage d'un même appareil entre les hotspots d'une enseigne. Effet de bord fréquent : les portails qui identifient les sessions par adresse MAC vous redemandent de vous authentifier à chaque reconnexion. Si cela arrive, désactivez l'adresse privée pour ce réseau précis, pas globalement.

Ce qui protège vraiment, dans l’ordre

Le classement utile ne commence pas par la solution la plus vendue, et il finit par la plus simple.

Deux fausses bonnes idées, pour finir. La navigation privée n'affecte que l'historique local de votre navigateur, elle ne change rien à ce que voit le réseau. Et changer manuellement l'adresse IP attribuée par le hotspot ne masque rien : c'est l'adresse publique du NAT que voient les sites, et elle ne vous appartient pas.

• Le partage de connexion 4G ou 5G de votre téléphone règle le problème à la racine et se révèle souvent plus rapide qu'une borne d'aéroport saturée. Le Wi-Fi est un médium partagé en half-duplex avec accès CSMA/CA : à soixante clients sur une borne, le débit utile s'effondre bien avant que le lien WAN ne soit saturé.
• Un VPN reste le seul moyen de soustraire vos métadonnées à l'exploitant du hotspot. Montez le tunnel après avoir passé le portail captif, jamais avant, sinon l'authentification échoue. Si le tunnel refuse de s'établir, le hotspot filtre probablement l'UDP : basculez sur un profil TCP en 443, qui passe presque partout.
• Activez DoH ou DoT, dans le navigateur et si possible au niveau du système. Cela ferme la plus grosse fuite qui subsiste une fois le web passé en HTTPS : vos requêtes DNS.
• Une alerte de certificat sur un réseau public se refuse, sans exception ni « juste cette fois ». C'est précisément le signal qu'un intermédiaire s'est inséré.
• Passez en profil réseau public sur Windows et coupez le partage de fichiers sur macOS. Beaucoup de bornes activent l'isolation client, beaucoup d'autres non, et vous n'avez aucun moyen de le savoir depuis votre poste.
• Reportez les mises à jour système, les sauvegardes et les gros téléchargements. Sur un hotspot partagé, ils volent de la bande passante à tout le monde, vous compris.

Questions fréquentes

Le wifi public gratuit est-il encore dangereux maintenant que tout le web est en HTTPS ?

HTTPS a supprimé le risque historique, la lecture directe des mots de passe et du contenu des pages. Il n'a pas supprimé les autres. L'exploitant et un attaquant à portée voient toujours les noms de domaine via le champ SNI et via le DNS si vous n'utilisez pas DoH, les IP contactées, les horaires et les volumes. Restent aussi les applications qui parlent encore en clair, les alertes de certificat acceptées par réflexe et le faux point d'accès. Le risque a changé de nature : il porte sur les métadonnées et sur l'usurpation de réseau.

Un mot de passe donné au comptoir suffit-il à sécuriser le réseau ?

Non, si le réseau est en WPA2-PSK. La clé de session se dérive de cette clé partagée et du handshake d'association : qui connaît le mot de passe et capture votre handshake, éventuellement en vous forçant à le rejouer par une trame de désauthentification, déchiffre votre trafic. La donne change en WPA3-SAE, où chaque session dispose de son propre secret. Vérifiez ce que dit la fiche du réseau sur votre appareil : WPA2 ou WPA3, ce n'est pas un détail cosmétique.

Pourquoi la page de connexion du portail captif ne s’affiche-t-elle jamais ?

En général parce que votre navigateur part en HTTPS et que le portail ne sait intercepter que du HTTP, ou parce que HSTS interdit la redirection en clair sur le premier site tenté, ou parce que votre DNS sécurisé court-circuite le résolveur du hotspot. Ouvrez une URL en HTTP simple sans HSTS, par exemple http://captive.apple.com/hotspot-detect.html, et désactivez le temps de la connexion le DNS sécurisé du navigateur. Pour savoir si vous êtes capturé : curl -sI http://connectivitycheck.gstatic.com/generate_204 doit renvoyer 204, sinon un portail vous attend.

Le wifi public change-t-il mon adresse IP ?

Oui, à deux niveaux. Votre adresse locale devient celle attribuée par le DHCP de la borne, en général en 192.168.x.x ou 10.x.x.x. Et l'adresse publique que voient les sites devient celle du hotspot, partagée avec tous les autres clients derrière le même NAT. Ce partage n'est pas de l'anonymat : l'exploitant conserve la correspondance entre l'IP publique, l'horodatage, le port source et votre identifiant de session ou votre adresse MAC.

Peut-on consulter ses comptes bancaires depuis un hotspot ?

Techniquement, une application bancaire utilise TLS avec épinglage de certificat et ne se laisse pas intercepter par un portail intermédiaire. Le frein est plutôt pratique : l'adresse IP partagée du hotspot déclenche souvent une vérification supplémentaire, voire un blocage temporaire du compte. Si l'opération est urgente, le partage de connexion mobile évite ces deux problèmes d'un coup.

Comment repérer un faux point d’accès avant de s’y connecter ?

Il n'existe pas de méthode fiable à cent pour cent depuis un poste client, et c'est justement la limite de ce type d'attaque. Quelques indices : un SSID ouvert qui double un SSID protégé au même endroit, un signal anormalement fort pour la distance à la borne officielle, un portail captif dont le nom de domaine ne correspond pas à l'établissement. Sur Linux, nmcli -f SSID,SECURITY,SIGNAL dev wifi list affiche les doublons de SSID et le mode de sécurité, la colonne SECURITY restant vide pour un réseau ouvert. Le plus efficace reste de demander le nom exact du réseau sur place et de couper la connexion automatique.

Testez vos connaissances

À lire aussi

attaque man in the middle · adresse mac · chiffrement · confidentialite en ligne