Le Wi-Fi public est-il sûr ?

« Le Wi-Fi public est-il sûr ? » est en réalité deux questions déguisées en une seule. Séparez-les et la panique retombe, car les deux moitiés ont des réponses très différentes.

• Votre trafic : en grande partie réglé. Environ 95 % du trafic web est chiffré de bout en bout. Le café ne peut pas lire votre boîte mail, votre session bancaire ou vos messages.
• Les données des applications : en grande partie réglé. Les applications bancaires, de messagerie et de mail vérifient ou épinglent leurs connexions. La démonstration de 2012 qui volait des identifiants sur un Wi-Fi ouvert ne fonctionne plus sur un téléphone actuel.
• Les alertes de certificat fonctionnent toujours. Un réseau qui tente de s’interposer dans une session HTTPS moderne déclenche une alerte plutôt qu’une interception silencieuse.

• Votre identité : pire que jamais. Il faut désormais vous connecter avant d’aller en ligne, et cette page veut un nom de famille, un numéro de chambre, un e-mail ou un numéro de téléphone.
• Votre exposition locale : inchangée. Vous rejoignez un réseau que vous ne pouvez pas vérifier, partagé avec tous les autres occupants du bâtiment.
• Votre présence : enregistrée. Se connecter laisse une trace horodatée qu’un appareil précis — et souvent une personne précise — se trouvait dans ce bâtiment.

Si vous ne devez retenir qu’une chose : le danger est passé du contenu aux métadonnées. Le chiffrement a réglé le premier point. Rien dans un point d’accès gratuit ne règle le second.

L’histoire d’horreur du Wi-Fi public que tout le monde répète vient d’une époque précise. Vers 2010, la majeure partie du web n’était pas chiffrée, les cookies de session circulaient en clair, et un ordinateur portable dans le même café pouvait les intercepter dans l’air avec une extension de navigateur. Cette époque est révolue.

Trois changements ont refermé cette faille, et tous sont activés par défaut :

• Le chiffrement partout. Les navigateurs traitent désormais le simple HTTP comme une exception à signaler, pas comme une façon normale de charger une page.
• Des règles de transport strictes. Les grands sites indiquent à l’avance à votre navigateur de ne jamais accepter une version non chiffrée d’eux-mêmes — la technique classique de rétrogradation échoue avant même de commencer.
• Des résolutions de noms chiffrées. Les navigateurs et téléphones modernes résolvent de plus en plus les noms de domaine dans un canal chiffré, ce qui écarte le routeur de l’établissement.

Quatre choses n’ont pas été réglées, parce qu’aucune d’elles ne concerne le chiffrement.

Rien de tout cela n’est exotique. Ce sont les conséquences ordinaires du fait de rejoindre un réseau non authentifié, géré par quelqu’un que vous n’avez jamais rencontré — c’est ce que « Wi-Fi gratuit » veut dire. Ce que cela vous coûte, ce n’est surtout pas de l’argent ; c’est ce qui est traité dans la section suivante.

Le Wi-Fi gratuit n’est pas gratuit. Le prix est un identifiant, collecté à l’entrée, et c’est généralement un identifiant que vous ne pouvez pas changer : votre nom de famille, votre chambre, votre vrai numéro de téléphone.

Cette dernière ligne mérite qu’on s’y attarde. Dans un pays où l’enregistrement de la carte SIM est obligatoire, « vérifier par SMS » n’est pas une étape de confort — c’est un contrôle d’identité qui vient s’ajouter à un autre contrôle d’identité. Le guide sur l’enregistrement des cartes SIM liste les pays concernés, et ce à quoi le scan de votre passeport est réellement rattaché.

Dans plusieurs pays, le contrôle d’identité n’est pas un choix marketing de l’établissement — il est inscrit dans les règles mêmes qui encadrent l’offre d’un accès internet public. En tant que visiteur, vous le rencontrez toujours de la même façon : le portail veut un numéro de mobile local, et vous n’en avez pas.

• Chine — les points d’accès publics vérifient généralement par un code SMS envoyé à un numéro chinois, que la plupart des visiteurs ne peuvent pas recevoir.
• Russie — le Wi-Fi public exige l’identification de l’utilisateur depuis 2014, généralement par numéro de téléphone.
• Inde — les portails d’aéroports et de cafés envoient couramment un code à usage unique à un numéro indien.
• Émirats arabes unis — l’accès en hôtel est lié à la chambre et à la fiche du client ; certains réseaux publics demandent un numéro local.
• Turquie, Indonésie et une grande partie du Golfe — la vérification par SMS est le schéma par défaut pour les réseaux ouverts.

Le résultat pratique est un cercle vicieux : il faut internet pour obtenir un numéro local, et il faut un numéro local pour avoir internet. Un profil de voyage installé avant le départ le contourne, un mécanisme exploré dans le guide sur la censure et les applications bloquées. Les fiches pays Chine, Inde et Émirats arabes unis donnent les détails.

Le VPN est le conseil standard, et c’est un bon conseil dans la limite de sa portée. Cette limite mérite d’être précisée.

• Il cache votre trafic à l’établissement. Le réseau voit un tunnel chiffré vers une seule adresse au lieu d’une liste de destinations.
• Il écarte le routeur de l’établissement de vos résolutions de noms. Cela ferme les techniques de redirection qu’un portail malveillant pourrait sinon utiliser.
• Il neutralise le réseau imitateur. Si le tunnel s’établit, peu importe qui exploite réellement le point d’accès.

• Il ne fait pas oublier qui vous êtes. Le portail est passé en premier. Le nom de famille, le numéro de chambre, le numéro de téléphone — tout cela a été livré avant même que le tunnel existe.
• Il ne retire pas votre appareil du réseau local. Vous y êtes toujours connecté, toujours détectable, et vous partagez toujours ce que votre ordinateur est configuré pour partager.
• Il n’aide en rien tant qu’il est coupé. Les portails captifs refusent souvent de se charger quand un VPN tourne, si bien que la routine devient : se déconnecter, se connecter, oublier de rebasculer.
• Il n’empêche pas l’enregistrement de présence. Le réseau continue d’enregistrer qu’un appareil s’est connecté, quand, et pendant combien de temps.

Chaque problème évoqué plus haut part du même point : rejoindre le réseau de quelqu’un d’autre, selon ses conditions. La data mobile supprime cette étape. Aucun portail où se connecter, aucun segment partagé, aucun nom à donner — vous êtes simplement en ligne dès l’atterrissage.

1. 01
   Achetez avant de décoller

   Choisissez votre destination, payez une facture en crypto, et un QR code arrive en environ deux minutes. Aucun compte, aucun e-mail, aucune pièce d’identité.

2. 02
   Installez à la maison, en Wi-Fi

   Scannez le QR pendant que vous êtes encore sur un réseau de confiance. La validité démarre à la première connexion à l’étranger, pas à l’installation.

3. 03
   Atterrissez et activez-la

   Activez la ligne de voyage pour la data et laissez votre carte SIM habituelle en place pour les appels et les SMS. Le Wi-Fi de l’aéroport devient quelque chose que vous pouvez ignorer.

Le pas-à-pas complet se trouve dans comment acheter un eSIM en crypto et installer et activer votre eSIM. Votre propre numéro reste exactement où il est — WhatsApp, iMessage et les codes bancaires continuent de fonctionner sur la carte SIM habituelle.

Lecture honnête de ce tableau : un VPN sur le Wi-Fi d’hôtel règle la colonne trafic et laisse la colonne identité intacte. Votre propre connexion data règle la colonne identité — à condition que la connexion elle-même n’ait jamais été liée à vous, ce qui est tout l’intérêt d’un eSIM no-KYC. Les prix par pays sont sur la page des destinations.

Parfois il n’y a pas le choix : la conférence diffuse sur son propre réseau, le forfait data est épuisé, l’hôtel est un bloc de béton sans signal. Une courte liste qui aide vraiment :

• Donnez le minimum au portail. S’il veut un e-mail, donnez-en un qui n’existe que pour ça. Le numéro de chambre et le nom de famille sont incontournables — presque tout le reste est en pratique facultatif.
• Oubliez le réseau en partant. Cette seule action tue la reconnexion silencieuse des mois plus tard, dans un autre pays.
• Désactivez le partage avant de vous connecter. AirDrop réservé aux contacts, partage de fichiers et d’imprimantes désactivé, et réseau marqué « Public » sous Windows.
• Ne passez jamais outre une alerte de certificat. Sur un site moderne, ce n’est pas un bug à contourner ; c’est la seule alerte qui veut encore dire quelque chose.
• Gardez le VPN actif une fois le portail chargé. C’est dans l’intervalle entre la connexion et la reconnexion que toute la session fuit.
• Faites tout ce qui est sensible sur la data mobile. Banque, envoi de documents, connexions professionnelles — basculez sur votre propre connexion deux minutes, puis revenez.

Cela l’a été, et c’est cette idée reçue qui pousse les gens à faire la queue pour le Wi-Fi de l’aéroport. Ce n’est plus vrai. Le roaming avec un forfait habituel coûte encore $5–15 par jour dans beaucoup d’endroits, mais un profil de voyage prépayé revient à quelques dollars pour tout le séjour — et le Wi-Fi « gratuit » auquel vous le comparez coûte souvent $8–25 par jour dès que vous êtes en avion ou dans un hôtel d’affaires.

• Une semaine de cartes, de messagerie et d’e-mails tient largement dans 1 Go.
• Les appels vidéo et le streaming sont ce qui fait vraiment grimper la note, pas la navigation.
• Le Wi-Fi d’hôtel continue de faire le gros du travail pour les sauvegardes et les téléchargements — l’idée n’est pas d’arrêter de l’utiliser, mais d’arrêter d’en dépendre.

Le calcul détaillé se trouve dans eSIM contre roaming, et la question de la taille du forfait dans de combien de data avez-vous besoin à l’étranger.

Ce guide serait malhonnête s’il s’arrêtait à l’argument de vente. Remplacer le réseau du café par le vôtre déplace un problème précis et laisse les autres exactement où ils étaient.

• Le réseau mobile voit toujours un appareil rattaché à une antenne. Une localisation approximative vient avec le service cellulaire ; il n’existe pas de data mobile sans cela.
• Vos comptes vous identifient toujours. Vous connecter à votre e-mail habituel depuis une nouvelle connexion vous identifie auprès de ce fournisseur tout aussi précisément.
• Les applications continuent de faire leur rapport. Rien dans la connexion ne change ce que les logiciels de votre téléphone choisissent d’envoyer.
• Ce n’est pas du chiffrement. Une ligne privée ne remplace pas le TLS ou un VPN — c’est la couche qui se trouve en dessous.

Le modèle de menace complet, avec ce qu’un opérateur réseau peut et ne peut pas déduire, est détaillé dans le guide sur les limites de confidentialité et une eSIM est-elle traçable ?.