Le Wi-Fi gratuit est partout : à l'hôtel, au camping, dans le TGV, au café, à l'aéroport, à la médiathèque. Et avec lui revient toujours la même question :
« est-ce que je risque quelque chose si je m'y connecte ? »
La réponse honnête tient en deux phrases. Non, consulter un site ou lire ses mails sur un Wi-Fi public n'est plus le danger qu'on décrivait il y a dix ans. Oui, il reste
deux ou trois pièges bien réels, et ils sont faciles à éviter quand on les connaît.
Voici ce qui a changé, ce qui reste risqué, et les 8 réflexes pour sécuriser votre connexion sur un Wi-Fi gratuit,
sans rien acheter.
Vous cherchiez plutôt à sécuriser votre propre Wi-Fi, celui de la maison, sans dépenser un centime ? Bonne nouvelle : tous les réglages utiles sont déjà dans votre box. Ils sont détaillés dans notre guide . Un résumé vous attend aussi .
L'essentiel en 30 secondes
- Vérifiez le nom exact du réseau auprès du personnel. « Hotel_Free_WiFi » et « Hotel-Free-WiFi » ne sont pas forcément le même réseau.
- Un Wi-Fi gratuit ne vous demande jamais votre mot de passe de messagerie, de Facebook ou de Google. Si la page d'accueil l'exige, déconnectez-vous : c'est un faux réseau.
- Pour la banque, un achat ou un changement de mot de passe : passez en 4G/5G. Coupez le Wi-Fi le temps de l'opération, ou utilisez le partage de connexion de votre téléphone.
- Vérifiez que l'adresse du site commence par
https:// et ne passez jamais outre une alerte de certificat affichée par le navigateur.
- En partant, faites « oublier » le réseau à votre appareil, pour qu'il ne s'y reconnecte pas tout seul la prochaine fois.
Sommaire
1. Wi-Fi gratuit : ce qui a changé, ce qui reste risqué
Ce qui a changé : presque tout est chiffré
Il y a une dizaine d'années, la plupart des sites circulaient « en clair » sur le réseau. Sur un Wi-Fi ouvert, n'importe quel voisin de table un peu outillé pouvait lire ce que vous envoyiez : identifiants, messages, formulaires.
Ce n'est plus le cas. Aujourd'hui,
l'écrasante majorité des sites utilise le HTTPS : ce que vous échangez avec votre banque, votre messagerie ou un site marchand est chiffré entre votre appareil et le site. Même sur un réseau sans mot de passe, celui qui écoute ne voit qu'une bouillie illisible. Il en va de même pour les applications sérieuses (banque, messageries comme WhatsApp ou Signal, mail).
Conséquence :
l'espion qui lit vos mots de passe « dans l'air » à la terrasse d'un café est devenu un scénario marginal.
Ce qui reste risqué
Trois choses, par ordre d'importance :
- Se connecter au mauvais réseau. Un réseau qui porte le nom de l'hôtel n'appartient pas forcément à l'hôtel. C'est de loin le risque numéro un, détaillé juste après.
- Donner des informations à la page d'accueil du Wi-Fi. Cette page (le « portail ») peut être légitime et se contenter d'un numéro de chambre ou d'une case à cocher. Elle peut aussi être une copie destinée à récolter votre adresse mail et son mot de passe.
- Être visible des autres appareils du réseau. Sur un Wi-Fi public, vous partagez le réseau avec des inconnus. Un ordinateur dont le partage de fichiers est ouvert, ou qui n'est pas à jour, s'expose inutilement.
Ce que voit malgré tout le gestionnaire du réseau, même quand tout est chiffré :
le nom des sites que vous visitez (pas leur contenu, pas vos mots de passe). Sachez enfin qu'en France, les lieux qui offrent un accès Wi-Fi au public doivent conserver pendant un an les données techniques de connexion, comme un fournisseur d'accès. Ce n'est pas un risque, mais c'est bon à savoir : un Wi-Fi gratuit n'est pas anonyme.
2. Le vrai piège : le faux réseau « jumeau »
Les spécialistes l'appellent « evil twin », le jumeau maléfique. Le principe est d'une simplicité désarmante : l'escroc allume un petit boîtier Wi-Fi, de la taille d'un paquet de cartes, et lui donne
le même nom que le réseau du lieu, ou un nom crédible : « Aeroport_WiFi_Gratuit », « SNCF_WIFI_FREE », « Hotel Guest ».
Votre téléphone affiche les deux réseaux côte à côte, ou pire,
se connecte tout seul au faux parce qu'il reconnaît un nom déjà enregistré. Une page d'accueil s'ouvre, soignée, aux couleurs du lieu. Elle vous demande de vous identifier « avec votre adresse mail ou votre compte Facebook pour accéder à Internet ». Vous tapez l'adresse, le mot de passe. La page affiche une erreur ou vous laisse naviguer normalement. Vos identifiants, eux, sont déjà partis.
Ce n'est pas un scénario de film
En avril 2024, le personnel d'une compagnie aérienne australienne a repéré un réseau Wi-Fi suspect
pendant un vol intérieur. La police fédérale a arrêté un passager de 42 ans à son arrivée à l'aéroport de Perth : dans ses bagages, un boîtier Wi-Fi portable, un ordinateur et un téléphone. Il diffusait de faux réseaux gratuits dans les aéroports de Perth, Melbourne et Adélaïde et à bord des avions. La fausse page demandait aux voyageurs de se connecter avec leur mail ou leurs réseaux sociaux, et enregistrait tout. Il s'en servait ensuite pour entrer dans les comptes de ses victimes. Il a été condamné en novembre 2025 à plus de sept ans de prison.
Le matériel nécessaire coûte moins de cent euros et tient dans une poche. Il n'y a aucune raison de penser que la technique s'arrête aux frontières de l'Australie.
La règle qui désamorce le piège
Un Wi-Fi gratuit peut vous demander : un numéro de chambre, un code imprimé sur le ticket de caisse, une adresse mail (sans mot de passe), d'accepter des conditions d'utilisation.
Un Wi-Fi gratuit ne vous demandera jamais : le mot de passe de votre messagerie, de votre compte Google, Apple, Microsoft ou Facebook, ni un numéro de carte bancaire pour un accès « gratuit ».
Si la page le demande, fermez-la, coupez le Wi-Fi, et signalez-le au personnel. C'est exactement le même mécanisme que les : seul le décor change.
3. Les 8 réflexes pour se connecter sans risque
Aucun de ces gestes ne coûte un centime, et la plupart se font une fois pour toutes.
1. Demander le nom exact du réseau
À l'accueil de l'hôtel, au comptoir du café, sur l'affichette officielle. Ne choisissez pas « celui qui a l'air bon » dans la liste. Si deux réseaux portent presque le même nom, posez la question.
2. Préférer un réseau avec mot de passe à un réseau totalement ouvert
Un Wi-Fi protégé par une clé, même affichée au mur, chiffre les échanges entre votre appareil et la borne. Ce n'est pas une garantie absolue (tous les clients ont la même clé), mais c'est mieux qu'un réseau ouvert, et un escroc prend rarement la peine de copier aussi la clé.
3. Ne rien donner de sensible à la page d'accueil
Voir la règle ci-dessus. Si le lieu exige une adresse mail, vous pouvez donner une adresse secondaire : elle servira surtout à vous envoyer de la publicité.
4. Passer en 4G/5G pour tout ce qui compte
Banque, achat en ligne, impôts, changement de mot de passe, démarches de santé :
coupez le Wi-Fi le temps de l'opération et utilisez la connexion mobile de votre téléphone. C'est aussi le conseil du dispositif national cybermalveillance.gouv.fr. Pour l'ordinateur portable, activez le
partage de connexion du téléphone : vous créez votre propre Wi-Fi, privé, protégé par votre mot de passe. Avec les forfaits actuels, quelques minutes de banque en ligne ne consomment presque rien.
5. Regarder l'adresse du site, et ne jamais forcer une alerte
L'adresse doit commencer par
https://. Surtout : si le navigateur affiche
« Votre connexion n'est pas privée » ou un avertissement de certificat, ne cliquez pas sur « Continuer quand même ». Sur un Wi-Fi public, cette alerte est précisément le signe que quelqu'un s'interpose entre vous et le site. Fermez l'onglet et passez en 4G.
6. Déclarer le réseau comme « public » sur l'ordinateur
Sous Windows, à la première connexion, choisissez le profil
Réseau public : l'ordinateur devient invisible des autres appareils et coupe le partage de fichiers et d'imprimantes. C'est le réglage le plus souvent oublié sur les portables.
7. Tenir ses appareils à jour
Les failles qui permettraient à un inconnu du même réseau d'atteindre votre appareil sont corrigées par les mises à jour. Un téléphone ou un PC à jour n'a pas grand-chose à craindre de ses voisins de réseau. Nous expliquons .
8. En partant, « oublier » le réseau
Votre appareil garde en mémoire tous les réseaux auxquels il s'est connecté, et s'y reconnecte dès qu'il revoit leur nom. Or un nom, cela se copie. En faisant « oublier » le réseau de l'hôtel en quittant l'hôtel, vous retirez à un escroc le moyen d'attirer votre téléphone sans que vous ne touchiez à rien. La manipulation est .
Le filet de sécurité : la double authentification. Même si vos identifiants étaient un jour capturés par une fausse page, la validation en deux étapes empêche l'escroc d'entrer dans le compte : il lui manque le code reçu sur votre téléphone. Activez-la au minimum sur votre messagerie, qui est la clé de tous vos autres comptes. Tout est expliqué dans . Un ajoute une protection discrète : il refuse de remplir vos identifiants sur une page qui n'est pas le vrai site.
4. Ce qu'on peut faire, ce qu'il vaut mieux éviter
| Sur un Wi-Fi gratuit |
Verdict |
| Lire l'actualité, la météo, consulter un itinéraire | ✅ Sans souci |
| Regarder une vidéo, écouter de la musique | ✅ Sans souci |
| Messageries (WhatsApp, Signal, iMessage) | ✅ Chiffrées de bout en bout |
| Lire ses mails dans l'application habituelle | ✅ Acceptable, la connexion est chiffrée |
| Se connecter à un compte en tapant son mot de passe | ⚠️ Seulement si l'adresse est la bonne, en https://, sans alerte |
| Banque, achat avec carte, impôts, Ameli | ⚠️ Passez plutôt en 4G/5G |
| Changer un mot de passe, créer un compte important | ⚠️ Passez plutôt en 4G/5G |
| Donner un mot de passe à la page d'accueil du Wi-Fi | ❌ Jamais |
| Cliquer sur « Continuer quand même » après une alerte de certificat | ❌ Jamais |
| Installer un « logiciel » ou un « certificat » proposé par le portail pour accéder à Internet | ❌ Jamais |
Ce dernier point mérite un mot. Aucun Wi-Fi honnête ne vous demande d'installer quoi que ce soit. Un programme ou un « certificat de sécurité » proposé par une page d'accueil donne à celui qui le fournit la capacité de lire vos connexions chiffrées. Nous avons rencontré ce mécanisme en atelier dans un autre contexte, celui du : le faux certificat posé sur le poste permettait d'intercepter tout ce que la victime croyait protégé.
5. Faut-il un VPN sur un Wi-Fi gratuit ?
C'est l'argument de vente numéro un des VPN, et il est en partie vrai. Un VPN fait passer tout votre trafic dans un tunnel chiffré : le gestionnaire du Wi-Fi, ou l'escroc au faux réseau, ne voit plus rien, pas même le nom des sites visités.
Mais il faut le remettre à sa place :
- Le VPN ne vous protège pas de la fausse page d'accueil. Si vous tapez votre mot de passe de messagerie dans le portail d'un faux réseau, VPN ou pas, il est parti. Le portail s'affiche d'ailleurs avant que le VPN ne démarre.
- Le HTTPS fait déjà l'essentiel du travail de chiffrement pour vos opérations courantes.
- Un VPN gratuit est souvent pire que pas de VPN du tout : il se finance avec vos données de navigation.
- Le partage de connexion 4G/5G rend le même service, gratuitement, et sans rien installer.
Notre avis : un VPN sérieux a du sens si vous travaillez très souvent depuis des hôtels ou des espaces partagés. Pour quelques connexions en vacances, les 8 réflexes ci-dessus suffisent. Le sujet est traité en détail dans .
6. Les bons réglages sur Windows, iPhone et Android
Les intitulés varient légèrement d'une version à l'autre, mais le chemin reste le même.
Windows 10 et 11
- Profil « public » : Paramètres → Réseau et Internet → Wi-Fi → cliquez sur le réseau connecté → Type de profil réseau → Public.
- Pas de reconnexion automatique : au moment de vous connecter, décochez « Se connecter automatiquement ».
- Oublier un réseau : Paramètres → Réseau et Internet → Wi-Fi → Gérer les réseaux connus → sélectionnez le réseau → Oublier. Profitez-en pour faire le ménage : on y retrouve souvent des dizaines de réseaux d'hôtels et de gares.
iPhone et iPad
- Oublier un réseau ou couper la reconnexion : Réglages → Wi-Fi → touchez le ⓘ à droite du réseau → Oublier ce réseau, ou désactivez Connexion automatique.
- Ne pas rejoindre de réseaux sans vous demander : Réglages → Wi-Fi → Accès aux bornes → Jamais ou Demander.
- Partage de connexion : Réglages → Partage de connexion → Autoriser d'autres utilisateurs. Choisissez un mot de passe solide.
Android
- Oublier un réseau ou couper la reconnexion : Paramètres → Réseau et Internet (ou Connexions) → Wi-Fi → touchez le réseau ou la roue crantée → Oublier (ou Retirer), ou désactivez Reconnexion automatique.
- Partage de connexion : Paramètres → Réseau et Internet → Point d'accès et partage de connexion → Point d'accès Wi-Fi.
Le Wi-Fi partagé des opérateurs
Si vous avez un jour utilisé les réseaux communautaires des opérateurs (Orange Wi-Fi, SFR WiFi FON, FreeWifi), votre téléphone s'y reconnecte peut-être encore tout seul, partout en ville. Leur nom est connu de tous, donc très facile à imiter. Faites-les oublier à vos appareils. Et côté maison, vous pouvez couper la diffusion de ce réseau partagé depuis votre box : c'est l'un des .
7. Vous pensez vous être connecté à un faux réseau : que faire ?
Pas de panique : tout dépend de ce que vous avez tapé.
Vous vous êtes seulement connecté, sans rien saisir de sensible. Coupez le Wi-Fi, faites oublier le réseau, et c'est terminé. Se connecter ne suffit pas à « pirater » un téléphone ou un ordinateur à jour.
Vous avez tapé un mot de passe dans la page d'accueil du Wi-Fi. Agissez dans l'heure,
depuis une connexion 4G/5G :
- Changez le mot de passe du compte concerné, en commençant par la messagerie.
- Changez-le aussi partout où vous utilisiez le même mot de passe.
- Dans les paramètres de sécurité du compte, déconnectez tous les appareils et vérifiez qu'aucune adresse de récupération, règle de transfert de mails ou numéro de téléphone inconnu n'a été ajouté.
- Activez la double authentification.
La marche complète est décrite dans notre article sur le , et elle vaut pour n'importe quel compte.
Vous avez saisi un numéro de carte bancaire. Faites opposition immédiatement auprès de votre banque et surveillez vos relevés. En cas de débit frauduleux, voyez .
Vous avez installé un programme ou un « certificat » proposé par le portail. N'utilisez plus l'appareil pour vos comptes sensibles et faites-le contrôler : c'est le seul cas où l'appareil lui-même peut être compromis. Voir , ou contactez-nous directement, nos coordonnées sont plus bas.
8. Et pour sécuriser votre Wi-Fi à la maison, gratuitement ?
Si votre question était celle-là, retenez ceci :
sécuriser le Wi-Fi de sa box ne coûte rien. Pas de logiciel à acheter, pas de boîtier à ajouter, pas d'abonnement. Tout se règle dans l'interface d'administration de la box, fournie par votre opérateur :
- Chiffrement WPA3, ou mode mixte WPA2/WPA3 si vous avez des appareils anciens.
- Un mot de passe Wi-Fi long : une phrase de quatre ou cinq mots.
- Désactiver le WPS, le bouton d'association rapide. C'est le réglage le plus important.
- Couper l'administration à distance de la box.
- Créer un réseau invité pour les visiteurs et les objets connectés.
- Laisser les mises à jour automatiques de la box actives. Une box de plus de sept ans se fait remplacer gratuitement par l'opérateur dans la plupart des cas.
- Changer le mot de passe d'administration de la box, différent de celui du Wi-Fi.
À l'inverse, ne perdez pas de temps avec les « astuces » qui circulent : masquer le nom du réseau ou filtrer les adresses MAC n'arrête personne. Les chemins exacts pour Livebox, Freebox, Bbox et SFR Box sont dans le guide complet : .
9. Questions fréquentes
Peut-on se faire pirater son téléphone rien qu'en se connectant à un Wi-Fi gratuit ?
Avec un téléphone à jour, c'est très improbable. Le danger ne vient pas de la connexion elle-même mais de ce que vous saisissez ensuite : un mot de passe donné à une fausse page d'accueil, ou une alerte de sécurité que l'on choisit d'ignorer.
Le Wi-Fi de l'hôtel a un mot de passe. Est-il sûr pour autant ?
Il est mieux protégé qu'un réseau ouvert, mais tous les clients partagent la même clé. Considérez-le comme un réseau public : profil « public » sur l'ordinateur, et connexion mobile pour la banque.
Puis-je consulter ma banque sur un Wi-Fi public ?
L'application de votre banque chiffre ses échanges, le risque technique est donc faible. Mais puisque passer en 4G/5G prend deux secondes et supprime le doute, c'est le conseil que nous donnons, comme cybermalveillance.gouv.fr.
Le Wi-Fi du TGV, du train ou de l'avion est-il fiable ?
Le réseau officiel l'est autant qu'un autre Wi-Fi public. Le point de vigilance est ailleurs : dans un wagon ou une cabine, un passager peut diffuser un réseau au nom très proche. Vérifiez le nom exact indiqué par le transporteur, et refusez toute page qui réclame le mot de passe d'un de vos comptes.
Le partage de connexion de mon téléphone est-il vraiment plus sûr ?
Oui. C'est votre réseau, protégé par votre mot de passe, et il passe par votre opérateur mobile. Pensez simplement à lui donner un mot de passe solide et à le couper quand vous n'en avez plus besoin.
Faut-il couper le Wi-Fi de son téléphone quand on sort ?
C'est une bonne habitude : le téléphone ne cherche plus à se raccrocher aux réseaux connus, et la batterie y gagne. Si vous ne voulez pas y penser, faites au moins oublier les réseaux publics enregistrés.
Et les bornes de recharge USB des gares et aéroports ?
Le risque souvent évoqué d'une borne trafiquée qui aspirerait vos données reste théorique pour le grand public, et les téléphones récents demandent votre accord avant tout échange de données. Si vous voulez être tranquille, utilisez votre propre chargeur sur une prise électrique.
Je propose un Wi-Fi gratuit à mes clients (gîte, commerce, cabinet). Que dois-je faire ?
Utilisez le
réseau invité de votre box, séparé de votre réseau professionnel : vos clients ne doivent pas pouvoir atteindre votre caisse, votre ordinateur ou votre imprimante. Changez la clé régulièrement. Pour une location saisonnière, changez-la entre deux séjours.
10. Ce que fait BSC Sécurité
Nous sommes à Hyères, et les identifiants tapés sur un faux réseau ou un faux portail Wi-Fi font partie des situations que nos clients nous soumettent régulièrement.
- Vous avez donné un mot de passe à une page douteuse depuis un Wi-Fi public, ou installé un « certificat » proposé par un portail ? Appelez-nous. Nous vérifions l'appareil, retirons tout ce qui a pu y être posé, et vous accompagnons pour remettre vos comptes en sécurité.
/ / atelier au
18 avenue Olbius Riquier, 83400 Hyères.
Et selon votre situation :
- vous voulez faire régler votre box, votre réseau invité et vos appareils une bonne fois pour toutes, chez vous ? intervient à domicile, agréée service à la personne : sécurisation de la box, ménage dans les réseaux enregistrés du téléphone et de l'ordinateur, mise en place du partage de connexion et de la double authentification, pas à pas ;
- votre box est bien réglée mais le Wi-Fi ne couvre pas toute la maison ? fournit et installe répéteurs et systèmes Wi-Fi récents, correctement sécurisés dès la pose ;
- besoin d'un ordinateur portable pour un déplacement, un salon ou une mission, sans emporter le vôtre et ses données ? propose la location courte durée.
En résumé
- Grâce au HTTPS, naviguer sur un Wi-Fi gratuit n'est plus le danger d'autrefois : le contenu de vos échanges est chiffré.
- Le vrai piège est le faux réseau au nom du lieu (« evil twin »), dont la page d'accueil réclame le mot de passe de votre messagerie ou de vos réseaux sociaux.
- Un Wi-Fi gratuit ne demande jamais le mot de passe d'un de vos comptes, ni d'installer un programme ou un certificat.
- Pour la banque, les achats et les mots de passe : 4G/5G ou partage de connexion, c'est gratuit et immédiat.
- Profil « public » sur l'ordinateur, appareils à jour, réseau oublié en partant, double authentification activée : avec cela, vous pouvez vous connecter l'esprit tranquille.
La phrase à retenir : sur un Wi-Fi gratuit, méfiez-vous moins de ce qui circule dans l'air que de ce que l'on vous demande de taper.
Sources : Australian Federal Police, « Man charged over creation of "evil twin" free WiFi networks to access personal data » (juin 2024) et « WA man jailed for stealing intimate material and using "evil twin" WiFi networks » (novembre 2025) ; Malwarebytes Labs, « Personal data stolen from unsuspecting airport visitors and plane passengers in "evil twin" attacks » (juillet 2024) ; cybermalveillance.gouv.fr, conseils sur la sécurité des appareils en déplacement et l'usage des Wi-Fi publics ; Google Transparency Report, « Chiffrement HTTPS sur le Web » ; cas rencontrés en atelier BSC Sécurité.
Pour aller plus loin : · · · ·