« Utilisez un VPN sur le Wi-Fi public » est un conseil répété si souvent, dans tant d'articles et de guides pratiques, qu'il est devenu un réflexe presque automatique, rarement accompagné d'une explication de ce contre quoi il protège précisément. Ce raccourci a un effet pervers : il pousse à installer rapidement n'importe quelle application affichant "VPN gratuit", sans vérifier qui l'opère, alors que ce choix précipité peut créer un risque plus grand que celui qu'il est censé résoudre.
Un réseau Wi-Fi ouvert, sans mot de passe ou avec un mot de passe partagé publiquement (café, aéroport, hôtel), expose à plusieurs scénarios techniques précis. Le plus simple est l'interception passive : sur un réseau non chiffré au niveau liaison, un tiers présent sur le même réseau peut, avec des outils accessibles, observer le trafic circulant en clair. Plus sophistiqué, le point d'accès malveillant ("evil twin") consiste à créer un faux réseau portant un nom similaire à celui d'un établissement légitime, pour intercepter directement tout le trafic des appareils qui s'y connectent par erreur. Une variante plus discrète, l'usurpation ARP, permet à un attaquant déjà connecté au même réseau légitime de rediriger silencieusement le trafic d'autres utilisateurs vers sa propre machine.
Un point que peu d'articles précisent : la majorité du trafic web actuel est déjà chiffré de bout en bout via HTTPS, indépendamment de tout VPN. Cela signifie qu'un observateur sur le même réseau Wi-Fi public ne peut généralement pas lire le contenu des pages que vous consultez ni les données que vous transmettez à un site utilisant HTTPS correctement. La menace réelle, sur ce point précis, a donc nettement diminué par rapport à il y a une dizaine d'années. Il ne faut cependant pas en conclure que le Wi-Fi public est sans risque : les métadonnées de connexion (quels sites vous contactez, à quelle fréquence, depuis quel appareil) restent visibles par le réseau local et par toute personne en position d'interception, même quand le contenu ne l'est pas.
Sur un Wi-Fi public, un VPN correctement configuré déplace le point d'observation : au lieu que le réseau local (et un éventuel attaquant qui s'y trouve) voie vos destinations et métadonnées de connexion, il ne voit plus qu'une connexion chiffrée unique vers le serveur VPN. C'est un gain réel, en particulier contre les scénarios d'interception locale et d'usurpation ARP décrits plus haut, puisque le trafic quitte l'appareil déjà chiffré avant même d'atteindre le réseau potentiellement compromis. En revanche, un VPN ne protège pas contre un réseau Wi-Fi qui exige une authentification préalable via un portail captif malveillant conçu pour collecter des identifiants avant même l'activation du VPN, ni contre un appareil déjà compromis par un logiciel malveillant antérieur à la connexion.
C'est le point le plus souvent négligé dans les conseils génériques sur le Wi-Fi public : utiliser un VPN ne supprime pas la nécessité de faire confiance à un intermédiaire, cela déplace cette confiance du réseau local (dont vous ne savez rien) vers l'opérateur du VPN (dont vous ne savez peut-être pas grand-chose non plus si le choix a été fait dans l'urgence). Un VPN gratuit installé à la hâte juste avant de se connecter à un aéroport, sans aucune vérification préalable de son modèle économique ou de sa politique de confidentialité, peut concentrer entre les mains d'un unique opérateur l'ensemble des métadonnées que le réseau local aurait, lui, dispersées et probablement jamais exploitées activement.
Ce risque n'est pas théorique : des analyses indépendantes ont, à plusieurs reprises, mis en évidence que certaines applications présentées comme des VPN gratuits sur les boutiques mobiles intégraient des composants de suivi publicitaire agressifs, voire des comportements assimilables à du logiciel malveillant, profitant précisément du contexte d'installation impulsive avant un déplacement. Le contexte du Wi-Fi public, en encourageant une décision rapide, est justement celui où la vérification préalable d'un VPN gratuit est la plus souvent négligée, alors qu'elle serait la plus utile.
La bonne pratique consiste à choisir et vérifier un VPN gratuit en amont, chez soi, avec le temps nécessaire pour lire sa politique de confidentialité, comprendre son modèle économique et vérifier les permissions demandées par l'application — la méthode complète de cette vérification est détaillée sur notre page VPN gratuit et données personnelles — plutôt que de télécharger dans la précipitation la première application trouvée en haut des résultats juste avant d'embarquer ou de s'installer dans un café.
Une idée reçue consiste à ne se méfier que des réseaux totalement ouverts, sans aucun mot de passe. En réalité, un réseau protégé par un mot de passe partagé publiquement (affiché sur un comptoir de café ou communiqué à la réception d'un hôtel) offre une protection très limitée contre un autre client du même réseau : toute personne connaissant ce mot de passe, c'est-à-dire potentiellement des dizaines ou centaines de personnes, se trouve sur le même segment réseau que vous, avec les mêmes possibilités d'observation ou d'interception qu'un réseau totalement ouvert. Le simple fait qu'un réseau demande un mot de passe ne suffit donc pas à écarter les scénarios de risque décrits plus haut.
Pour les personnes qui accèdent à des ressources professionnelles sensibles depuis un Wi-Fi public — messagerie d'entreprise, outils internes, documents clients — l'enjeu dépasse la simple confidentialité personnelle. Une exposition de métadonnées de connexion ou une interception de session peut avoir des conséquences pour l'organisation entière, pas seulement pour l'individu. Dans ce contexte, la vérification préalable du VPN utilisé mérite un niveau d'exigence supérieur à un usage strictement personnel, et relève souvent d'une politique définie par l'employeur plutôt que d'un choix individuel fait dans l'urgence à l'aéroport.
Une fois connecté à un Wi-Fi public avec votre VPN activé, une vérification rapide consiste à vous assurer que votre adresse IP visible correspond bien à celle du serveur VPN, et non à celle du réseau local — un test de fuite DNS ou d'adresse IP publique, effectué avant et après activation du VPN, permet de le confirmer en quelques secondes. Les portails captifs de certains réseaux d'hôtels ou d'aéroports peuvent parfois interférer avec l'activation du VPN ou provoquer une brève fenêtre de connexion non protégée le temps de valider l'accès au réseau : dans ce cas, il est préférable de valider d'abord le portail captif, puis d'activer le VPN, plutôt que l'inverse.
Contrairement à d'autres usages plus exigeants (streaming régulier, partage de fichiers volumineux), la protection ponctuelle sur un Wi-Fi public correspond bien à ce qu'une offre gratuite, correctement vérifiée en amont, peut raisonnablement fournir : l'objectif est de chiffrer une session limitée dans le temps, pas de soutenir un usage intensif. Pour resituer ce cas d'usage précis dans une évaluation plus large des situations où le gratuit a du sens ou non, notre méthode complète détaille les autres critères à prendre en compte selon votre usage réel.