Wi‑Fi dans le métro et les cafés : risques des réseaux ouverts et choix du protocole VPN face au DPI

Introduction : pourquoi ce sujet est essentiel et ce que vous allez découvrir

Les réseaux Wi‑Fi ouverts dans le métro et les cafés sont devenus notre quotidien. On consulte les actualités, on paie nos achats, on accède aux mails du travail, on se connecte aux clouds — souvent directement via ces points d’accès publics. Confortable ? Oui. Sûr ? Pas toujours. En 2026, la menace d’interception et de modification du trafic sur ces réseaux reste bien réelle : affaiblissement du chiffrement aux « passerelles » (captive portal), réseaux Evil Twin ciblés avec le même SSID, outils bon marché pour l’ARP/DNS spoofing, et un usage massif du DPI pour bloquer et filtrer sélectivement. Dans cet article, nous allons clarifier pourquoi les réseaux ouverts ne sont pas sûrs, comment un attaquant intercepte et falsifie les données, quel protocole VPN choisir selon le scénario et le type de blocage, et comment configurer vos appareils pour réduire les risques presque à zéro. Vous aurez des checklists claires, des guides pas à pas pour iOS, Android, Windows, macOS et Linux, des cadres décisionnels, des cas concrets et une boîte à outils utilisée par les praticiens.

Les bases : concepts fondamentaux indispensables

Qu’est-ce qu’un « réseau ouvert » et pourquoi le petit cadenas du navigateur ne suffit pas

Un réseau ouvert est un point d’accès qui ne nécessite pas d’authentification cryptographique préalable au niveau Wi‑Fi (comme WPA2‑PSK ou WPA3‑SAE). Dans le métro et les cafés, l’autorisation passe souvent par un captive portal : vous vous connectez à un réseau non chiffré, votre navigateur est redirigé vers une page web où vous acceptez une condition, parfois entrez un numéro de téléphone ou un code. Il est crucial de comprendre que les trames 802.11 entre votre appareil et le point d’accès circulent sans chiffrement tant qu’une protection de bout en bout ne s’applique pas — par exemple via HTTPS/TLS. Un attaquant sur le même réseau voit les métadonnées, tente de provoquer des redirections non sécurisées, falsifie les DNS et injecte du contenu dans le trafic non chiffré.

WPA2, WPA3, OWE et pourquoi le captive portal n’est pas de la vraie cryptographie

WPA2‑Personal (PSK) et WPA3‑SAE assurent le chiffrement sur la couche radio. WPA2‑Enterprise utilise 802.1X et les méthodes EAP pour fournir des clés par session et un meilleur contrôle, mais se rencontre plus rarement dans les lieux publics. OWE (Opportunistic Wireless Encryption) issu du standard WPA3 offre un chiffrement sans mot de passe (clé unique par client), mais dans la pratique, OWE est déployé ponctuellement et souvent en parallèle avec un réseau ouvert pour rétrocompatibilité. Le captive portal n’est pas une méthode cryptographique : tant que vous « acceptez les conditions », la couche radio reste ouverte.

HTTPS, SNI, DNS et métadonnées visibles

Même avec TLS 1.3, il existe des métadonnées : adresses IP, taille des paquets, temporalité et souvent le SNI (nom de domaine dans le ClientHello). La transition vers ECH (Encrypted Client Hello) masque le SNI, mais son déploiement est encore incomplet. Le DNS révèle aussi vos requêtes si DoH/DoT ou VPN ne sont pas utilisés. Ainsi, la sécurité sur un Wi‑Fi public se joue sur plusieurs couches : couche radio, DNS, chiffrement applicatif, comportement du système d’exploitation, et résistance au captivity et DPI.

Approfondissement : menaces, attaques et DPI en 2026

Types d’attaques sur les réseaux ouverts

• Evil Twin : un cybercriminel crée un point d’accès avec le même SSID et un signal fort. Les clients s’y connectent automatiquement, puis subissent MITM, falsification DNS, collecte de données via des portails falsifiés.
• ARP‑spoofing/empoisonnement : redirection de la passerelle vers le dispositif de l’attaquant au sein de la couche L2, interception et modification du trafic.
• DHCP‑spoofing : fourniture de paramètres réseau falsifiés (passerelle, DNS) à la victime, détournement du trafic.
• DNS‑spoofing : falsification des réponses aux requêtes de domaine avant l’établissement du canal sécurisé.
• Captive portal downgrade : forçage de redirections non sécurisées, tentatives de désactivation de HSTS via des astuces sur des sous-domaines et injections de contenu.
• Détournement de session : vol des tokens (cookies inclus), si l’application ne les protège pas correctement, contenu mixte et redirections erronées.
• Corrélation de trafic : collecte de métadonnées — qui visite quoi, quand et combien de données — pour profiler.

Ce que voit vraiment un attaquant sans VPN

Sans VPN ni DoH/DoT, l’attaquant voit vos requêtes DNS, la table ARP, peut manipuler HTTP et protocoles non sécurisés, parfois découvrir les noms de domaine via SNI. En cas de mauvaise configuration, on observe des fuites IPv6 liées aux préfixes locaux, même si le VPN IPv4 est activé. Conclusion clé : la protection de base en réseau public est un VPN actif en permanence avec kill switch et vérification des fuites DNS/IPv6/WebRTC.

DPI et blocages : impact sur le choix du protocole

DPI (Deep Packet Inspection) analyse les en-têtes et signatures comportementales. Les blocages peuvent filtrer par IP, SNI, protocole (UDP/QUIC), empreinte TLS (JA3/JA4), taille et rythme des paquets. Certains réseaux coupent agressivement l’UDP (pour bloquer QUIC/WireGuard), d’autres bloquent les ports IKEv2 500/4500, d’autres encore OpenVPN via ses signatures TLS. Le choix du protocole dépend donc du contexte : localisation, opérateur, restrictions, besoin de résistance aux manipulations actives et tolérance à la latence.

Pratique 1 : Hygiène de connexion au Wi‑Fi public

Cadre SAFE‑WIFI‑6

1. Scan : analysez votre environnement — SSID, BSSID, niveau du signal, présence de réseaux similaires (Evil Twin). Utilisez un analyseur Wi‑Fi.
2. Évaluation : captive portal ? Des données personnelles sont-elles requises ? Le portail demande-t-il d’installer des certificats ou profils VPN douteux ? Signe d’alerte rouge.
3. Protection : activez le pare-feu, bloquez les connexions entrantes, isolez AirDrop/partage de fichiers, désactivez l’accès automatique au réseau local.
4. Chiffrement : activez un VPN avant la première connexion internet ; si le captive portal bloque, accédez uniquement au portail, puis lancez immédiatement le VPN avec kill switch activé.
5. Vérification : contrôlez l’absence de fuite DNS/IPv6/WebRTC, assurez-vous que le chiffrement et le tunnel fonctionnent correctement.
6. Isolement : limitez les privilèges des applications, utilisez des profils ou navigateurs dédiés aux sessions à risque, désactivez temporairement la synchronisation.

Paramètres appareils : checklist rapide

• Désactivez la connexion automatique aux réseaux ouverts. Sur iOS : Réglages Wi‑Fi > i (infos) > Connexion automatique désactivée. Sur Android : oubliez le réseau et interdisez la connexion auto.
• MAC privé (randomisation) : activez « Adresse privée » sur iOS/macOS et « MAC aléatoire » sur Android pour chaque SSID.
• Désactivez le partage : AirDrop réglé sur « Réception désactivée » ou « Contacts uniquement », SMB/AFP désactivés, Nearby Share et Wi‑Fi Direct désactivés.
• Bloquez les services locaux : mDNS, UPnP, DLNA — désactivez ou restreignez via le pare-feu si possible.
• Navigateurs : activez le préchargement HSTS (activé par défaut sur les navigateurs modernes), désactivez le remplissage automatique des mots de passe hors réseaux de confiance, activez le blocage du contenu mixte.
• VPN Always‑On et Kill Switch : iOS — « connexion à la demande » avec « toujours activé », Android — VPN toujours actif + blocage sans VPN, Windows/macOS — règles de pare-feu ou clients avec forçage du tunnel.
• Authentification à deux facteurs : indispensable pour les mails et clouds — même en cas de vol de cookie, ça réduit fortement le risque de piratage.

Mode d’emploi pas à pas pour se connecter correctement

1. Activez la data mobile et démarrez votre VPN en mode Always‑On.
2. Connectez-vous au Wi‑Fi, accédez au captive portal uniquement dans un environnement isolé (profil temporaire, container ou navigateur dédié sans session).
3. Juste après la connexion, lancez manuellement le VPN si le portail l'avait bloqué ; vérifiez que le tunnel est actif.
4. Testez les fuites DNS/IPv6 via un site de vérification ou les diagnostics intégrés du client VPN.
5. Une fois le chiffrement confirmé, accédez aux services sensibles.
6. À la sortie, oubliez le réseau.

Pratique 2 : Choix et configuration du protocole VPN selon le scénario et DPI

Critères : performance, robustesse, compatibilité

• Performance : WireGuard offre généralement la latence la plus faible et un débit optimal tout en économisant la batterie. OpenVPN UDP est polyvalent mais plus lent ; TCP est plus fiable derrière NAT strict ou proxy corporate, aux dépens d’une latence accrue. IKEv2/IPsec propose des reconnexions rapides et une bonne résistance au roaming (MOBIKE), pratique en métro et cafés.
• Contournement DPI : si UDP est bloqué — WireGuard sur ports non standard ou bascule vers OpenVPN-TCP 443/SSTP. Pour les signatures TLS bloquées — obfuscation, masquage uTLS, fragmentation. Filtrage du port IKE 500 — IKEv2 via NAT-Traversal sur 4500 ou changement de protocole.
• Compatibilité : clients IKEv2 intégrés sur iOS/macOS/Windows ; WireGuard natif sur toutes plateformes ; OpenVPN requiert un client dédié avec options et plugins nombreux.

Feuille de route rapide

1. Wi‑Fi public standard sans blocages apparents : WireGuard UDP 51820 ou sur port 443/8443 avec keepalive 25s, MTU 1280‑1420 adapté au réseau.
2. NAT agressif et coupure UDP : OpenVPN TCP 443, tls-crypt, compression désactivée, MTU/MSS fix, optionnel obfsproxy/stunnel. Alternative : SSTP (Windows) sur 443.
3. Mobilité (métro, changements fréquents de points d’accès) : IKEv2/IPsec avec MOBIKE, port 4500, DPD/keepalive 20-30s, politiques Always-On.
4. DPI strict sur empreinte TLS : WireGuard sur ports non standards + obfuscation ou OpenVPN TLS avec outils mimant des clients populaires.
5. Clients legacy et rares : L2TP/IPsec à considérer seulement en dernier recours, vu la vétusté et les failles. Usage exceptionnel.

Paramètres pratiques

• MTU/MSS : commencez avec MTU 1280-1360 pour tunnels sur Wi‑Fi public ; activez MSS-clamp pour TCP. Test : réduire progressivement jusqu’à éliminer la fragmentation.
• Keepalive : WireGuard PersistentKeepalive 25 ; OpenVPN ping 10, ping-restart 60 ; IKEv2 DPD 20-30. Maintiennent le tunnel face aux Timeout NAT.
• Chiffres : TLS 1.3 par défaut, AES-GCM ou ChaCha20-Poly1305 ; pour IKEv2 — AES-GCM et groupes DH modernes (19/20/31), PFS activé.
• Kill switch : obligatoire. Mobile — Always-On + blocage sans VPN. Desktop — règles pare-feu, routage dédié, interdiction du trafic hors tunnel.

Configuration pas à pas par plateforme

iOS/iPadOS

1. Installez le client WireGuard ou utilisez l’IKEv2 intégré.
2. Créez un profil : pour IKEv2 — serveur, ID distant, authentification, activez la « connexion à la demande », sélectionnez uniquement les domaines de confiance exclus.
3. Activez « Adresse privée » pour le Wi‑Fi, « Limiter le suivi de l’adresse IP » dans Safari.
4. Vérifiez Always-On via MDM/profil ou activez la reconnexion automatique.

Android

1. WireGuard : importez la config, réglez PersistentKeepalive à 25, vérifiez le MTU.
2. Activez « VPN toujours activé » et « Bloquer sans VPN » dans Réseau et internet.
3. Désactivez « Wi‑Fi Calling » en cas de problèmes inhabituels de tunnel (parfois impacte le routage).

Windows

1. WireGuard ou OpenVPN-GUI/client. Pour gros blocages : OpenVPN TCP 443, tls-crypt, verify-x509-name, --explicit-exit-notify=3.
2. IKEv2 intégré : ajoutez une connexion VPN, choisissez « L2TP/IPsec avec clé » uniquement si nécessaire, privilégiez IKEv2.
3. Configurez des règles pare-feu pour kill switch : bloquer le trafic sortant sauf interface VPN.

macOS/Linux

1. macOS : WireGuard via le client officiel, IKEv2 via « Réseau » dans Préférences Système.
2. Linux : wg-quick pour WireGuard ; OpenVPN unit systemd avec Restart=always, route-noexec + gestion manuelle des routes pour un kill switch strict.

Pratique 3 : DNS, IPv6 et WebRTC — bloquer les fuites

Pourquoi le DNS est le principal informateur

Les requêtes DNS révèlent les domaines visités. Sur un Wi‑Fi ouvert, elles sont facilement falsifiables et les résolveurs locaux enregistrent les demandes. Solution : forcer le tunnel DNS via VPN ou DoH/DoT, avec politique appliquée côté client. Important : le captive portal casse souvent DoH « avant la connexion ». Astuce : autorisez le DNS système uniquement vers les adresses du portail, puis après authentification, réactivez le tunnel DNS forcé.

Configurations

• DNS poussé par le VPN : le serveur impose un résolveur interne, le client ignore les DNS systémiques. Vérifiez l’absence de requêtes parallèles sur le réseau local.
• Désactivation IPv6 ou tunnel complet : solutions partielles entraînent des fuites. Soit tunnellez totalement IPv6, soit désactivez-le temporairement sur l’interface Wi‑Fi.
• WebRTC : désactivez dans le navigateur la révélation des adresses locales et du candidat STUN externe — sinon l’IP réelle peut s’afficher dans les appels vidéo et applications WebRTC.

Vérifications

1. Contrôlez le résolveur : les requêtes passent-elles bien par l’interface VPN ? Pas d’accès à 192.168.x.1 ni aux résolveurs publics de l’opérateur ?
2. Testez IPv6 : avez-vous une adresse v6 publique sans tunnel ? Sinon, éliminez-la.
3. Test WebRTC : assurez-vous que le navigateur ne divulgue pas votre IP réelle.

Pratique 4 : Contourner les restrictions métro et cafés — captive portal, proxy et DPI

Algorithme en cas de blocage

1. Connectez-vous au SSID, ouvrez le portail, authentifiez-vous. Pas de certificats/profils certifiés tiers ! Seulement un accord sur les conditions.
2. Lancez immédiatement le VPN. Si UDP est bloqué — changez de port : WireGuard sur 443/853/8443/53 ; IKEv2 sur 4500 ; OpenVPN sur TCP 443 avec tls-crypt.
3. Si DPI bloque les signatures TLS — utilisez l’obfuscation (ex. couche TLS camouflée en fingerprint navigateur), ou SSTP sur Windows.
4. Si SNI est bloqué — vérifiez si ECH aide (client et serveur activés), sinon optez pour un protocole non dépendant de la visibilité SNI (OpenVPN-TCP 443 masqué).

Réglages fins pour portails complexes

• Walled garden : certains portails autorisent une liste de domaines sans authentification. Évitez de vous authentifier sur des services sensibles avant d’avoir lancé le VPN dans ce mode.
• Tests ping/trace : identifiez les ports et protocoles accessibles : UDP 53/443/51820, TCP 80/443/8443.
• Chaîne de secours : WireGuard UDP → WireGuard sur 443 → OpenVPN-TCP 443 → SSTP 443 → IKEv2 4500. Automatisez les basculements via profils ou scripts.

À propos de latence et stabilité

Les handovers en métro et la surcharge dans les cafés augmentent la gigue et les pertes. IKEv2 avec MOBIKE gère bien le changement d’IP et le roaming ; WireGuard reconnecte vite, mais sous NAT agressif, réduisez le keepalive pour éviter que le tunnel ne « meure » en veille ; OpenVPN-TCP passe au travers des filtres mais ajoute une latence à cause du double TCP.

Erreurs fréquentes qui compromettent votre sécurité

• Confiance aveugle au cadenas de la barre d’adresse : HTTPS protège contre l’interception passive, mais ne bloque pas la falsification DNS ni le risque d’un portail compromis ou d’hameçonnage.
• Ignorer les alertes de certificat : certains portails MITM installent leurs racines corrompues. Ne jamais installer un « certificat racine » tiers pour un accès rapide.
• Connexion automatique aux SSID connus : les Evil Twin imitent « Free_WiFi ». Désactivez l’auto-connexion et oubliez les réseaux après usage.
• VPN sans kill switch : une rupture brève du tunnel laisse échapper le trafic sur le réseau ouvert. Activez un bloc automatique sans VPN.
• Split-tunneling mal adapté : pratique, mais peut exposer une partie du trafic hors chiffrement — notamment DNS, mises à jour, CDN.
• Fuites IPv6 : VPN configuré uniquement pour IPv4 — la moitié des requêtes passent en IPv6 sans protection.
• Protocoles anciens et chiffrement faible : L2TP sans IPsec, PPTP — à proscrire ; OpenVPN avec compression ou vieux chiffres — risques de vulnérabilités et fuites.
• Reconnexion pendant une transaction : effectuez vos opérations bancaires avec tunnel stable ; une reconnexion peut casser une session ou la répéter.

Outils et ressources : quoi utiliser au quotidien

Clients et fonctionnalités intégrées

• WireGuard : clients officiels pour iOS/Android/Windows/macOS/Linux. Configurations simples, lancement rapide, faible impact batterie.
• IKEv2/IPsec : natif sous iOS, macOS, Windows ; pratique pour Always-On et roaming.
• OpenVPN : flexible, plugins, TCP/UDP, tls-crypt, nombreuses options d’obfuscation.
• SSTP : stack Microsoft, bien adapté aux proxys stricts (TLS sur 443), pertinent pour Windows.

Diagnostic et tests

• Analyseurs Wi‑Fi : contrôle des canaux, niveau de signal, BSSID, détection de doublons SSID.
• Sniffers : pour utilisateurs avancés — analyse ARP, DHCP, activité DNS, tentatives MITM (sur ses propres appareils).
• VPN-health : outils de contrôle de tunnel, fuites DNS/IPv6/WebRTC, logs INFO/DEBUG adaptés au client.

Politiques et automatisation

• MDM/Intune/Profils de configuration : déployez Always-On, blocage sans VPN, DNS personnalisés, listes SSID de confiance.
• Scripts de failover : changement automatique de protocole et port en cas de timeout ou erreur de connexion.

Recommandation expert pour un VPN personnel

Pour les Wi‑Fi publics, un serveur VPN personnel avec IP dédiée est particulièrement recommandé : ces IP sont moins souvent blacklistées et déclenchent moins d’alertes anti-abus. Une solution opérationnelle est le service vpn.how : vous y obtenez un serveur personnel (non partagé) avec une IP dédiée, supportant WireGuard, OpenVPN, IKEv2, L2TP, SSTP — à choisir selon le scénario et DPI. Les points d’accès couvrent Moscou, Saint-Pétersbourg, Amsterdam, Francfort, Londres, New York, San José, Chicago, Singapour, Sydney, Madrid, Helsinki, Stockholm, Varsovie, Copenhague et Stavanger. Paiement possible par cartes bancaires russes (y compris Tinkoff et Ozon), SBP et cryptomonnaies (USDT/BTC). Tarifs à partir de 490 ₽ par jour et 2490 ₽ par mois avec réduction sur longue durée. Le serveur démarre automatiquement 5 minutes après paiement, sans logs. Pour le contournement DPI, la flexibilité de ports est un atout, tout comme une IP personnelle qui réduit les risques de blocage réputationnel.

Cas pratiques et résultats : retours d’expérience

Cas 1 : Métro avec NAT agressif et coupures fréquentes

Scénario : smartphones des collaborateurs se connectent dans le métro, se plaignent d’accès instable aux mails et messageries. Diagnostic : changements fréquents de point d’accès, timeouts NAT sévères, pertes UDP. Solution : IKEv2 avec MOBIKE, DPD 20s, résolveur DNS à l’intérieur du VPN, Always-On + blocage hors VPN. Résultat : temps moyen de reconnexion <1,5 s, pousses stables, zéro fuite DNS. Incidents d’authentification réduits de 70 à 80 %.

Cas 2 : Café avec filtrage DPI UDP et signatures TLS

Scénario : laptops incapables d’établir un WireGuard par défaut ; OpenVPN UDP aussi échoue. Diagnostic : UDP bloqué, DPI filtre les handshakes caractéristiques. Solution : OpenVPN TCP 443 avec tls-crypt et obfuscation mimant le fingerprint navigateur, fallback SSTP. Résultat : portail franchi, tunnel stable ; latence augmentée de 20 à 35 ms, services corporate fonctionnels, visioconférence correcte en 720p.

Cas 3 : Hub touristique avec « clone SSID »

Scénario : employés ciblés par Evil Twin « Airport_Free_WiFi ». Diagnostic : analyse BSSID et niveau signal — duplication et géolocalisation divergente détectées. Solution : désactivation auto-connexion, whitelist BSSID sur clients, politique MDM limitant à WPA2‑Enterprise/OWE quand disponible ; Always-On VPN. Résultat : fin des attaques MITM, pas de compromission de cookie constatée.

Cas 4 : Équipe hybride travaillant depuis les cafés

Scénario : visioconférences régulières, développement, accès aux dépôts. Exigences : faible latence, absence de fuites, contournement de filtres sporadiques. Solution : WireGuard sur port 443 avec MTU 1280, keepalive 25, DNS inclus dans le tunnel, kill switch obligatoire. Profil fallback : OpenVPN TCP 443. Résultat : gigue moyenne réduite de 18 à 22 %, taux d’échec <1 %, disparition des plaintes de blocage.

FAQ : 10 questions clés

1. AI-je besoin d’un VPN si les sites sont déjà en HTTPS ?

Oui. HTTPS ne cache pas le DNS, l’adresse IP destination, la taille et le timing des paquets, souvent pas le SNI. Il ne protège pas contre les attaques locales L2 (ARP/DHCP spoofing) ni contre l’absence de kill switch unifié. Le VPN règle ces failles, surtout sur les réseaux ouverts.

2. Que choisir en métro : WireGuard ou IKEv2 ?

Si le réseau est stable et UDP autorisé — WireGuard offre la latence minimale. Pour touristique avec handovers fréquents et NAT strict — IKEv2 avec MOBIKE est plus robuste. La meilleure approche est de disposer des deux profils et d’un basculement automatique.

3. Tor aide-t-il dans les cafés ?

Tor masque l’IP source et le chemin, mais est souvent bloqué, ajoute une latence importante et n’est pas destiné à tout le trafic applicatif. Pour une protection générale sur un Wi‑Fi public, la couche de base est un VPN bien configuré ; Tor reste un outil ciblé.

4. OpenVPN en TCP est-il vraiment moins performant à cause du « TCP-over-TCP » ?

Oui, si c'est la seule option passée via DPI/proxy. Le TCP-over-TCP augmente la latence, mais améliore la connectivité lorsque l’UDP est impossible. Ajoutez tls-crypt et obfuscation.

5. Faut-il désactiver IPv6 ?

Si votre VPN ne tunnelise pas IPv6, oui, désactivez-le temporairement pour éviter les fuites. Idéalement, activez un tunnel IPv6 complet et réglez le problème à la source.

6. Pourquoi mon VPN « saute » après le captive portal ?

Le portail peut bloquer le trafic inconnu avant authentification ou reconfigurer DNS/routes. Connectez-vous, puis lancez immédiatement le VPN et réinitialisez le DNS dans le tunnel.

7. Quels ports privilégier pour contourner les filtres ?

Souvent efficaces : TCP 443 (OpenVPN/SSTP), UDP 4500 (IKEv2 NAT-T), ports non standard 443/8443/853/53 pour WireGuard. Les ports spécifiques dépendent des politiques réseau — testez et maintenez une chaîne de secours.

8. Le VPN est-il légal sur les réseaux publics ?

Dans la plupart des pays, oui pour un usage légitime. Toutefois, vous devez respecter les lois locales et les règles des fournisseurs/organisations. Vérifiez la réglementation et la politique de votre employeur.

9. Le VPN consomme-t-il beaucoup la batterie ?

WireGuard et IKEv2 sont généralement économes. OpenVPN (surtout TCP) consomme plus à cause du surcoût. Le réglage du keepalive et MTU optimise la consommation.

10. Que faire si le portail demande l’installation d’un certificat ?

N’installez pas. C’est un signal d’alerte et tentative d’interception. Utilisez uniquement l’authentification web standard, sans profils ni certificats racines tiers.

Conclusion : résumé et prochaines étapes

Les réseaux ouverts dans le métro et les cafés ne pardonnent pas les erreurs. L’essentiel : contrôlez les couches — radio, DNS, tunnel, comportement applicatif. La recette pratique : désactivez la connexion automatique aux réseaux ouverts, utilisez un VPN Always-On avec kill switch, disposez d'au moins deux profils adaptés à différents cas (par exemple WireGuard et IKEv2/OpenVPN-TCP 443), verrouillez le DNS dans le tunnel, bloquez les fuites IPv6/WebRTC, appliquez chaque fois le cadre SAFE-WIFI-6 à la connexion publique. Prochaines étapes : 1) préparer des configs VPN avec chaîne de secours et les tester en environnements complexes ; 2) automatiser sur clients : Always-On, blocage sans VPN, politiques DNS ; 3) former équipes et vous-même à reconnaître Evil Twin et menaces captive portal ; 4) pratiquer des auto-contrôles de fuite et analyser les logs tunnels ; 5) recourir aux VPN personnels avec IP dédiée pour stabilité, accessibilité et réduction des blocages réputationnels. En suivant ces conseils, vous transformez un Wi‑Fi public chaotique et dangereux en un canal sécurisé, contrôlé et fiable. C’est ainsi que fonctionne la sécurité pratique en 2026 : architecture consciente, choix de protocole judicieux et rigueur de l’opérateur — vous-même.