VPN sur Wi-Fi public : est-ce indispensable en 2026 ?

Cafés, aéroports, hôtels, gares : les Wi-Fi publics sont partout, et souvent mal configurés. En 2026, l'arrivée massive du HTTPS (95 % du trafic web) a réduit les risques par rapport à 2015 — mais n'a pas tout réglé.

• Évil twin : un attaquant crée un faux point d'accès « Starbucks_Free_WiFi » et voit tout votre trafic non chiffré.
• Sniffing DNS : même en HTTPS, vos requêtes DNS révèlent les sites visités si elles sont en clair.
• Captive portals piégés : certains hôtels injectent du JavaScript dans les pages HTTP pour suivre vos sessions.
• Apps anciennes : certains messengers, jeux et apps professionnelles communiquent encore en HTTP non chiffré.

Un VPN crée un tunnel chiffré entre votre appareil et son serveur, invisible aux autres utilisateurs du réseau. Même un attaquant qui contrôle le routeur Wi-Fi ne peut voir que du chiffrement opaque (AES-256 ou ChaCha20). Vos requêtes DNS passent aussi dans le tunnel, neutralisant le sniffing et les redirections malicieuses.

Tous les VPN sérieux proposent une option « Auto-Connect on untrusted Wi-Fi » : dès que votre appareil rejoint un nouveau Wi-Fi, le VPN s'active automatiquement avant qu'aucune app ne puisse envoyer de paquets en clair.

Activation :

• NordVPN : Paramètres → Auto-Connect → Wi-Fi non sécurisé.
• Surfshark : Paramètres VPN → Connecter au démarrage.
• ExpressVPN : Préférences → Lancer au démarrage + Network Lock.

• Désactivez le partage de fichiers et l'AirDrop en réseau public.
• Vérifiez l'icône du cadenas HTTPS avant toute saisie sensible.
• Préférez la 4G/5G pour les opérations bancaires si vous n'avez pas de VPN.
• Coupez le Wi-Fi automatique sur Android (paramètres → Wi-Fi → Préférences réseau).
• Utilisez des mots de passe uniques + gestionnaire (Bitwarden, 1Password).

Oui, un VPN reste indispensable sur Wi-Fi public en 2026, même si HTTPS a réduit les risques. Le coût (2-3 €/mois) est dérisoire face au risque d'intercepter une session bancaire, un mot de passe d'entreprise ou un accès cloud sensible.