Hotspots d’opérateur et Wi-Fi partagé : ce que le réseau observe

En France, une partie du Wi-Fi disponible hors de chez soi ne vient pas d’un commerce mais des box des abonnés : plusieurs opérateurs ont diffusé, en plus du réseau du foyer, un second réseau ouvert à leurs autres clients. Le périmètre de ces services varie selon l’opérateur, l’offre et la génération de box, et il évolue dans le temps. À côté coexistent les réseaux ouverts à portail captif des gares, cafés et hôtels, et les réseaux authentifiés par carte SIM (EAP-SIM) ou par profil 802.1X, qui suppriment la page de connexion.

La différence n’est pas cosmétique : elle détermine si votre voisin de table peut lire vos trames et ce que l’exploitant enregistre. Ce guide décrit ce qui est réellement observable dans chaque cas, puis les réglages qui réduisent l’exposition sans rien changer à votre usage.

Deux familles de hotspots, deux niveaux d’exposition

Sur un réseau ouvert doublé d’un portail captif, il n’y a aucun chiffrement au niveau radio : toute personne à portée équipée d’une carte Wi-Fi en mode écoute capte les trames. Seul le chiffrement opportuniste OWE, commercialisé sous le nom « Enhanced Open » et encore peu déployé, change cette situation. Sur un réseau authentifié — EAP-SIM, 802.1X, Passpoint — l’association négocie des clés propres à chaque client : le lien radio est chiffré et le voisin ne lit plus vos trames, même en connaissant le nom du réseau.

• SSID ouvert et portail web : pas de chiffrement radio, authentification par page, session identifiée par l’adresse MAC.
• SSID authentifié par carte SIM ou 802.1X : lien chiffré, aucune page à valider, identité fournie par la carte SIM ou par un profil installé.
• Dans les deux cas : le chiffrement radio s’arrête au point d’accès. Au-delà, votre trafic traverse l’infrastructure de l’exploitant comme n’importe quel autre trafic.

Ce qu’un observateur du même réseau peut voir

Sur un réseau ouvert et sans tunnel, un observateur passif reconstitue beaucoup de choses sans rien déchiffrer.

• L’adresse MAC de l’appareil et le nom d’hôte annoncé dans le bail DHCP, qui contient très souvent un prénom.
• Les requêtes DNS en clair, donc la liste des noms de domaine consultés.
• Le nom du serveur annoncé dans la poignée de main TLS (le champ SNI), sauf lorsque le client et le site négocient son chiffrement (ECH).
• Les adresses IP jointes, la taille et le rythme des paquets, ce qui suffit fréquemment à identifier le service utilisé.
• Les diffusions locales : découverte de services, partages de fichiers, noms d’appareils annoncés au réseau.
• Les réseaux mémorisés que l’appareil recherche activement, révélateurs des lieux fréquentés.

Ce que voit l’exploitant du hotspot

L’exploitant dispose par construction des journaux d’association — horodatage, identifiant ou adresse MAC, durée de session —, des adresses de destination jointes et des requêtes DNS si vous utilisez ses résolveurs. Les opérateurs français conservent par ailleurs des données de connexion dans le cadre réglementaire qui leur est applicable. La question pratique n’est donc pas de savoir si ces traces existent, mais lesquelles vous produisez. Un tunnel ramène ce que voit l’exploitant à un flux chiffré vers une seule destination, sans effacer l’enregistrement de votre présence sur le réseau.

Votre box est peut-être elle-même un hotspot

Si votre box diffuse le réseau ouvert de votre opérateur, elle sert de point d’accès à d’autres abonnés. Ce trafic est en principe porté par un réseau logique distinct du vôtre : les invités ne voient pas votre réseau local et ne partagent pas votre adressage. Deux conséquences concrètes subsistent : ce service consomme du temps d’antenne sur les mêmes canaux que votre propre Wi-Fi, et il est le plus souvent désactivable — parfois au prix de l’accès à ce même réseau lorsque vous êtes à l’extérieur.

1. 1Ouvrez l’interface d’administration de la box depuis le réseau local.
2. 2Cherchez la section Wi-Fi, puis l’entrée relative au réseau ouvert de l’opérateur ou au partage de connexion.
3. 3Vérifiez avant modification si votre offre conditionne l’accès à ce réseau, hors de chez vous, au fait de le diffuser chez vous.
4. 4Contrôlez ensuite depuis un téléphone, hors de votre réseau local, que le SSID de l’opérateur a bien disparu.

Le nom d’un réseau ne prouve rien

Un SSID n’est qu’une chaîne de caractères, librement recopiable par n’importe quel point d’accès. Un appareil qui a mémorisé un réseau ouvert s’y réassocie automatiquement dès qu’il en voit le nom, sans intervention de votre part : c’est le principe du jumeau maléfique, et il ne demande aucun matériel particulier. L’authentification par carte SIM ou par profil 802.1X y résiste mieux, parce que le client ne se contente pas d’un nom pour engager ses secrets. Sur les réseaux ouverts, la seule parade fiable reste de ne pas conserver le profil.

Hygiène applicable en dix secondes

1. 1Activez l’adresse MAC aléatoire par réseau, et préférez l’option « aléatoire à chaque connexion » lorsqu’elle existe.
2. 2Renommez l’appareil : le nom d’hôte part en clair dans le bail DHCP et se lit sans effort.
3. 3Désactivez la connexion automatique aux réseaux ouverts et supprimez les profils enregistrés dans les lieux de passage.
4. 4Montez le tunnel avant toute action sensible et vérifiez l’adresse de sortie une fois le portail validé.
5. 5N’installez jamais un profil de configuration ni un certificat proposé par un réseau.
6. 6Coupez le Wi-Fi quand vous ne l’utilisez pas : un appareil qui ne cherche pas de réseau n’annonce pas la liste des siens.

Sur ces réseaux, la première difficulté est souvent d’ouvrir la page d’authentification sans casser le tunnel : la séquence exacte est détaillée dans notre guide sur les portails captifs. Le contrôle de l’adresse de sortie et des résolveurs se fait sur notre page de test de fuites. Au domicile, l’exposition dépend d’autres facteurs, à commencer par la double pile IPv6 et le partage d’adresse IPv4 de votre ligne.

Questions fréquentes