Pourquoi il faut absolument désactiver le WiFi
de votre smartphone en sortant de chez vous.

La recommandation existe bel et bien, et elle est formulée simplement par l’Agence nationale de la sécurité des systèmes d’information : n’activer l’interface WiFi que lorsqu’elle doit être utilisée. Ce principe figure dans ses notes techniques depuis longtemps et vient d’être rappelé début septembre 2026 dans une nouvelle publication de la série « Les Essentiels », consacrée à la sécurisation des réseaux sans fil.

La logique est celle de la réduction de surface d’attaque. Une interface radio active est une interface qui émet, qui écoute, qui se déclare disponible et qui peut être sollicitée. Une interface éteinte ne présente aucune de ces caractéristiques. Le raisonnement vaut également pour le Bluetooth et pour le partage de connexion.

La direction générale de la Sécurité intérieure reprend la même consigne dans ses réflexes de cybersécurité, en invitant à éviter les réseaux WiFi publics ou inconnus. Ces recommandations visent d’abord un contexte professionnel et une mobilité à l’étranger, où la question du réseau non maîtrisé prend une autre dimension.

Il faut le dire clairement, parce que l’argument est répété partout : l’image du pirate installé à la table voisine qui lit vos identifiants bancaires dans le trafic ne correspond plus à la réalité technique de 2026.

La Commission fédérale du commerce américaine, dont la page d’information a été mise à jour en mars 2026, est explicite sur ce point. Autrefois, la plupart des sites ne chiffraient pas les données et l’information circulait en clair. Aujourd’hui, la grande majorité des sites chiffre les échanges, et l’agence en tire une conclusion sans ambiguïté : du fait de cette généralisation du chiffrement, se connecter à un réseau WiFi public est généralement sûr.

Trois évolutions expliquent ce basculement. Le chiffrement du web est devenu la norme et les navigateurs alertent désormais sur les rares pages qui ne l’utilisent pas. Les applications mobiles, en particulier bancaires, vérifient l’identité du serveur auquel elles parlent. Et la résolution des noms de domaine se chiffre à son tour, ce qui réduit encore ce qu’un observateur du réseau peut apprendre.

Le mécanisme mérite d’être décrit avec précision, car il est souvent simplifié à l’excès. Un téléphone conserve la liste des réseaux auxquels il s’est déjà connecté et tente de les rejoindre automatiquement lorsqu’il les détecte à nouveau. Un attaquant peut diffuser un réseau portant exactement le même nom qu’un réseau connu.

La reconnexion silencieuse ne fonctionne pas dans tous les cas. Pour un réseau protégé par mot de passe, l’appareil vérifie que le point d’accès connaît bien la clé partagée : un faux réseau du même nom mais sans la clé échoue. La faiblesse concerne les réseaux ouverts, sans mot de passe, où rien n’authentifie la borne. Ce sont précisément ceux des gares, des aéroports et des chaînes de cafés.

La conséquence pratique est simple. Le danger ne vient pas de la mémorisation en elle-même, mais de la présence de réseaux ouverts dans la liste des réseaux enregistrés. Supprimer ces entrées et désactiver la connexion automatique pour les réseaux publics suffit à fermer ce vecteur, sans renoncer au WiFi domestique.

Il existe un second motif de couper le WiFi, moins spectaculaire mais plus quotidien, et il ne relève pas du piratage. Un téléphone dont l’interface est active émet régulièrement des signaux de recherche captables par n’importe quelle borne à portée, y compris celles installées dans les commerces pour mesurer la fréquentation.

Une protection a été généralisée face à cette pratique : l’adresse matérielle communiquée par l’appareil n’est plus son identifiant d’usine mais une valeur aléatoire, différente pour chaque réseau. Apple l’a introduite avec iOS 14 sous le nom d’adresse WiFi privée, et la fait varier périodiquement depuis iOS 15. Android l’applique par défaut depuis Android 10.

Cette randomisation réduit fortement le suivi d’un même appareil d’un lieu à l’autre, sans l’annuler totalement. Elle peut d’ailleurs être désactivée réseau par réseau, et certains hébergeurs ou campus demandent de le faire pour des raisons de gestion. C’est une bascule à ne pas accepter sans raison.

Le réseau privé virtuel est présenté comme la réponse évidente au WiFi public. Sa fonction réelle mérite d’être décrite sans exagération, dans un sens comme dans l’autre.

Ce qu’il apporte : il regroupe l’ensemble du trafic sortant dans un tunnel unique, si bien que l’exploitant du réseau ne voit plus quels services sont sollicités ni à quel rythme. C’est un gain sur les métadonnées, précisément le point que le chiffrement du web ne couvre pas. Il protège aussi contre une manipulation du trafic par un réseau hostile.

Ce qu’il n’apporte pas : il n’ajoute rien à la sécurité d’une connexion déjà chiffrée vers un site correctement configuré. Il ne protège pas d’un mot de passe saisi dans un formulaire frauduleux. Il ne soigne pas un appareil déjà compromis. Et le trafic émis avant l’établissement du tunnel, notamment lors du passage par un portail captif, sort en dehors de celui-ci.