Peut-on lire mes mots de passe sur un Wi-Fi public ?

Pas sur un site dont la connexion est chiffrée, ce qui est aujourd'hui la norme : l'intermédiaire voit la destination, pas ce qui est échangé. L'image des mots de passe lus en clair correspond à des connexions non chiffrées, devenues rares sur le web. Les vrais points d'attention sont ailleurs : une page d'accès au réseau qui vous fait saisir un identifiant, un certificat que l'on vous fait installer, une vieille application qui transmet sans chiffrement.

Que voit exactement l'observateur, alors ?

Les services que vous contactez, quand et combien de données transitent. C'est déjà une information personnelle — la liste des sites consultés peut être sensible en elle-même — mais ce n'est pas le contenu de vos échanges.

Faut-il un VPN sur un réseau public ?

C'est utile si vous voulez que le réseau local ne voie pas vos destinations. Sachez toutefois ce que vous faites : vous transférez cette visibilité au fournisseur du VPN. La question n'est donc pas d'en utiliser un, mais de savoir à qui vous préférez accorder cette confiance.

Interception de trafic

En clair

L'écoute de ce qui passe sur un réseau, sans rien modifier. Ce que l'on peut en tirer dépend entièrement du chiffrement — beaucoup moins qu'on ne l'imagine, et plus qu'on ne le voudrait.

Ce que cherche l'attaquant : collecter des données personnelles.

Définition

L'interception de trafic est l'observation passive des données circulant sur un réseau par un tiers en mesure de les voir passer. Elle ne modifie rien et ne laisse aucune trace chez la personne observée, ce qui la rend indétectable de son côté — cette fiche explique donc surtout ce qu'elle permet réellement, et ce que le chiffrement protège.

Comment ça fonctionne

Pour observer, il faut être sur le trajet : fournir le réseau, être présent sur le réseau local, ou administrer un équipement traversé. Ce que l'observation livre dépend alors du chiffrement, et la distinction est ce qu'il faut retenir. Avec une connexion chiffrée de bout en bout — le cas de la quasi-totalité des sites aujourd'hui — l'observateur voit vers quels services vous vous connectez, à quels moments et pour quels volumes, mais pas le contenu échangé : ni le mot de passe saisi, ni la page consultée, ni le message envoyé. Ce n'est pas rien : la liste des services que vous utilisez est en elle-même une information, parfois sensible. Sans chiffrement, il voit tout, et l'ancienne image de mots de passe lus en clair sur un réseau public correspond à cette situation, devenue marginale sur le web. Le risque s'est donc déplacé plutôt que supprimé : il porte aujourd'hui sur les métadonnées, sur les applications anciennes ou mal conçues qui n'utilisent pas de connexion chiffrée, et sur les manœuvres visant à faire tomber ce chiffrement — installation d'un certificat, page de connexion réclamant une saisie.

Sur quoi cette attaque s'appuie

La confiance

Comprendre ces ressorts vaut mieux que retenir cent fiches : c'est ce qui permet de reconnaître une arnaque que personne n'a encore décrite.

Signaux d'alerte

Aucun signe : l'observation passive est indétectable depuis l'appareil observé
Application affichant un avertissement de connexion non sécurisée
Réseau qui demande l'installation d'un profil ou d'un certificat avant de donner l'accès
Site habituellement en connexion sécurisée qui s'affiche sans, sur ce réseau uniquement

Comment vérifier

Il n'y a rien à vérifier du côté de l'observation, et prétendre le contraire serait trompeur. Ce qui se vérifie est votre propre exposition : vos connexions sont-elles chiffrées, avez-vous installé un certificat demandé par un réseau, une application ancienne transmet-elle encore en clair. C'est là que se joue la différence entre voir vos destinations et voir vos données.

Que faire

Utilisez des services et des applications qui chiffrent leurs connexions, et tenez-les à jour. N'installez aucun certificat ni profil réseau demandé pour « accéder à internet ». Sur un réseau que vous ne maîtrisez pas, un VPN masque vos destinations à l'observateur local — en les révélant à son fournisseur, ce qui est un arbitrage à faire en connaissance de cause, pas une solution automatique.

Si c'est déjà arrivé

Retirez tout certificat ou profil installé à la demande d'un réseau. Depuis une connexion de confiance, changez les mots de passe des services utilisés pendant la période concernée, en commençant par ceux dont vous savez que l'application n'était pas chiffrée. Fermez les sessions ouvertes. Signalez les faits sur cybermalveillance.gouv.fr.

Questions fréquentes

Peut-on lire mes mots de passe sur un Wi-Fi public ?: Pas sur un site dont la connexion est chiffrée, ce qui est aujourd'hui la norme : l'intermédiaire voit la destination, pas ce qui est échangé. L'image des mots de passe lus en clair correspond à des connexions non chiffrées, devenues rares sur le web. Les vrais points d'attention sont ailleurs : une page d'accès au réseau qui vous fait saisir un identifiant, un certificat que l'on vous fait installer, une vieille application qui transmet sans chiffrement.
Que voit exactement l'observateur, alors ?: Les services que vous contactez, quand et combien de données transitent. C'est déjà une information personnelle — la liste des sites consultés peut être sensible en elle-même — mais ce n'est pas le contenu de vos échanges.
Faut-il un VPN sur un réseau public ?: C'est utile si vous voulez que le réseau local ne voie pas vos destinations. Sachez toutefois ce que vous faites : vous transférez cette visibilité au fournisseur du VPN. La question n'est donc pas d'en utiliser un, mais de savoir à qui vous préférez accorder cette confiance.

Sources officielles

Cybermalveillance.gouv.fr — Assistance et signalement

Aussi appelée : sniffing, écoute réseau, capture de trafic, espionnage réseau.

Cette fiche fait partie de la famille Réseaux et Wi-Fi. Mise à jour : 2026-09-03.