Un café, un aéroport, une chambre d'hôtel : ces réseaux Wi-Fi publics ont un point commun invisible mais déterminant, ils sont partagés par des inconnus sur un support qui n'est, par défaut, pas chiffré au niveau du réseau local. C'est le seul des cinq scénarios traités dans notre guide des VPN gratuits où la proximité physique d'un attaquant suffit à créer un risque réel, sans qu'il ait besoin d'accéder à quoi que ce soit chez vous. Comprendre précisément ce mécanisme permet de savoir ce qu'un VPN doit impérativement offrir ici, et ce qui, à l'inverse, ne change presque rien.
Sur un Wi-Fi public classique, tous les appareils connectés partagent le même segment réseau. Un attaquant situé sur ce même réseau peut mettre en place une usurpation ARP (ARP spoofing) : il envoie de fausses réponses au protocole de résolution d'adresses pour se positionner entre votre appareil et la passerelle Internet, une technique classée dans la famille des attaques de l'homme du milieu (man-in-the-middle). Une variante plus visible mais tout aussi efficace est le faux point d'accès (evil twin) : un réseau Wi-Fi qui imite le nom d'un réseau légitime (« Aeroport_WiFi_Free ») pour capter directement les connexions des utilisateurs qui ne vérifient pas son authenticité.
Une fois positionné sur le chemin de votre trafic, l'attaquant peut utiliser un outil d'analyse de paquets pour observer ce qui transite. Sur un site en clair (HTTP), l'exposition est totale. Sur un site en HTTPS, le contenu échangé reste chiffré de bout en bout entre votre navigateur et le site — mais deux éléments restent visibles : les requêtes DNS qui traduisent les noms de domaine en adresses IP, et les métadonnées de connexion (quels serveurs vous contactez, à quelle heure, avec quel volume de données). Pour quelqu'un qui veut simplement savoir quels sites vous visitez, cela suffit largement.
Un VPN correctement configuré déplace le point de chiffrement en amont : votre trafic est chiffré avant même de quitter votre appareil, ce qui neutralise l'usurpation ARP et le faux point d'accès au niveau du réseau local — l'attaquant intercepte alors un flux chiffré illisible plutôt que du texte ou des métadonnées exploitables. C'est la situation où l'argument du chiffrement, souvent brandi comme un argument marketing générique, correspond réellement à un risque concret et immédiat.
Le standard actuel est le chiffrement AES-256, associé à un protocole moderne comme WireGuard ou à un protocole plus ancien mais éprouvé comme OpenVPN. La différence entre les deux se joue surtout sur la vitesse de négociation de connexion et la consommation de batterie sur mobile, pas sur la robustesse du chiffrement lui-même, qui est considérée comme suffisante dans les deux cas face aux moyens d'un attaquant opportuniste sur un Wi-Fi public.
Un tunnel VPN peut se couper sans prévenir : changement de réseau, perte momentanée de signal, redémarrage du service. Sans kill switch, votre appareil peut alors basculer automatiquement sur la connexion Wi-Fi en clair le temps que le VPN se reconnecte, exposant une fraction de votre trafic exactement au moment où vous pensiez être protégé. Un kill switch fiable bloque tout accès à Internet tant que le tunnel n'est pas rétabli, plutôt que de laisser passer le trafic par défaut.
C'est un point sur lequel les VPN gratuits sont inégaux : certains l'implémentent au niveau du système d'exploitation (le plus fiable), d'autres seulement au niveau de l'application elle-même, ce qui laisse une fenêtre d'exposition si l'application plante plutôt que si le tunnel tombe proprement. Avant de vous fier à cette fonctionnalité sur un Wi-Fi public, il vaut mieux la tester une fois en conditions réelles plutôt que de vous fier à sa simple présence dans la liste des fonctionnalités.
Deux tests suffisent à valider qu'un VPN tient ses promesses sur ce scénario précis. D'abord, un test de fuite DNS et IPv6 via un site dédié : connectez-vous à votre VPN, lancez le test, et vérifiez que l'adresse IP et le serveur DNS affichés correspondent bien à ceux du VPN, pas à ceux de votre fournisseur d'accès habituel. Ensuite, un test de kill switch : une fois connecté au VPN, coupez manuellement le Wi-Fi puis rallumez-le rapidement, ou basculez votre appareil en mode avion quelques secondes — si une application continue d'échanger des données pendant la reconnexion, le kill switch n'a pas fonctionné comme annoncé.
Ces deux vérifications ne demandent aucune compétence technique particulière, seulement de prendre cinq minutes avant de faire confiance à un outil sur un réseau que vous ne contrôlez pas.
Contrairement à d'autres situations traitées dans notre guide, le nombre de serveurs et leur répartition géographique n'ont ici presque aucune importance : un VPN gratuit disposant de trois serveurs dans un seul pays protège aussi bien sur un Wi-Fi public qu'un service qui en propose plusieurs milliers, du moment que le chiffrement et le kill switch fonctionnent correctement. De même, une vitesse de connexion modeste reste largement suffisante pour de la navigation classique ou de la consultation d'e-mails, les usages les plus fréquents sur ce type de réseau.
Ce constat vaut la peine d'être souligné : c'est précisément le scénario où un VPN gratuit basique, à condition de vérifier ces deux points précis, remplit correctement sa fonction, sans qu'il soit nécessaire d'investir dans une offre plus large ou plus rapide pensée pour d'autres usages.
Quand elle est disponible, l'option la plus simple pour éviter entièrement le problème reste le partage de connexion (hotspot) depuis votre propre smartphone : votre trafic passe alors par le réseau mobile de votre opérateur plutôt que par un point d'accès Wi-Fi partagé avec des inconnus, ce qui élimine le risque d'ARP spoofing local à la racine. Un VPN reste néanmoins utile même dans ce cas, notamment pour se protéger d'un opérateur qui inspecterait le trafic ou pour bénéficier d'une protection cohérente quel que soit le réseau utilisé, sans avoir à se souvenir de basculer d'un mode à l'autre selon l'endroit où vous vous trouvez.
En pratique, la combinaison la plus robuste reste un VPN activé par défaut sur votre appareil, couplé à un réflexe simple : vérifier, une seule fois par nouveau service utilisé, que le kill switch et l'absence de fuite DNS sont bien effectifs. Le reste — nombre de serveurs, vitesse maximale annoncée, marque du fournisseur — n'a, pour ce scénario précis, qu'une importance secondaire.