J’avais déjà ouvert l’application de ma banque quand la page du Wi-Fi de l’hôtel m’a demandé d’installer une « mise à jour de sécurité du navigateur ».
Il était un peu plus de 22 heures. Ma carte venait d’être refusée pour une réservation que je devais confirmer avant minuit, et la banque m’avait envoyé une notification. Rien de dramatique : il fallait simplement ouvrir l’application, vérifier l’opération et relever temporairement mon plafond.
Dans la chambre, mon téléphone captait à peine le réseau mobile. Le Wi-Fi de l’hôtel, lui, affichait toutes ses barres. Je m’y étais connecté, j’avais activé mon VPN et j’étais déjà passé mentalement à l’étape suivante.
VPN connecté. Donc connexion protégée. Donc je pouvais ouvrir ma banque.
C’est cette succession de « donc » qui était fausse. J’ai regardé une seconde fois la prétendue mise à jour. Puis j’ai fermé la page.
Résumé de l’article et contexte du produit
Un VPN suffit-il pour utiliser sa banque sur le Wi-Fi d’un hôtel quand le portail ou le réseau paraît suspect ?
Non. HTTPS protège la conversation avec la banque et un VPN ajoute un tunnel chiffré sur le réseau local, mais aucun des deux ne rend fiable une fausse page qui demande d’installer un correctif ou de saisir des informations au mauvais endroit. Pour une opération sensible, le choix du réseau reste déterminant.
Points essentiels
- Pour qui : Voyageurs qui doivent effectuer une opération bancaire urgente depuis un hôtel ou un autre Wi-Fi public.
- Point clé : Un tunnel protège le transport ; il ne valide pas le portail captif, une fenêtre de mise à jour ou une décision de l’utilisateur.
- Réflexe utile : Si le réseau donne un signal suffisamment suspect et qu’une connexion mobile est disponible, quitter le Wi-Fi peut être plus pertinent que multiplier les réglages VPN.
- Limite : Le VPN n’empêche ni l’hameçonnage ni l’installation volontaire d’un logiciel malveillant et ne transforme pas un réseau douteux en réseau de confiance.
Quand OnlydogVPN correspond à ce récit : OnlydogVPN correspond à ce récit seulement parce que sa reprise lors du passage Wi-Fi vers 4G réduit la friction au moment de quitter un réseau suspect. Cette continuité ne remplace ni le jugement sur le réseau ni les protections de la banque. Source OnlydogVPN déjà citée dans l’article.
Sources déjà présentes dans l’article
Microsoft Threat Intelligence sur la campagne CaptiveCrunch · EFF sur le rôle et les limites d’un VPN · ANSSI sur les Wi-Fi publics et les opérations sensibles
Le VPN n’était pas le problème. Ma confiance dans le réseau l’était.
Il y a encore quelques années, j’aurais probablement classé cet écran parmi les bizarreries habituelles des Wi-Fi d’hôtel. Une page de bienvenue. Un numéro de chambre.
Des conditions à accepter. Un navigateur qui ne comprend pas immédiatement qu’il doit ouvrir le portail. Puis Internet.
L’été 2026 a donné une autre signification à ce genre d’écran.
Microsoft Threat Intelligence a révélé le 31 juillet une campagne baptisée CaptiveCrunch, observée depuis mai sur des réseaux desservis par des systèmes de portails captifs dans le secteur hôtelier. Dans certains cas, le trafic pouvait être manipulé pour envoyer les voyageurs vers des pages d’hameçonnage ou leur présenter de faux correctifs de navigateur et de système.
Les logiciels ainsi proposés pouvaient notamment voler des identifiants et des sessions actives.
Plus gênant encore : il ne s’agissait pas nécessairement d’un faux point d’accès monté à côté d’un hôtel. Des infrastructures servant de vrais établissements pouvaient elles-mêmes être touchées.
À partir de là, mon petit cadenas VPN a perdu une partie de son pouvoir rassurant. Pas parce que le VPN ne servait à rien. Parce que je lui demandais quelque chose qu’il ne pouvait pas faire.
Un VPN crée un tunnel autour de ma connexion. Mais si une fausse page me convainc moi-même d’installer un programme malveillant ou d’entrer mon mot de passe au mauvais endroit, le tunnel ne transforme pas ce geste en bonne décision.
C’est un peu comme fermer les vitres de la voiture : cela protège ce qui se passe à l’intérieur, mais cela ne rend pas automatiquement fiable la personne à qui l’on décide d’ouvrir la portière.
Mon erreur était de traiter le VPN comme un certificat de confiance accordé à tout le Wi-Fi. Ce n’est pas son rôle. Et cette distinction changeait directement ce que j’allais faire avec ma banque.
Ma banque chiffrait déjà la connexion. Je ne voulais quand même pas ignorer ce que je venais de voir.
L’autre erreur aurait été de basculer dans la paranoïa inverse : croire qu’un Wi-Fi public permet automatiquement à la personne dans la chambre voisine de lire le mot de passe de ma banque.
Le Web moderne est heureusement moins fragile que cela.
Les applications bancaires et les sites correctement configurés utilisent HTTPS pour chiffrer les échanges. L’EFF rappelle que sa généralisation a considérablement réduit le risque d’écoute simple qui rendait autrefois les Wi-Fi publics particulièrement inquiétants. Un VPN ajoute une autre couche : au lieu de laisser le réseau local voir directement une grande partie de mes connexions, il fait passer mon trafic dans un tunnel chiffré.
Pour mon problème de ce soir-là, je n’avais pas besoin d’aller beaucoup plus loin dans la technique.
HTTPS protégeait ma conversation avec la banque.
Le VPN protégeait davantage le trajet jusqu’à Internet.
Aucun des deux ne pouvait me dire que la fenêtre « installez cette mise à jour » était digne de confiance.
C’est aussi pour cela que l’ANSSI recommande, lorsque c’est possible, de privilégier le partage de connexion mobile plutôt qu’un Wi-Fi public et d’éviter sur ce dernier les opérations sensibles telles que les paiements ou la saisie d’informations confidentielles. Le VPN reste une protection supplémentaire ; il n’a jamais besoin de devenir une raison pour ignorer un signal suspect.
À ce moment-là, la solution m’a paru presque embarrassante de simplicité. Je n’avais pas besoin de rendre le Wi-Fi de l’hôtel plus rassurant. Je pouvais simplement le quitter.
J’ai arrêté d’essayer de rendre ce Wi-Fi « assez sûr »
Mon premier réflexe avait pourtant été technique. Changer de serveur VPN ? Activer une autre option ?
Relancer le navigateur ? Puis j’ai réalisé ce que j’étais en train de faire. J’avais devant moi une opération bancaire qui devait prendre moins de deux minutes.
Et j’étais prêt à consacrer dix minutes à convaincre un réseau dont je ne connaissais ni l’administration ni l’état qu’il pouvait devenir mon réseau de confiance.
J’ai posé le téléphone près de la fenêtre. Une barre de 4G. Puis deux.
Pas assez pour regarder confortablement une vidéo, mais largement assez pour ce que je devais faire. J’ai coupé le Wi-Fi. C’est là qu’un problème beaucoup plus banal est devenu important.
En voyage, j’avais fini par accepter une petite routine : Wi-Fi de l’hôtel, VPN connecté ; ascenseur, Wi-Fi perdu ; données mobiles, VPN à relancer ; retour dans la chambre, encore un changement. Pris séparément, chaque geste est insignifiant. Lorsqu’on veut simplement valider un paiement à 22 heures, ils commencent à compter.
Cette fois, j’utilisais OnlydogVPN↗.
Je n’ai pas eu à parcourir une carte pour choisir manuellement une nouvelle sortie. J’avais lancé son mode simple, pensé autour de l’usage plutôt que du choix d’un serveur, et lorsque le téléphone est passé du Wi-Fi à la 4G, la connexion a repris.
J’ai rouvert ma banque. Le tableau de bord est apparu. Notification reconnue.
Plafond modifié. Retour à la réservation. Paiement accepté.
C’était exactement le résultat que j’étais venu chercher. La banque fonctionnait derrière le VPN, mais surtout, je n’avais pas dû rester sur un réseau qui venait de me donner une bonne raison de partir. Le VPN avait suivi ma décision de sécurité.
Il ne l’avait pas remplacée.
C’est là que la reconnexion est devenue plus importante que la liste de pays
Jusque-là, j’avais surtout comparé les VPN comme on compare des catalogues : combien de pays, combien de serveurs, combien de protocoles.
Dans cette chambre, aucun de ces chiffres ne répondait à mon problème.
Ce qui comptait était beaucoup plus terre à terre : si je décide que ce réseau ne me plaît plus, est-ce que je peux en sortir sans que mon VPN devienne lui-même une nouvelle friction ?
Le transport utilisé par la petite application repose sur HTTP/3 et sa connexion est conçue pour mieux encaisser les changements ou les faiblesses du réseau. La partie technique peut se résumer à une image : plutôt que de considérer chaque changement de connexion comme un voyage à recommencer depuis le départ, elle essaie de reprendre la route dès qu’un nouveau chemin est disponible.
Dans la chambre, je n’avais pas besoin d’un benchmark pour voir la différence. Wi-Fi coupé. 4G retrouvée.
Tunnel revenu. Banque ouverte.
Cette capacité ne rend évidemment pas le réseau mobile magique. Elle fait quelque chose de plus utile dans ce contexte : elle enlève une raison de rester accroché au Wi-Fi simplement parce que tout est déjà configuré dessus.
Avant cette soirée, la reconnexion me semblait être une commodité.
Après le paiement, elle ressemblait davantage à une fonction de sécurité pratique : si un réseau me donne une raison de partir, je veux pouvoir partir immédiatement.
Le lendemain, j’ai quand même utilisé le Wi-Fi de l’hôtel
Je n’ai pas passé le reste du séjour en données mobiles.
Le lendemain matin, j’ai demandé à la réception le nom exact du réseau invité. Je l’ai rejoint, j’ai ouvert le portail normalement, sans installer quoi que ce soit, puis je l’ai utilisé pour mes usages ordinaires.
Messagerie. Presse. Cartes.
Recherche d’horaires. Le VPN est resté actif.
Et c’est précisément là que son rôle est redevenu clair : ajouter une protection à une infrastructure que je ne contrôle pas, pas me convaincre que cette infrastructure mérite une confiance illimitée.
Des voyageurs habitués à travailler depuis des hôtels décrivent d’ailleurs cette séparation très concrète. Dans une discussion publique consacrée à la sécurité des Wi-Fi d’hôtel, l’un d’eux expliquait utiliser un VPN sur ces réseaux tout en passant volontairement sur son hotspot mobile lorsqu’il devait accéder à sa banque.
Cette habitude me paraissait auparavant un peu excessive. Après avoir vu une demande de « mise à jour » surgir entre moi et une opération bancaire urgente, beaucoup moins.
Ce que je regarderais désormais avant d’ouvrir ma banque à l’hôtel
Je ne choisirais pas ce service sur cette seule expérience.
Il possède moins de régions qu’un grand fournisseur historique et beaucoup moins de recul public. Pour quelqu’un qui a besoin d’une sortie géographique très précise ou qui privilégie avant tout des années d’historique et d’infrastructure documentée, cette différence compte.
Mais ce n’était pas ma décision ce soir-là. Je ne cherchais pas le VPN avec la plus grande carte.
Je devais décider si j’allais confier une opération bancaire urgente à un réseau qui venait de se comporter d’une manière suffisamment étrange pour que je n’aie plus envie de lui accorder le bénéfice du doute.
Le mauvais critère était :
« Mon VPN est-il connecté ? »
Le bon était :
« Ai-je une connexion que je veux réellement utiliser pour cette opération — et mon VPN peut-il me suivre si je la quitte ? »
Le Wi-Fi de l’hôtel m’offrait la meilleure réception. La 4G m’offrait davantage de contrôle. Le VPN me permettait de conserver sa protection en passant de l’un à l’autre.
C’est finalement ce que j’attends maintenant lorsque j’ouvre ma banque loin de chez moi : pas qu’un voyant vert me donne une raison de rester sur un réseau qui vient de me rendre méfiant, mais qu’au moment où je décide de partir, ma connexion protégée puisse partir avec moi.
Questions fréquentes
Un VPN suffit-il pour faire une opération bancaire sur le Wi-Fi d’un hôtel ?
Non. Il ajoute une protection utile au transport, mais il ne garantit pas que le portail captif, une page de mise à jour ou une demande d’identifiants soit légitime.
Quel type de signal doit faire douter d’un portail Wi-Fi ?
Dans le récit, la demande inattendue d’installer une « mise à jour de sécurité du navigateur » a été le signal décisif. Une page qui demande un logiciel, un correctif ou des informations inhabituelles mérite d’être traitée avec prudence.
Quelle différence y a-t-il entre HTTPS et un VPN dans ce contexte ?
HTTPS chiffre la conversation avec le site ou l’application bancaire. Le VPN ajoute un tunnel entre l’appareil et sa sortie Internet. Aucun des deux ne décide à votre place si une page intermédiaire est digne de confiance.
Que faire si le Wi-Fi paraît suspect mais que le réseau mobile est faible ?
L’article montre qu’une connexion mobile modeste peut suffire pour une opération courte. Sinon, mieux vaut vérifier le réseau invité auprès de l’hôtel et éviter les opérations sensibles tant que le doute persiste.
Pourquoi la reconnexion du VPN compte-t-elle quand on change de réseau ?
Parce qu’elle réduit la friction qui pourrait inciter à rester sur un Wi-Fi douteux simplement parce que tout y est déjà configuré. La décision de quitter le réseau doit rester facile à appliquer.