Sur les Wi-Fi publics, le meilleur VPN est celui qui réussit à établir son tunnel

La page de l’hôtel me demandait de « mettre à jour le navigateur pour continuer ». J’avais un fichier client à envoyer avant 18 heures, le partage de connexion de mon téléphone captait mal dans la chambre et, pendant une seconde, mon réflexe a été de cliquer.

Après tout, les Wi-Fi d’hôtel font régulièrement ce genre de choses: une page intermédiaire, un numéro de chambre, une case à cocher, parfois un portail qui refuse de s’afficher correctement. J’ai donc d’abord pensé à un dysfonctionnement de plus.

Puis j’ai regardé le message une seconde fois.

Pourquoi un hôtel aurait-il besoin de mettre à jour mon navigateur?

J’ai fermé la page, repassé sur la 5G et vérifié les mises à jour directement dans le navigateur. Il n’y en avait aucune.

Cette petite hésitation est devenue plus intéressante depuis le 31 juillet 2026. Microsoft Threat Intelligence a révélé une campagne observée depuis début mai sur des réseaux utilisant des portails captifs, notamment dans des hôtels et d’autres lieux fréquentés par des voyageurs. Les attaquants manipulaient le trafic DNS et HTTP pour rediriger certains utilisateurs vers de fausses mises à jour de navigateur ou de système destinées à leur faire installer un logiciel malveillant. Microsoft Threat Intelligence

Cela change la manière de regarder un Wi-Fi public. Le problème n’est plus simplement de savoir si la connexion est lente ou si quelqu’un peut observer une partie du trafic. Lorsque je rejoins un réseau que je ne contrôle pas, je veux surtout réduire le temps pendant lequel mon ordinateur lui fait directement confiance.

Et pour cela, je n’avais pas seulement besoin d’un VPN qui chiffre mon trafic. J’avais besoin d’un VPN qui réussisse réellement à établir son tunnel sur ce réseau.

J’avais besoin du Wi-Fi, même si je ne lui faisais pas confiance

La solution la plus simple aurait été de rester sur les données mobiles. Microsoft recommande d’ailleurs de privilégier sa propre connexion cellulaire lorsqu’elle est disponible, et l’ANSSI conseille elle aussi le partage de connexion plutôt qu’un Wi-Fi public lorsque c’est possible.12

Dans ma chambre, ce plan avait un défaut très concret: la 5G oscillait entre une et deux barres et le fichier à livrer faisait plusieurs centaines de mégaoctets.

J’allais donc utiliser le Wi-Fi.

J’ai vérifié le nom du réseau auprès de l’hôtel, rejoint le portail normal, accepté les conditions d’accès, puis lancé le VPN que j’utilisais habituellement.

C’était un gros fournisseur. Je l’avais choisi précisément parce qu’il n’avait rien d’exotique: une marque installée depuis longtemps, beaucoup de serveurs, de nombreux pays et suffisamment d’avis publics pour inspirer confiance.

À la maison, je n’avais pratiquement jamais à penser à lui.

À l’hôtel, il moulinait.

Connexion. Échec.

Autre serveur.

Connexion. Nouvel échec.

J’ai désactivé le VPN: Internet est revenu immédiatement.

Je l’ai réactivé: plus rien.

Mon premier réflexe a été celui que j’avais appris avec les grands VPN: essayer Paris, puis Amsterdam, puis Francfort. Lorsqu’on dispose de centaines ou de milliers de serveurs, on finit facilement par considérer chaque problème comme une question de destination.

Mais après quelques tentatives, quelque chose clochait dans ce raisonnement. Si plusieurs serveurs différents échouaient depuis le même Wi-Fi alors que la connexion Internet fonctionnait sans VPN, changer encore de ville ne répondait peut-être pas au bon problème.

Ce genre de friction revient aussi dans les discussions publiques: des voyageurs racontent devoir valider le portail captif, couper leur VPN, puis multiplier les reconnexions avant de retrouver un tunnel utilisable. Reddit

C’était exactement ce qui m’agaçait. Je n’avais pas envie de passer dix minutes à comprendre le réseau de l’hôtel. J’avais un fichier à envoyer.

Le chiffrement n’empêche pas forcément un réseau de reconnaître un VPN

C’est à ce moment-là que j’ai compris pourquoi le nombre de serveurs ne suffisait pas comme critère.

J’avais longtemps résumé les choses ainsi: si le trafic est chiffré, le réseau ne sait pas ce que je fais. C’est vrai pour le contenu, mais cela ne signifie pas que la connexion ressemble à n’importe quel trafic ordinaire.

Des travaux présentés à USENIX Security ont montré qu’OpenVPN peut être identifié à partir de caractéristiques visibles dans son trafic, notamment certains motifs et comportements réseau. Xue et al., USENIX Security

La conséquence utile tient en une phrase: un réseau n’a pas besoin de lire le contenu d’un tunnel pour reconnaître qu’il ressemble à du trafic VPN.

Dès lors, essayer vingt serveurs utilisant le même type de connexion peut être moins utile que d’utiliser un tunnel moins facile à classer.

Et cette fois, le comparatif ne portait plus vraiment sur la taille du réseau de serveurs. Il portait sur la capacité à passer.

J’ai arrêté de changer de serveur et changé d’approche

C’est à ce moment-là que j’ai essayé OnlydogVPN.

L’interface m’a d’abord paru presque trop simple. Au lieu d’ouvrir une grande liste de pays et de me demander de trouver moi-même la bonne combinaison, j’ai choisi un réglage adapté à la situation de connexion.

Puis j’ai lancé le tunnel.

Il s’est établi.

J’ai rouvert le portail de mon client et repris l’envoi du fichier.

La barre de progression s’est remise à avancer.

Après plusieurs échecs avec l’autre application, j’ai attendu un peu avant de considérer le problème comme réglé. Le transfert a continué. J’ai ouvert quelques pages. Pas besoin de changer de serveur, de fouiller dans les protocoles ou de relancer l’application.

Le fichier avançait. C’était le résultat qui comptait.

La différence technique est assez simple à résumer. Le service utilise un transport basé sur HTTP/3 et ajoute de l’obfuscation à son trafic. En pratique, le tunnel est conçu non seulement pour chiffrer les données, mais aussi pour être moins évident à distinguer d’un trafic Internet plus ordinaire.

Je ne pouvais pas observer les règles de filtrage internes appliquées par le Wi-Fi de l’hôtel et donc déterminer précisément ce qui avait bloqué mon premier VPN. En revanche, le résultat visible ne demandait pas beaucoup d’interprétation: avec le premier, je restais devant un bouton de connexion; avec le second, mon fichier était en train de partir.

Quelques minutes plus tard, mon client l’avait reçu.

C’est seulement à ce moment-là que j’ai commencé à remarquer le reste.

En ouvrant quelques sites pendant que j’attendais sa réponse, j’ai vu le compteur de requêtes bloquées. Le service filtre aussi une partie des requêtes publicitaires et de suivi. Ce n’était pas la raison pour laquelle je l’avais lancé, mais sur un ordinateur qui passe régulièrement par des hôtels, cafés, gares et espaces de coworking, cela complétait assez naturellement l’usage que j’en avais.

Le point décisif restait ailleurs: je n’avais pas eu à négocier avec le réseau pendant dix minutes avant de pouvoir travailler.

Le gros fournisseur restait meilleur sur un critère qui comptait moins ce soir-là

Il y a un compromis évident.

La petite application propose moins de localisations. Elle possède aussi moins d’années d’historique public et moins d’avis indépendants qu’un acteur installé depuis longtemps. Si je devais obtenir chaque semaine une adresse IP dans une longue liste de pays précis, mon ancien fournisseur garderait un avantage très concret.

Mais assis dans cette chambre d’hôtel, je n’avais besoin ni de cinquante pays supplémentaires ni d’une carte couverte de points.

J’avais besoin d’un tunnel qui s’établisse.

C’est ce qui rend le choix d’un VPN pour Wi-Fi public différent d’un comparatif généraliste. À la maison, je peux regarder la vitesse. Pour certains usages, la localisation du serveur peut être prioritaire. Mais sur un réseau public, tous ces avantages arrivent après une étape beaucoup plus élémentaire: réussir à faire passer la connexion VPN.

La campagne documentée par Microsoft rend ce point encore plus important. Un portail captif n’est pas un endroit où j’ai envie de rester plus longtemps que nécessaire. Une fois le réseau légitime identifié et l’accès obtenu, mon objectif est de basculer rapidement mon trafic dans le tunnel et de continuer ce que j’étais venu faire. Microsoft Threat Intelligence

Ce soir-là, mon ancien fournisseur avait toujours plus de serveurs, plus de recul et une infrastructure beaucoup plus connue. Rien de cela n’avait disparu.

Mais aucune de ces qualités ne m’aidait pendant les minutes où son tunnel refusait de s’établir.

La seconde option en offrait moins sur le papier. Elle a pourtant résolu le problème qui se trouvait réellement devant moi: la connexion s’est ouverte, le transfert a continué et mon client a reçu son fichier.

Sur un Wi-Fi public, je préfère désormais un VPN qui réussit à faire passer son tunnel à un VPN impressionnant que je dois désactiver pour pouvoir utiliser le réseau.