Faut-il se connecter au portail de l’hôtel avant d’activer le VPN ? Oui — et c’est justement le moment où il faut être le plus attentif

J’avais fait exactement ce qu’on conseille habituellement avant un voyage : mettre à jour l’ordinateur, installer le VPN, activer la reconnexion automatique.

Et, pour une fois, c’est cette prudence qui m’a bloqué.

Quelques jours plus tôt, Microsoft venait de publier une alerte suffisamment inquiétante pour que je n’aie aucune envie de laisser mon ordinateur traîner sans protection sur un Wi-Fi d’hôtel. Depuis mai 2026, ses chercheurs suivent une campagne baptisée CaptiveCrunch, dans laquelle des infrastructures Wi-Fi d’hôtels et de lieux de conférence ont été compromises pour rediriger certains voyageurs vers de faux écrans de connexion ou de fausses mises à jour. Microsoft recommande de traiter les réseaux d’hospitalité comme non fiables et de ne pas saisir d’identifiants professionnels ni installer quoi que ce soit simplement parce qu’un portail Wi-Fi le demande.¹

J’en avais retenu une règle très simple :
VPN d’abord.
Internet ensuite.
Dans la chambre d’hôtel, cette règle a tenu environ trente secondes.

Mon ordinateur affichait bien le nom du Wi-Fi. Le signal était excellent. Le VPN, lui, restait bloqué sur « connexion… ».

Et aucune page ne s’ouvrait.

Le VPN essayait de franchir une porte qui n’était pas encore ouverte

J’ai d’abord pensé que l’hôtel bloquait les VPN.
J’ai changé de serveur.
Même résultat.
J’ai essayé un autre protocole.
Toujours rien.

Puis j’ai regardé mon téléphone.

Lui aussi était connecté au même Wi-Fi, mais juste après la connexion, une petite fenêtre de l’hôtel était apparue : numéro de chambre, nom, case d’acceptation des conditions.

Je l’avais presque oubliée tellement ce geste est devenu banal.

C’était pourtant toute l’explication.

Un portail captif est moins une page « sur Internet » qu’un vestibule placé juste avant. Tant que l’hôtel ne m’a pas reconnu ou que je n’ai pas accepté ses conditions, il peut empêcher les applications d’aller plus loin. Cisco décrit précisément ce mécanisme : hôtels, aéroports et cafés peuvent bloquer l’accès extérieur jusqu’à ce que l’utilisateur termine l’authentification du portail.²

Mon VPN n’échouait donc pas à protéger une connexion Internet.
Il essayait de construire son tunnel alors que la porte vers Internet était encore fermée.
La différence paraît minuscule.
Devant un écran qui ne charge rien, elle change tout.

Oui : dans la plupart des hôtels, le portail vient avant le VPN

J’ai désactivé temporairement le VPN.
Je me suis reconnecté au Wi-Fi.
Cette fois, le portail est apparu immédiatement.

Apple décrit la même séquence pour les réseaux captifs : rejoindre le Wi-Fi, attendre l’écran d’authentification, fournir ce qui est nécessaire ou accepter les conditions, puis obtenir l’accès à Internet.³

Et cette logique ne concerne pas seulement les appareils grand public.

Cloudflare explique que son propre client peut ne pas réussir à établir le tunnel lorsqu’un portail bloque encore le trafic HTTPS. Sa détection de portail captif permet donc temporairement de sortir du tunnel, de terminer l’authentification, puis de remettre la protection en place.⁴

C’est là que j’ai compris mon erreur.

Désactiver brièvement le VPN pour passer le portail n’est pas le vrai danger.

Le vrai danger, c’est de rester ensuite sur ce réseau comme si la protection était déjà revenue.

Et c’est exactement à ce moment-là que l’alerte de Microsoft prenait tout son sens.

Je voulais franchir le portail, pas lui confier ma vie numérique

J’avais maintenant quelques instants de connexion sans VPN.
Je n’ai pas ouvert ma messagerie.
Je n’ai pas lancé mon stockage cloud.
Je n’ai pas consulté ma banque.

Et si cette page m’avait soudain demandé mon mot de passe Microsoft ou Google, je ne l’aurais pas saisi.

Le portail réel de l’hôtel voulait seulement les informations nécessaires pour identifier mon séjour et l’acceptation des conditions.

C’est tout ce que je lui ai donné.

La campagne documentée par Microsoft rend cette prudence beaucoup moins théorique. Les attaquants observés ont utilisé des environnements liés à l’hôtellerie pour présenter de faux écrans Microsoft, des demandes de vérification et de prétendues mises à jour de navigateur ou de système. Microsoft recommande de ne pas installer de logiciel, de certificat ou d’outil de dépannage apparaissant de façon inattendue à cette étape.¹

La règle que j’en ai tirée est simple.

Si le portail de l’hôtel demande mon numéro de chambre et mon nom, cela peut correspondre au fonctionnement normal du réseau.

S’il me demande soudain de « mettre Windows à jour » avant de me laisser continuer, je ne cherche pas un meilleur VPN.

Je quitte le Wi-Fi.

À ce stade, les données mobiles ou un hotspot personnel sont un meilleur plan B.

Le plus surprenant, c’est que d’autres voyageurs se compliquaient la vie pour la même raison

En cherchant pourquoi mon réglage automatique avait créé ce blocage, je suis tombé sur le récit d’un voyageur utilisant un routeur de voyage.

Deux hôtels de suite lui avaient posé problème avec leurs portails captifs. Il avait essayé de connecter son téléphone, puis de cloner son adresse MAC sur le routeur. Rien n’était vraiment propre. Dans la discussion, la méthode qui avait fini par fonctionner était beaucoup plus simple : laisser le VPN désactivé pendant l’authentification, puis l’activer juste après.⁵

Ce détail m’a évité de chercher une solution sophistiquée à un problème essentiellement chronologique.

Je n’avais pas besoin de « battre » le portail.
Je devais le terminer, puis refermer le plus vite possible cette petite fenêtre sans tunnel.
À partir de là, mon critère pour un VPN d’hôtel a changé.
Je ne cherchais plus celui qui promettait d’être actif avant tout le reste.

Je voulais celui que je pouvais remettre en place immédiatement après le portail, sans transformer cette transition en cinq minutes de serveurs, de protocoles et de diagnostics.

C’est là que l’application plus petite est devenue utile

Une fois le portail terminé, j’ai ouvert OnlydogVPN^↗.

Je ne lui demandais pas de supprimer le portail captif. Cette partie était déjà réglée.

Je voulais autre chose : réduire au minimum l’intervalle entre « l’hôtel m’a donné Internet » et « mon trafic repasse dans un tunnel ».

Au lieu d’ouvrir une carte de serveurs et de recommencer à réfléchir au pays, au protocole ou à la combinaison la plus appropriée, j’ai choisi le mode prévu pour protéger la connexion.

Un bouton.
La connexion s’est établie.
C’est seulement là que j’ai ouvert ma messagerie.
Puis mon espace de travail.

Le document dont j’avais besoin s’est chargé et j’ai envoyé la réponse qui attendait depuis mon arrivée.

Ce n’était pas spectaculaire.
C’était mieux que ça : je n’avais plus besoin de penser au VPN.
Et dans un hôtel, cette simplicité compte davantage qu’à la maison.
Sur mon réseau domestique, perdre trente secondes à choisir un serveur ne change rien.

Sur un Wi-Fi d’hôtel, ces trente secondes arrivent précisément au moment où je veux que la période sans tunnel soit la plus courte possible.

Entrer.
Accepter.
Activer.
Continuer.

Cette séquence me paraissait beaucoup plus solide que l’idée rassurante, mais irréaliste, de garder un tunnel fonctionnel à travers une porte qui n’avait pas encore été ouverte.

Le deuxième test a eu lieu en quittant la chambre

Le travail était terminé quand j’ai pris mon téléphone pour descendre dans le hall.

C’est là que les réseaux d’hôtel ont une autre manière de rappeler qu’ils ne sont pas ceux de la maison.

Le signal baisse dans l’ascenseur.
On change de point d’accès.
La connexion revient près de la réception.
Parfois, le chemin réseau change sans que l’on fasse quoi que ce soit.

Le service utilise un transport basé sur HTTP/3 et QUIC, une architecture conçue pour mieux supporter certaines variations du chemin réseau. Mais, à ce moment-là, la théorie m’intéressait moins que le résultat.

En passant de la chambre au hall, la connexion a retrouvé son état utile sans me renvoyer dans une nouvelle séance de réglages.

C’était exactement le genre de détail que je n’aurais probablement pas remarqué chez moi.

Dans un hôtel, je le remarque tout de suite.

Parce qu’une connexion qui revient d’elle-même signifie simplement que je peux ranger le téléphone et continuer ma journée.

Puis j’ai voulu protéger le téléphone aussi

J’aurais pu en rester là.

Sauf que mon ordinateur était maintenant protégé et que mon téléphone, lui, restait sur le même Wi-Fi.

Normalement, c’est à ce moment-là que je me demande quel mot de passe j’ai utilisé pour créer mon compte VPN, où je l’ai enregistré et si j’ai vraiment envie de le retaper sur un second appareil.

Ici, j’ai pu utiliser un code pour partager l’accès avec l’autre appareil sans repasser par une connexion traditionnelle avec adresse e-mail et mot de passe.

Ce n’était pas la fonction qui avait résolu mon problème initial.

Mais après avoir passé plusieurs minutes à réfléchir précisément aux identifiants que je ne voulais pas saisir inutilement sur un réseau d’hôtel, l’absence d’un mot de passe supplémentaire à manipuler m’a paru remarquablement cohérente avec la situation.

L’application a tout de même un compromis réel : elle propose moins de régions et possède beaucoup moins d’années d’historique public et d’avis indépendants que les grands fournisseurs.

Si mon critère principal était d’avoir une immense liste de pays, je choisirais probablement autrement.

Ce soir-là, ce n’était simplement pas mon problème.

Je pensais que « VPN toujours activé » était la règle la plus sûre

C’était la partie que j’avais mal comprise.

Sur mon réseau domestique, je peux laisser le VPN actif avant d’ouvrir quoi que ce soit et ne plus y penser.

Sur certains Wi-Fi d’hôtel, une étape vient avant : le réseau doit d’abord reconnaître mon appareil et m’autoriser à sortir.

Essayer de faire passer le VPN avant cette étape revient à vouloir verrouiller la porte de sa chambre alors qu’on est encore devant le réceptionniste qui doit remettre la clé.

Depuis, ma séquence est devenue très simple.

Je vérifie que je rejoins bien le réseau annoncé par l’hôtel. Je laisse le VPN désactivé juste le temps d’afficher et de terminer le portail. Je ne donne que les informations réellement nécessaires au Wi-Fi et je refuse toute demande inattendue de connexion à un compte, d’installation ou de mise à jour.

Dès que l’accès Internet est accordé, j’active le VPN avant d’ouvrir les services que je suis réellement venu utiliser.

Et si le portail paraît suspect, je ne cherche pas à être plus malin que lui : je passe sur les données mobiles et je demande à l’hôtel de confirmer le réseau.

Microsoft a rendu cette prudence particulièrement concrète en 2026. Cloudflare, Cisco et Apple expliquent pourquoi l’ordre des étapes compte techniquement.

Mon erreur avait été de croire que sécurité et portail captif se contredisaient.
En réalité, la règle est plus simple :
le portail de l’hôtel passe généralement en premier.

Ce que je veux ensuite d’un VPN de voyage, c’est qu’une fois cette porte franchie, il réduise au minimum le temps passé sans protection — et qu’il ne transforme jamais le hall de l’hôtel en salle de configuration réseau.