Sécurité du Wi-Fi de l'hôtel sur un Mac : ce qui compte vraiment

Le Wi-Fi d’hôtel est raisonnablement sûr pour une utilisation ordinaire sur un Mac à jour, et bien plus sûr que ce que sa réputation laisse penser. L’avertissement classique, selon lequel quelqu’un à deux chambres de distance lit tes mots de passe dans l’air, est presque obsolète : presque tout le trafic qui compte est chiffré de bout en bout avant de quitter ta machine, et macOS plus un navigateur actuel gèrent cela sans que tu aies à faire quoi que ce soit.

C’est la version simple. La nuance est que le chiffrement protège le contenu, pas le contexte. Personne sur le réseau de l’hôtel ne lit ton email, mais le réseau peut toujours voir que ton Mac a contacté un fournisseur de messagerie particulier, un cloud drive spécifique, et un VPN d’entreprise précis, à 6h40 du matin, tous les matins, pendant cinq jours. Sur un séjour prolongé, cela constitue un enregistrement comportemental, et rien ne nécessite de casser une seule connexion.

Deux choses différencient un hôtel d’un café. La première est l’identité : la page de connexion demande généralement ton nom de famille et ton numéro de chambre, pour que l’opérateur puisse relier chaque appareil et connexion à un client nommé plutôt qu’à une personne anonyme avec un café. La seconde est la durée : une visite au café dure quarante minutes, un séjour à l’hôtel implique des reconnections automatiques et une synchronisation en arrière-plan qui tournent pendant que tu n’es pas près de la machine.

Donc, le modèle de menace honnête n’est pas l’interception de secrets. Ce sont trois autres choses : un Mac exposé à un réseau plat rempli d’inconnus pendant des jours, une chronologie détaillée du trafic attachée à ton nom, et la possibilité de rejoindre un réseau qui ne ressemble qu’à celui de l’hôtel. Les trois ont des réponses simples, et aucune ne nécessite de paniquer.

Tout le monde dans le bâtiment est sur un réseau plat. Le Wi-Fi invité de l'hôtel est souvent déployé sans isolation des clients, ce qui met l'invité dans la chambre 412 et l'invité dans la chambre 118 sur le même domaine de diffusion que toi. Ton Mac se fait connaître via Bonjour avec le nom que tu lui as donné, très souvent ton vrai prénom et le modèle de la machine, et tout service de partage laissé activé d’un projet précédent est accessible par tout le monde. Certaines chaînes isolent correctement les clients, mais tu ne peux pas le savoir de l’extérieur, alors suppose qu’elles ne le font pas.

Le portail captif lie le trafic à une identité d’invité. Numéro de chambre et nom de famille, parfois un numéro de fidélité ou une adresse email pour le service plus rapide. Ce n’est pas sinistre ; c’est ainsi que l’hôtel impose un compte par chambre, et dans plusieurs juridictions, l’opérateur est obligé de conserver les logs de connexion de toute façon. Cela signifie simplement que l’expression réseau public anonyme ne s’applique pas ici. Quoi que le réseau enregistre, cela le fait contre toi, par ton nom.

L’équipement est souvent ancien et rarement touché. Le Wi-Fi de l’hôtel est généralement installé une fois par un prestataire, géré à distance, et laissé tel quel pendant des années parce qu’il fonctionne. Les points d’accès et les appareils de passerelle ne sont pas mis à jour, le firmware a plusieurs versions de retard, et les configurations par défaut subsistent. Ce n’est pas une attaque en soi, mais cela signifie que les protections du réseau, y compris celles promises par la brochure, peuvent être mal configurées ou simplement cassées.

Les portails interfèrent avec le DNS par conception. Pour que la page de connexion apparaisse, la passerelle doit intercepter tes premières requêtes et les rediriger, ce qui implique d’intercepter le DNS. Certains portails continuent de le faire après que tu as été authentifié, et certains résolvent les noms avec leurs propres réponses pendant tout le séjour. C’est aussi pourquoi le DNS chiffré pose problème dans les hôtels : si ton Mac est configuré avec un profil DNS privé ou un résolveur personnalisé, le portail ne peut souvent pas te rediriger et la page de connexion ne se charge jamais, ce qui est la plainte la plus courante concernant le Wi-Fi d’hôtel.

Et puis tu restes. La connexion automatique signifie que le Mac se reconnecte à chaque ouverture de couvercle sans demander. Multiplie l’activité de fond normale de macOS et d’une douzaine d’applications installées par quatre ou cinq jours, et l’exposition n’est pas limitée à une session sur un réseau non fiable, mais à une résidence continue sur le réseau.

Commence par la bonne nouvelle, car elle est substantielle. HTTPS chiffre le contenu d’une connexion : contenu des pages, champs de formulaire, mots de passe, corps des messages, charges utiles API. Les navigateurs utilisent par défaut HTTPS et refusent de rétrograder silencieusement, TLS 1.3 est la norme, et la grande majorité des applications macOS chiffrent leur propre trafic. Quelqu’un sur le réseau de l’hôtel avec une capture de paquets voit du texte chiffré. La vieille astuce consistant à récolter des identifiants sur un réseau ouvert a cessé de fonctionner il y a plusieurs années.

Ce que le chiffrement ne cache pas, c’est le fait et la forme de chaque connexion. L’adresse IP de destination est toujours visible, car les paquets doivent être routés. Les recherches DNS sont visibles à moins que tu n’utilises un DNS chiffré, ce que les portails bloquent souvent. Le nom du serveur dans la poignée de main TLS est visible sur la plupart des connexions aujourd’hui, puisque l’Encrypted Client Hello est encore loin d’être universel. Et le timing, la taille et la fréquence de chaque échange sont visibles par quiconque sur le chemin, peu importe la force du chiffrement.

Assemblée sur plusieurs nuits, cette métadonnée est plus révélatrice que ce que l’on pense. Elle montre quels services tu utilises, quand tu te réveilles, quand tu quittes le bâtiment et quand tu reviens, combien de temps tes appels vidéo ont duré, et à quel réseau d’employeur tu te connectes. Un client mail qui vérifie toutes les cinq minutes est un signal de présence précis. Rien de tout cela ne nécessite de lire un seul message. Les métadonnées sont la vraie exposition sur un réseau d’hôtel, pas le contenu.

Il reste aussi un résidu de trafic qui n’est pas protégé du tout. Quelques applications anciennes ou abandonnées vérifient encore les mises à jour via HTTP en clair, et la découverte de réseau local n’est pas chiffrée par nature, donc mDNS et Bonjour annoncent ton nom d’appareil et ses services à tout le réseau invité. La découverte d’imprimantes, le partage média et tout ce qui attend un LAN domestique de confiance se comportent exactement de la même façon dans un hôtel, parce que ton Mac n’a aucune idée que le réseau a changé de caractère.

La seule situation où HTTPS échoue vraiment, c’est quand une personne le contourne. Si un avertissement de certificat apparaît, ne clique pas dessus, et si un réseau te demande d’installer un profil ou un certificat racine avant de te donner accès, refuse et utilise la connexion cellulaire à la place. Un hôtel a besoin de ton numéro de chambre pour te laisser en ligne. Il n’a pas besoin de la capacité d’émettre des certificats en confiance pour ton Mac.

Garde le pare-feu du Mac activé et arrête de partager quoi que ce soit. C’est l’étape la plus importante car elle cible directement le réseau local. Active le pare-feu dans Réglages Système, Réseau, Pare-feu, et active le mode furtif dans ses options pour que le Mac ne réponde pas aux probes non sollicités. Ensuite, ouvre Réglages Système, Général, Partage et vérifie que Partage de fichiers, Partage d’écran, Partage d’imprimantes, Connexion à distance et Gestion à distance sont tous désactivés, et règle AirDrop sur Contacts uniquement. Note ce que le pare-feu de macOS ne fait pas : il filtre uniquement les connexions entrantes, et rien dans ses réglages ne limite ce que tes propres apps envoient.

Coupe la synchronisation en arrière-plan pendant la durée du séjour. Active le mode Low Data Mode pour le réseau de l’hôtel spécifiquement, dans Réglages Système, Wi‑Fi, Détails à côté du réseau auquel tu t’es connecté. Il suspend de façon fiable le travail en arrière-plan d’Apple : téléchargements de mises à jour logicielles, téléchargements depuis l’App Store, synchronisation iCloud Photos et diverses tâches différées. Pour les apps tierces, c’est simplement un indicateur consultatif que beaucoup de développeurs n’ont jamais implémenté, donc quitte ou mets en pause tes clients de synchronisation cloud et règle Time Machine pour faire des sauvegardes manuelles. Moins de trafic en arrière-plan signifie moins de métadonnées et moins de surprises si le réseau de l’hôtel limite ou ralentit la connexion.

Utilise un VPN pour le chiffrement que tu n’obtiens pas autrement. Un VPN enveloppe tout, y compris le DNS et les métadonnées de connexion évoquées ci‑dessus, dans un seul tunnel vers une seule adresse, ce qui fait que la chronologie détaillée se réduit à une session chiffrée. Deux précautions honnêtes : tu déplaces la confiance de l’hôtel vers l’opérateur VPN plutôt que de l’éliminer, donc choisis‑en un dont tu as réellement lu la politique de journalisation, et un VPN n’empêche pas une app de se connecter. Il change le chemin, pas les participants. Connecte‑le après avoir passé le portail captif, et active un kill switch si le client en propose un.

Décide quelles apps peuvent accéder au réseau. C’est la partie qu’un VPN ne peut pas faire. Le chiffrement concerne le transport ; le contrôle des apps concerne la portée. Sur un réseau où tu seras pendant plusieurs jours, la plupart des apps installées sur ton Mac n’ont pas besoin de communiquer : un navigateur, un client mail et le client VPN suffisent généralement. Tout le reste peut rester silencieux jusqu’à ce que tu vérifies, ce qui réduit à la fois la piste de métadonnées et le nombre de processus exposés à ce qui se trouve sur ce réseau.

Rejoins le bon réseau, et quitte‑le correctement. Demande à la réception le nom exact du réseau plutôt que de deviner dans la liste, car un point d’accès rogue diffusant un nom d’hôtel plausible ne coûte presque rien à mettre en place et constitue l’une des rares attaques réellement courantes encore. Considère un réseau de l’hôtel sans portail, ou un portail qui demande un numéro de carte au lieu d’un numéro de chambre et un nom de famille, comme un signe d’alerte. Préfère un réseau invité avec une clé WPA2 ou WPA3 plutôt qu’un réseau totalement ouvert. Lors du départ, ouvre Réglages Système, Wi‑Fi, Détails et choisis Oublier ce réseau, sinon ton Mac se reconnectera silencieusement à tout réseau portant ce nom dans le monde entier.

Un couvercle fermé ne signifie pas être hors ligne. macOS se réveille périodiquement pour accéder au réseau, exécute une maintenance planifiée, vérifie les mises à jour et laisse les applications se rafraîchir en arrière-plan. En quatre nuits, cela représente des centaines de connexions que tu n’as jamais initiées, faites pendant que tu dormais ou que tu étais absent, sur un réseau que tu qualifierais d’« non fiable » si quelqu’un te le demandait. Rien de malveillant là-dedans. C’est macOS qui suppose que chaque réseau Wi-Fi est le tien, ce qui est la bonne configuration par défaut à la maison et la mauvaise dans la chambre 412.

C’est pourquoi le contrôle par application est la solution à ce problème. Un VPN chiffre le tunnel mais chaque application continue de communiquer, et Low Data Mode demande poliment, même si beaucoup d’apps refusent. Ce qui réduit réellement l’exposition, c’est de décider, avant de te connecter, quelles applications sont autorisées à sortir, et d’appliquer cette décision automatiquement plutôt que de s’en souvenir chaque soir.

C’est précisément pour cela que NetMute a été conçu. Sa protection hotspot détecte que tu as rejoint un réseau inconnu ou non fiable et applique immédiatement un profil strict, sans attendre que tu y penses, et il gère les portails captifs pour que la page de connexion de l’hôtel se charge toujours, au lieu d’être bloquée avec tout le reste. Les profils réseau sont liés au nom du Wi‑Fi, donc le profil de l’hôtel revient tout seul la prochaine fois que tu te connectes à ce réseau, et ton profil domestique normal revient dès que tu rentres chez toi.

Au quotidien, les contrôles restent simples. Toute application peut être bloquée en un clic, les règles temporaires expirent d’elles-mêmes, donc laisser une mise à jour s’exécuter pendant dix minutes ne laisse pas de trou permanent, et le mode whitelist inverse tout : rien ne passe sur le réseau sauf ce que tu as nommé. Si le compteur ou la limitation de débit de l’hôtel limite la connexion, les limites de données par application bloquent les coupables avant qu’ils ne deviennent un problème.

La partie que les gens trouvent la plus utile après un voyage, c’est la preuve. Le moniteur de trafic en temps réel et la journalisation au niveau des domaines répondent à la question que cet article soulève : qu’est-ce qui a communiqué exactement pendant que tu dormais ? Cela vaut la peine de vérifier une fois, car la liste est généralement plus longue que ce que l’on pense, et cela facilite la rédaction du profil pour le prochain séjour.