Fini la connexion au Wi-Fi du camping dès l’arrivée : ce que le formulaire en HTTP laisse circuler ne se voit nulle part sur votre écran

Vous arrivez au camping, vous cliquez sur le réseau Wi-Fi affiché fièrement à l’accueil, et hop, une page de connexion s’ouvre pour vous demander votre numéro d’emplacement, votre nom, parfois votre e-mail. Le problème, c’est que si cette page tourne en HTTP tout court (sans le petit « S » qui va bien), tout ce que vous tapez circule en clair sur les ondes. N’importe qui équipé d’un renifleur de paquets et assis trois tables plus loin peut littéralement lire vos informations en temps réel, sans que rien ne s’affiche d’anormal sur votre écran.

Le piège du portail captif : votre protection habituelle est HS

Cette page qui s’ouvre automatiquement dès que vous rejoignez le réseau, c’est ce qu’on appelle un portail captif. Le mécanisme intercepte tous les paquets liés aux protocoles HTTP ou HTTPS jusqu’à ce que l’utilisateur ouvre son navigateur, puis le redirige vers une page permettant de s’authentifier, d’effectuer un paiement, ou de compléter un formulaire d’informations. Sur le papier, rien de dramatique. Mais ce moment précis, celui où vous saisissez vos données avant même d’avoir un vrai accès à internet, est un angle mort total pour vos outils de sécurité habituels.

Et c’est là que ça devient croustillant : votre VPN ne peut pas vous protéger durant cette phase, car il a besoin que la connexion soit établie pour s’activer. le bouclier que vous pensiez actif dès la connexion au Wi-Fi… ne l’est tout simplement pas encore. Vous êtes à poil numériquement pendant ces quelques secondes cruciales, et c’est précisément là que le formulaire du camping vous demande vos infos.

Pourquoi le « S » de HTTPS n’est pas un détail cosmétique

Sur un réseau Wi-Fi ouvert, non chiffré, comme le sont la majorité des hotspots de camping ou d’hôtel, tout le trafic entre l’appareil de l’utilisateur et le point d’accès est transmis en clair au niveau de la fréquence radio, et n’importe qui muni d’un renifleur de paquets peut le voir. Ça, c’est déjà en soi pas franchement rassurant. Mais le vrai problème arrive quand le portail captif lui-même, la page où vous tapez vos infos, n’est pas chiffrée en HTTPS.

Dans ce cas précis, si le portail captif est servi en HTTP plutôt qu’en HTTPS, tous les identifiants ou données personnelles saisis par l’utilisateur sont visibles par l’attaquant. Concrètement : nom, e-mail, numéro de téléphone, parfois même un mot de passe que vous avez réutilisé bêtement (on l’a tous fait), tout part en clair. Personne ne vous prévient, aucune alerte rouge ne clignote. C’est ce silence visuel qui rend la chose sournoise : votre écran affiche un joli formulaire fluide, sans le moindre indice que ce qui transite ressemble à une carte postale sans enveloppe.

Une étude académique a même donné un nom à une attaque spécifique exploitant cette faiblesse structurelle : le Man-in-the-Portal. Les chercheurs y révèlent une faille critique dans le protocole des portails captifs et proposent une attaque de l’homme du milieu exploitant cette faille pour désactiver SSL/TLS, en s’appuyant sur la redirection post-authentification comme point de départ. même quand le site final utilise du chiffrement, la mécanique même de la redirection après connexion offre une fenêtre d’exploitation. Et le plus inquiétant, c’est que les navigateurs intégrés à ces portails captifs manquent des mécanismes de sécurité essentiels des navigateurs modernes, ne signalant souvent rien même en cas d’utilisation de HTTP ou de certificat TLS invalide.

Ce que ça implique côté loi, et pourquoi le camping n’y échappe pas

Petit aparté légal qui a son importance : en France, un décret pris en application de la loi LCEN impose aux opérateurs de points d’accès Wi-Fi, restaurants, hôtels, gîtes, campings et commerces, de conserver pendant un an les données techniques de connexion de leurs utilisateurs, adresses IP, horodatage, identifiants de session. Ces données doivent en plus être communiquées aux forces de l’ordre sous 72 heures en cas d’enquête judiciaire. Le camping n’est donc jamais un simple hotspot anodin, c’est un point d’accès juridiquement encadré, ce qui suppose une infrastructure sérieuse derrière. Mais « sérieuse » ne veut pas forcément dire « à jour techniquement » : beaucoup de petites structures touristiques tournent encore avec des solutions vieillissantes, mises en place il y a des années et jamais auditées depuis.

Un chiffre pour se rendre compte de l’ampleur du truc : en 2025, des chercheurs en sécurité ont identifié plus de 5 millions de réseaux Wi-Fi publics non sécurisés dans le monde, avec 33% des utilisateurs encore connectés à ces réseaux ouverts. Un tiers des gens, donc, qui naviguent sans la moindre protection de base, souvent sans le savoir.

Les réflexes qui changent vraiment la donne

Première chose, la plus simple : jetez un œil à la barre d’adresse avant de taper quoi que ce soit. Un cadenas et un « https:// » au début, c’est le minimum syndical. Si vous voyez « http:// » tout court ou un avertissement de certificat, ne validez rien, quitte à demander le code Wi-Fi directement à l’accueil et à basculer temporairement en 4G pour vos infos sensibles.

Ensuite, activez systématiquement l’option HTTPS-only de votre navigateur (elle existe sur Chrome, Firefox et Safari récents) : elle force le passage en connexion chiffrée et bloque les tentatives de rétrogradation silencieuse. Et surtout, dès que le portail vous accorde l’accès, pensez à activer votre VPN immédiatement, ce petit geste qui semble anodin referme la fenêtre de vulnérabilité qui vient de s’ouvrir.

Dernier point, souvent oublié : évitez d’utiliser la même adresse e-mail ou le même mot de passe que vos comptes sensibles pour ces formulaires de camping. Ces bases de données locales, hébergées parfois sur un simple boîtier installé depuis des années dans le local technique, ne sont pas franchement les coffres-forts les mieux gardés du secteur du tourisme.

Sources : illico-reseau.com | passman-group.com