Cette page de connexion Wi-Fi est-elle réelle ? Vérifiez avant de saisir un mot de passe

Vous vous connectez au Wi-Fi de l’établissement, une page s’ouvre et vous demande de vous identifier avec une adresse électronique ou un compte d’entreprise. Le nom du réseau correspond à ce que la réception vous a dit, et le logo semble correct. Aucun des deux n’est une preuve, car les deux se copient en un après-midi. Confirmez la méthode de connexion par une source qui n’est pas la page devant vous avant de saisir quoi que ce soit.

Commencez par les consignes, pas par la page

C’est toute la méthode : vérifier par un canal indépendant, puis décider. Tout ce qui suit indique quoi comparer et quoi refuser.

Cela semble lent, et cela prend environ deux minutes une fois que vous l’avez fait deux fois.

Lisez le domaine, pas le design

Demandez à l’établissement comment fonctionne son accès invité, ou lisez la carte, le reçu ou le courriel de confirmation reçu avec la réservation. Comparez le domaine de connexion et les informations demandées avec ces consignes. Les établissements utilisent bel et bien des services de portail externes, donc un domaine inconnu demande une vérification et non une supposition automatique dans un sens ou dans l’autre. Un domaine conforme aux consignes n’est pas une preuve de sécurité, mais une divergence est une raison de s’arrêter.

Regardez la barre d’adresse plutôt que la mise en page. Un cadenas dit seulement que la connexion à cet hôte est chiffrée ; il ne dit rien sur le fait que cet hôte soit celui que l’établissement voulait.

Un avertissement HTTPS est un panneau stop, pas quelque chose à traverser en cliquant.

Lisez ce que la page demande

Une page d’accès Wi-Fi a une tâche étroite : accepter un numéro de chambre, un code de bon, une adresse électronique ou une case à cocher pour les conditions. Elle n’a aucune raison de demander votre clé privée VPN, votre mot de passe professionnel, vos codes de récupération ou une carte de paiement pour un réseau gratuit. Cela relève d’autres services, et une page qui les demande vous a déjà dit ce qu’elle est. Traitez la demande elle-même comme le signal le plus fort que vous obtiendrez.

Refusez d’installer un certificat de confiance ou une application d’assistance parce que la page affirme que l’accès l’exige. Les exigences gérées légitimes passent par votre organisation, pas par une invite de portail.

Si la page exige l’une ou l’autre, déconnectez-vous et utilisez un autre réseau.

La connexion automatique décide sur quel réseau vous êtes

Un nom de réseau enregistré peut se connecter automatiquement, ce qui signifie que l’appareil peut être sur un réseau que vous n’avez pas choisi délibérément à ce moment-là. Vérifiez les réglages de connexion automatique de la plateforme et oubliez les réseaux dont vous n’avez plus besoin. Cette seule habitude supprime le moyen le plus courant pour un réseau imité d’attirer un appareil sans décision. Elle fait aussi du SSID sur lequel vous êtes un choix délibéré plutôt qu’un événement de fond.

Deux réseaux du même nom peuvent exister au même endroit, et l’appareil en choisit un sans demander. Votre souvenir de celui auquel vous vous êtes connecté n’est pas un registre fiable.

Vérifiez le réseau auquel vous êtes réellement associé, pas celui auquel vous vouliez vous connecter.

Le VPN ne couvre pas cette étape

Un VPN a besoin du chemin d’accès avant de pouvoir se connecter, donc le portail captif a lieu avant que le tunnel existe. Cet ordre signifie que le portail ne peut pas devenir fiable grâce au VPN, et que le VPN ne peut pas protéger rétroactivement des identifiants que vous avez déjà donnés à une fausse page. Connectez le tunnel après que le portail est vérifié et que le réseau est assez fiable pour être utilisé. Traitez les deux étapes comme des décisions distinctes avec des preuves distinctes.

Si la page est vérifiée et que le tunnel échoue encore, c’est un problème de réseau et cela relève d’une autre liste.

Si vous avez déjà saisi un mot de passe professionnel dans une page dont vous doutez maintenant, changez-le depuis une connexion reconnue bonne et dites à votre administrateur ce qui s’est passé. La rapidité compte ici plus que la certitude.

L’architecture du portail captif décrite dans la RFC 8952 mérite une lecture, car elle explique pourquoi le portail se situe hors de tout tunnel que vous pourriez construire plus tard. Cette connaissance transforme une page suspecte en décision plutôt qu’en supposition.