Captive portal des hôtels : comment la page de connexion Wi-Fi est devenue un canal publicitaire et un risque

Dans un article publié en juin 2026, The Next Web décrit comment les pages d'authentification du Wi-Fi invité des hôtels, les fameux captive portals, sont passées du statut de simple passerelle technique d'accès à celui de canal caché de collecte de données et d'affichage publicitaire.

Comment fonctionne un captive portal

Le mécanisme est familier à quiconque a déjà séjourné dans un hôtel proposant du Wi-Fi gratuit : l'ordinateur portable se connecte au réseau de l'établissement, mais au lieu d'accéder directement à Internet, le navigateur ouvre automatiquement une page d'authentification. Il faut y indiquer son numéro de chambre et son nom de famille, puis accepter les conditions d'utilisation. Ce n'est qu'ensuite que l'appareil obtient un accès complet au réseau. Hôtels, aéroports, cafés et centres d'affaires utilisent cette technologie, le captive portal, depuis des décennies pour contrôler l'accès de leurs visiteurs au réseau et différencier les formules d'accès.

Pourquoi c'est devenu un canal publicitaire et un risque de sécurité

Le captive portal occupe une position privilégiée dans le trafic réseau : avant que l'appareil n'obtienne un accès complet à Internet, tout son trafic transite par la page d'authentification. Ce point de passage se prête donc idéalement à l'intégration de traceurs, à l'affichage de publicités et à la collecte de données sur l'appareil, le navigateur et la géolocalisation, souvent sans que le client soit clairement informé de l'ampleur de cette collecte ni des destinataires de ces données. Les attaquants exploitent activement cette même position privilégiée : de faux points d'accès imitant le captive portal de l'hôtel (attaque de type evil twin) permettent d'intercepter identifiants, mots de passe et données de cartes bancaires avant même que la victime ne remarque la substitution du réseau.

Qui gagne de l'argent avec le Wi-Fi des hôtels

De nombreux hôtels ne construisent pas eux-mêmes leur infrastructure Wi-Fi invité : ils la confient à des prestataires spécialisés en solutions réseau, qui gèrent des centaines d'établissements à la fois. Ces prestataires monétisent souvent la page d'authentification elle-même : publicités, offres partenaires, bannières sponsorisées d'agences de voyage et de services de taxi, ou transmission de données anonymisées à des régies publicitaires. Un accès Internet en principe gratuit devient ainsi une source de revenus supplémentaire pour l'hôtel et son sous-traitant.

Un point d'accès ouvert dans un café, sans authentification, a au moins le mérite de ne pas donner d'illusion de contrôle : le client sait qu'il rejoint un réseau partagé avec les autres clients. Le captive portal, à l'inverse, donne une apparence de légitimité et de sécurité. La demande d'informations personnelles comme le numéro de chambre et le nom de famille passe pour une formalité de l'hôtel, et non pour une collecte d'informations par un fournisseur réseau tiers, ce qui fait baisser la vigilance même des utilisateurs prudents.

La même logique s'applique dans les aéroports et les centres d'affaires : plus la page de connexion a l'air officielle, avec le logo de l'établissement, le texte juridique des conditions d'utilisation et les couleurs de l'entreprise, moins l'utilisateur a de raisons de douter qu'elle émane bien de l'administration du lieu, et non d'un sous-traitant poursuivant ses propres intérêts commerciaux.

Ce que cela signifie

En se connectant au Wi-Fi gratuit d'un hôtel, les clients réalisent rarement que la page de connexion peut être à la fois un point de collecte de données pour des régies publicitaires et une porte d'entrée potentielle pour une attaque. Mieux vaut aborder un captive portal avec la même prudence que n'importe quel autre réseau public inconnu, surtout pour manipuler des données sensibles ou consulter sa messagerie professionnelle.