Portails captifs d'hôtels : comment les pages de connexion Wi-Fi sont devenues un canal publicitaire et un risque de sécurité

Portails captifs dans les hôtels : comment les pages de connexion Wi-Fi sont devenues un canal publicitaire et un risque de sécurité

Un article publié par The Next Web en juin 2026 décrit comment les pages d'autorisation Wi-Fi pour les clients des hôtels — les soi-disant portails captifs — se sont transformés d'une simple passerelle technique d'accès réseau en un canal caché de collecte de données et d'affichage publicitaire.

Comment fonctionne un portail captif

Le mécanisme est familier à tous ceux qui ont séjourné un jour dans un hôtel avec Wi-Fi gratuit : un ordinateur portable se connecte au réseau de l'hôtel et, au lieu de l'internet normal, le navigateur ouvre automatiquement une page d'autorisation où vous devez entrer votre numéro de chambre, votre nom et accepter les conditions d'utilisation. Ce n'est qu'après cela que l'appareil obtient un accès réseau complet. Cette technologie — portail captif — est utilisée depuis des décennies par les hôtels, aéroports, cafés et centres d'affaires pour contrôler l'accès des clients au réseau et différencier les plans tarifaires d'accès.

Pourquoi cela est devenu un canal publicitaire et un risque de sécurité

Le portail captif occupe une position privilégiée dans le trafic réseau : avant qu'un appareil n'obtienne un accès internet complet, tout son trafic passe par la page d'autorisation. Cela en fait un point pratique pour intégrer des traceurs, afficher des publicités et collecter des données sur l'appareil, le navigateur et la géolocalisation — souvent sans notification explicite au client sur l'étendue de la collecte ou à qui les données sont transmises. La même position privilégiée sur le réseau est activement exploitée par les acteurs malveillants : des points d'accès contrefaits imitant le portail captif d'un hôtel (attaque evil twin) permettent d'intercepter les noms d'utilisateur, les mots de passe et les données de carte bancaire avant même que la victime ne remarque la substitution du réseau.

Qui profite du Wi-Fi pour les clients d'hôtel

De nombreux hôtels ne construisent pas leur propre infrastructure Wi-Fi pour les clients mais l'externalisent à des fournisseurs spécialisés de solutions réseau qui desservent des centaines d'établissements d'hébergement simultanément. Ces fournisseurs monétisent souvent la page d'autorisation elle-même par l'affichage publicitaire, les offres partenaires, les bannières sponsorisées des agences de voyage et des services de taxi, ou la transmission de données anonymisées aux réseaux publicitaires — transformant l'accès à internet formellement gratuit en une source de revenus supplémentaires pour l'hôtel et son prestataire.

Un point d'accès ouvert dans un café sans autorisation, bien qu'offrant moins de contrôle, ne crée au moins pas l'illusion d'être contrôlé : un client comprend qu'il se connecte à un réseau partagé aux côtés d'autres visiteurs. Le portail captif, en revanche, crée une apparence de légitimité et de sécurité — une demande de données personnelles comme le numéro de chambre et le nom est perçue comme une formalité de l'hôtel plutôt que comme une collecte de données par un fournisseur réseau tiers, ce qui réduit la vigilance même chez les utilisateurs prudents.

Une logique similaire s'applique aux aéroports et aux centres d'affaires : plus la page de connexion semble officielle — avec le logo de l'établissement, le texte légal des conditions d'utilisation et les couleurs d'entreprise — moins les utilisateurs ont de raisons de soupçonner qu'elle représente l'administration de l'établissement plutôt qu'un prestataire tiers ayant ses propres intérêts commerciaux.

Ce que cela signifie

En se connectant au Wi-Fi gratuit dans un hôtel, les clients réfléchissent rarement au fait que la page de connexion peut simultanément être un point de collecte de données pour les réseaux publicitaires et un point d'entrée potentiel pour une attaque — les portails captifs d'hôtel doivent être traités avec la même prudence que tout autre réseau public inconnu, en particulier lorsque vous travaillez avec des données sensibles ou des emails d'entreprise.