Accès Internet · accueil · sécurité
Hotspots WiFi publics et privés
Accueillir vos clients, connecter des visiteurs ou réserver le réseau à vos équipes : le bon service associe un parcours simple, des accès maîtrisés et des règles de gestion claires.
Un accès facile à utiliser, préparé pour l’exploitation
Un hotspot donne accès à Internet dans une zone WiFi, avec une ou plusieurs bornes et différents modes d’autorisation. Le parcours de connexion se prépare avec les équipes qui accueillent les utilisateurs et celles qui administrent le réseau.
Un parcours invité, des accès qui restent maîtrisés
- InvitéTéléphone, tablette ou ordinateur compatible avec le mode de connexion retenu.
- Accès WiFi et filtrageConnexion radio, autorisation du profil et règles sur les communications permises.
- InternetAccès aux services autorisés, selon la capacité et les conditions du service.
Le cadre en France · repères vérifiés le 21 octobre 2026
Public ou privé : qui utilise réellement votre WiFi ?
Un WiFi professionnel peut être public, même gratuit. Ni la propriété du bâtiment, ni un mot de passe ou un portail ne déterminent seuls cette qualification. CPCE, article L. 34-1.
| Votre situation | Le cadre à examiner | Le point à préparer |
|---|---|---|
| Clients d’un hôtel, d’un café ou d’un commerce | Accès proposé à une clientèle : le régime de l’accès Internet public est concerné. | Séparer l’accès des clients, informer les utilisateurs et organiser les traces nécessaires. |
| Salariés ou agents de votre structure | L’accès réservé aux employés n’est pas soumis à l’obligation de conservation propre au hotspot public. | Encadrer la sécurité et les contrôles, avec une information adaptée des personnes. |
| Partenaires, consultants et invités professionnels | Un accès professionnel limité se distingue d’un service ouvert à tous ; le périmètre reste à qualifier. | Définir les bénéficiaires et leurs droits. Le nom « WiFi invités » ne constitue pas une exemption juridique. |
| Médiathèque, lieu d’accueil ou site avec plusieurs publics | Des accès internes et publics peuvent coexister dans le même établissement. | Identifier chaque service et son responsable, sans appliquer un régime unique à tout le site. |
Références : CNIL, accès Internet public ; CNIL, accès Internet professionnel, recommandation 2026, p. 2.
La CNIL rappelle expressément que l’accès Internet proposé aux visiteurs dans les locaux d’un employeur peut être concerné par les obligations de l’accès public. Un accueil sur invitation mérite donc une analyse du service réellement fourni.
Un établissement proposant un accès WiFi au public doit le signaler clairement à l’entrée, par un pictogramme. Loi du 12 juillet 2010, article 184 II.
Des traces de connexion, pas un historique de navigation
Les traces du CPCE excluent le contenu des messages et les informations consultées, dont les pages et URL visitées.
| Catégorie, selon le service et les données disponibles | Durée et point de départ |
|---|---|
| Source de connexion et terminal : adresse IP attribuée, port associé, identifiants concernés. | Un an à compter de la connexion ou de l’utilisation du terminal. |
| Autres informations de compte : identifiant, pseudonyme, informations de vérification ou modification du mot de passe ; informations de paiement lorsqu’elles existent. | Un an après la fin de validité du contrat ou la clôture du compte. |
| Identité civile, lorsqu’elle est recueillie dans le régime applicable : nom, coordonnées et autres éléments définis par le texte. | Cinq ans après la fin de validité du contrat ou du service avec prépaiement visé par le texte. |
| Trafic et localisation relevant de R. 10-13 V : notamment caractéristiques, date, heure, durée et données techniques du destinataire ; localisation pour la téléphonie mobile. | Un an au titre de l’injonction annuelle en vigueur. Le décret 2026-920 prend effet le 21 octobre 2026. |
Textes : L. 34-1 II bis et III, R. 10-13 et décret 2026-920 du 30 septembre 2026.
Pour la finalité distincte de sécurité des réseaux et installations, R. 10-14 IV permet de conserver certaines données jusqu’à trois mois. Ce délai facultatif ne remplace pas les conservations légales applicables à d’autres finalités. Il faut distinguer les usages, les accès aux journaux et leurs règles de suppression. CPCE, article R. 10-14.
Les journaux d’un réseau de travail répondent à une autre analyse : objectif précis, proportionnalité, information et durée justifiée. Le régime du hotspot ne doit pas être copié automatiquement sur le WiFi des salariés.
Collecter moins, expliquer clairement, protéger l’accès
Une finalité pour chaque donnée
Gestion de l’accès, sécurité et communication commerciale sont des traitements différents. Définissez, pour chacun, les données utiles, la base légale et la durée. La conservation imposée par la loi ne repose pas sur un consentement ; elle doit être expliquée. Évitez de collecter un téléphone ou une adresse courriel simplement parce que le portail le permet.
Une notice que l’on peut lire
Avant la collecte, expliquez qui traite les données, pourquoi, sur quelle base, pendant combien de temps et à qui elles sont destinées. Ajoutez les droits applicables, le contact utile et la possibilité de saisir la CNIL. Un premier niveau court peut renvoyer vers une notice détaillée, accessible même sans compte marketing.
Des responsabilités écrites
Si un prestataire gère les données pour votre compte, un contrat conforme à l’article 28 du RGPD doit encadrer cette sous-traitance : instructions, confidentialité, sécurité, assistance, sous-traitants ultérieurs et sort des données en fin de prestation. Précisez aussi qui administre le réseau et répond aux demandes. Une console externalisée ne transfère pas automatiquement toute votre responsabilité à son éditeur.
Le marketing reste un choix distinct
La connexion ne vaut pas inscription à une newsletter. Si le consentement est requis, proposez une case dédiée, non précochée et facultative, avec un retrait simple. Le refus d’un usage commercial non nécessaire ne doit pas bloquer l’accès au service. Les messages promotionnels et les messages nécessaires à la connexion suivent des règles différentes.
CNIL, consentement ; communications électroniques, juin 2026.
La sécurité reste concrète : séparer les usages internes et visiteurs, filtrer les échanges autorisés et protéger l’administration des bornes. Les règles de connexion et l’information juridique complètent ces protections. ANSSI, guide d’hygiène informatique, mesure 20.
Trois questions fréquentes avant l’ouverture
Faut-il demander une identité ou envoyer un code par SMS ?
La fiche CNIL du 17 juillet 2024 indique qu’un accès public n’impose, en principe, pas de relever l’identité de chaque utilisateur. Elle ne décrit aucune obligation générale de validation par SMS. Explication de la CNIL.
Depuis juin 2025, L. 34-1 renvoie à un décret les conditions de vérification des données d’identité. Le service et ses textes applicables doivent donc être vérifiés avant de choisir une identification systématique.
Un portail captif est-il obligatoire ?
Les textes cités n’imposent pas de portail captif général. Un portail ne remplace pas les obligations de traçabilité et de protection.
Faut-il déclarer son hotspot à l’Arcep ?
La déclaration préalable d’une activité d’opérateur de communications électroniques a été supprimée en 2021. L’Arcep ne délivre plus de récépissé. La nature réelle de l’activité détermine toutefois les obligations applicables : absence de déclaration ne signifie pas absence de règles. Arcep, déclaration et identifiant CE.
Pour approfondir les fréquences autorisées, les données personnelles et les contraintes propres aux lieux accueillant du public, consultez notre guide de la réglementation WiFi en France.
Accueil, accès et confidentialité
Le portail et la sécurité radio ont des rôles différents
Le portail captif est une page d’accueil ou d’autorisation avant l’accès à Internet. Il peut présenter les conditions du service, gérer un code ou ouvrir une session temporaire. Sa présence ne chiffre pas, à elle seule, la liaison entre le téléphone et la borne. Un portail en HTTPS protège ses propres échanges ; le mode de sécurité du WiFi reste un choix distinct.
| Mode | Ce qu’il apporte et ce qu’il faut préparer |
|---|---|
| Réseau ouvert | La liaison radio n’est pas chiffrée. Afficher un portail ou un nom de réseau rassurant ne change pas cette propriété. Les protections applicatives, comme HTTPS, restent essentielles. |
| WPA2 / WPA3 Personal | Un secret permet de rejoindre le réseau : PSK en WPA2, SAE en WPA3. SAE renforce la protection par rapport à une clé WPA2 partagée. Un mot de passe public et commun ne constitue toutefois pas une identité individuelle ; sa distribution et son renouvellement demandent une organisation. |
| WPA2 / WPA3 Enterprise | Le contrôle d’accès s’appuie sur 802.1X et une méthode EAP, généralement avec un serveur RADIUS. EAP-TLS utilise des certificats côté client et serveur. Il faut préparer leur déploiement, la validation du serveur par les terminaux, leur renouvellement et leur révocation. |
| Enhanced Open / OWE | OWE établit un chiffrement opportuniste propre à la liaison, sans mot de passe. Il protège contre l’écoute passive, mais n’authentifie pas l’identité de la borne et ne suffit pas contre une fausse borne active. La compatibilité des terminaux et les éventuels modes de transition se vérifient. |
Références : HPE — WPA3-Personal et SAE ; ANSSI — déploiement de 802.1X ; IETF RFC 8110 — OWE ; HPE — Enhanced Open et compatibilité.
CAPPORT : un portail annoncé, plutôt qu’une erreur de certificat
La RFC 8910 prévoit d’annoncer l’adresse d’une API de portail via DHCP en IPv4 ou IPv6 et via les annonces de routeur IPv6. La RFC 8908 décrit cette API : elle indique notamment si l’accès est encore restreint, où ouvrir le portail et, si le service le prévoit, le temps ou le volume restant.
L’API et le portail utilisateur sont servis en HTTPS. Ce mécanisme ne demande pas d’intercepter une connexion HTTPS vers un autre site ni de faire accepter un faux certificat. Sa disponibilité dépend du matériel et des systèmes clients ; le parcours des appareils anciens doit aussi être testé.
IETF — RFC 8908, API CAPPORT ; RFC 8910, découverte du portail.
Des accès séparés et des règles vérifiables
Donner Internet sans ouvrir le réseau de l’entreprise
Le réseau invité doit disposer d’un périmètre défini. Un nom WiFi distinct ne remplace ni la séparation logique, par exemple par VLAN, ni les règles de filtrage entre les réseaux.
Filtrer les communications utiles
Nous préparons l’adressage, DHCP, la résolution DNS et, lorsqu’il est utilisé, le fonctionnement IPv6. Le pare-feu autorise les services nécessaires et bloque les accès internes non prévus. Les règles doivent couvrir IPv4 et IPv6, ainsi que les interfaces d’administration.
Un accès ponctuel à une imprimante ou à un service privé exige une autorisation ciblée. L’isolation entre clients WiFi complète ces mesures ; sa portée se teste aussi entre bornes et à travers la passerelle, car elle ne remplace pas le filtrage du réseau.
HPE — réseau invité et services IP ; HPE Threat Labs — limites de l’isolation des clients.
Prévoir la vie du service
Avant l’ouverture, nous définissons la durée d’accès, l’expiration des codes, le nombre d’appareils et le débit par utilisateur, ainsi que la façon de retirer une autorisation. Les essais couvrent aussi les reconnexions et la fin de session.
La capacité dépend des utilisateurs simultanés, du temps radio disponible, de la liaison Internet et des équipements qui transportent les flux. Des plafonds et une priorisation peuvent répartir les ressources ; ils ne créent pas de bande passante. Un pilote avec des appareils représentatifs permet d’ajuster le service avant généralisation.
IETF — état et limites d’une session ; HPE — capacité et besoins de bande passante.
Des technologies complémentaires
Passpoint, génération WiFi et mobilité
Passpoint, également appelé Hotspot 2.0, s’appuie notamment sur 802.11u et ANQP pour faire connaître les services et aider un terminal compatible à sélectionner un réseau. Avec le profil et les accords appropriés, l’authentification et les reconnexions peuvent être automatisées. L’inscription initiale, les identifiants, le serveur d’authentification et les droits d’accès restent à organiser. C’est un mécanisme technique, pas une preuve de conformité juridique ni une garantie de continuité de chaque application.
Cisco — Hotspot 2.0, découverte ANQP et authentification.
WiFi 5, 6, 6E ou 7 décrit des capacités radio, distinctes du portail et de la méthode d’identification. Le choix tient compte du parc client, des bandes utilisables, de la densité et des usages. Le WiFi 6E et le WiFi 7 ne dispensent pas de préparer les modes de sécurité compatibles et les pilotes. Notre guide des normes WiFi et de la propagation explique ces différences ; les essais en déplacement vérifient la mobilité réelle.
HPE — sécurité et compatibilité des clients en 6 GHz.
En terrasse ou à l’extérieur, les réglages d’une installation intérieure ne se reprennent pas automatiquement. Le choix des bandes, des puissances et des mécanismes DFS doit respecter les conditions d’usage et le matériel retenu : voir les fréquences et règles d’utilisation du WiFi.
Préparer, déployer, vérifier
Un hotspot qui fonctionne aussi après l’ouverture
Le choix du portail et des bornes tient compte de leur gestion au quotidien, du réseau en place et des usages attendus.
Cadrer le service
Pour cadrer le service, nous examinons le public accueilli, les appareils, la durée d’accès et le nombre d’utilisateurs simultanés, ainsi que la liaison Internet et les responsabilités. L’étude de couverture WiFi prépare les zones à desservir et les emplacements.
Configurer les accès
Nous conservons les équipements adaptés et déterminons les modifications nécessaires à partir des limites de l’existant. Le travail porte sur le mode de connexion, la séparation des réseaux, le filtrage et les outils d’administration.
Tester avec les utilisateurs
Les essais vérifient la connexion, la reconnexion, la fin de session et les accès refusés avec plusieurs appareils. Ils portent aussi sur les droits d’administration, la cohérence des horodatages et les possibilités d’export des traces par les personnes habilitées.
Un accès WiFi à ouvrir ou à remettre à niveau ?
Le public accueilli et le réseau déjà installé orientent le travail à prévoir. Présentez-nous les lieux pour que nous précisions avec vous les études, les réglages et les interventions utiles à la mise en service.
Sources et périmètre de ce guide
Repères français et documentations techniques vérifiés le 21 octobre 2026. Les références figurent près des sujets concernés. Les textes en vigueur, le service réellement fourni et les éventuelles règles sectorielles guident le projet ; un produit ne constitue pas, à lui seul, une validation de l’ensemble du dispositif.
Les choix de conception se vérifient sur le site, avec le parc client et les conditions d’exploitation prévus. Le schéma est illustratif ; les contrôles et leur périmètre sont définis pour chaque intervention.