Tous les fournisseurs VPN promettent le meilleur chiffrement, une politique no-log exemplaire et une protection totale de la vie privée. Mais en réalité, distinguer un réseau privé virtuel sérieux d’un service approximatif demande un peu plus qu’un joli site et une réduction agressive. Voici les points qui comptent vraiment pour savoir à qui confier votre trafic.
Vous pensiez utiliser un VPN pour avancer masqué sur le web ? Raté. Un réseau privé virtuel ne fait pas disparaître les traces techniques de votre connexion, il les fait simplement changer de mains. Au lieu d’atterrir chez votre fournisseur d’accès à Internet, elles passent par un autre intermédiaire, le fournisseur VPN. Votre FAI voit moins de choses, mais le VPN obtient en échange une vue structurée d’une partie de votre activité réseau : adresse IP réelle, serveurs auxquels vous vous connectez, horaires et volumes de trafic, voire noms de domaine consultés si la résolution DNS est opérée par son infrastructure. Le contenu de vos échanges chiffrés en HTTPS lui échappe, mais il dispose tout de même d’un panorama précis de vos habitudes en ligne. En clair, en activant votre VPN, vous déplacez seulement la confiance que vous accordez à l’intermédiaire. Alors autant le faire en connaissance de cause
1. Les VPN gratuits, un terrain miné quand on ne sait pas où l’on met les pieds
Ah ! Les VPN gratuits. Souvent, ce sont eux qui servent de première porte d’entrée vers le réseau privé virtuel. On ne veut pas payer, ou l’on a un besoin très ponctuel, alors on installe le premier résultat qui remonte dans un store mobile ou dans un moteur de recherche. On regarde le nombre de téléchargements, quelques avis vaguement rassurants, et l’on a vite fait de considérer l’affaire pliée. Mais dans les faits, une grande partie des services gratuits inconnus vivent de la publicité poussée à l’extrême, de la revente de données de connexion ou d’accords plus ou moins assumés avec des tiers, généralement peu favorables à l’utilisateur final. L’actualité rappelle d’ailleurs régulièrement que Google passe son temps à purger bon nombre de VPN gratuits caracolant en tête du Play Store parce qu’ils embarquent des malwares, des permissions disproportionnées ou des mécanismes de collecte de données difficilement compatibles avec la promesse de confidentialité vantée sur leur fiche.
Alors rassurez-vous, tous les VPN gratuits ne finissent pas dans cette catégorie. Il existe heureusement des offres gratuites honnêtes, proposées par des fournisseurs identifiés qui assument un modèle clair. Le service est financé par les abonnements de la version payante, et l’offre gratuite est volontairement limitée en débit, en volume ou en nombre de serveurs, sans transformer chaque connexion en opportunité marketing.
Au fond, le critère important n’est pas le caractère gratuit du VPN, mais la manière dont il est financé et les contreparties que cela entraîne. Un service qui ne vous fait rien payer et promet des connexions illimitées, rapides, anonymes, sans explication sur l’entreprise qui se trouve derrière, ni sur son modèle économique, ressemble moins à un bon plan qu’à un aspirateur à données personnelles.
2. Pays de domiciliation et alliances de renseignement, un critère important mais pas absolu
Vous le savez sûrement, le pays dans lequel un VPN est établi a des conséquences directes sur les lois auxquelles il est soumis et sur la manière dont il doit répondre aux demandes des autorités. Les alliances de renseignement ne se limitent pas à un seul schéma, mais le débat public met surtout en avant quelques blocs bien identifiés, comme les Five Eyes, Nine Eyes ou Fourteen Eyes, qui structurent la coopération entre États pour l’échange d’informations, y compris lorsqu’il s’agit de données issues de fournisseurs de services numériques.
Ce qui ne signifie pas qu’il faudrait systématiquement bannir tous les VPN domiciliés dans ces pays. Des services réputés ont prouvé qu’une politique no-log cohérente, associée à une architecture bien pensée, permettait d’opposer des réponses claires à des demandes d’accès. À l’inverse, un fournisseur installé dans un État présenté comme très protecteur peut tenir un double discours et activer des journaux de connexion dès qu’il y trouve un intérêt.
En bref, le pays de domiciliation sert essentiellement à savoir quelles lois s’appliquent au fournisseur et à quelles autorités il peut être amené à répondre. Il devient vraiment parlant lorsqu’on le relie à des éléments plus concrets, comme la conception technique, l’historique du fournisseur, sa transparence et les preuves tangibles de ses engagements.
3. Politique no-log, promesse marketing ou engagement vérifiable ?
La mention no-log apparaît désormais sur presque toutes les pages d’abonnement. En théorie, une politique no-log signifie que le fournisseur ne conserve pas de traces exploitables de l’activité réseau de ses utilisateurs et utilisatrices. En pratique, il existe plusieurs catégories de journaux et plusieurs façons de les relier, ou non, à une identité.
Certains services ne retiennent que des données techniques agrégées, comme la charge d’un serveur, la durée moyenne des sessions ou le volume global transféré, sans les associer à un compte précis. D’autres enregistrent des informations beaucoup plus sensibles, comme l’adresse IP d’origine, des horodatages détaillés de connexion, voire des éléments de trafic. Le tout est souvent noyé dans des formulations juridiques indigestes et ambiguës, si bien qu’il est difficile de savoir exactement ce qui est conservé, pendant combien de temps et à quel niveau de détail.
Pour évaluer la solidité d’une promesse no-log, il faut regarder ce qui a déjà été mis à l’épreuve. Les audits indépendants centrés sur la politique de journalisation, les décisions de justice éventuellement publiées, les enquêtes techniques qui concluent à l’absence d’historique exploitable et les rapports de transparence, qui récapitulent les demandes reçues et la manière dont le VPN y a répondu, constituent un bon baromètre.
Il faut cependant garder en tête que les audits ont un périmètre et une date. Ils portent sur une version donnée du code ou de l’infrastructure, sont financés par le fournisseur et débouchent parfois sur des résumés publics très synthétiques. Ils apportent des garanties partielles, précieuses, mais ne transforment pas une mention no-log en vérité absolue. Ce qui compte, au final, c’est la cohérence entre le discours, les preuves disponibles et la façon dont le service réagit lorsque ses choix techniques sont réellement testés.
4. Serveurs RAM, un atout sérieux mais pas une baguette magique
De plus en plus de fournisseurs mettent en avant le fait que leurs serveurs VPN fonctionnent exclusivement en mémoire vive, sans disque de stockage classique. La configuration des machines est chargée au démarrage, les données nécessaires au fonctionnement transitent en RAM et un redémarrage efface ce qui s’y trouvait, ce qui limite fortement la persistance de journaux sur la machine elle-même.
Cette approche réduit effectivement les risques liés à la saisie physique d’un serveur ou à la récupération ultérieure de données sur un disque dur sorti d’un datacenter. En revanche, elle ne dit rien de ce qui est consigné ailleurs ni de ce qui peut être observé pendant le fonctionnement. Des journaux peuvent toujours être envoyés vers d’autres systèmes, et un attaquant qui compromet un serveur en production peut continuer à voir ce qui transite. Les serveurs RAM-only répondent donc à un type de menace bien précis, celui de l’analyse a posteriori d’un serveur saisi, mais ne suffisent pas à eux seuls à décrire le niveau de confidentialité réel d’un VPN.
5. Protocoles de connexion, prudence avec les solutions opaques
Le protocole utilisé par un VPN décrit la manière dont les données sont encapsulées, chiffrées et acheminées entre l’appareil et le serveur. Il influe directement sur les performances, la stabilité et le niveau de sécurité.
OpenVPN reste une référence ancienne mais éprouvée, largement auditée et très flexible, au prix parfois d’un léger surcoût en ressources. WireGuard, également open source, s’est imposé comme une alternative plus moderne, avec un code plus compact, des choix cryptographiques récents et une conception orientée vers la performance et la simplicité. De nombreux fournisseurs l’ont adopté, parfois sous un nom différent, en l’intégrant dans leur propre logique de gestion des sessions. IKEv2 est aussi très utilisé, notamment sur mobile, pour sa capacité à gérer proprement les changements de réseau entre Wi-Fi et 4G/5G.
En parallèle de ces protocoles standard, certains services mettent en avant des protocoles maison présentés comme plus rapides, plus sûrs ou plus difficiles à détecter que tout le reste. Dans bien des cas, ils reposent sur un socle existant comme WireGuard ou OpenVPN, enveloppé dans une couche propriétaire qui complique l’analyse extérieure sans toujours apporter de bénéfices évidents. Tant que ces implémentations ne sont ni correctement documentées, ni auditées par des tiers, elles ajoutent surtout de l’opacité.
Pour un usage courant, mieux vaut donc s’appuyer sur des technologies standardisées et ouvertes, abondamment épluchées par la communauté cyber, que sur un nom de protocole marketing dans une fiche produit.
6. Chiffrement et gestion des clés, un ensemble à étudier dans sa globalité
La plupart des VPN sérieux mettent en avant AES-256 pour chiffrer le trafic, d’autres s’appuient sur des suites plus récentes comme ChaCha20-Poly1305. Or, ce n’est pas tant le nom de l’algorithme qui importe que la manière dont tout le système de chiffrement est construit, à savoir le mode de chiffrement choisi, la façon dont les clés sont générées puis échangées entre le client et le serveur, et la présence de Perfect Forward Secrecy, qui évite qu’une clé compromise permette de déchiffrer des sessions passées.
Pour le grand public, il n’est pas nécessaire de rentrer dans tous les détails cryptographiques. En revanche, il reste utile de vérifier que le fournisseur décrit explicitement ses choix, qu’il s’appuie sur des standards reconnus comme AES-256-GCM ou ChaCha20-Poly1305 avec PFS, et que ces choix ont été, autant que possible, examinés de manière indépendante.
7. Kill switch et protections contre les fuites, l’assurance en cas de couac
Un VPN sérieux doit gérer proprement les coupures de connexion au serveur. Le kill switch a pour rôle de couper le trafic quand le tunnel chiffré tombe, afin d’éviter que la connexion continue hors VPN avec votre adresse IP bien visible.
Dans le même ordre d’idées, la façon dont le service encadre les fuites compte tout autant. Des requêtes DNS qui partent encore chez votre FAI, un navigateur qui expose l’adresse IP via WebRTC ou un trafic IPv6 laissé en dehors du tunnel peuvent réduire à néant l’intérêt du VPN. Un fournisseur qui impose ses propres résolveurs DNS dans le tunnel, propose des protections dédiées contre les fuites WebRTC et IPv6 et documente clairement ces points offre une bien meilleure assurance en cas de déconnexion ou de raté réseau qu’un simple « kill switch » mentionné sur sa page d’abonnement.
8. Historique du fournisseur et gestion des incidents, des indicateurs souvent sous-estimés
On se concentre souvent sur les promesses affichées sur le site et beaucoup moins sur ce qui s’est déjà produit dans la vie d’un fournisseur. Pourtant, l’historique d’un service en dit long sur sa culture interne. Qui possède réellement le service ? Quelles opérations de rachat ont eu lieu ? Y a-t-il déjà eu scandale de collecte abusive de données malgré une politique no-log affichée ?
À noter qu’un incident de sécurité ne suffit pas à disqualifier un VPN. À partir du moment où un service exploite une infrastructure mondiale et traite des volumes importants de données, des vulnérabilités ou des erreurs d’exploitation finissent nécessairement par arriver. Si le fournisseur minimise systématiquement les problèmes, communique de manière floue ou ne publie aucune information exploitable sur un incident de serveur, il est peut-être temps de changer.
9. Transparence technique et bug bounty, la confiance se construit aussi avec la communauté
Quand on cherche à jauger un VPN, la manière dont il parle de sa technique compte presque autant que la technique elle-même. Un fournisseur qui décrit son infrastructure, la gestion des accès administrateurs, les datacenters utilisés et qui publie au moins une partie du code de ses applications clientes offre déjà un cadre plus lisible. Cela permet de voir comment sont gérés le tunnel chiffré, les mises à jour, la télémétrie et d’éventuels trackers tiers intégrés au logiciel.
Les rapports de transparence et les programmes de bug bounty rémunérés prolongent ce mouvement lorsque les règles du jeu sont claires et que les retours sont publiés régulièrement. On voit alors si le service accepte que des tiers examinent son fonctionnement, signalent des failles et posent des questions sur ses choix techniques.
10. Écosystème, comportement du service et engagements publics, lire entre les lignes
Au-delà des aspects purement techniques, la place qu’occupe un VPN dans son écosystème en dit long sur son fonctionnement. Service vendu seul ou intégré à un bouquet plus large, accolé à un navigateur, à une suite de sécurité ou à d’autres produits du même groupe, chaque configuration raconte une histoire différente.
Sur la machine, on peut aussi observer si l’application se limite à son rôle de tunnel chiffré ou si elle cherche à étendre sa présence, en s’invitant automatiquement au démarrage, en reliant systématiquement votre compte à d’autres services ou en multipliant les processus en arrière-plan sans raison évidente. Les politiques de remboursement, la facilité de résiliation et un parcours d’abonnement lisible complètent ce tableau et donnent une idée assez nette de la manière dont le fournisseur considère ses utilisateurs et utilisatrices.
Autre repère, les engagements publics du fournisseur. Participation à des coalitions sectorielles, soutien à des organisations de défense des droits numériques, contribution à des recours contre certains dispositifs de surveillance, prises de position régulières sur l’évolution du droit, toutes ces actions indiquent comment le service se positionne dans le débat sur la vie privée, au-delà de sa seule promesse commerciale.
[Article mis à jour le 27 novembre 2025]
