Activer le multi-hop dans son VPN, vraie sécurité ou fausse bonne idée ?

Souvent présenté comme le « turbo » de l’anonymat, le multi-hop est souvent mal compris. En pratique, c’est un mode de connexion où votre trafic est chiffré et encapsulé, puis relayé par deux serveurs VPN en cascade. Utile dans certaines situations, superflu dans d’autres, il vaut mieux savoir à quoi s’en tenir.

Le multi-hop ajoute des garanties de confidentialité, mais il ne supprime pas tout risque de suivi. En réalité, il change la manière dont les données circulent. Concrètement, le client établit un premier tunnel chiffré vers un serveur d’entrée A. Ce serveur A achemine ensuite le flux, toujours chiffré, vers un serveur de sortie B qui le relaye vers le site ou le service visé. Il faut bien ici comprendre qu’il n’existe pas toujours un chiffrement unique d’un bout à l’autre entre le client et B : selon les fournisseurs, chaque tronçon peut être chiffré séparément (client → A, puis A → B) ou encapsulé dans un tunnel global, mais le principe reste celui d’un acheminement par étapes.

Dans ce schéma, A connaît votre adresse IP et celle de B, mais pas la destination finale du trafic, tandis que B voit les sites et services que vous contactez et l’IP de A, mais jamais la vôtre. Pour le service distant, l’adresse d’origine affichée est celle de B uniquement. C’est dans ce cloisonnement que réside l’intérêt principal du multi-hop puisqu’il limite ce qu’un seul point d’observation peut corréler. Même si, soyons honnêtes, on reste dans un modèle de confiance partagée entre l’internaute et son fournisseur VPN.

En revanche, qui dit double relais dit trajet plus long et débit plus faible. Cette configuration ne s’adresse donc pas à celles et ceux qui veulent juste regarder une série ou parcourir le web, mais plutôt à des internautes ayant des besoins spécifiques en matière de confidentialité et d’accès à l’information.

Contourner la censure ou un pare-feu sévère

Dans des environnements où le trafic Internet est surveillé ou restreint (pays soumis à une censure stricte ou réseau d’entreprise), un VPN classique peut facilement être détecté ou bloqué. Le multi-hop peut alors, dans certains cas, compliquer la tâche des filtres. Quand le fournisseur le propose, la première connexion utilise un protocole de transport obfusqué qui imite un échange HTTPS, ce qui permet de passer les pare-feux sans être identifié comme un tunnel VPN. Une fois cette étape franchie, le trafic poursuit son chemin vers un second relais situé dans une zone plus permissive, qui assure la sortie vers Internet.

Pour l’administrateur réseau qui contrôle le point d’accès, il n’apparaît qu’un flux chiffré vers l’extérieur, sans indice laissant présager d’un second saut derrière. Évidemment, le montage ne neutralise pas toutes les inspections agressives, mais la dissociation entre entrée et sortie entrave plutôt efficacement les blocages qui s’appuient sur des listes d’adresses ou sur la topologie locale.

Segmenter l’information dans les contextes à risque

Quand on manipule des données sensibles ou qu’on enquête sur des sujets susceptibles d’attirer l’attention, il est préférable d’éviter qu’un seul maillon de la chaîne de connexion puisse relier identité et destination, ce que permet le multi-hop par construction (les deux serveurs n’ont jamais accès à la fois à l’IP source et à l’IP cible).

Par conséquent, même si l’un des serveurs était compromis, il ne disposerait que d’une partie du puzzle. Les corrélations temporelles sont techniquement toujours possibles pour des acteurs très puissants, mais cette segmentation réduit nettement la surface d’attaque pour la plupart des scénarios réalistes. Il faut toutefois garder en tête que des éléments applicatifs, comme les cookies ou l’authentification par compte, peuvent néanmoins lier votre activité à votre identité réelle, quels que soient le chemin et les détours empruntés sur le réseau.

Exploiter la variable géographique des relais

Ce principe peut aussi s’appliquer au choix des territoires utilisés pour chaque relais. Placer le premier dans une zone jugée plus sûre ou neutre, puis faire ressortir le trafic depuis un autre pays, crée un décalage légal ou opérationnel entre l’origine et la sortie. Selon les cadres légaux ou le degré de confiance accordé aux opérateurs, on peut ainsi limiter ce qu’un seul nœud, voire une seule juridiction, peut apprendre sur nos activités. À condition, bien sûr, que le fournisseur VPN soit irréprochable vis-à-vis de sa politique de non-collecte et de non-conservation des données.

Cette stratégie vise surtout des usages très pointus : enquêtes impliquant plusieurs zones, vérifications techniques dans des contextes sensibles, ou collecte d’informations sans exposer directement la région d’origine. A contrario, pour le grand public, le jeu n’en vaut généralement pas la chandelle, compte tenu de la complexité du montage et de la perte de performances qu’implique un itinéraire plus long.

Quand se passer du multi-hop et ce que ça coûte

Forcément, doubler les relais allonge le trajet et ajoute de la latence. Le chiffrement supplémentaire pèse surtout côté serveurs, tandis que l’obfuscation et la distance sollicitent davantage l’appareil. Sur ordinateur, le débit diminue de manière sensible, sur smartphone l’autonomie peut en pâtir avec un tunnel actif et une latence plus élevée. Les usages en temps réel comme la visioconférence ou le jeu en ligne le vivent mal. Pour un usage courant de navigation ou de streaming, un seul tunnel offre l’expérience la plus confortable.

Dans tous les cas, assurez-vous que les requêtes DNS sont résolues dans le tunnel par le serveur de sortie et que le client gère correctement l’IPv6. À défaut, privilégiez un client qui bloque l’IPv6 au niveau du VPN ou désactivez-le en dernier recours. Si votre objectif tient essentiellement à l’accès à un catalogue vidéo, le multi-hop n’apporte pas d’avantage décisif par rapport à une simple sélection d’emplacement.

En bref, le multi-hop a du sens pour franchir des filtres, segmenter l’attribution et amortir l’impact d’une compromission isolée. Il perd de son intérêt pour des usages grand public centrés sur le confort. Si vous y recourez, soignez la configuration, choisissez soigneusement l’entrée et la sortie, et gardez en tête que la confiance dans le fournisseur fait partie de l’équation.

Notre sélection des meilleurs VPN selon vos besoins

Chez Clubic, nous testons chaque année des dizaines de VPN de manière totalement indépendante. Nous évaluons la confidentialité, la sécurité, les performances et le rapport qualité-prix, pour ne retenir que ceux qui tiennent vraiment leurs promesses. Voici nos recommandations.

CyberGhost : un réseau tentaculaire à prix doux

Avec plus de 11 000 serveurs répartis dans 100 pays, CyberGhost opère l’un des plus grands réseaux du marché. Il ne dispose pas d’un mode multi-hop, mais ses serveurs « NoSpy », administrés et hébergés dans ses locaux en Roumanie, offrent un surcroît de sécurité pour les utilisatrices et utilisateurs soucieux de confidentialité. Le service applique une politique stricte de non-journalisation, prend en charge OpenVPN et WireGuard, et profite d’une juridiction roumaine plutôt respectueuse des données privées. Son atout : un tarif très compétitif, qui en fait une solution efficace pour qui cherche un VPN fiable sans casser sa tirelire.

Proton VPN : la référence vie privée avec SecureCore

Proton VPN revendique environ 15 000 serveurs répartis dans 122 pays, et met l’accent sur la protection de la vie privée et la liberté en ligne. Ses équipements SecureCore fonctionnent comme un multi-hop intégré : la connexion transite d’abord par des serveurs durcis, administrés par Proton et hébergés dans des centres ultra-sécurisés en Suisse, en Islande ou en Suède, avant de relayer la connexion vers un nœud de sortie classique. Proton VPN prend en charge OpenVPN, WireGuard et Stealth (un protocole maison conçu pour passer les filtres dans les zones à forte censure).

ExpressVPN : des performances taillées pour le quotidien

ExpressVPN mise sur la vitesse et la simplicité. Il s’appuie sur environ 3 000 serveurs répartis dans 105 pays et intègre Lightway, son protocole maison optimisé pour les performances, OpenVPN et, plus récemment, WireGuard avec chiffrement post-quantique. Il ne propose pas de double VPN, mais reste l’un des services les plus réguliers en termes de débit et de stabilité. Basé aux Îles Vierges britanniques, il bénéficie d’un cadre légal favorable à la protection des données et d’une politique no-log éprouvée, régulièrement auditée par des cabinets indépendants.

NordVPN : double VPN et réseau solide

NordVPN aligne environ 8 000 serveurs dans 126 pays et met en avant un large éventail de fonctions axées sur la sécurité. Il propose un mode Double VPN (multi-hop) préconfiguré, ainsi que NordLynx (une implémentation rapide de WireGuard) et NordWhisper, son protocole d’obfuscation. L’entreprise est enregistrée au Panama, une juridiction réputée pour ses lois respectueuses de la vie privée. NordVPN se distingue aussi par la constance de ses débits et par ses options supplémentaires, comme le blocage des publicités ou des traqueurs, appréciables pour un usage avancé.