Mullvad s’attaque à WireGuard après avoir tourné la page d’OpenVPN

Après avoir définitivement tourné la page d’OpenVPN, Mullvad avance d’un cran supplémentaire. Le fournisseur suédois déploie GotaTun, sa propre implémentation de WireGuard écrite en Rust, pour plus de stabilité, moins de crashs et une pile technique enfin maîtrisée de bout en bout.

Chez Mullvad, la transition vers WireGuard n’est plus un projet, c’est un état de fait. OpenVPN sur le point d’être mis hors ligne, le protocole moderne s’impose désormais comme l’unique colonne vertébrale du service. Mais adopter WireGuard ne suffit visiblement plus. Avec GotaTun, le fournisseur VPN suédois choisit d’en reprendre l’implémentation, en s’affranchissant de wireguard-go, jusqu’ici au cœur de ses applications mobiles. Un changement technique en apparence, qui en dit long sur la direction prise par Mullvad.

Un nouveau moteur plutôt qu’un nouveau protocole

Avant d’entrer dans le vif du sujet, il faut d’abord lever une ambiguïté essentielle : Mullvad ne change pas de protocole à proprement parler. GotaTun ne remplace pas WireGuard, il en est une implémentation alternative, avec les mêmes principes cryptographiques, les mêmes mécanismes de tunnelisation et le même mode de fonctionnement. Ce qui change, en revanche, c’est la manière dont WireGuard est exécuté côté client.

Jusqu’ici, Mullvad s’appuyait sur wireguard-go, l’implémentation en Go devenue la référence côté utilisateurs, largement adoptée par l’industrie VPN. Une solution éprouvée, mais qui a montré ses limites, en particulier sur Android. Le fournisseur explique que les données collectées via le Play Store montraient qu’une écrasante majorité des crashs de son application mobile provenaient directement de ce module, malgré des correctifs répétés au fil des années.

À cela s’ajoutait une contrainte plus structurelle. L’essentiel de l’application Mullvad est aujourd’hui écrit en Rust, à l’exception de wireguard-go. Faire cohabiter Rust et Go implique une couche d’interfaçage complexe, peu lisible en cas de plantage et difficile à maintenir sur le long terme. En clair, le moteur VPN était devenu un point de fragilité dans une pile logicielle pourtant bien maîtrisée.

En développant GotaTun à partir de BoringTun, une implémentation WireGuard en Rust initialement développée par Cloudflare, Mullvad fait donc le choix d’un moteur plus étroitement intégré à ses applications. Une transition qui lui permet non seulement d’améliorer la stabilité, les performances et l’autonomie, notamment sur mobile, mais aussi de reprendre la main sur un élément désormais central de son architecture VPN, tout en embarquant nativement certaines fonctions maison, comme le multihop ou DAITA, sans devoir jongler avec des couches d’interfaçage complexes entre langages.

Une vision plus large de la confidentialité renforcée

Pour rappel, le lancement de GotaTun vient enrichir une série d’évolutions engagées ces derniers mois autour de WireGuard, désormais au centre de toute la stratégie technique de Mullvad.

La plus visible reste l’abandon définitif d’OpenVPN, dont la mise hors ligne est programmée pour janvier 2026. Longtemps conservé pour sa flexibilité et sa capacité à contourner certaines restrictions réseau, le protocole historique a progressivement été relégué au second plan et doit prochainement disparaître des applications officielles, le fournisseur misant dorénavant exclusivement sur WireGuard.

Un choix qui s’inscrit dans un travail de fond puisque, depuis plusieurs mois, Mullvad a multiplié les ajustements pour adapter le protocole à des contextes d’utilisation plus exigeants. Le fournisseur a notamment introduit plusieurs méthodes d’obfuscation pensées pour répondre aux contraintes de censure et de surveillance du trafic réseau, comme la protection post-quantique, LWO, destiné à atténuer les signatures réseau propres à WireGuard, ou encore le support de QUIC, qui permet de faire transiter les flux VPN dans des sessions HTTPS plus difficiles à distinguer du trafic web classique.

On retrouve d’ailleurs cette même volonté de confidentialité renforcée dans la manière dont Mullvad aborde la question de la confiance. L’an dernier, le fournisseur a en effet officialisé un partenariat avec Obscura VPN, reposant sur une séparation stricte des rôles. Dans cette configuration, le trafic transite d’abord par l’infrastructure d’Obscura avant de ressortir via les serveurs de Mullvad, empêchant qu’une même entité puisse disposer à la fois d’informations sur l’identité de l’internaute et sur son trafic.

Source : Mullvad