VPN logiciel, VPN sur routeur ou dVPN, choisir le bon modèle selon vos usages

Derrière le mot VPN se cachent des réalités très différentes. Application installée sur un ordinateur, routeur configuré pour tout le réseau de la maison, ou architecture décentralisée pensée pour brouiller les métadonnées, chaque approche répond à des besoins précis et impose ses propres compromis.

Dans le langage courant, on a tendance à faire du VPN un mot un peu fourre-tout. On pense à une application qui chiffre le trafic, masque l’adresse IP publique et permet de se connecter à un serveur à l’étranger. Pourtant, entre un VPN logiciel classique, un VPN configuré sur routeur et un réseau décentralisé de type dVPN, la manière de traiter vos données, vos métadonnées et la confiance accordée à un tiers n’a plus grand-chose en commun.

Dans tous les cas, on retrouve l’idée d’un tunnel chiffré qui relie votre appareil ou votre réseau à un point de sortie distant, parfois en passant par plusieurs relais intermédiaires. Vu de l’extérieur, l’adresse IP visible est celle du point de sortie et non la vôtre. En revanche, la façon dont ce tunnel est mis en place, la personne qui l’administre et la quantité d’informations techniques qu’elle peut déduire de vos usages varient fortement selon la solution choisie. Et surtout, ces différents modèles ne poursuivent pas exactement le même objectif, certains cherchant d’abord à sécuriser un réseau non fiable, d’autres visant davantage à limiter la corrélation des métadonnées.

Quand on jongle entre navigation classique, télétravail, déplacements et préoccupations de confidentialité, l’enjeu consiste donc moins à trouver le VPN parfait qu’à comprendre ce que chaque modèle protège bien, ce qu’il protège moins bien et pour quels profils il est vraiment intéressant.

VPN logiciel, l’outil le plus utilisé

Le VPN logiciel est celui que l’on connaît le mieux. Il prend la forme d’une application installée sur un ordinateur, un smartphone ou une tablette, et repose souvent sur des protocoles comme WireGuard ou OpenVPN. On appuie sur un bouton, on choisit un pays, le tunnel s'établit et le trafic de l’appareil passe par le serveur du fournisseur.

Cette approche colle bien aux usages quotidiens. Elle se configure en quelques minutes, fonctionne sur la plupart des systèmes et permet de protéger précisément les appareils qui sortent le plus souvent de la maison, qu’il s’agisse d’un ordinateur portable connecté au Wi-Fi d’un coworking ou d’un téléphone utilisé dans les transports. Les fournisseurs grand public type CyberGhost, Proton VPN ou ExpressVPN s’appuient parfois sur cette couche réseau pour l’enrichir d’autres fonctions, par exemple des bloqueurs de pubs et de traqueurs, des DNS filtrés ou des alertes en cas de connexion à un hotspot jugé risqué.

Du point de vue de la confidentialité, le VPN logiciel déplace surtout le problème. Votre FAI voit moins de choses, les réseaux Wi-Fi publics ont plus de mal à vous espionner, même s’ils voient toujours que vous utilisez un VPN, et à quel serveur vous vous connectez. Mais un nouvel acteur entre dans l’équation. Le fournisseur de VPN connaît votre adresse IP d’origine, l’heure à laquelle vous vous connectez, la durée de vos sessions et les volumes de données qui transitent. Il peut aussi observer des éléments techniques comme les adresses IP de destination, les ports, et souvent les requêtes DNS si vous utilisez ses propres résolveurs. Il n’accède pas au contenu chiffré des connexions HTTPS, ce qui n’empêche pas de déduire des habitudes d’usage à partir des métadonnées, surtout si la politique de journalisation est floue ou si l’infrastructure est peu transparente. D’où l’importance de faire confiance à son fournisseur VPN.

Cette catégorie reste la plus pertinente dans de nombreux scénarios. Elle offre un bon niveau de protection sur les réseaux publics, limite certains types de surveillance commerciale, ouvre l’accès à des contenus bloqués par région et s’intègre correctement dans un quotidien déjà chargé. Elle ne transforme pas pour autant un ordinateur ou un smartphone en outil d’anonymat avancé, et elle ne neutralise pas le pistage au niveau applicatif, entre comptes connectés, empreinte navigateur et identifiants publicitaires qui continuent à faire leur travail.

VPN sur routeur, la protection au niveau du réseau

Le VPN sur routeur suit une logique différente. Il ne s’installe pas sur chaque appareil, mais au niveau du réseau lui-même. Dans la plupart des cas, il s’agit soit du routeur de la maison configuré en VPN, soit d’un boîtier dédié positionné entre la box ou le modem qui donne accès à Internet et le réseau local. Tout le trafic qui passe par ce routeur, qu’il provienne d’un ordinateur fixe, d’une console de jeu, d’un téléviseur connecté ou d’un objet domotique, emprunte alors le tunnel VPN. Dans les faits, ce n’est pas tant le matériel qui change la donne que l’endroit où le tunnel est établi, à savoir directement à la sortie du réseau local, là où toutes les connexions filent vers Internet. À noter que cette configuration peut aussi servir dans l’autre sens, en créant un accès VPN entrant pour se connecter à distance à son réseau domestique.

Cette approche est surtout intéressante pour les profils qui gèrent un grand nombre d’appareils. Une maison très équipée, un petit bureau ou un local professionnel gagnent à centraliser le chiffrement à un seul endroit. On configure une fois le protocole, les serveurs, les règles de routage, puis l’ensemble du réseau local bénéficie de cette configuration. Sur des routeurs plus évolués que les box grand public, on peut ajouter des fonctions de pare-feu, de segmentation du réseau ou de priorisation du trafic qui permettent d’éviter que la situation ne devienne ingérable quand les équipements connectés se multiplient.

La contrepartie tient dans la mise en place et la maintenance. Configurer un routeur VPN demande de comprendre les notions de firmware, d’interface d’administration, de mises à jour de sécurité et parfois de flash de matériel si l’on veut installer un système alternatif. Ce n’est pas injouable, mais cela suppose une appétence réseau nettement supérieure à celle exigée par un simple abonnement grand public et son application. Et comme tout équipement exposé, un routeur mal entretenu peut vite devenir le maillon faible, surtout si les mises à jour ne sont pas faites en temps et en heure ou si la configuration s’éloigne des réglages par défaut.

Sur le volet vie privée, un routeur VPN ne change pas fondamentalement le modèle de confiance. Si le tunnel pointe vers un fournisseur commercial, ce fournisseur voit théoriquement toujours l’adresse IP du lieu, les horaires et le volume de trafic global, même s’il ne sait pas quel appareil a initié telle ou telle connexion. Le VPN sur routeur apporte donc une réponse essentiellement pratique et organisationnelle. Il simplifie la protection d’un ensemble d’équipements, mais ne règle pas de lui-même la question des métadonnées ni celle du point de confiance central. Il faut aussi compter avec les détails qui fâchent, comme une mauvaise gestion de l’IPv6, certaines applications qui imposent leur propre résolution DNS chiffrée, ou des règles de routage qui laissent filer une partie du trafic hors tunnel si l’architecture n’est pas propre.

dVPN et mixnets, la confidentialité par la décentralisation

Face à ces limites, une troisième famille de solutions a émergé depuis quelques années. Sous l’étiquette des dVPN, pour decentralized VPN, on range des architectures qui reposent sur un réseau distribué de nœuds. Votre trafic ne transite plus uniquement par l’infrastructure d’un fournisseur unique, mais par un relais opéré par un acteur indépendant, parfois un particulier, parfois un opérateur plus structuré, à l’image d’Orchid. Selon les services, on peut ensuite enchaîner plusieurs nœuds, en multi-hop. Cette décentralisation change surtout la question du tiers de confiance, mais elle ne suffit pas toujours à brouiller finement les métadonnées et ne garantit pas, à elle seule, qu’un nœud ne journalise rien ou qu’il soit opéré de manière irréprochable.

Certains projets vont donc plus loin et cherchent à compliquer l’analyse de trafic elle-même, en s’appuyant sur une logique de mixnet, comme NymVPN. Les paquets sont standardisés à taille fixe, chiffrés en plusieurs couches, acheminés par une série de nœuds intermédiaires, mélangés avec d’autres flux et retardés pour rendre l’analyse de trafic plus difficile. L’idée consiste à casser la corrélation simple entre l’adresse IP d’origine, l’heure de connexion et l’adresse IP de sortie. En théorie, aucun opérateur ne dispose à lui seul de toutes les informations qui permettraient de relier de manière fiable l’utilisateur final et le service consulté. Cette promesse dépend toutefois de la taille du réseau, de sa diversité, et du modèle de menace.

Sur le papier, cette approche répond mieux aux besoins des profils particulièrement exposés, par exemple des journalistes, des militants ou des personnes visées par une surveillance ciblée. La réduction du point de confiance unique et le brouillage des métadonnées rendent l’attaquant plus dépendant de moyens lourds et d’une visibilité étendue sur le réseau, ce qui dépasse largement le cadre d’un simple fournisseur commercial.

Dans la pratique, ces solutions imposent des concessions que le grand public n’est pas toujours prêt à accepter. Le passage par plusieurs nœuds augmente la latence et peut réduire le débit, surtout lorsque le réseau est encore en construction ou que tous les relais ne disposent pas de connexions très performantes. L’expérience utilisateur reste parfois moins lisse qu’avec une application de VPN traditionnelle. Enfin, le modèle économique peut reposer sur des logiques d’incitation ou sur des tokens qui ajoutent une couche de complexité pour des utilisateurs et utilisatrices qui souhaitent simplement cliquer sur un bouton et naviguer en paix. Et comme avec un VPN classique, le dernier relais reste un point sensible pour tout trafic qui n’est pas chiffré bout en bout, ce qui remet le bon vieux HTTPS au centre du jeu.

Ces types de réseaux apportent donc une réponse solide à un problème très précis, mais ne remplacent pas automatiquement un VPN classique pour un usage web au quotidien. Ils élargissent la palette d’outils disponibles pour celles et ceux qui ont des contraintes de confidentialité plus fortes.

Choisir son type de VPN en fonction de ses usages réels

Maintenant que nous avons brièvement passé en revue ces trois familles de VPN, le choix devrait vous sembler un peu moins abstrait. Pour un usage quotidien fait de navigation, de consultation de services en ligne et de télétravail sur des réseaux publics, un VPN logiciel bien choisi, transparent sur sa politique de journalisation et régulièrement audité, couvre déjà une grande partie des risques concrets rencontrés par le grand public. Pour un foyer ou un petit bureau équipé d’une multitude d’appareils qui n’acceptent pas d’applications dédiées, un routeur configuré en VPN apporte une cohérence bienvenue en centralisant le chiffrement et certains réglages de sécurité.

Dans les situations plus sensibles, où l’on cherche à réduire au maximum la quantité de métadonnées exploitables par un tiers et à éviter autant que possible qu’un opérateur unique puisse tout voir, les dVPN, fondés sur des architectures décentralisées, prennent davantage de sens. Ils demandent un peu plus de patience, un peu plus de compréhension des enjeux et une tolérance supérieure aux imperfections, mais ils ouvrent un espace que le VPN grand public, par construction, ne couvre pas totalement.

Dans tous les cas, vous n’avez pas besoin de choisir un camp définitif. Un même profil peut très bien s’appuyer sur une application classique pour les usages courants, expérimenter un dVPN pour des contextes plus exposés et, dans une maison très connectée, confier une partie de la charge à un routeur dédié. L’essentiel est de savoir ce que l’on gagne avec chaque modèle, ce que l’on accepte de déléguer à un tiers et à quel point les métadonnées donnent encore du grain à moudre aux acteurs qui observent le réseau. On rappellera également qu’un VPN protège très bien contre certains risques concrets, beaucoup moins contre l’identification par l’écosystème applicatif, et il ne remplace jamais une hygiène numérique solide.