Le "VPN gratuit" de Edge ne protège presque rien, selon un expert de Brave

Un chercheur en sécurité chez Brave a analysé la fonctionnalité Secure Network de Microsoft Edge. Résultat : non, ce n'est pas un VPN. C'est simplement un proxy avec des limitations importantes que Microsoft ne met pas en avant.

Le compte officiel de Microsoft Edge a récemment publié un tweet promettant un "VPN gratuit directement dans Edge" - sans application à installer, sans abonnement. Sooraj Sathyanarayanan, chercheur en sécurité chez Brave Browser, a vérifié ce que cela signifie concrètement et publié son analyse.

Ce que le service fait vraiment - et ce qu'il ne fait pas

Edge Secure Network s'appuie sur la plateforme Privacy Proxy de Cloudflare. En pratique, c'est un proxy HTTP : il ne couvre que le trafic du navigateur Edge. Tout le reste - client mail, requêtes DNS, mises à jour système - passe en clair sur le réseau. Un vrai VPN chiffre tout le trafic de l'appareil, pas seulement celui d'un seul navigateur.

Le mode par défaut limite encore davantage la portée du service. Edge Secure Network est configuré en mode "Optimisé" à l'installation. Autrement dit, il s'active uniquement sur les Wi-Fi publics ou sur les sites HTTP non sécurisés. Chez vous, sur un site HTTPS classique, il ne fait rien du tout. Pour avoir une protection continue, il faut se rendre au sein des paramètres et passer sur le mode "Tous les sites" à la main, une étape que la plupart des utilisateurs ne feront jamais.

Deux autres problèmes à noter. Ce VPN n'a pas de kill switch : si le nœud Cloudflare tombe, votre trafic repart en clair, sans alerte. En outre, il n'y a pas de protection contre les fuites WebRTC par défaut - ce protocole peut exposer votre vraie adresse IP même via un proxy. Une option corrige le problème dans les options avancées (edge://flags), mais elle est désactivée.

Enfin, rappelons qu'il n'est pas possible de sélectionner le serveur de son choix. Edge vous assigne le nœud Cloudflare le plus proche automatiquement, ce qui laisse votre localisation approximative visible pour les sites que vous visitez.

Votre identité liée au service, et la télémétrie d'Edge par-dessus

Pour activer Edge Secure Network, une connexion avec un compte Microsoft personnel est obligatoire. Microsoft justifie ça par la gestion du quota mensuel de 5 Go. Concrètement, votre identité est directement associée à votre activité sur le proxy. À la connexion, la synchronisation Edge s'active automatiquement : historique, mots de passe, favoris, extensions et onglets ouverts deviennent accessibles sur tous vos appareils connectés au même compte.

Côté architecture, le service repose sur deux acteurs : Microsoft gère votre identité, Cloudflare s'occupe du routage et affirme supprimer ses données de diagnostic toutes les 25 heures. Pas d'audit indépendant pour vérifier ces engagements, code source fermé - impossible de contrôler quoi que ce soit de l'extérieur.

Dernier point : la télémétrie native d'Edge tourne en parallèle. Chaque caractère tapé dans la barre d'adresse part vers votre moteur de recherche par défaut - Bing dans la plupart des cas - avec un identifiant unique propre au navigateur. Les données de diagnostic comprennent les URL visitées, les titres et contenus de pages. Et le mode navigation privée ne change rien à cette collecte.

Nous avions fait un constat similaire en testant le VPN gratuit embarqué au sein du navigateur Opera. Brave propose un vrai VPN fourni par Guardian, il s'agit d'une option payante à 9,99 dollars par mois pour 5 connexions simultanées. De son côté, Mozilla propose également un VPN premium reposant sur l'infrastructure de Mullvad, et développe ses propres serveurs pour un proxy gratuit intégré à Firefox. Enfin, si vous cherchez une alternative européenne regardez du côté de Vivaldi qui a signé avec Proton. L'entreprise suisse est la seule à proposer un vrai VPN gratuit.