Risques des VPN gratuits en Iran : quelles données sont exposées ou restent privées ?

Que peut exposer un VPN gratuit ?

Un VPN gratuit peut exposer des informations de connexion à son exploitant, et son application peut recueillir des données supplémentaires de l’appareil. Cela ne lui permet pas automatiquement de lire un mot de passe envoyé par une connexion HTTPS correctement sécurisée. Visibilité du réseau et accès au contenu du téléphone sont deux questions distinctes. ^[1][2][6]

Le prix ne tranche pas ces questions. Demandez qui fournit le service, comment il est financé et ce qu’autorisent ses conditions de confidentialité. Une offre gratuite limitée, un service financé par dons et une entreprise publicitaire peuvent avoir des motivations différentes. Payer ne dispense pas non plus d’évaluer le fournisseur. ^[1]

Au 4 novembre 2026, le choix utile pour une personne en Iran ne se résume pas à « gratuit ou payant ». Définissez ce que vous voulez protéger, à qui vous faites confiance et ce que promet réellement le logiciel. Ces informations générales de sécurité ne remplacent pas l’évaluation complète de la situation d’une personne confrontée à une menace ciblée.

Que voit l’exploitant du VPN et qu’est-ce qui reste chiffré ?

Pour le trafic passant par un VPN, le fournisseur d’accès local voit généralement une connexion au VPN plutôt que le même trafic direct vers les destinations. L’exploitant du VPN peut observer des informations comme l’adresse IP d’entrée, les horaires du trafic et les informations de destination dont il dispose. La confiance se déplace ; elle ne disparaît pas. ^[1]

Le contenu exige sa propre protection. HTTPS protège les informations entre navigateur et site lorsque la connexion sécurisée est valide. Il ne rend pas le site honnête. Confirmez la destination et prenez les avertissements de certificat au sérieux, surtout avant de saisir identifiants ou données de paiement. ^[2]

Pour une visite à un webmail, posez deux questions : qui peut observer la connexion réseau, et qui reçoit les informations saisies sur le site ? Le VPN fait partie du trajet. Le site est le destinataire prévu. Choisir le trajet ne remplace pas la vérification du destinataire souhaité.

Évitez les deux extrêmes : « un VPN lit tout » et « un VPN rend tout invisible ». Demandez de quelles données, de quel observateur et de quelle protection il est question. Une déclaration de confidentialité utile permet de répondre séparément, au lieu de traiter toutes les informations comme une catégorie unique.

Que sont les fuites DNS et les fuites de trafic ?

Le DNS traduit les noms des sites en adresses réseau. Une requête demande les informations nécessaires pour trouver un service ; ce n’est pas télécharger toutes ses pages ou lire tous ses messages. Cette distinction aide à comprendre une affirmation sur les « données de navigation ». ^[10]

Une fuite DNS signifie que les requêtes concernées échappent au trajet censé les protéger. Le trafic peut aussi sortir d’un tunnel VPN autrement. La présentation USENIX 2026 de Roya Ensafi décrit des recherches ayant trouvé des requêtes DNS échappées, des adresses IP exposées lors de défaillances du tunnel et un traitement dangereux des données dans des applications VPN. Ces constats établissent des modes de défaillance réels, pas un verdict sur chaque produit actuel. ^[3]

Demandez ce que signifie la promesse d’empêcher les fuites. L’explication couvre-t-elle une coupure, un changement de réseau et le système d’exploitation utilisé ? Précise-t-elle la version examinée ? Une étiquette « protégé » est moins utile qu’une description précise de la situation couverte.

Au quotidien, ne faites pas d’expérience risquée avec un compte privé pour voir ce qui arrive. Pour comparer des évaluations publiées, examinez conditions et date. Gardez pour vous une capture de la promesse et de sa portée, sans secrets de compte ni contenu de trafic sensible.

L’application VPN peut-elle collecter des données sans rapport avec le tunnel ?

Oui. L’application installée a son propre comportement et ses autorisations. Android permet d’examiner séparément l’accès aux contacts, photos ou localisation. Vérifiez ce que permet une autorisation et si vous utilisez la fonction correspondante. L’autorisation d’acheminer une connexion ne justifie pas un accès illimité à des données sans rapport. ^[6]

La rubrique Sécurité des données de Google Play contient les déclarations des développeurs sur collecte, partage et sécurité. Google explique que certaines catégories comportent des exceptions et qu’un examen indépendant de sécurité mentionné ne vérifie pas l’exhaustivité ou l’exactitude de ces déclarations. Lisez les détails au lieu de prendre un badge pour une garantie sans condition. ^[5]

La présentation USENIX 2026 décrit aussi des applications VPN transmettant des identifiants publicitaires pour le suivi entre applications. C’est différent d’un exploitant lisant une requête web non chiffrée. Examinez la collecte du logiciel lui-même, pas seulement sa promesse de chiffrer le trafic. ^[3]

Faites un examen limité : autorisations, description des données et identité du développeur. Si ces trois éléments ne sont pas cohérents, suspendez la décision. Vous n’avez pas besoin d’installer plusieurs applications inconnues pour obtenir davantage de preuves sur une offre impossible à identifier.

Une autre adresse IP cache-t-elle mon identité ou ma position ?

Pas à elle seule. L’empreinte numérique du navigateur ou de l’appareil combine des caractéristiques en un profil reconnaissable. L’EFF explique que les traceurs peuvent l’utiliser entre sites et applications. Changer l’adresse réseau n’efface pas, à lui seul, toutes les autres caractéristiques. ^[8]

La localisation constitue un autre canal. Android autorise les applications disposant de la permission appropriée à utiliser la position de l’appareil. L’aide Google distingue autorisations et services de localisation des autres choix de compte et d’appareil. Une adresse de connexion semblant étrangère ne prouve donc pas que toutes les applications ont cessé de recevoir votre position. ^[7]

Security in a Box distingue plusieurs objectifs : protéger les informations sur le réseau local, réduire le suivi commercial et empêcher qu’une activité soit reliée à une identité. Ils exigent des décisions différentes. Son guide d’anonymat déconseille aussi de relier une activité à un compte identifiant. ^[9]

Se connecter à son compte personnel habituel reste, par exemple, un choix d’utiliser ce compte même si le trajet réseau change. N’attendez pas d’un VPN qu’il efface les informations fournies volontairement. Avant d’ouvrir une application, déterminez si vous cherchez une connexion privée, une localisation différente pour accéder à un service ou une séparation d’identité. Ces objectifs ne sont pas interchangeables.

Les VPN gratuits sont-ils toujours moins bons que les payants ?

Un tarif ne prouve pas la fiabilité technique. L’article USENIX 2023 sur les attaques TunnelCrack étudiait des faiblesses de routage touchant plusieurs catégories de clients : gratuits, payants, d’entreprise et intégrés. Ses constats concernent les produits et conditions testés alors ; il ne faut pas les présenter comme les taux de défaut actuels de tout le marché. ^[4]

Pour un audit ou rapport de recherche, vérifiez date, version de l’application et objet de l’évaluation. Une étude de routage ne certifie pas automatiquement la politique de conservation d’une entreprise. Une déclaration sur les journaux des serveurs ne couvre pas automatiquement le code publicitaire d’une application mobile. Demandez si les preuves répondent vraiment à la question importante pour vous.

Pour une offre gratuite, demandez comment elle est financée et ce qui arrive une fois le quota épuisé. Pour une offre payante, clarifiez annulation et renouvellement. Ce sont des questions pratiques au fournisseur, pas des raisons de supposer l’un ou l’autre modèle sûr ou malhonnête.

Comparez les réponses par écrit. Laissez un espace vide quand le fournisseur n’a pas répondu. Ne le remplissez pas par une note étoilée, un grand nombre de téléchargements ou une description séduisante. Fondez la décision sur les preuves propres à ce service et à cette version, pas sur une règle qualifiant tout produit gratuit de malveillant.

Que vérifier avant l’installation ou pour décider de le garder ?

Commencez par le minimum utile : nom de l’application, développeur et distribution officielle. Lisez la description du traitement des données et la justification de chaque autorisation sensible. Google Play publie sur la fiche les pratiques déclarées, notamment collecte, partage et suppression. Considérez-les comme des questions à vérifier, pas comme un audit indépendant déjà réalisé. ^[5]

Examinez ensuite les preuves des promesses de sécurité. TunnelCrack montre l’importance du système d’exploitation et du routage. Si le fournisseur cite une évaluation, vérifiez qu’elle porte sur votre plateforme et si le logiciel concerné a changé depuis. ^[4]

Préparez une petite fiche avec cinq questions : qui exploite le service ? Que recueille l’application ? Que conserve le serveur ? Quelle évaluation indépendante existe ? Que se passe-t-il si la connexion échoue ? « Inconnu » est une réponse utile : elle indique où la confiance manque.

Pour un téléphone familial partagé, convenez aussi des personnes autorisées à installer des logiciels et modifier les autorisations. N’exigez pas d’un proche qu’il comprenne tous les termes techniques. Demandez-lui de s’arrêter quand une nouvelle application exige un changement inexpliqué et proposez un moyen habituel de demander de l’aide sans partager ses mots de passe.

Que faire face à une application ou demande de paiement suspecte ?

Cessez de saisir de nouvelles données sensibles pendant que vous identifiez le problème. Notez ce qui s’est passé : autorisation inattendue, nouvelle page de connexion, débit inexpliqué ou échec de connexion. Gardez le nom de l’application et le texte de la demande. Ces observations sont plus utiles que de supposer une cause unique pour tous les symptômes.

Si un message demande d’ouvrir une page de connexion, accédez au compte par un chemin connu plutôt que par le lien fourni. Les conseils Google sur l’hameçonnage recommandent de vérifier la destination et de ne pas divulguer de données personnelles par des demandes suspectes. Un message de paiement ou renouvellement VPN mérite le même examen qu’un autre message de compte. ^[11]

Si la position est le problème, examinez réglages de localisation et autorisations au lieu de supposer qu’un changement de serveur VPN le résout. Google explique les accès au niveau de l’appareil et des applications. Décidez quelles applications ont besoin de cette information pour vos usages réels. ^[7]

Si un paiement inconnu ou une prise de contrôle du compte s’est déjà produit, traitez-le comme un incident distinct. Conservez les preuves et suivez la procédure de récupération adaptée au lieu de continuer à tester l’application suspecte. Les guides de sécurité en ligne de Pouyam abordent appareils, comptes et arnaques.

Avoir des attentes réalistes en matière de confidentialité

Choisissez un outil pour une tâche définie. Réduire ce que voit un réseau local, limiter le suivi commercial et séparer une activité d’une identité sont des objectifs distincts, explicités par Security in a Box. Définissez le vôtre avant d’accepter une promesse générale d’anonymat. ^[9]

Si le suivi vous préoccupe, rappelez-vous que les caractéristiques du navigateur et de l’appareil peuvent contribuer à l’identification. Examinez la méthode de suivi avant d’acheter un autre service de connexion. Un VPN peut répondre à une question réseau sans rien changer au problème du navigateur. ^[8]

Gardez un plan assez simple pour l’appliquer durablement. Nommez l’outil, la raison de son usage et les limites comprises. Réexaminez le choix si l’exploitant, les autorisations ou les conditions changent. Évitez d’empiler des produits inconnus parce que chacun promet une protection supplémentaire.

Pour comprendre le modèle de connexion, consultez l’explication de ce qu’un VPN cache et de ses limites de Pouyam. L’objectif utile est une décision précise et compréhensible sur la confiance, pas l’affirmation qu’une seule application gratuite ou payante sécurise toute activité en ligne.