Qu’est-ce qu’un VPN ? Son fonctionnement, ce qu’il masque et ses limites

Qu’est-ce qu’un VPN et comment fonctionne-t-il ?

Un réseau privé virtuel (VPN) est un service qui fait passer tout le trafic Internet de votre appareil par un tunnel chiffré entre votre appareil et un serveur VPN ; le trafic quitte ensuite ce serveur pour sa destination finale ^[1]. Le chiffrement brouille les données afin que seule une personne disposant de la bonne clé puisse les lire. Comme vos requêtes semblent provenir du serveur VPN, celui-ci masque votre adresse IP, l’adresse numérique qui indique votre localisation approximative et peut servir à vous identifier ^[1].

Cloudflare décrit la connexion en quatre étapes : le client VPN (l’application installée sur votre appareil) se connecte via votre fournisseur d’accès à Internet (FAI) au moyen d’une connexion chiffrée ; le FAI transmet cette connexion au serveur VPN ; le serveur VPN déchiffre les données et se connecte au site web en votre nom ; et la liaison chiffrée entre le client et le serveur constitue ce qu’on appelle le tunnel VPN ^[2]. Les serveurs web n’enregistrent alors que l’adresse IP du serveur VPN ^[2].

Que se passe-t-il sur l’appareil ?

Techniquement, un client VPN crée une interface réseau virtuelle, un adaptateur réseau purement logiciel, et s’en sert pour chiffrer et déchiffrer le trafic avant de le confier au matériel Wi-Fi ou Ethernet réel ^[3]. Si tout le trafic passe par le tunnel, on parle de VPN à tunnel complet ; si une partie du trafic, comme le trafic du réseau local, peut le contourner, on parle de VPN à tunnel partagé (split tunnel) ^[3].

À quoi servent les VPN ?

L’Electronic Frontier Foundation (EFF), une organisation de défense des droits numériques, estime que les VPN conviennent surtout à une chose, faire passer votre connexion par un autre réseau, ce qui est utile dans deux situations : contourner la censure sur un réseau qui bloque des sites, et se connecter au réseau de son bureau depuis l’extérieur ^[1]. Cloudflare ajoute à la liste des usages courants la protection sur les Wi-Fi publics et le contournement des restrictions de contenu liées à la localisation ^[2].

Que masque un VPN, et à qui ?

Un VPN masque votre trafic sortant à votre FAI et au propriétaire du réseau local, comme un café ou un hôtel ^[1]. Le tunnel qui traverse le réseau du FAI étant chiffré, le FAI ne peut pas voir ce que vous y faites ^[2]. Du point de vue d’un site web, vous semblez vous trouver là où est situé le serveur VPN ^[1].

La contrepartie est simple et souvent négligée : si un VPN masque votre navigation au FAI, elle devient entièrement visible pour le fournisseur du VPN ^[1]. L’EFF note qu’un fournisseur pourrait vendre ces informations, tout comme un FAI ^[1]. La page explicative de Cloudflare elle-même indique que les utilisateurs ne peuvent se sentir en sécurité avec un VPN que s’ils font confiance à son fournisseur, car un fournisseur malhonnête pourrait vendre les informations des utilisateurs ou les exposer à des attaques ^[2].

Un VPN ne protège pas non plus vos données de l’opérateur du réseau privé que vous rejoignez. Sur un VPN d’entreprise, celui qui gère le réseau de l’entreprise voit votre trafic ; sur un VPN commercial, c’est celui qui exploite le service ^[1]. En bref, un VPN transfère la confiance d’une entreprise (votre FAI ou le propriétaire du Wi-Fi) à une autre (le fournisseur du VPN) ; il ne supprime pas le besoin de confiance.

Contre quoi un VPN ne peut-il pas vous protéger ?

La publicité pour les VPN prétend souvent qu’ils arrêtent les criminels, les logiciels malveillants, la surveillance gouvernementale et le suivi en ligne ; selon l’EFF, ces publicités exagèrent considérablement leurs avantages ^[1]. Les principales limites sont les suivantes :

• Le suivi. Un VPN n’est pas un outil d’anonymat. Les entreprises peuvent toujours vous suivre grâce au GPS, aux cookies, aux pixels de suivi ou à l’empreinte numérique ^[1].
• Les comptes et l’historique. Un VPN n’empêche en rien les forces de l’ordre d’obtenir l’historique de navigation enregistré dans votre navigateur ou dans un compte auquel vous êtes connecté ^[1].
• Les réquisitions adressées au fournisseur. Les fournisseurs de VPN sont eux-mêmes soumis aux demandes des forces de l’ordre, et beaucoup conservent autant d’informations que les FAI ^[1]. Le fournisseur doit respecter les lois des pays où il exerce ses activités ^[1].
• Les liens créés par le paiement. Payer par carte bancaire relie votre identité au compte, et le fournisseur peut quand même collecter votre adresse IP ^[1].

Le trafic peut-il fuir hors d’un VPN ?

Oui. En mai 2024, Leviathan Security Group a publié TunnelVision (CVE-2024-3661), une technique qui exploite une fonction intégrée de DHCP, le protocole qui distribue les paramètres réseau, pour forcer le trafic d’un utilisateur hors du tunnel VPN, de sorte qu’il soit envoyé en clair ^[3]. La National Vulnerability Database américaine décrit le problème : l’option DHCP 121 peut ajouter des routes à la table de routage d’un appareil, et un attaquant présent sur le même réseau local peut lire, perturber, voire modifier le trafic censé être protégé par le VPN ^[4].

Lors des tests des chercheurs, le VPN a toujours continué d’indiquer qu’il était connecté et le kill switch (une fonction qui bloque le trafic si la connexion VPN tombe) ne s’est jamais déclenché ^[3]. Android n’était pas concerné, car il n’implémente pas l’option DHCP 121 ^[3]. Les chercheurs en ont conclu que les VPN n’ont pas été conçus pour contrer les attaques sur le réseau local physique et qu’il est dangereux de prétendre le contraire ^[3].

Et la vitesse ?

Certains utilisateurs constatent des connexions plus lentes, selon la capacité des serveurs du fournisseur, et un serveur VPN éloigné à la fois de l’utilisateur et du site web ajoute de la latence ^[2].

Faut-il un VPN sur un Wi-Fi public ?

Pas toujours. L’EFF indique qu’utiliser un VPN sur un Wi-Fi public était autrefois un conseil standard, mais que ce n’est plus aussi nécessaire pour tout le monde, car la majorité du trafic web est désormais chiffrée avec HTTPS ^[1]. HTTPS est la version du protocole web protégée par le cadenas, qui chiffre ce que vous envoyez à un site et ce que vous en recevez.

HTTPS protège le contenu des communications, pas les métadonnées ^[1]. Sur un site en HTTPS, les intermédiaires sur le trajet peuvent généralement voir le nom de domaine (par exemple wikipedia.org) et l’heure de votre visite, ainsi que la taille des pages et des fichiers, mais pas la page précise, votre identifiant ni vos messages ^[1]. Un VPN pourrait masquer ces métadonnées à une personne qui écoute sur le réseau local, mais le fournisseur du VPN les verrait toutes ^[1].

L’EFF estime qu’un VPN peut être utile lorsque vous devez utiliser un réseau public auquel vous ne faites pas confiance et que vous disposez d’un VPN auquel vous faites confiance ^[1]. La Federal Trade Commission (FTC) américaine a elle aussi averti que les réseaux Wi-Fi publics gratuits sont souvent peu sûrs, et ses conseils de 2018 sur les applications VPN étaient axés sur la protection des informations envoyées via un Wi-Fi public ^[5]. Notez qu’une application VPN obsolète peut mal vous protéger, même dans ce cas ; l’EFF cite TunnelVision en exemple ^[1].

Quels protocoles VPN sont sûrs ?

Un protocole est l’ensemble des règles qu’un VPN utilise pour construire et chiffrer le tunnel. Si un VPN utilise un chiffrement cassé comme le Point-to-Point Tunneling Protocol (PPTP), les données qui y transitent peuvent être facilement déchiffrées et consultées ^[1]. L’EFF cite OpenVPN et WireGuard comme les deux protocoles devenus courants pour les services grand public ^[1].

Les développeurs de WireGuard le décrivent comme un VPN simple, rapide et moderne qui utilise une cryptographie de pointe, comme le cadre de protocoles Noise, Curve25519 et ChaCha20, et affirment qu’il a été examiné par des cryptographes ^[7]. Il est conçu pour être suffisamment compact pour être entièrement examiné par une seule personne, contrairement aux bases de code bien plus volumineuses d’IPsec ou d’OpenVPN ^[7].

Pour les organisations, le National Cyber Security Centre (NCSC) britannique indique que les protocoles les plus utilisés sont TLS et IPsec, recommande IPsec pour l’accès VPN parce qu’il s’agit d’une norme ouverte intégrée à de nombreux systèmes d’exploitation, et note que WireGuard semble prometteur mais n’a pas encore fait ses preuves en entreprise ^[6]. Le NCSC prévient aussi que certains réseaux tiers restreignent ou bloquent le trafic IPsec, alors que les VPN TLS peuvent être plus fiables à travers les pare-feu d’entreprise ^[6].

Le relais privé iCloud (iCloud Private Relay) d’Apple est parfois confondu avec un VPN. Il est conçu pour protéger la navigation dans Safari, fait passer les requêtes par deux relais distincts afin qu’aucune partie, pas même Apple, ne sache à la fois qui vous êtes et quels sites vous consultez, et n’est pas disponible dans tous les pays ou régions ^[10].

Comment choisir un VPN digne de confiance ?

Les quatre vérifications que recommande la FTC avant d’utiliser une application VPN sont les suivantes : se renseigner sur l’application avant de l’installer, examiner les autorisations qu’elle demande, s’assurer qu’elle chiffre vos informations et vérifier si elle les partage avec des tiers ^[5]. L’EFF ajoute d’autres questions ^[1] :

1. Lisez la politique de confidentialité. Un fournisseur peut enregistrer vos données s’il ne l’exclut pas expressément, et une promesse d’absence de journalisation n’est pas une garantie ^[1].
2. Demandez-vous comment il gagne de l’argent. Certains VPN sont gratuits mais vendent vos données ; d’autres reposent sur un modèle freemium avec plafond de données ou sur des abonnements récurrents ^[1].
3. Recherchez des audits publics. Des audits de sécurité indépendants sont un bon signe, mais les pratiques peuvent changer après un audit ^[1].
4. Découvrez qui le gère. Méfiez-vous d’un VPN pour lequel personne n’engage sa réputation, et consultez sa page « À propos » pour connaître ses fondateurs ou son équipe ^[1].
5. Vérifiez le pays. Le fournisseur est tenu par les lois du pays où il opère, y compris les règles sur les demandes de données émanant des autorités ^[1].

Une présence dans une boutique d’applications suffit-elle ?

Non. L’EFF met en garde contre l’idée qu’une application VPN serait sûre parce qu’elle figure sur Google Play ou l’App Store d’Apple ^[1]. Les directives d’examen de l’App Store d’Apple interdisent aux applications VPN de vendre, d’utiliser ou de divulguer des données à des tiers, à quelque fin que ce soit ^[9]. Pourtant, le Tech Transparency Project a rapporté le 1 avril 2025 que 20 des 100 VPN gratuits les mieux classés sur l’App Store américain en 2024 appartenaient à des entreprises chinoises, dont aucune ne l’indiquait clairement, et que ces applications avaient été téléchargées plus de 70 millions de fois ^[8]. Google Play affiche un badge « Vérifié » pour certains VPN, que l’EFF décrit comme un petit aperçu des engagements de sécurité de l’application plutôt que comme un substitut à vos propres recherches ^[1].

Les VPN sont-ils légaux partout ?

Non. L’EFF conseille de se tenir informé des politiques de chaque pays en matière de VPN, y compris des interdictions, et note que les plateformes de streaming bloquent de plus en plus les appareils qui semblent utiliser un VPN ^[1]. Apple exige des développeurs qui proposent une application VPN dans un territoire imposant une licence VPN qu’ils fournissent les informations relatives à cette licence ^[9]. Ces informations sont d’ordre général et ne constituent pas un avis juridique ; vérifiez la loi en vigueur là où vous vivez.

Quelle est la situation en Iran ?

Le rapport Freedom on the Net 2024 de Freedom House indique que de nombreux Iraniens s’appuient sur des VPN pour accéder à des services internationaux bloqués par les autorités ^[11]. En février 2024, le Conseil suprême du cyberespace a interdit l’utilisation de VPN non autorisés et indiqué que les particuliers devraient demander l’autorisation d’acheter des VPN agréés avec l’approbation du gouvernement ^[11] ; des analystes cités dans le rapport estiment que cette décision a érigé en infraction non seulement la distribution et la vente, mais aussi l’utilisation des VPN ^[11]. Le même rapport indique que le ministère des TIC a annoncé en octobre 2022 que toute personne vendant ou utilisant des VPN illégaux pourrait être poursuivie en vertu de l’article 753 du code pénal, et que des services comme NordVPN, Proton VPN et TunnelBear étaient inaccessibles pendant la période couverte ^[11]. Freedom on the Net 2025 ajoute qu’une coupure d’Internet quasi totale à l’échelle nationale a été imposée en juin 2025 ^[12].

Les VPN d’entreprise sont-ils différents ?

Oui. Un VPN d’entreprise connecte le personnel aux systèmes internes plutôt que de masquer sa localisation. Le NCSC note que les services VPN font partie de la surface d’attaque d’une organisation exposée à Internet et doivent être mis à jour rapidement dès la publication de correctifs de sécurité ^[6]. Il indique aussi qu’un VPN présente peu d’intérêt pour une organisation qui a pleinement adopté une approche zero trust, dans laquelle aucun appareil n’est considéré comme fiable par défaut ^[6].

Cloudflare, qui vend de telles alternatives, soutient que les VPN traditionnels peuvent conduire à un modèle de type château fort, où tout ce qui se trouve à l’intérieur du réseau est automatiquement considéré comme fiable, et affirme que de nombreuses entreprises sont passées à des architectures SASE (secure access service edge) ^[2]. Pour les particuliers, l’EFF estime que, pour beaucoup de gens, un VPN n’est pas la mesure de sécurité la plus importante ; elle cite la messagerie chiffrée de bout en bout parmi les mesures plus efficaces ^[1].