VPN : c’est quoi, à quoi ça sert et comment bien le choisir ?

C’est quoi un VPN et comment ça marche ?

Un VPN (pour Virtual Private Network) est un outil de cybersécurité qui s’interpose entre un appareil (ordinateur, smartphone, tablette…) et internet. Concrètement, l’application procède par encapsulation. C’est à dire qu’elle fait passer la connexion par un tunnel chiffré avant d’atteindre le web. Son objectif est double : sécuriser les données de navigation (souvent via un chiffrement AES-256) et masquer l’adresse IP de l’utilisateur en la remplaçant par celle du serveur VPN distant.

À noter qu’un VPN ne chiffre pas internet, il chiffre la liaison entre votre appareil et le serveur VPN. Ensuite, entre le serveur VPN et le site consulté, la protection dépend du site. Si il utilise HTTPS (c’est le cas de l’immense majorité), la connexion reste chiffrée jusqu’au site. S’il n’est pas en HTTPS, le VPN ne peut pas rendre plus sur un site non sécurisé.

Un autre point généralement mal compris, le VPN ne rend pas anonyme par nature. Il rend l’identification plus difficile côté sites et des fournisseurs d’accès à Internet. Vous cachez donc les données à votre opérateur Internet, mais en échange, vous les montrez au fournisseur du VPN. Vous devez donc être sûr qu’il est honnête.

Fonctionnement technique : la fin du tracking FAI

Pour saisir l’intérêt technique de cette technologie, il faut comparer une connexion classique à une connexion tunnelisée via VPN.

Avec une connexion standard (sans VPN), le fournisseur d’accès (Orange, SFR, Bouygues ou Free) agit comme une passerelle réseau. Il résout vos requêtes DNS (sauf configuration spécifique) et peut observer certains éléments de trafic, notamment les domaines consultés. Le site que vous visitez voit votre adresse IP, ce qui lui permet de savoir où vous vous trouvez géographiquement.

Avec un VPN, votre connexion est chiffrée dès qu’elle sort de l’appareil, puis elle passe par un serveur VPN avant d’aller vers le site demandé. Ainsi, votre fournisseur d’accès ne voit plus précisément ce que vous faites en ligne, il voit surtout un flux chiffré entre vous et le serveur VPN. De son côté, le site que vous visitez ne voit plus votre adresse IP réelle, mais celle du serveur VPN. Concrètement, ça réduit fortement ce que votre opérateur peut interpréter sur votre navigation.

Attention toutefois, selon les services, les requêtes DNS peuvent être prises en charge par le VPN ou rester gérées par l’opérateur de l’appareil. C’est là que peuvent apparaitre les fuites DNS. Si une partie de ces requêtes ne passent pas dans le tunnel, certains domaines consultés peuvent encore être visibles via un résolveur externe au VPN. Un bon VPN force l’utilisation du DNS à travers le tunnel et propose, en plus, des protections spécifiques contre ce type de fuite.

Pourquoi utiliser un VPN aujourd’hui ?

Initialement réservé aux usages professionnels, le VPN est devenu un outil grand public. Il répond à plusieurs besoins concrets, comme la sécurisation des connexions sur les Wi-Fi publics, la protection de la vie privée en ligne et le contournement des restrictions géographiques ou de la censure.

Sur le Wi-Fi d’un café ou d’une gare, le VPN brouille vos données. Ainsi, même si une tierce personne les intercepte, elles seront illisibles. De plus, en cachant votre adresse IP, il empêche les publicitaires de vous suivre à la trace et complique l’identification précise de votre appareil.

Cependant, un VPN ne protège pas sa confidentialité dans un environnement logué. Si vous êtes connectée à votre compte Google, celui-ci continue de vous tracer malgré tout.

Dans le même esprit, un VPN n’empêche pas le tracking via cookies, identifiants publicitaires, pixels, ou l’empreinte navigateur. Il change surtout ce qui est visible via l’IP et ce qui peut être observé par le réseau entre vous et le serveur VPN. Pour réduire le tracking côté navigateur, il faut aussi agir sur les réglages (bloqueurs, anti-tracking, gestion des cookies, profils séparés, etc.).

Enfin, il ne faut pas le voir comme un antivirus car un VPN ne bloque pas automatiquement les malwares, les arnaques, ni les téléchargements dangereux. Certains fournisseurs ajoutent des options (filtrage DNS, anti-phishing), mais ce sont des briques séparées du VPN lui-même.

Le fonctionnement des protocoles et du chiffrement dans les VPN

Un VPN repose sur trois éléments : le chiffrement, le masquage d’IP et un protocole de transport. L’appareil établit un tunnel sécurisé avec un serveur VPN qui relaie ensuite les requêtes vers internet.

Le chiffrement protège les données en transit. Même interceptées, elles restent inexploitables sans la clé privée. Le masquage d’IP est une conséquence directe et les sites ne voient que l’adresse du serveur VPN.

Les performances et la robustesse du tunnel dépendent du protocole utilisé. Deux standards dominent actuellement.

• WireGuard est le protocole moderne : code réduit, audit plus simple, débits élevés. Il est généralement privilégié.
• OpenVPN reste très fiable mais plus lourd. Il conserve un intérêt pour contourner certains pare-feux restrictifs.

Concrètement, WireGuard est souvent plus rapide car il est plus léger et gère mieux les changements de réseau (passer du Wi-Fi à la 4G, par exemple). OpenVPN peut rester plus souple dans des environnements verrouillés, car il peut fonctionner en TCP/443 qui est le canal standard utilisé par tous les sites web sécurisés en HTTPS. Votre connexion VPN ressemble alors à une simple navigation sur un site web classique. C’est ce qui le rend si difficile à bloquer.

Au-delà du protocole, la rapidité dépend surtout de la distance. C’est mécanique, si vous êtes en France et choisissez un serveur au Brésil, vos données doivent parcourir des milliers de kilomètres pour faire l’aller-retour.

Ce trajet prend du temps, créant ce qu’on appelle la latence (ou « lag »). Le VPN n’est pas magique et il ne peut pas supprimer la distance physique. Pour une connexion réactive (jeu, visio), choisissez toujours un serveur le plus proche possible.

VPN gratuits vs payants : attention aux données

Les VPN gratuits existent en grand nombre, mais leur modèle économique pose question. Si l’utilisateur ne paie pas, le service doit se monétiser autrement.

Dans de nombreux cas, cela passe par l’exploitation ou la revente de données de connexion, ce qui contredit l’objectif initial de protection de la vie privée.

Dans le pire des cas, certains services gratuits ont déjà été accusés d’utiliser des SDK (Software Development Kit) publicitaires agressifs, de réinjecter de la publicité, ou de transformer l’appareil en nœud de sortie (proxy) pour d’autres utilisateurs. Ce type de modèle brouille totalement la frontière entre protection et exploitation.

Le coût caché de la gratuité

Maintenir une infrastructure VPN mondiale est coûteux. Les services gratuits compensent souvent par des limitations techniques : débits réduits, quotas de données, nombre de serveurs restreint. Ces contraintes rendent l’expérience moins fiable et parfois intrusive.

À surveiller aussi : les permissions et la transparence. Un VPN a, par définition, un accès réseau très large. Si l’éditeur est opaque sur son modèle économique, sur son équipe, ou sur son pays d’enregistrement, c’est un signal de risque. Plus l’intermédiaire est puissant, plus l’exigence de confiance doit être élevée.

L’exception du modèle « Freemium »

Certains acteurs proposent une offre gratuite financée par les abonnements payants. Sur le papier, c’est rassurant, car le fournisseur n’a pas besoin de monétiser vos données. En pratique, ce modèle reste rarement idéal : la version gratuite est surtout conçue comme une vitrine, avec des limitations qui peuvent vite devenir frustrantes (peu de pays, peu de serveurs, performances variables, restrictions d’usages).

Pour un besoin vraiment ponctuel, une approche souvent plus saine consiste à profiter de la période d’essai (ou de la garantie de remboursement) proposée par de nombreux VPN payants. Vous obtenez ainsi l’expérience complète, avec les protections et le réseau de serveurs au niveau maximal, sans vous enfermer dans un service bridé.

Et dans la réalité, on a rarement « un seul » besoin ponctuel dans l’année : déplacement, Wi-Fi public, streaming à l’étranger, télétravail, etc. Si l’essai est concluant et que le service tient ses promesses (stabilité, vitesse, options anti-fuites), conserver l’abonnement peut être une décision pertinente, plutôt que de repartir de zéro à chaque usage.

Sécurité : pourquoi exiger des serveurs « RAM-Only » ?

La promesse « no-logs » n’a de valeur que si l’infrastructure technique la rend vérifiable.

Il faut aussi distinguer deux notions : « logs d’activité » (sites consultés, contenu) et « logs techniques » (charge serveur, diagnostics, anti-abus). Certains fournisseurs conservent des données minimales temporaires pour faire fonctionner le service et éviter le spam/les attaques. L’enjeu est de savoir quoi est gardé, combien de temps, et si c’est corrélé à un utilisateur identifiable.

Le risque du stockage persistant

Les serveurs utilisant des disques conservent des données de manière persistante. Même supprimées, des traces peuvent subsister et être récupérées lors d’analyses forensiques.

La volatilité de la RAM

Les serveurs RAM-only fonctionnent uniquement en mémoire vive. À la coupure de courant ou au redémarrage, toutes les données disparaissent instantanément. C’est aujourd’hui l’une des garanties techniques les plus solides pour assurer l’absence de journaux exploitables.

Ce point a aussi une implication pratique : les fournisseurs RAM-only mettent souvent en avant des procédures de déploiement automatisées (images serveurs standardisées). L’idée est de limiter les configurations « faites à la main » et de réduire les risques d’erreur qui entraîneraient une journalisation involontaire.

Les critères pour choisir un VPN fiable

Un VPN fiable doit proposer un Kill Switch, être audité par des organismes indépendants et dépendre d’une juridiction favorable à la protection des données. Le Kill Switch coupe automatiquement l’accès internet en cas de rupture du tunnel afin d’éviter toute fuite d’IP.

Les audits indépendants valident la conformité réelle des pratiques techniques avec les promesses marketing. La juridiction détermine aussi les obligations légales du fournisseur. Les pays hors alliances de surveillance sont généralement privilégiés.

À ajouter aux critères « tech » : la protection contre les fuites. Un bon VPN propose au minimum une protection contre les fuites DNS, et idéalement une protection IPv6 (certains environnements fuient via IPv6 si le VPN n’est pas correctement configuré). Autre cas fréquent : WebRTC (dans les navigateurs) peut révéler des informations réseau dans certains scénarios, d’où l’intérêt des réglages anti-fuite côté navigateur.

Aller plus loin que le simple VPN

Enfin, il faut garder en tête qu’un VPN « pur » ne fait qu’une chose : sécuriser et relayer votre trafic réseau. Or, beaucoup d’acteurs cherchent aujourd’hui à aller plus loin avec des services additionnels qui complètent la protection, notamment contre les menaces qui ne passent pas uniquement par l’IP (phishing, malwares, fuites de données, traqueurs, etc.).

Exemple typique : certains fournisseurs ajoutent une brique de protection anti-menaces (blocage de domaines malveillants, filtrage anti-phishing, blocage de traqueurs, analyse de téléchargements). Chez NordVPN, ce type d’approche existe avec une solution dédiée (Threat Protection Pro) qui vise justement à protéger au-delà du simple tunnel VPN.

Autre approche : la logique « suite » plutôt que produit unique. Proton est un bon exemple, avec un écosystème centré sur la confidentialité : Proton VPN s’intègre avec Proton Mail (e-mail chiffré), Proton Pass (Gestionnaire de mot de passe) et Proton Drive (stockage chiffré). L’intérêt, c’est de couvrir plusieurs couches de la vie numérique : réseau (VPN), communications (mail), et fichiers (drive), avec une cohérence de compte et de philosophie.

Point de méthode : ces services additionnels peuvent être un vrai plus, mais ils ne remplacent pas les fondamentaux. Le VPN peut réduire l’exposition réseau, mais la majorité des risques chez le grand public viennent encore de mots de passe faibles, réutilisés ou volés (phishing, fuites de bases de données, attaques par identifiants réutilisés).

Dans ce contexte, un gestionnaire de mots de passe est presque indispensable pour sécuriser sa vie digitale : il permet de générer et stocker des mots de passe uniques et longs pour chaque service, d’éviter la réutilisation (le scénario le plus dangereux), et de limiter les dégâts en cas de fuite sur un site. Idéalement, on l’utilise avec l’authentification à deux facteurs (2FA) quand c’est possible. Le VPN vient en complément, mais il ne corrigera jamais une hygiène d’identifiants défaillante.

À qui appartiennent les géants du VPN ?

Le marché du VPN est fortement consolidé : derrière des dizaines de marques différentes, on retrouve parfois quelques groupes qui possèdent plusieurs services. Ce n’est pas un détail marketing : l’actionnariat peut influencer la stratégie (prix, priorités produit, support), mais aussi l’architecture (mutualisation de serveurs, d’équipes, de DNS), et surtout la gouvernance.

Ce qui compte, ce n’est pas « no-log » écrit en gros sur une landing page, mais ce qui est auditable et cohérent dans la durée : structure légale, pratiques publiques, et signaux concrets de transparence.

Nord Security

Nord Security est l’un des leaders du marché, avec NordVPN comme produit phare. Leader n’est pas juste un slogan : NordVPN est régulièrement classé parmi les références du secteur dans les comparatifs, et il ressort aussi très souvent comme l’une des marques les plus utilisées. Il y a ses raisons : réseau de serveurs très large, performances solides (notamment via WireGuard), applications bien finies, et une stratégie assumée de compléter le VPN avec des briques de cybersécurité (anti-menaces, anti-phishing, blocage de traqueurs, etc.).

À noter aussi : Nord Security a annoncé un rapprochement avec Surfshark en 2022, tout en indiquant que les deux marques continuent d’opérer de façon autonome.

Kape Technologies

Kape est un autre poids lourd, connu pour une stratégie de rachats successifs dans l’univers VPN. On y retrouve notamment ExpressVPN, CyberGhost et Private Internet Access (PIA) avec l’idée que chaque marque conserve une juridiction et des opérations séparées. Cela n’empêche pas qu’une même maison mère puisse harmoniser des choix produit, de pricing ou de roadmap sur plusieurs services.

Proton

Proton joue une carte distincte : l’entreprise est basée en Suisse et explique que Proton VPN est fourni par Proton AG, dont l’actionnaire principal est la Proton Foundation (structure à but non lucratif) censée garantir une indépendance long terme orientée « communauté » plutôt que pure rentabilité.

Mullvad : l’alternative indépendante

Mullvad est souvent cité comme un contre-exemple à la logique groupe. Côté philosophie, Mullvad pousse très loin la minimisation des données : pas de création de compte avec e-mail/mot de passe classique, mais un numéro de compte généré, présenté comme unique identifiant nécessaire. En contrepartie, cela ne dispense pas d’évaluer les mêmes points que pour les géants : audits, transparence, et cohérence des choix techniques dans le temps.