Le tunnel chiffré d’un VPN retire une visibilité à votre opérateur et la donne à un prestataire. Voici ce que cela protège réellement, et les cinq arguments publicitaires qui ne tiennent pas.
Un VPN construit un tunnel chiffré entre votre appareil et un serveur loué par un prestataire, d’où votre trafic ressort avec une autre adresse IP. Il retire donc à votre opérateur et au réseau wifi local la vue sur les sites que vous demandez, et il la donne intégralement au fournisseur du tunnel. Ce déplacement est utile dans quelques situations précises : réseau inconnu, accès à un réseau d’entreprise, contournement d’un filtrage par adresse. Il ne rend pas anonyme, ne bloque ni les traceurs, ni l’hameçonnage, ni les virus, et ne remplace pas le chiffrement du site lui-même.
Une vidéo s’interrompt sur une publicité. Un homme est assis dans un aéroport, un cadenas rouge clignote au-dessus de son ordinateur, une voix annonce que des pirates lisent en ce moment ses coordonnées bancaires sur le wifi de la salle d’embarquement. La solution tient en un abonnement mensuel.
Ce scénario décrit une menace réelle, celle des années 2010, quand la majorité des sites travaillaient encore en clair. Depuis, le chiffrement s’est généralisé et l’écoute passive d’un réseau public ne rapporte plus grand-chose. Le produit, lui, n’a pas changé de discours.
Un VPN reste pourtant un outil sérieux, à condition de savoir ce qu’il déplace. Il ne supprime aucun intermédiaire : il en substitue un à un autre. Toute la question est de savoir lequel des deux vous préférez.
Un réseau privé virtuel encapsule vos paquets. Votre appareil chiffre chaque paquet, l’enveloppe dans un nouveau paquet adressé au serveur du prestataire, et l’envoie. Le serveur ouvre l’enveloppe, lit le paquet d’origine, le réexpédie vers sa vraie destination avec sa propre adresse comme expéditeur, puis fait l’opération inverse au retour. Pour le site visité, vous êtes le serveur. Pour votre opérateur, vous ne parlez qu’au serveur.
Trois protocoles dominent. IPsec, le plus ancien, souvent associé à IKEv2, est celui que l’ANSSI encadre pour les usages professionnels. OpenVPN, en espace utilisateur, est très portable et lent à négocier. WireGuard, plus récent, tient dans quelques milliers de lignes de code là où ses prédécesseurs en comptent plusieurs dizaines de milliers, se reconnecte instantanément et convient bien au mobile.
L’encapsulation a un coût mécanique : chaque paquet grossit de plusieurs dizaines d’octets, la taille utile passe d’environ 1 500 à environ 1 420 octets, et le trajet s’allonge du détour par le serveur. C’est la source des ralentissements que l’on attribue souvent à tort à la « puissance du chiffrement », alors que le chiffrement lui-même est presque gratuit sur un processeur moderne.
Le tableau suivant est le cœur du sujet. Il ne dit pas si un VPN est bon ou mauvais, il dit qui perd et qui gagne une visibilité.
| Qui observe | Sans VPN | Avec VPN |
|---|---|---|
| Le réseau wifi où vous êtes | Les noms de domaine demandés, jamais le contenu si le site est en HTTPS | Un flux chiffré vers une seule adresse |
| Votre fournisseur d’accès | Les noms de domaine, les volumes, les horaires, avec votre identité d’abonné | Le seul fait que vous utilisez un VPN, et le volume |
| Le résolveur DNS | Chaque nom que vous cherchez à joindre | Celui du prestataire, si la configuration est correcte |
| Le fournisseur de VPN | Rien, il n’existe pas dans le trajet | Exactement ce que voyait votre opérateur, plus le moyen de paiement |
| Le site visité | Votre adresse IP, vos cookies, votre compte | L’adresse du serveur, vos cookies, votre compte |
| Les acteurs publicitaires | Vos identifiants, sur tous vos appareils | Vos identifiants, sur tous vos appareils |
| Une réquisition judiciaire française | Aboutit chez votre opérateur | Aboutit chez le prestataire, selon sa juridiction |
Deux lignes méritent une lecture attentive. Celle du fournisseur de VPN, qui hérite intégralement du point de vue perdu par l’opérateur, en y ajoutant votre moyen de paiement et votre adresse de facturation. Et celle des acteurs publicitaires, strictement identique dans les deux colonnes : le ciblage repose sur des identifiants portés par votre navigateur et vos comptes, pas sur votre adresse réseau, comme le montre la chaîne du ciblage publicitaire.
Avant d’acheter un tunnel, il faut savoir ce qui est déjà chiffré. Aujourd’hui, plus de neuf pages sur dix sont servies en HTTPS, les navigateurs signalent les exceptions, et de nombreux sites imposent le chiffrement par une directive que le navigateur mémorise. Personne, sur le réseau intermédiaire, ne lit vos identifiants, vos messages ou le contenu des pages. Le fonctionnement de cette protection est détaillé dans l’explication de HTTPS et des certificats.
Reste un résidu, et il est réel. Quand votre navigateur ouvre une connexion chiffrée, il annonce le nom du serveur qu’il veut joindre dans le tout premier message, avant que le chiffrement ne s’établisse. Cette indication voyage en clair. Avant même cela, la résolution du nom en adresse IP passe par une requête DNS, en clair elle aussi dans la configuration par défaut de beaucoup d’équipements.
Un observateur du réseau ne lit donc pas vos pages, mais il dresse la liste de vos destinations, avec les horaires et les volumes. C’est déjà beaucoup : la liste des sites consultés par une personne en dit long sur sa santé, ses opinions et sa situation. Deux réponses existent. La première consiste à chiffrer les requêtes de noms, ce que permet le DNS sur HTTPS décrit dans le fonctionnement du DNS. La seconde consiste à tout enfermer dans un tunnel. Le chiffrement du premier message TLS existe également, mais son déploiement reste partiel.
Un VPN mal configuré donne un sentiment de protection sans la protection. Quatre défauts reviennent systématiquement.
La fuite DNS. Le trafic passe bien dans le tunnel, mais les requêtes de résolution de noms continuent de partir vers le résolveur de votre opérateur ou de votre box. Celui-ci apprend donc toutes vos destinations, ce qui annule l’essentiel du bénéfice.
La fuite IPv6. Le client ne prend en charge que l’IPv4 et laisse le trafic IPv6 sortir directement, avec votre vraie adresse. Sur les réseaux français, où IPv6 est largement déployé, la part concernée n’est pas marginale.
La révélation par le navigateur. Les fonctions de communication en temps réel, utilisées par la visioconférence dans le navigateur, énumèrent les adresses réseau de la machine pour établir la connexion la plus directe. Une page peut interroger ce mécanisme et récupérer des adresses que le tunnel était censé masquer. Les navigateurs récents limitent cette exposition, sans la supprimer partout.
L’absence de coupe-circuit. Quand le tunnel tombe, une fraction de seconde suffit pour que le système bascule sur la connexion normale et reprenne les échanges en clair. Un coupe-circuit bloque tout trafic hors tunnel jusqu’au rétablissement. C’est la fonction la plus importante d’un client, et elle est parfois désactivée par défaut.
Toutes les offres grand public annoncent l’absence de journalisation. La formule mérite d’être décomposée, parce qu’elle recouvre trois choses très différentes.
Il y a d’abord les journaux de contenu, que personne ne conserve, faute de place et d’intérêt. Il y a ensuite les journaux de connexion : quelle adresse source a utilisé quel serveur, à quelle heure, pour quel volume. Ce sont eux qui permettent de vous relier à une activité, et leur absence complète est difficile à concilier avec l’exploitation d’un réseau, la facturation et la lutte contre l’abus. Il y a enfin les données de compte : adresse e-mail, moyen de paiement, historique d’abonnement, qui existent toujours.
Un état technique intermédiaire est rarement évoqué : certains protocoles modernes associent en mémoire, sur le serveur, la clé publique du client et l’adresse interne qui lui est attribuée. Ce n’est pas un journal, c’est une table de travail, mais elle existe pendant la session et un serveur saisi en fonctionnement la contient.
| Argument | La part de vrai | Ce qu’il tait |
|---|---|---|
| « Devenez anonyme en ligne » | Le site ne voit plus votre adresse d’abonné | Vos comptes, vos cookies et votre empreinte vous désignent toujours |
| « Chiffrement de niveau militaire » | L’algorithme utilisé est solide | C’est le même que celui de HTTPS, déjà actif sans abonnement |
| « Protégez-vous des pirates du wifi » | Le réseau local perd la liste de vos destinations | Le contenu était déjà protégé, et rien n’arrête un logiciel malveillant |
| « Bloquez les publicités et les virus » | Certaines offres filtrent des noms de domaine | Un service distinct du tunnel, que rend aussi un résolveur filtrant |
| « Serveurs dans 90 pays » | Le choix du pays de sortie est réel | Beaucoup sont des adresses virtuelles hébergées ailleurs |
Ces allégations ne sont pas seulement excessives, elles sont juridiquement encadrées. Une pratique commerciale qui repose sur des affirmations fausses ou de nature à induire en erreur sur les caractéristiques essentielles d’un service tombe sous le coup du code de la consommation. La DGCCRF en contrôle l’application, et la sanction peut atteindre 300 000 euros pour une personne physique, montant pouvant être porté à 10 % du chiffre d’affaires annuel moyen de l’entreprise.
À l’inverse, un VPN n’a aucune utilité contre un logiciel malveillant téléchargé volontairement, sujet traité dans l’examen des protections antivirus. Il n’en a pas davantage contre l’empreinte du navigateur, qui reconstitue votre signature sans regarder votre adresse réseau.
Sur une ligne fibre, la perte de débit imputable à un tunnel bien configuré se situe dans une fourchette de quelques pour cent à une vingtaine de pour cent, davantage si le serveur choisi est lointain ou saturé. La latence, elle, augmente mécaniquement du temps de trajet supplémentaire : quelques millisecondes vers un serveur français, souvent plus de cent vers un serveur américain, ce qui se ressent immédiatement en visioconférence et en jeu en ligne.
Les frictions comptent au moins autant. Les adresses de serveurs VPN sont partagées entre de nombreux clients et largement répertoriées : vous héritez de la réputation collective, donc de captchas à répétition, de blocages de formulaires et de refus d’inscription, exactement comme derrière une adresse IP partagée par plusieurs abonnés. Les applications bancaires refusent fréquemment de fonctionner derrière une adresse étrangère. Les services de vidéo détectent et bloquent des plages entières. Un site administratif peut demander une vérification supplémentaire.
Avant de vous abonner, formulez la phrase complète : « je veux empêcher tel acteur de savoir telle chose ». Si l’acteur est votre opérateur, le gérant du wifi ou l’administrateur d’un réseau que vous traversez, un VPN répond exactement à la question. Si l’acteur est un site, une régie publicitaire ou une plateforme où vous êtes connecté, il ne répond à rien. Les leviers utiles sont alors le refus opposé dans le bandeau de consentement et le cloisonnement des comptes. Si l’acteur est vous-même, au sens de vos traces locales, la réponse relève de ce que la navigation privée efface vraiment.
Oui, son usage est libre, pour les particuliers comme pour les entreprises. Ce qui reste illicite, ce sont les actes commis derrière : contrefaçon, injures, accès frauduleux à un système. Le tunnel ne crée aucune immunité, il ajoute une étape à l’enquête. Contourner un blocage géographique de service de vidéo n’est pas une infraction pénale, mais une violation des conditions du contrat, que le service peut sanctionner en fermant votre compte.
C’est le cas d’usage le plus défendable, mais pour une raison moins spectaculaire que celle des publicités. Le contenu de vos pages est déjà protégé par HTTPS, y compris sur un réseau ouvert. Ce que le réseau local voit encore, c’est la liste des domaines que vous consultez, et il peut manipuler le portail captif ou la résolution des noms. Le tunnel supprime cette visibilité et cette prise. Le risque de vol de mot de passe en clair, lui, appartient à une époque révolue.
Non, et c’est l’argument publicitaire le plus trompeur. Un tunnel transporte ce que vous demandez, y compris un fichier malveillant ou une page d’hameçonnage. Certaines offres ajoutent un filtrage de noms de domaine connus comme dangereux, ce qui est un service utile mais distinct du VPN lui-même, et que rend déjà un résolveur filtrant. Contre le piégeage par message, voir l’anatomie d’un hameçonnage.
Faire transiter des téraoctets coûte cher, donc le service se paie autrement. Les modèles observés vont de l’insertion de publicité et de la revente de données de navigation jusqu’à la transformation de votre appareil en point de sortie pour le trafic d’autres clients, ce qui fait apparaître votre adresse IP derrière leur activité. Une offre gratuite adossée à un abonnement payant est un cas différent, mais elle bride volontairement le débit et le choix des serveurs.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Mots de passe, arnaques, fuites de données et réflexes qui changent vraiment quelque chose.