Après l’article consacré à l’empreinte du navigateur, une question revient souvent : un VPN reste-t-il utile ? Oui, à condition de comprendre précisément ce qu’il protège, ce qu’il ne masque pas, comment choisir le fournisseur et quels réglages vérifier avant de lui faire confiance.
Ce que fait réellement un VPN
Considérez un VPN comme une voiture opaque avec différentes plaques d'immatriculation qui vous amène à votre destination par un autre itinéraire. Le site Web vers lequel vous vous dirigez ne voit que cette nouvelle plaque d’immatriculation, pas la vraie. Votre connexion est chiffrée et envoyée via le serveur VPN, et ce n'est qu'à partir de là qu'elle continue. Votre fournisseur d’accès Internet ne peut donc pas voir ce que vous regardez, mais seulement que vous voyagez via un VPN. Et le site de destination ne voit pas votre véritable adresse IP ni l'emplacement approximatif que j'ai décrit dans l'article précédent; il voit l'adresse du serveur VPN.
Ce que cela ne veut pas dire, c’est ceci: un VPN ne vous rend pas invisible. Il s’agit d’une plaque d’immatriculation différente, pas d’une personne différente. L'empreinte digitale de votre appareil, que j'ai décrite la dernière fois, le canevas, la carte graphique, la puce audio, la résolution, reste exactement la même où que vous soyez connecté. Les cookies et les comptes connectés ne disparaissent pas non plus. Si vous êtes connecté à votre messagerie électronique, le site Web sait toujours qui vous êtes ; il pense simplement que vous êtes assis ailleurs. Un VPN répond à une chose spécifique : qui peut voir votre connexion et d'où vous semblez venir. Cela ne concerne pas qui vous êtes.
Tous les VPN ne sont pas identiques : que demander
Presque tous les fournisseurs VPN prétendent ne rien stocker. C'est du marketing jusqu'à ce que quelqu'un le vérifie de manière indépendante, et plus d'une fois la promesse et la réalité ont divergé. PureVPN est un cas d'école: pendant des années, la société a annoncé qu'elle ne tenait « aucun journal » de l'activité des utilisateurs, mais en 2017, elle a fourni au FBI aux États-Unis des temps de connexion, l'utilisation des données et des adresses IP qui ont permis d'identifier une personne spécifique. Ces dossiers opérationnels ont toujours existé ; ils n'étaient tout simplement pas mentionnés dans la publicité. J’en tire une leçon simple, et je vous la transmets également: l’affirmation « nous ne stockons rien » n’a de valeur que lorsque quelqu’un d’indépendant l’a vérifiée et qu’elle correspond également à ce qui est techniquement possible au départ.
Que l’inverse puisse aussi être vrai, c’est ce que montre un cas que j’aime d’autant plus qu’il s’est terminé exactement de la manière opposée. En avril 2023, la police est arrivée au bureau du fournisseur Mullvad à Göteborg, en Suède, avec un mandat de perquisition et a voulu saisir des ordinateurs contenant des données clients. La police est repartie les mains vides : Mullvad ne disposait pas de telles données, puisqu’elles ne sont pas conservées. C’est précisément le problème: les données qui n’existent jamais ne peuvent pas être transmises, peu importe qui les demande. C'est pourquoi je conseille de choisir un fournisseur qui soumet la minimisation de ses données à des audits indépendants et qui est basé là où il vous permet de dormir sur vos deux oreilles, et non un fournisseur qui se contente de faire des promesses.
Au moment de choisir, posez des questions sur quatre choses. Premièrement, si la politique « sans journaux » est vérifiée par un audit indépendant, et pas simplement écrite dans les conditions d'utilisation. Deuxièmement, le VPN dispose-t-il d'un kill switch, une protection qui bloque tout le trafic au moment où la connexion VPN est interrompue afin que personne ne vous voie sans protection à cet instant. Troisièmement, s'il protège contre les fuites via WebRTC, une technologie d'appel vidéo basée sur un navigateur qui peut révéler votre véritable adresse même lorsque vous utilisez un VPN ; je l'ai déjà mentionné la dernière fois. Et quatrièmement, où est basée l’entreprise et quelles lois s’y appliquent. Un siège social dans un pays avec une forte protection de la vie privée est un plus, mais avec un prestataire de qualité, ce qui a été vérifié par un audit compte plus que l'adresse figurant sur la carte de visite. Je recommande personnellement Proton VPN ou Mullvad ; les deux ont des audits indépendants et un kill switch. Avec Mullvad, le kill switch est activé en permanence et ne peut pas être désactivé. Avec Proton VPN, activez-le dans les paramètres après l'installation.
Des erreurs qui enlèvent à un VPN sa valeur
Le problème le plus courant n’est pas un mauvais VPN mais un VPN mal configuré. Quatre choses reviennent encore et encore. Fuite DNS: le VPN crypte votre trafic, mais les requêtes sur le site que vous souhaitez réellement ouvrir peuvent sortir du tunnel directement vers le serveur de votre fournisseur d'accès Internet. Le résultat est particulier: le contenu de la page est masqué, mais les sites que vous avez demandés restent visibles. Le deuxième problème est la fuite WebRTC, que j'ai mentionnée ci-dessus. Si le VPN ne couvre pas tout le trafic de l'appareil, généralement lorsqu'il n'est qu'une extension de navigateur ou lorsque le trafic est divisé, votre véritable adresse peut fuir via WebRTC en dehors du tunnel.
Le troisième est ce qu'on appelle le split tunneling, c'est-à-dire un trafic divisé dans lequel vous autorisez intentionnellement ou accidentellement une partie de vos applications à s'exécuter en dehors du VPN. C'est utile, par exemple, pour une imprimante sur votre réseau domestique, mais si votre navigateur y reste par erreur, le VPN ne protège plus l'essentiel. Le quatrième est un kill switch oublié. Sans cela, dès que le VPN s'arrête pendant une seconde, votre appareil passe tranquillement à une connexion normale et non protégée, et vous ne le remarquerez peut-être pas du tout.
Comment le vérifier vous-même en cinq minutes. Tout d’abord, avec le VPN désactivé, découvrez votre véritable adresse IP ; tapez simplement « quelle est mon adresse IP » dans votre navigateur. Ensuite, activez le VPN et répétez la même requête ; l'adresse doit changer. Ensuite, utilisez des sites spécialisés comme browserleaks.com ou ipleak.net, accessibles sans inscription, et vérifiez spécifiquement les sections DNS et WebRTC; votre véritable adresse ne doit pas y figurer. Enfin, testez délibérément le kill switch: activez le VPN, puis forcez la fermeture de son application, ou désactivez puis réactivez le Wi-Fi. Si le kill switch fonctionne, votre connexion Internet devrait être complètement coupée pendant un moment plutôt que de continuer tranquillement sans protection.
Quand un VPN ne vous aide pas
Un VPN ressemble à une voiture aux vitres opaques : il masque ce qui circule pendant le trajet, mais ne vous rend pas anonyme lorsque vous vous identifiez à destination. C’est exactement l’empreinte digitale de l’appareil de l’article précédent ; un VPN n’y fait rien car il fonctionne à un tout autre niveau. De la même manière, un VPN ne protège pas contre le phishing, c'est-à-dire les e-mails frauduleux et les sites qui vous persuadent de saisir vous-même votre mot de passe, ni contre les logiciels malveillants ayant déjà atteint l'appareil. Et si vous êtes connecté sur un site, un VPN ne cache en aucun cas votre identité sur ce site. Vous le savez et l’autre côté le sait; seulement tout le monde autour ne le fait pas.
Voyager change la donne
Pour les clients qui voyagent fréquemment, j’ai une autre remarque. Dans certains pays, l’utilisation d’un VPN non approuvé est une question juridiquement sensible. En Chine, par exemple, le droit local le restreint et, avec un appareil d'entreprise, le risque mérite certainement d'être envisagé à l'avance, et pas seulement une fois sur place. La solution est généralement simple: un VPN d'entreprise pour l'accès au travail et un VPN personnel pour la confidentialité sont deux choses différentes, et il est sage de ne pas les mélanger, surtout lors d'un voyage d'affaires. Et la situation de loin la plus courante que je rencontre avec mes clients est le Wi-Fi des hôtels ou des aéroports. Dans ce cas, un VPN est une évidence, non pas à cause de la loi, mais parce que sur un réseau public mal sécurisé, quelqu'un peut tenter une écoute clandestine ou créer un réseau usurpé. Aujourd'hui, HTTPS protège généralement le contenu, mais il est toujours visible avec quels services vous communiquez. Allumez-le avant de vous connecter à quoi que ce soit.
Que faire aujourd'hui
Choisissez un VPN audité ; Proton VPN ou Mullvad sont un bon point de départ. Activez le coupe-circuit (kill switch) : avec Mullvad, il fonctionne automatiquement ; avec Proton VPN, vous le trouverez dans les paramètres. Vérifiez ensuite que votre véritable adresse ne fuit nulle part, par exemple sur browserleaks.com ou ipleak.net. Le test ne confirme que votre configuration actuelle : répétez-le après une mise à jour de l’application ou un changement d’appareil. Et considérez un VPN comme une couche parmi plusieurs, et non comme un remède miracle qui résout tout d’un coup. Après tout, cela s’applique à la sécurité en général, tant numérique que physique.
"Le meilleur VPN est celui auquel on ne pense plus. Il fonctionne silencieusement en arrière-plan, exactement comme une protection adéquate."— Robert Václavík
