Le VPN est sans doute l’outil de sécurité le plus vendu et le plus mal compris. On le présente tantôt comme un bouclier absolu contre les pirates, tantôt comme une cape d’invisibilité sur Internet. La réalité est plus nuancée : un VPN résout un problème précis, très bien, et n’a aucun effet sur beaucoup d’autres. Cet article explique ce qui se passe techniquement quand vous activez un VPN, et surtout où s’arrête sa protection.
Le principe : un tunnel chiffré
VPN signifie « réseau privé virtuel » (Virtual Private Network). Sans VPN, votre appareil envoie ses données directement à votre fournisseur d’accès à Internet, qui les achemine vers le site demandé.
Avec un VPN, une étape s’ajoute. Votre appareil chiffre le trafic et l’envoie à un serveur intermédiaire, qui le déchiffre et le transmet à destination. La réponse fait le chemin inverse. Deux conséquences en découlent :
- Votre fournisseur d’accès voit qu’il y a du trafic, mais pas son contenu ni les sites visités.
- Les sites que vous consultez voient l’adresse IP du serveur VPN, pas la vôtre.
C’est tout. Le VPN déplace le point de confiance : au lieu de faire confiance à votre opérateur et au gestionnaire du réseau Wi-Fi, vous faites confiance au fournisseur du VPN.
Ce qu’un VPN protège réellement
| Situation | Apport du VPN |
|---|---|
| Wi-Fi public non sécurisé | Empêche l’interception du trafic sur le réseau local |
| Surveillance par le fournisseur d’accès | Masque la liste des sites consultés |
| Réseau d’entreprise à distance | Donne un accès sécurisé aux ressources internes |
| Localisation apparente | Fait apparaître une adresse IP d’un autre pays |
| Réseau d’hôtel ou d’aéroport | Contourne les inspections et filtrages basiques |
Le cas d’usage historique est d’ailleurs le dernier de la liste inversée : le VPN a été conçu pour permettre à des employés de se connecter au réseau interne de leur entreprise depuis l’extérieur, comme s’ils étaient physiquement au bureau. L’usage grand public est venu bien après.
Ce qu’un VPN ne protège pas
C’est la partie la plus importante, et celle que la publicité passe sous silence.
- Les comptes auxquels vous vous connectez. Si vous ouvrez une session sur un réseau social, ce service sait qui vous êtes, VPN ou pas.
- Les cookies et le pistage publicitaire. Le suivi repose largement sur des identifiants stockés dans le navigateur, indépendants de l’adresse IP.
- L’empreinte du navigateur. La combinaison de vos polices, résolution, fuseau horaire et extensions constitue une signature souvent suffisante pour vous reconnaître.
- Les logiciels malveillants. Un VPN chiffre le transport, il n’analyse pas les fichiers téléchargés.
- Le hameçonnage. Un faux site reste un faux site, même à travers un tunnel chiffré.
- Les mots de passe faibles. Aucun effet sur la sécurité de vos comptes.
Il faut aussi rappeler qu’aujourd’hui la grande majorité des sites utilisent HTTPS, qui chiffre déjà le contenu des échanges de bout en bout. L’argument du « Wi-Fi public dangereux » est donc nettement moins fort qu’il y a dix ans : sur un site en HTTPS, un attaquant sur le réseau local voit le nom du domaine, mais pas les pages ni les données saisies.
La question de la confiance
Puisque tout votre trafic passe par le serveur du fournisseur VPN, celui-ci occupe exactement la position que vous cherchiez à retirer à votre opérateur. Le choix du prestataire devient donc la vraie décision de sécurité.
Quelques critères à examiner :
- La politique de journalisation. Que conserve le service, et pendant combien de temps ?
- Les audits indépendants. Une promesse vérifiée par un tiers vaut mieux qu’une promesse marketing.
- Le modèle économique. Un service gratuit doit se financer d’une manière ou d’une autre ; la revente de données est un modèle courant.
- Les protocoles proposés. Les protocoles modernes comme WireGuard ou OpenVPN sont ouverts et étudiés publiquement.
- La fonction « kill switch », qui coupe la connexion si le tunnel tombe, évitant une fuite de trafic en clair.
Quand un VPN est vraiment utile
- Le télétravail, pour accéder aux serveurs internes d’une organisation.
- Les réseaux que vous ne contrôlez pas, notamment les Wi-Fi ouverts, en complément de HTTPS.
- Les environnements où le trafic est activement filtré ou inspecté.
- Le souhait de limiter la collecte par le fournisseur d’accès, si c’est un point important pour vous.
À l’inverse, pour un usage domestique classique sur une connexion fixe et des sites en HTTPS, le gain est faible. Le temps et l’argent consacrés à un abonnement seraient souvent mieux investis dans un gestionnaire de mots de passe et l’activation de l’authentification à deux facteurs.
Une brique parmi d’autres
La bonne façon de voir un VPN est de le considérer comme un outil spécialisé dans le transport des données, et non comme une solution de sécurité globale. Il s’intègre dans un ensemble qui comprend des mots de passe uniques, la double authentification, des mises à jour régulières et une vigilance de base face aux messages suspects.
Pour aller plus loin, Cursa propose des cours gratuits en sécurité informatique, réseaux et informatique de base, avec certificat à la clé. C’est une bonne manière de comprendre ce qui se joue réellement derrière chaque connexion.
