Qu’est-ce qu’un VPN et comment fonctionne-t-il ? Un guide en langage simple

Un VPN (réseau privé virtuel) est un service qui fait passer votre trafic internet par un tunnel chiffré vers un serveur géré par l’entreprise du VPN, qui le transmet ensuite au site ou à l’appli que vous utilisez. Votre fournisseur d’accès et le réseau Wi-Fi auquel vous êtes connecté voient seulement que vous êtes connecté à ce serveur, et les sites voient l’adresse IP du serveur au lieu de la vôtre.

C’est réellement utile, mais bien moins que ce que laissent croire les publicités. Un VPN ne vous rend pas anonyme, n’empêche pas la plupart du pistage et ne vous protège pas des arnaques. Il déplace la possibilité de voir votre trafic d’une entreprise (votre fournisseur d’accès) vers une autre (le fournisseur de VPN). Ce guide explique comment il fonctionne, ce qu’il cache et à qui, les fonctions qui comptent, ce qu’il ne peut pas faire, et comment en choisir un si vous décidez d’en prendre un.

Comment fonctionne un VPN ?

Votre appareil chiffre tout ce qu’il envoie et l’enveloppe dans des paquets adressés au serveur VPN. Le serveur les ouvre et les déchiffre, transmet vos requêtes à internet sous sa propre adresse IP, puis chiffre les réponses avant de vous les renvoyer.

Le guide Surveillance Self-Defense de l’EFF l’explique simplement : avec un VPN, « toutes les données que vous envoyez (comme les requêtes aux serveurs lorsque vous naviguez sur le web) semblent provenir du VPN lui-même », selon son module sur le choix d’un VPN¹. Étape par étape :

1. Vous vous connectez. L’appli VPN de votre téléphone ou ordinateur et le serveur VPN s’identifient mutuellement et conviennent de nouvelles clés de chiffrement. Les règles de cet échange constituent le protocole VPN, comme WireGuard ou OpenVPN (voir WireGuard ou OpenVPN).
2. Votre trafic entre dans le tunnel. L’appli dirige le trafic internet de votre appareil vers une interface réseau virtuelle. Chaque paquet est chiffré et placé dans un nouveau paquet adressé au serveur VPN. Toute personne située entre les deux ne voit que des données brouillées envoyées vers une seule adresse.
3. Le serveur transmet la requête. Sur le serveur VPN, votre trafic est déchiffré puis envoyé à sa véritable destination. Le site voit une requête provenant de l’adresse IP du serveur VPN.
4. Les réponses reviennent par le même chemin. Le site répond au serveur VPN, qui chiffre la réponse et la renvoie vers vous par le tunnel.

Le nom « réseau privé virtuel » vient du monde de l’entreprise, où cette même technologie permet aux employés d’accéder depuis chez eux aux systèmes internes de leur société comme s’ils étaient au bureau. Les VPN grand public reprennent l’idée, mais au lieu de vous relier à un réseau d’entreprise, ils vous connectent à l’internet ouvert via le serveur d’un tiers.

Que cache un VPN, et à qui ?

Il cache les sites que vous visitez au réseau local et à votre fournisseur d’accès, et cache votre véritable adresse IP aux sites que vous visitez. Il ne cache rien à l’entreprise du VPN elle-même, et peu de choses aux sites sur lesquels vous vous connectez à un compte.

La dernière ligne est la plus importante. Selon l'EFF, « si un VPN masque vos données de navigation à votre fournisseur d'accès, le fournisseur du VPN, lui, voit tout ». C'est pourquoi l'essentiel, pour n'importe quel VPN, est de savoir qui l'exploite, où, et quelles preuves attestent qu'il ne conserve pas de journaux. C'est aussi pourquoi ce site compare les fournisseurs sur la base des audits et de leur historique plutôt que des fonctionnalités : voir le tableau comparatif et notre guide pour vérifier une promesse de non-conservation des journaux.

Le HTTPS, le cadenas dans la barre d'adresse de votre navigateur, chiffre déjà le contenu de la plupart des pages web entre vous et le site, que vous utilisiez un VPN ou non. Les conseils aux consommateurs de la FTC indiquent que « la plupart des sites web utilisent le chiffrement pour protéger vos informations » et que « grâce à la généralisation du chiffrement, se connecter via un réseau Wi-Fi public est généralement sans danger », selon ses conseils sur le Wi-Fi public². Ce que le HTTPS ne cache pas au réseau, c'est à quels sites vous vous connectez. Un VPN, lui, le cache.

Comment fonctionne le chiffrement d'un VPN ?

Les protocoles VPN modernes reposent sur le même type de cryptographie à clé publique, très étudiée, que les sites web sécurisés et les messageries : un échange de clés pour convenir de clés secrètes, puis un chiffrement symétrique rapide pour le trafic lui-même, avec une vérification de chaque paquet pour détecter toute altération.

WireGuard, le protocole que la plupart des fournisseurs utilisent désormais par défaut, impose ses choix au lieu de les négocier : son livre blanc⁴ décrit Curve25519 pour l'échange de clés et ChaCha20Poly1305 pour chiffrer et authentifier les paquets, transportés en UDP. OpenVPN utilise TLS, la famille de protocoles qui sécurise le HTTPS. L'un comme l'autre est assez solide pour que personne de sensé ne s'attaque au chiffrement ; les points faibles réalistes sont le logiciel qui l'entoure, le serveur et l'entreprise qui l'exploite.

Vous n'avez pas besoin de comprendre les mathématiques. Ce qu'il faut vérifier, c'est que le fournisseur utilise un protocole courant (WireGuard, OpenVPN, IKEv2, ou son propre protocole publié et audité de façon indépendante) et non un système secret. La National Security Agency américaine et la CISA, dans leurs recommandations de 2021 sur le choix et le renforcement des VPN³ destinées aux organisations, ont orienté les acheteurs vers des produits fondés sur des normes plutôt que vers des solutions propriétaires.

Que sont les adresses IP et le DNS, et pourquoi sont-ils importants ?

Votre adresse IP est le numéro qu'utilise internet pour vous renvoyer des données ; elle révèle votre fournisseur d'accès et, approximativement, où vous vous trouvez. Le DNS est le service de résolution qui transforme un nom comme example.com en adresse IP. Un VPN doit gérer les deux, sinon il y a une fuite.

Lorsqu'un site web voit l'adresse IP du serveur VPN, il ne peut pas savoir de quel foyer ou de quel téléphone provient la requête, et son estimation de votre position devient celle du serveur. C'est ainsi qu'un VPN vous permet d'apparaütre dans une autre ville ou un autre pays.

Le DNS est le problème le plus discret. Chaque fois que vous ouvrez un site, votre appareil demande d'abord à un serveur DNS où le trouver. Si ces requêtes passent par votre fournisseur d'accès au lieu de transiter par le tunnel (une « fuite DNS »), votre fournisseur obtient quand même la liste des sites que vous visitez. Les applications VPN sérieuses envoient le DNS dans le tunnel, vers les résolveurs du fournisseur. Si vous configurez un VPN manuellement, par exemple sur un routeur, mieux vaut le vérifier.

Que sont un kill switch et le split tunneling ?

Un kill switch coupe votre connexion Internet si le VPN se déconnecte, pour que rien ne sorte sans protection. Le split tunneling fait l'inverse : il vous permet de choisir des applications ou des sites qui contournent le VPN.

• Kill switch. Les connexions VPN se coupent pour des raisons banales : un téléphone qui passe du Wi-Fi aux données mobiles, un ordinateur portable qui sort de veille, un serveur qui redémarre. Sans kill switch, votre appareil continue tranquillement sur votre connexion normale. Avec, le trafic s'arrête jusqu'au rétablissement du tunnel. Si vous utilisez un VPN pour la confidentialité plutôt que pour le confort, activez-le.
• Split tunneling. Certaines choses fonctionnent mal à travers un VPN : les applications bancaires qui signalent les adresses IP étrangères, les imprimantes et appareils domotiques de votre propre réseau, les appels vidéo où chaque milliseconde compte. Le split tunneling envoie ceux-là directement, tandis que tout le reste passe par le tunnel. C'est pratique, mais cela signifie aussi que ces applications ne sont pas protégées.
• Multi-hop. Certains fournisseurs peuvent vous faire passer par deux serveurs, souvent dans des pays différents, de sorte qu'aucun serveur ne voie à la fois votre vraie adresse IP et votre destination. C'est plus lent et surtout utile si vous craignez qu'un serveur précis soit surveillé.
• Obfuscation. Les réseaux de certains lieux de travail, écoles et pays bloquent les VPN. Les modes d'obfuscation déguisent le trafic VPN en trafic web ordinaire. Chaque fournisseur a son propre nom pour cette fonction.

Que ne peut pas faire un VPN ?

Un VPN ne vous rend pas anonyme, n'empêche pas le suivi par les cookies, les connexions à des comptes ou le fingerprinting, et ne vous protège ni du phishing, ni des arnaques, ni des logiciels malveillants. Il change qui peut voir vos connexions, pas ce que vous divulguez.

• Ce n'est pas de l'anonymat. L'EFF est catégorique : « Un VPN n'est pas un outil d'anonymat. » Le fournisseur connaît votre véritable adresse IP et, en général, vos informations de paiement. Si vous voulez un anonymat plus solide, l'EFF affirme que « Tor est une meilleure solution qu'un VPN ».
• Il n'empêche pas la plupart du pistage. Le même guide de l'EFF¹ souligne qu'« il existe de nombreuses autres façons dont des entreprises peuvent vous pister, notamment le GPS, les cookies web, les pixels espions ou le fingerprinting ». Si vous êtes connecté à Google, Facebook ou Amazon, ils savent que c'est vous, quelle que soit l'adresse IP utilisée. Un navigateur ou une extension bloquant les traceurs fait davantage pour cela qu'un VPN.
• Il n'empêche pas les arnaques. La FTC avertit que les escrocs « créent de faux sites web et les chiffrent pour vous faire croire qu'ils sont sûrs alors qu'ils ne le sont pas ». Une page de phishing fonctionne tout aussi bien avec un VPN.
• Cela ne remplace pas la sécurité de base. Les mises à jour logicielles, un gestionnaire de mots de passe, des mots de passe uniques et l'authentification à deux facteurs vous protègent d'un bien plus grand nombre des attaques auxquelles les gens ordinaires sont réellement confrontés.
• Il ne vous place pas au-dessus des lois. L'EFF note que « selon la juridiction, un gouvernement peut exiger ces données ou émettre une assignation pour les obtenir », et que les fournisseurs « peuvent aussi subir des pressions de la part des gouvernements ou des forces de l'ordre pour livrer des informations ».

Quelle différence entre un VPN d'entreprise et un VPN grand public ?

Un VPN professionnel vous connecte au réseau privé de votre employeur pour que vous puissiez utiliser ses systèmes internes ; un VPN grand public vous connecte vers l'internet public via les serveurs du fournisseur. Ils reposent sur une technologie similaire, mais à des fins opposées.

La CISA explique que les serveurs VPN d'accès à distance « permettent aux utilisateurs hors site d'accéder par tunnel à des réseaux protégés », dans son alerte sur les recommandations de la NSA et de la CISA³. Lorsque le VPN de votre employeur est activé, son réseau peut généralement voir votre trafic comme le ferait normalement votre fournisseur d'accès : ne le considérez donc pas comme privé. Un VPN grand public comme Proton VPN, Mullvad ou NordVPN est un produit distinct, que vous payez (ou utilisez avec une offre gratuite) pour dissimuler votre navigation à votre propre réseau et à votre fournisseur d'accès.

Droit reconnu par la loi ?

Dans la plupart des pays, y compris aux États-Unis, utiliser un VPN est légal. Certains gouvernements les restreignent ou les interdisent, et tout ce qui est illégal sans VPN reste illégal avec un VPN. Rien de ce qui est écrit ici ne constitue un avis juridique.

L'EFF conseille de se tenir informé des « politiques de chaque pays en matière de VPN (comme les interdictions de VPN) » si vous voyagez ou vivez dans un pays où internet est censuré. Par ailleurs, de nombreux services de streaming interdisent dans leurs conditions d'utilisation de recourir à un VPN pour accéder au catalogue d'un autre pays et bloquent activement les serveurs VPN ; c'est une question contractuelle et non pénale, mais cela peut valoir la suspension d'un compte. Notre guide des VPN pour le streaming explique ce que cela implique concrètement, et celui des VPN pour le torrenting explique pourquoi un VPN ne change rien au droit d'auteur.

Que ne fait pas un VPN ?

Beaucoup de gens n'en ont pas besoin. Cela vaut la peine d'en avoir un si vous utilisez régulièrement des réseaux auxquels vous ne faites pas confiance, si vous ne voulez pas que votre fournisseur d'accès voie les sites que vous visitez, ou si vous voulez que les sites voient une autre localisation. Ce n'est pas un outil universel pour « rester en sécurité en ligne ».

Notre réponse complète, avec les situations où un VPN aide et celles où il n'aide pas, se trouve dans Ai-je besoin d'un VPN ?. Si la question est le coût, lisez VPN gratuits ou payants et notre liste de VPN gratuits qui valent la peine.

Comment choisir un VPN ?

Choisissez l'entreprise avant les fonctionnalités. Cherchez un audit indépendant de non-conservation des journaux, nommé et consultable, un propriétaire et une juridiction clairs, un historique vérifiable, un protocole courant et des conditions de remboursement que vous comprenez.

• Demandez comment il gagne de l'argent. L'EFF suggère de se demander : « Si le VPN ne vend pas son service, comment maintient-il son activité à flot ? » Les VPN gratuits sans modèle économique visible sont les plus risqués.
• Lisez la politique de confidentialité. L'EFF prévient qu'« une entreprise de VPN peut journaliser vos données si elle ne l'exclut pas expressément dans sa politique de confidentialité ».
• Cherchez des preuves, pas des slogans. Des audits menés par des sociétés nommées, des perquisitions ou des affaires judiciaires qui n'ont rien donné, et une gestion honnête des failles. Notre classement des VPN sans journaux classe les fournisseurs sur exactement cela.
• Vérifiez le prix réel. Les prix affichés exigent généralement un forfait d'un ou deux ans payé d'avance, puis le tarif de renouvellement est plus élevé. Voir les VPN fiables les moins chers.

Si vous hésitez entre les grands noms, nos comparatifs opposent les fournisseurs un à un : NordVPN vs ExpressVPN, NordVPN vs Surfshark, Proton VPN vs NordVPN et Mullvad vs Proton VPN.