WireGuard vs OpenVPN : quel protocole VPN choisir ?

WireGuard ou OpenVPN : la réponse est courte. Utilisez WireGuard, ou le protocole par défaut de votre fournisseur basé sur WireGuard, presque tout le temps, et ne passez à OpenVPN en TCP ou à un mode d'obfuscation que lorsqu'un réseau vous bloque. WireGuard est plus récent, beaucoup plus compact et, d'après les tests publiés par son auteur, bien plus rapide. OpenVPN est plus ancien, plus volumineux et plus lent, mais il excelle à franchir les réseaux restrictifs, car il peut ressembler à du trafic web chiffré ordinaire.

Cette réponse courte cache quelques détails utiles. Plusieurs grands fournisseurs ne proposent plus un simple choix entre ces deux protocoles : ExpressVPN met en avant son propre protocole Lightway, NordVPN enveloppe WireGuard dans ce qu’il appelle NordLynx, et Mullvad a abandonné OpenVPN complètement en 2026. Ce guide explique ce qu’est réellement un protocole VPN, en quoi les deux principaux diffèrent, ce que sont les protocoles propres aux marques, et quel réglage choisir dans votre application selon la situation.

Qu'est-ce qu'un protocole VPN ?

Un protocole VPN est l'ensemble de règles que votre appareil et le serveur VPN utilisent pour convenir de clés, chiffrer votre trafic et l'envelopper dans des paquets capables de traverser internet. L'application VPN est le volant ; le protocole est le moteur.

Tous les protocoles remplissent les trois mêmes missions. Il doit prouver à votre appareil qu’il parle au vrai serveur et non à un imposteur (authentification). Il doit convenir de nouvelles clés de chiffrement sans que quiconque écoute puisse les deviner (échange de clés). Et il doit chiffrer chaque paquet et vérifier qu’il n’a pas été altéré en chemin (transport). La manière dont un protocole accomplit ces tâches détermine sa vitesse, la facilité de son audit et la facilité avec laquelle un réseau peut le repérer et le bloquer.

Pour un VPN grand public, les choix concrets sont WireGuard, OpenVPN, IKEv2 et les variantes propres aux fournisseurs. Si vous voulez une vue d’ensemble de ce qu’un VPN cache ou non, commencez par ce qu’est un VPN et comment il fonctionne.

Qu’est-ce que WireGuard ?

WireGuard est un protocole VPN conçu par Jason Donenfeld pour être compact, rapide et facile à examiner. Il a été intégré au noyau Linux dans la version 5.6 en mars 2020 et fonctionne désormais sur toutes les grandes plateformes.

Le livre blanc¹ du projet (dont une version a été présentée à la conférence de sécurité NDSS en 2017) indique que l’implémentation Linux tient en « less than 4,000 lines of code (excluding cryptographic primitives) » (moins de 4 000 lignes de code, hors primitives cryptographiques), de sorte qu’une seule personne peut raisonnablement la passer en revue à la recherche de failles de sécurité. L’annonce de la version 1.0.0 de WireGuard³ a marqué son arrivée dans le noyau Linux 5.6, publié fin mars 2020.

WireGuard n’offre volontairement aucun menu de chiffrements. Sa page d’accueil² liste un seul ensemble fixe : le framework de protocole Noise, Curve25519 pour l’échange de clés, ChaCha20 et Poly1305 pour le chiffrement et l’authentification, BLAKE2 pour le hachage, SipHash24 et HKDF. Si l’un d’eux était un jour compromis, tout le monde passerait à une nouvelle version plutôt que de négocier une option plus faible, ce qui supprime toute une catégorie d’attaques par rétrogradation dont ont souffert les protocoles plus anciens.

Il repose aussi sur une idée simple que le projet appelle le « cryptokey routing » : la clé publique de chaque pair est liée aux adresses IP de tunnel qu’il a le droit d’utiliser. Pour les paquets sortants, cette liste fonctionne comme une table de routage, et pour les paquets entrants comme une liste de contrôle d’accès. Cette simplicité explique en grande partie sa rapidité et sa facilité de configuration, mais aussi sa seule vraie difficulté en matière de confidentialité pour les VPN commerciaux, abordée plus bas.

Qu’est-ce qu’OpenVPN ?

OpenVPN est le programme VPN open source qui a fait fonctionner la plupart des VPN grand public pendant près de vingt ans. Publié pour la première fois en 2001 et écrit par James Yonan, il utilise le protocole TLS (la même famille de chiffrement que celle qui sécurise les sites web en HTTPS) via la bibliothèque OpenSSL.

D’après le résumé du projet sur Wikipédia⁴, OpenVPN est un logiciel libre sous licence GPLv2 (avec des licences commerciales disponibles), qui s’exécute dans l’espace utilisateur plutôt que dans le noyau du système d’exploitation, et peut transporter le trafic en UDP ou en TCP ; le port 1194 est son port attribué par l’IANA. Le guide pratique⁵ du projet le décrit comme une extension réseau sécurisée implémentée « using the industry standard SSL/TLS protocol » (à l’aide du protocole standard SSL/TLS), les clients se connectant « over a single TCP or UDP port » (via un seul port TCP ou UDP).

Ses atouts sont sa maturité et sa flexibilité. Il prend en charge de nombreux chiffrements et méthodes d’authentification, des chercheurs l’épluchent depuis des années, et il peut fonctionner en TCP sur le port de votre choix, ce qui compte quand un réseau ne laisse sortir que le trafic web. Ses faiblesses en sont le revers : une base de code bien plus volumineuse que celle de WireGuard, davantage d’options de configuration où l’on peut se tromper, et le surcoût d’une exécution dans l’espace utilisateur.

WireGuard est-il plus rapide qu'OpenVPN ?

Oui : dans le test publié par l’auteur de WireGuard, il était environ quatre fois plus rapide qu’OpenVPN sur le même matériel, avec une latence plus faible. Considérez ces chiffres comme un résultat de laboratoire du concepteur du protocole, et non comme une prévision de ce que fera votre VPN.

Le test du livre blanc¹ a fait tourner iperf3 entre deux ordinateurs portables (un Intel Core i7-3820QM et un Core i7-5200U) via Ethernet gigabit, avec une moyenne sur trente minutes. WireGuard a atteint 1 011 mégabits par seconde ; deux configurations IPsec ont atteint 881 et 825 ; OpenVPN, avec AES-256 et HMAC-SHA2-256 en UDP, a atteint 258. Les temps de ping suivent le même ordre : 0,403 milliseconde pour WireGuard contre 1,541 pour OpenVPN. L’article note que le processeur a atteint 100 % pendant les tests OpenVPN et IPsec, mais pas pendant celui de WireGuard, ce qu’il interprète comme WireGuard saturant la liaison gigabit.

Le document attribue cet écart à la conception : OpenVPN est une application en espace utilisateur, si bien que les paquets sont copiés plusieurs fois entre le noyau et le programme, ce qui ajoute de la latence et de la charge processeur. WireGuard, lui, s'exécute dans le noyau sous Linux.

Sur un vrai service VPN, votre débit dépend bien plus de la distance jusqu'au serveur, de la charge de ce serveur, de votre propre connexion et de votre appareil que du seul protocole. Nous n'avons pas réalisé de tests de débit et nous ne publions pas de notes de vitesse. Ce que ce benchmark vous apprend, c'est que WireGuard laisse plus de marge, ce qui se voit surtout sur les connexions domestiques rapides et sur les téléphones, où une charge processeur moindre compte le plus.

WireGuard est-il aussi sûr qu'OpenVPN ?

Les deux sont considérés comme sûrs lorsqu'ils sont correctement configurés. Le point fort de WireGuard tient à une cryptographie moderne et figée et à un code assez court pour être audité ; celui d'OpenVPN repose sur une longue durée d'utilisation et de nombreuses options configurables, bien étudiées.

La différence tient surtout à la marge d'erreur possible. OpenVPN laisse le fournisseur choisir les algorithmes de chiffrement, les versions de TLS, les méthodes d'authentification et des dizaines d'autres paramètres : sa sécurité dépend donc des bons choix du fournisseur. WireGuard supprime ces choix. Il n'existe pas d'ancien algorithme faible vers lequel se rabattre, car il n'y a aucune négociation d'algorithme.

Si vous voulez un second avis sur le principe, la National Security Agency et la CISA américaines, dans leur guide de 2021 sur la sélection et le durcissement des VPN⁷ destiné aux organisations, orientaient les acheteurs vers des produits fondés sur des normes plutôt que propriétaires. Ce guide vise les VPN d'accès à distance en entreprise, pas les services grand public, mais l'idée de fond reste valable : un protocole bien compris et largement examiné inspire plus confiance qu'un protocole secret. WireGuard comme OpenVPN sont entièrement open source.

WireGuard pose-t-il un problème de confidentialité ?

WireGuard seul oblige le serveur à conserver une table fixe associant la clé de chaque utilisateur à une adresse IP de tunnel, ce qu'un VPN sans journaux ne veut pas garder. Les fournisseurs commerciaux qui utilisent WireGuard ajoutent leur propre couche pour éviter de stocker ce lien.

NordVPN explique clairement le problème sur sa page NordLynx⁸ : l'architecture d'origine de WireGuard « exigeait que les serveurs stockent une table d'adresses IP statiques reliant les utilisateurs à leurs adresses IP internes » (traduction libre). Sa solution, NordLynx, est un « système à double NAT ». Une première interface attribue à tous les utilisateurs d'un serveur la même adresse IP locale ; une seconde attribue une adresse unique à chaque session de tunnel, et cette attribution « ne dure que tant que la session est active », l'authentification étant gérée via une base de données distincte. NordVPN affirme qu'aucune donnée identifiable n'est ainsi stockée sur le serveur VPN ; il s'agit de la description de l'entreprise elle-même, que ses rapports d'audit de la politique sans journaux sont censés étayer (voir notre test de NordVPN).

D'autres fournisseurs ont leurs propres versions de la même solution. Si vous faites tourner WireGuard vous-même sur un serveur domestique, rien de tout cela n'a d'importance : vous êtes le seul utilisateur et vous contrôlez la table.

Et IKEv2 ?

IKEv2 est la partie d'échange de clés d'IPsec, une suite de protocoles plus ancienne, issue de la normalisation et intégrée à la plupart des systèmes d'exploitation, ce qui explique que certaines applications le proposent encore, surtout sur iPhone et Mac.

La spécification actuelle est la RFC 7296⁶, publiée en octobre 2014, qui décrit IKEv2 comme un composant d'IPsec chargé de l'authentification mutuelle et de la mise en place des associations de sécurité qui protègent le trafic. Dans le benchmark WireGuard présenté plus haut, les deux configurations IPsec se situaient entre WireGuard et OpenVPN. IKEv2 est une solution de repli raisonnable sur les appareils Apple, mais il utilise des ports fixes que les réseaux peuvent facilement bloquer, et la plupart des fournisseurs utilisent désormais WireGuard par défaut.

Que sont NordLynx, Lightway, Stealth et les autres protocoles de marque ?

La plupart sont soit WireGuard avec une couche de confidentialité ajoutée, soit un protocole propre au fournisseur, conçu pour la vitesse ou pour contourner les blocages de VPN. Voici ce que font réellement tourner les principaux fournisseurs, d'après leur propre documentation.

Sources du tableau : Centre d'aide NordVPN⁹, ExpressVPN¹¹, Proton VPN¹³, Centre d'aide Surfshark¹⁶ et l'annonce de Dausos par Surfshark¹⁷, Mullvad¹⁴ et son article sur l'obfuscation¹⁵, et IVPN¹⁸.

• NordLynx est WireGuard associé à la couche de double NAT de NordVPN, décrite plus haut. NordVPN indique sur la même page⁸ avoir ajouté un chiffrement post-quantique à NordLynx en 2025.
• Lightway est le protocole propre à ExpressVPN, construit sur la bibliothèque cryptographique wolfSSL. ExpressVPN l'a réécrit en Rust ; son article de février 2025¹⁰ indique que Praetorian (septembre 2024) et Cure53 (octobre 2024) ont audité le nouveau code, avec deux problèmes à faible risque relevés par Praetorian et cinq points par Cure53, aucun jugé critique, puis un nouveau test après correctifs en décembre 2024. Comme ExpressVPN ne propose pas WireGuard, c'est Lightway que vous utiliseriez pour la vitesse.
• Stealth est le protocole de Proton VPN pour les réseaux censurés. L'annonce de Proton d'octobre 2022¹² le décrit comme un « tunnel TLS obfusqué sur TCP », conçu pour contourner « la plupart des pare-feu et des méthodes de blocage des VPN » (traduction libre).
• NordWhisper est l'équivalent de NordVPN pour les réseaux qui bloquent les VPN, présenté dans sa page d'aide sur les protocoles⁹.
• Dausos est le protocole propre à Surfshark, lancé en avril 2026¹⁷ et, pour l'instant, disponible uniquement dans son application macOS de l'App Store.

Pourquoi Mullvad a-t-il abandonné OpenVPN ?

Mullvad a décidé de n'exploiter qu'un seul protocole moderne. L'entreprise a annoncé ce plan en novembre 2024, a retiré OpenVPN de ses applications fin 2025 et a fixé au 15 janvier 2026 l'arrêt de ses derniers serveurs OpenVPN, ne gardant que WireGuard.

Son article de décembre 2025¹⁴ explique le retrait de l’application. Pour que les utilisateurs sur des réseaux bloqués restent connectés sans OpenVPN, Mullvad s’appuie sur de l’obfuscation autour de WireGuard, notamment Shadowsocks, UDP-over-TCP, QUIC et un mode introduit en novembre 2025 appelé Lightweight WireGuard Obfuscation¹⁵. Si vous comptez sur OpenVPN pour un routeur ou un ancien appareil, Mullvad n’est plus une option ; consultez notre comparatif Mullvad vs Proton VPN pour des alternatives qui le prennent encore en charge.

WireGuard vs OpenVPN en un coup d’œil

Quel protocole VPN dois-je utiliser ?

Laissez votre application sur son réglage automatique ou sur son réglage par défaut basé sur WireGuard. Ne le modifiez que pour résoudre un problème précis.

• Usage quotidien, streaming, jeux, smartphones : WireGuard ou la version du fournisseur (NordLynx chez NordVPN, Lightway chez ExpressVPN). Connexions plus rapides et batterie moins sollicitée.
• Le VPN ne se connecte pas sur le Wi-Fi d’un hôtel, d’une école ou d’un bureau : essayez OpenVPN en TCP, ou le mode d’obfuscation du fournisseur (Proton Stealth, NordWhisper, UDP-over-TCP ou Shadowsocks chez Mullvad). Ils ressemblent davantage à du trafic web ordinaire.
• Voyage dans un pays qui restreint les VPN : un mode d’obfuscation est fait pour cela, mais vérifiez d’abord la législation du pays où vous allez : certains pays restreignent les VPN, et rien ici ne constitue un conseil juridique.
• Routeur ou ancien appareil : OpenVPN est l’option la plus largement prise en charge sur les routeurs et les anciens micrologiciels. Vérifiez que votre fournisseur le propose toujours.
• La connexion saute quand vous passez du Wi-Fi aux données mobiles : restez sur WireGuard, qui, selon le whitepaper¹, permet aux pairs de « se déplacer librement entre différentes adresses IP externes » ; IKEv2 est l’alternative plus ancienne sur les appareils Apple.

Le choix du protocole est la partie facile. La décision qui compte le plus, c’est l’entreprise qui exploite les serveurs. Pour cela, lisez comment vérifier la promesse « no-logs » d’un VPN, puis comparez les fournisseurs dans nos duels, en commençant par NordVPN vs ExpressVPN (NordLynx contre Lightway) et Proton VPN vs NordVPN.