Mythes sur la vie privée et les VPN : ce qu'un VPN protège, ou non

Un VPN est un outil utile pour la vie privée, mais c'est aussi l'un des produits dont on promet le plus sur internet. Il fait bien quelques choses précises, et beaucoup d'autres pas du tout. Ce guide explique ce qu'un VPN protège ou non, d'où viennent les mythes courants, et comment décider si un VPN correspond aux risques que vous courez réellement.

Ce que fait réellement un VPN

Un VPN crée une connexion chiffrée entre votre appareil et un serveur géré par le fournisseur du VPN. Votre trafic passe par cette connexion, et les sites voient l'adresse du serveur VPN au lieu de celle que votre fournisseur d'accès à internet vous a attribuée. Si vous voulez d'abord les bases, consultez notre guide sur ce qu'est un VPN.

Cette description est courte volontairement, car elle montre à la fois la force et la limite. Un VPN ne change pas qui vous êtes, ce que vous saisissez dans un formulaire de connexion, ni ce que votre navigateur révèle de lui-même.

Le mythe de l'anonymat total

Le marketing emploie souvent des mots comme anonyme, introuvable et invisible. Aucun ne décrit ce qu'un VPN vous apporte. Au mieux, un VPN vous offre un certain degré de confidentialité face à certains acteurs, dans des situations précises.

Un VPN n'assure pas l'anonymat. Le fournisseur voit que votre compte se connecte à ses serveurs, les sites peuvent vous connaître parce que vous vous identifiez, et votre navigateur peut être reconnu sans votre adresse IP. Une description plus honnête serait qu'un VPN déplace une partie de la visibilité d'un acteur à un autre. Savoir si l'échange est avantageux dépend de qui vous craignez.

Les politiques de journalisation et leur sens

De nombreux fournisseurs affirment ne conserver aucun journal. La formule semble précise, mais elle ne l'est pas. Un service peut enregistrer plusieurs types de données, et une politique peut en couvrir certains et pas d'autres.

• Journaux de connexion : le moment de votre connexion, sa durée et l'adresse d'origine. Certains fournisseurs conservent brièvement ces traces pour faire fonctionner le service ou limiter les abus.
• Journaux d'activité : les sites que vous avez visités ou ce que vous avez téléchargé. C'est la catégorie que la plupart des gens ont en tête quand ils parlent de journalisation.
• Données de compte et de paiement : votre adresse e-mail, votre moyen de paiement et les détails de votre abonnement. Presque tous les services payants les conservent.

Quand vous lisez une politique, cherchez des déclarations claires sur chaque catégorie et sur la durée de conservation des données. Certains fournisseurs paient des auditeurs indépendants pour publier un rapport. C'est un meilleur signe qu'une simple promesse, mais un audit porte sur un moment donné et un périmètre limité. Si vous ne trouvez pas de politique claire, considérez que c'est une réponse.

La confiance passe de votre fournisseur d'accès au fournisseur de VPN

Sans VPN, votre fournisseur d'accès peut voir les domaines auxquels votre appareil se connecte. Avec un VPN, il ne voit qu'une connexion vers un serveur VPN, et c'est le fournisseur de VPN qui voit ce que votre fournisseur d'accès voyait auparavant.

C'est le point central de tout le sujet. Un VPN ne supprime pas la question de la confiance. Il la déplace d'une entreprise avec laquelle vous avez déjà un contrat, dans votre pays, vers une entreprise que vous connaissez peut-être très peu. Pour beaucoup de gens, cela reste judicieux, par exemple sur un wifi public ou lorsqu'ils se méfient de leur réseau local. Pour d'autres, c'est un simple pas de côté.

Si vous n'avez aucune raison de vous méfier de votre fournisseur d'accès, un VPN n'ajoutera peut-être pas grand-chose à votre vie privée. Notre guide comment choisir un VPN détaille ce qu'il faut vérifier si vous décidez d'en utiliser un.

Empreinte du navigateur et comptes connectés

Les sites n'ont pas besoin de votre adresse IP pour vous reconnaître. Deux méthodes courantes fonctionnent avec ou sans VPN.

Comptes connectés

Si vous vous connectez à un réseau social, à une messagerie, à une boutique ou à un compte de recherche, ce service sait qui vous êtes. Changer d'adresse IP n'y change rien. Tout ce que vous faites en étant connecté peut être rattaché au compte. Un VPN ne peut pas rendre anonyme une session connectée.

Cookies et empreinte numérique

Les cookies sont stockés sur votre appareil, ils restent donc identiques quand votre adresse IP change. Une empreinte est une combinaison d'informations que votre navigateur expose, comme la taille de l'écran, la langue, les polices et le fuseau horaire, et qui peut être assez distinctive pour reconnaître un appareil. Un VPN ne modifie rien de tout cela. Des profils de navigateur séparés et des navigateurs qui limitent le pistage aident davantage.

Logiciels malveillants et hameçonnage

Un VPN ne vous protège ni des logiciels malveillants ni des arnaques. Si vous téléchargez un fichier infecté via un VPN, il est tout aussi infecté. Si vous saisissez votre mot de passe sur une fausse page de connexion via un VPN, l'attaquant le reçoit tout aussi facilement.

Certaines applications bloquent les domaines malveillants connus, ce qui peut aider, mais c'est un complément et non un remplacement de bonnes habitudes. L'hameçonnage vise les personnes, pas les réseaux. Vérifiez l'expéditeur et l'adresse de la page avant de vous connecter, et utilisez un gestionnaire de mots de passe, qui ne remplira pas vos informations sur un site imitant le vrai.

HTTPS et VPN

La plupart des sites utilisent désormais HTTPS, qui chiffre le contenu échangé entre votre navigateur et le site. Cela compte pour savoir quand un VPN est nécessaire.

Sur un réseau wifi public, HTTPS empêche déjà les autres utilisateurs du réseau de lire les pages que vous chargez et les données que vous envoyez. Ils peuvent toutefois voir quels domaines vous contactez. Un VPN ajoute une couche qui masque même cela, et il protège le trafic qui n'utilise pas HTTPS, comme certaines applications ou certains services plus anciens.

Voici comment les deux se comparent en pratique :

Aucun des deux ne vous protège du site lui-même, et aucun ne remplace l'autre.

Fuites DNS et fuites d'IP

Un VPN n'est utile que si tout votre trafic passe réellement par lui. Parfois, une partie n'y passe pas. On parle de fuites, et c'est une manière courante pour un VPN de défaillir sans bruit.

• Fuites DNS : le DNS est le système qui traduit le nom d'un site en adresse. Si votre appareil envoie ces requêtes à votre fournisseur d'accès au lieu de les faire passer par le VPN, ce dernier peut toujours voir quels sites vous visitez.
• Fuites d'IP : certaines fonctions du navigateur peuvent révéler votre vraie adresse même quand un VPN est actif. Les réseaux récents utilisent aussi des adresses IPv6, et si un VPN ne gère que l'ancien type IPv4, le trafic en IPv6 peut le contourner.

Vous pouvez réduire ces risques. Cherchez un réglage de coupure automatique (kill switch), utilisez l'application officielle et faites un test de fuite sur un site de test réputé pendant que vous êtes connecté. Recommencez après les mises à jour importantes ou quand vous changez de réseau.

Juridiction et demandes de données

Chaque entreprise de VPN est établie quelque part et exploite des serveurs en différents endroits. Les lois de ces endroits déterminent ce que l'entreprise peut être obligée de faire. En termes généraux, les autorités de nombreux pays peuvent adresser des demandes légales aux entreprises, et une entreprise qui détient des données peut devoir les communiquer. Une entreprise qui détient très peu de données a très peu à transmettre.

C'est pourquoi une politique de journalisation claire compte davantage que le nom d'un pays sur une carte. Les lois sur l'usage des VPN, la conservation des données et la vie privée varient beaucoup d'un pays à l'autre et évoluent avec le temps. Ce guide donne des informations générales et ne constitue pas un avis juridique. Renseignez-vous sur les règles là où vous vivez et voyagez.

Les VPN gratuits

Faire fonctionner un VPN coûte de l'argent : serveurs, bande passante, logiciels et assistance. Un service gratuit doit bien financer tout cela d'une manière ou d'une autre. Cela ne rend pas tous les services gratuits nuisibles, mais c'est une raison de lire les conditions avec une attention particulière.

Les services gratuits peuvent gagner de l'argent en affichant des publicités, en limitant la vitesse ou les données pour vous pousser vers une offre payante, et en collectant et revendant des informations sur votre usage d'internet. Ce dernier point est la vraie préoccupation pour la vie privée, car l'intérêt d'un VPN est justement de limiter le nombre de personnes qui voient votre trafic. Une application gratuite qui enregistre et vend vos données de navigation va à l'encontre de ce but.

Avant d'installer un VPN gratuit, vérifiez qui l'exploite, comment il gagne de l'argent et ce que dit sa politique de confidentialité. Si vous ne pouvez pas répondre à ces questions, ne l'installez pas.

Les promesses publicitaires à aborder avec scepticisme

La publicité pour les VPN regorge de formules dramatiques. Inutile de supposer de la mauvaise foi, mais lisez ces promesses d'un œil critique.

• « Chiffrement de niveau militaire ». C'est une formule marketing, pas une norme technique. Cherchez les protocoles et algorithmes réellement cités dans la documentation.
• « Anonymat complet » ou « introuvable ». Comme expliqué plus haut, un VPN ne peut pas offrir cela.
• « Fonctionne avec tous les services de streaming ». Les services de streaming bloquent activement les adresses de VPN, et ce qui fonctionne change souvent. Aucun fournisseur ne peut promettre un accès durable. Consultez notre guide sur les VPN sur téléphone, routeur et streaming pour savoir à quoi vous attendre.
• Comptes à rebours et énormes remises. Lisez les conditions de renouvellement avant d'acheter. Notre guide sur les prix et renouvellements des VPN explique comment fonctionnent les tarifs d'appel.

Un fournisseur digne de confiance décrit les limites aussi clairement que les avantages.

Les autres outils qui complètent un VPN

Pour la plupart des gens, les plus grands progrès en matière de vie privée et de sécurité viennent des habitudes et des outils de base, pas d'un VPN. Ils font ce qu'un VPN ne peut pas faire.

• Les mises à jour logicielles. Gardez votre système, votre navigateur et vos applications à jour, car de nombreuses attaques exploitent des failles connues.
• Un gestionnaire de mots de passe. Il crée et stocke un mot de passe unique pour chaque compte, de sorte qu'une fuite sur un site n'ouvre pas les autres. Il vous aide aussi à éviter les fausses pages de connexion.
• L'authentification à deux facteurs. Une seconde étape à la connexion, idéalement avec une application d'authentification ou une clé de sécurité physique, protège un compte même si le mot de passe est volé.
• Le blocage des traceurs. Les réglages du navigateur ou des extensions de sources fiables peuvent limiter les cookies, les traceurs tiers et une partie du fingerprinting. Cela traite ce qu'un VPN laisse intact.

Une liste de vérification réaliste pour évaluer vos risques

Évaluer ses risques revient simplement à répondre honnêtement à la question : que cherchez-vous à protéger, et contre qui ? Cela évite d'acheter une solution à un problème que vous n'avez pas. Passez en revue ces questions.

1. Que veux-je protéger ? Par exemple, mes identifiants sur un wifi public, mon historique de navigation face à mon fournisseur d'accès, ma position réelle face à un site, ou l'accès à des contenus en voyage.
2. Qui pourrait le voir ? Par exemple, d'autres personnes sur le même réseau, mon fournisseur d'accès, des annonceurs, un site, ou quelqu'un qui me cible personnellement.
3. Un VPN répond-il à ce risque ? Si la réponse dépend de comptes connectés, de logiciels malveillants ou de votre propre appareil, un VPN ne le résoudra pas.
4. À qui ferais-je confiance à la place ? Décidez si vous faites davantage confiance au fournisseur de VPN qu'à votre fournisseur d'accès actuel, et pourquoi.
5. De quoi d'autre ai-je besoin ? Ajoutez les mises à jour, un gestionnaire de mots de passe, l'authentification à deux facteurs et le blocage des traceurs si nécessaire.

Si vos réponses honnêtes mènent à un wifi public, à un réseau dont vous vous méfiez, ou au souhait de tenir votre navigation à l'écart de votre fournisseur d'accès, un VPN est un outil raisonnable. Si elles mènent à l'anonymat face aux sites où vous vous connectez, à la protection contre les logiciels malveillants ou à la défense contre un adversaire déterminé, un VPN seul ne suffit pas. Pour aller plus loin, lisez notre guide sur ce qu'est un VPN pour les bases, puis comparez les offres en suivant les étapes de comment choisir un VPN.

Points clés à retenir

• Un VPN masque votre trafic au réseau local et à votre fournisseur d'accès, et change l'adresse que voient les sites. Il ne vous rend pas anonyme.
• Utiliser un VPN déplace la confiance de votre fournisseur d'accès vers l'entreprise du VPN, donc la politique de journalisation et la réputation du fournisseur comptent.
• Les comptes connectés, les cookies et l'empreinte du navigateur vous identifient quelle que soit votre adresse IP.
• Un VPN n'arrête ni les logiciels malveillants ni l'hameçonnage. Les mises à jour, un gestionnaire de mots de passe et l'authentification à deux facteurs font bien plus ici.
• HTTPS et un VPN protègent des parties différentes de la connexion, et aucun ne vous protège du site que vous visitez.
• Testez les fuites DNS et d'IP, et utilisez une coupure automatique quand elle est disponible.
• Les VPN gratuits demandent un examen supplémentaire, car l'argent doit bien venir de quelque part.
• Méfiez-vous des promesses absolues sur l'anonymat, la vitesse, la sécurité et l'accès au streaming.
• Les lois sur les VPN et les demandes de données varient selon les pays, vérifiez donc les règles locales.
• Commencez par évaluer vos propres risques, puis choisissez les outils qui y correspondent.