VPN et sécurité : ce qu’il protège, et ce qu’il ne fait pas

Un VPN est vendu comme une protection générale : sécurité, anonymat, tranquillité. En réalité il fait une chose précise, très bien, et il n’en fait aucune autre. Comprendre cette frontière évite à la fois de s’en priver quand il sert, et de s’en remettre à lui quand il ne protège rien. Voici ce qu’il chiffre exactement, qui voit quoi, et les trois cas où il est réellement utile.

Ce qu’un VPN fait, en une phrase

Il crée un tunnel chiffré entre votre appareil et un serveur du fournisseur. Votre trafic y entre, ressort chez le fournisseur, et poursuit sa route normalement vers sa destination.

Tout découle de là, et notamment cette conséquence que la publicité ne met jamais en avant : au-delà du serveur du fournisseur, plus rien n’est protégé par le VPN. Le trajet entre ce serveur et le site que vous consultez est exactement ce qu’il aurait été sans VPN.

Qui voit quoi, avec et sans

Qui	Sans VPN	Avec VPN
Le réseau local, un Wi-Fi public	Les sites visités	Rien, sauf que vous utilisez un VPN
Votre fournisseur d’accès	Les sites visités	Rien, sauf l’usage d’un VPN
Le fournisseur de VPN	Sans objet	Les sites visités
Le site consulté	Votre adresse réelle	L’adresse du serveur VPN
Le contenu échangé avec un site en HTTPS	Chiffré de bout en bout	Chiffré de bout en bout

La ligne décisive est la troisième. Un VPN ne supprime pas l’observateur, il le déplace : ce que votre opérateur voyait, le fournisseur de VPN le voit désormais. Vous transférez une confiance, vous ne l’éliminez pas.

La dernière ligne est tout aussi importante. Le contenu de vos échanges avec un site en HTTPS était déjà chiffré, et le reste. Le VPN n’y ajoute rien : il masque la destination, pas la conversation.

Les trois cas où il sert vraiment

• Accéder à un réseau privé à distance. C’est l’usage d’origine, et le plus solide : rejoindre le réseau de son entreprise depuis l’extérieur comme si l’on y était. Rien ne le remplace.
• Soustraire vos destinations à l’observateur local. Sur un réseau que vous ne maîtrisez pas, le gestionnaire du réseau voit à quels services vous vous connectez. Le VPN le lui retire.
• Changer de point de sortie géographique. Pour tester un site depuis un autre pays, ou accéder à un service restreint à une zone.

Notez ce qui ne figure pas dans cette liste : « sécuriser sa navigation ». Ce n’est pas un usage, c’est un slogan. Les mesures qui sécurisent réellement sont d’une autre nature, et nous les détaillons dans notre article sur la sécurisation d’un site et dans celui sur la sécurité d’un serveur.

Ce qu’il ne fait pas, et qu’on lui prête

• Il ne rend pas anonyme. Si vous êtes connecté à un compte, le service sait qui vous êtes, VPN ou non. Les cookies, les empreintes de navigateur et les connexions persistantes vous identifient indépendamment de votre adresse.
• Il ne bloque ni les virus ni l’hameçonnage. Un fichier malveillant passe dans le tunnel comme le reste, et une page frauduleuse s’affiche parfaitement.
• Il ne protège pas d’un site compromis. Le tunnel s’arrête chez le fournisseur, pas au serveur d’en face.
• Il ne réduit pas la latence. Il l’augmente presque toujours, en ajoutant une étape au trajet, comme nous l’expliquons dans notre article sur le ping et la latence en jeu.

Les deux fuites qui annulent le dispositif

Un VPN mal configuré donne l’illusion de la protection tout en laissant passer ce qu’il devait masquer. Deux défauts sont fréquents et se vérifient en une minute.

La fuite de résolution de noms

Le trafic passe bien dans le tunnel, mais les demandes de résolution de noms continuent de partir vers le résolveur de votre opérateur. Celui-ci voit donc tous les domaines que vous consultez, exactement ce que le VPN devait lui retirer. Le mécanisme est détaillé dans notre article sur la propagation DNS.

La coupure silencieuse

Quand le tunnel tombe, le système bascule sur la connexion normale sans rien signaler. Vous croyez être protégé et vous ne l’êtes plus, parfois pendant des heures. La fonction de coupure automatique, qui bloque tout trafic hors du tunnel, corrige ce défaut : vérifiez qu’elle existe et qu’elle est activée.

Vérifiez enfin votre adresse publique une fois connecté, en la comparant à celle que vous obtenez sans VPN. Un site permettant de trouver son IP publique suffit à confirmer que le trafic sort bien par le tunnel, et nous détaillons ce que révèle cette adresse dans notre article sur l’adresse IP publique.

Monter son propre VPN, et quand c’est pertinent

Héberger son VPN sur son propre serveur répond à un besoin précis, et pas du tout au même que celui d’un abonnement commercial. La distinction est nette et évite une déception courante.

• Ce que ça apporte : un accès à distance à vos propres machines, sans exposer leurs services sur Internet. C’est la bonne façon d’administrer un serveur ou d’atteindre une base de données, plutôt que d’ouvrir un port à tous. Le raisonnement rejoint celui de notre article sur le rôle des pare-feu en entreprise.
• Ce que ça n’apporte pas : la moindre discrétion. Le trafic sort par une adresse que vous avez louée à votre nom, ce qui vous identifie bien mieux qu’une adresse partagée par des milliers d’abonnés.

Autrement dit, le VPN auto-hébergé est un outil d’accès, pas un outil de confidentialité. Les deux usages demandent des dispositifs opposés, et les confondre conduit à choisir le mauvais.

Choisir : les critères qui se vérifient

• Le protocole. Les implémentations récentes tiennent en quelques milliers de lignes de code, contre plusieurs centaines de milliers pour les plus anciennes. Moins de code signifie moins de surface d’erreur, et en pratique des connexions plus rapides à établir.
• L’existence d’une coupure automatique, et sa présence sur tous vos appareils, pas seulement sur l’ordinateur.
• La juridiction du fournisseur, puisque c’est lui qui voit désormais votre trafic.
• Les engagements de non-conservation, qui ne valent que s’ils ont été vérifiés par un tiers ou éprouvés par une procédure. Une déclaration sur une page commerciale ne se vérifie pas.
• Le nombre d’appareils couverts par l’abonnement, souvent la vraie limite à l’usage.

Un dernier mot sur les offres gratuites. Faire transiter le trafic de millions de personnes coûte cher, et ce coût est couvert d’une manière ou d’une autre. Quand vous ne payez pas l’abonnement, demandez-vous ce qui est vendu à la place, en sachant que le fournisseur voit l’intégralité de vos destinations.

Questions fréquentes sur les VPN

Un VPN protège-t-il vraiment ma connexion ?

Il chiffre le trajet entre votre appareil et le serveur du fournisseur, et masque vos destinations à l’observateur local et à votre opérateur. Au-delà de ce serveur, le trafic poursuit sa route normalement et n’est plus protégé par le VPN.

Un VPN rend-il anonyme ?

Non. Un compte auquel vous êtes connecté vous identifie quoi qu’il arrive, et les cookies comme l’empreinte du navigateur fonctionnent indépendamment de votre adresse. Le VPN change l’adresse vue par le site, pas votre identité.

Un VPN est-il utile si les sites sont déjà en HTTPS ?

Le contenu était déjà chiffré et le reste : le VPN n’y ajoute rien. Ce qu’il apporte, c’est de masquer la destination, c’est-à-dire les sites consultés, à qui observe le réseau que vous utilisez.

Qu'est-ce qu'une fuite DNS avec un VPN ?

Le cas où le trafic passe bien dans le tunnel mais où les demandes de résolution de noms partent vers le résolveur de votre opérateur. Celui-ci voit alors tous les domaines consultés, ce que le VPN était censé lui retirer.

Faut-il se méfier des VPN gratuits ?

Faire transiter le trafic coûte cher et ce coût est couvert d’une façon ou d’une autre. Le fournisseur voyant l’intégralité de vos destinations, la question de ce qui est vendu à la place de l’abonnement se pose sérieusement.