Qu'est-ce qu'un VPN et comment ça marche ? (Guide complet)

Un VPN, ou réseau privé virtuel, chiffre votre trafic Internet et le redirige via un serveur situé dans l'emplacement de votre choix. Votre FAI, votre opérateur réseau et les sites web que vous visitez voient l'adresse IP de ce serveur, et non la vôtre.

Ce mécanisme unique couvre tous les cas d'utilisation d'un VPN : masquer votre historique de navigation à votre fournisseur d'accès Internet, sécuriser une connexion sur un Wi-Fi public, accéder à un réseau d'entreprise à distance et réduire le suivi basé sur la localisation.

Ce guide explique le fonctionnement des VPN au niveau du protocole, ce qu'ils masquent réellement à votre FAI et aux sites que vous visitez, ainsi que les critères qui distinguent un fournisseur digne de confiance d'un autre reposant sur des arguments marketing.

Les comparaisons de fournisseurs incluent NordVPN, ExpressVPN, ProtonVPN, Mullvad et Internxt VPN, une option axée sur la confidentialité qui associe un VPN à un stockage cloud chiffré.

Qu'est-ce qu'un VPN ?

Le nom se décompose en trois mots qui décrivent chacun un élément spécifique. « Virtuel » signifie que le réseau privé est défini par logiciel et non par une ligne physique dédiée.

« Privé » fait référence au chiffrement : le contenu de votre trafic est illisible pour quiconque ne possède pas la clé de déchiffrement.

« Réseau » fait référence au fait que vous vous connectez via une infrastructure gérée de serveurs, et non directement avec les sites web que vous visitez.

Les VPN ont été créés à l'origine pour les entreprises. Les employés travaillant à distance avaient besoin d'un moyen d'accéder aux systèmes internes de l'entreprise via l'Internet public sans exposer ces systèmes aux personnes situées sur le réseau entre eux.

Ce cas d'utilisation représente encore aujourd'hui une grande partie de l'utilisation des VPN.

La version grand public fonctionne sur les mêmes principes techniques, le serveur du fournisseur VPN servant de point de sortie sécurisé au lieu d'une passerelle de réseau d'entreprise.

Comment fonctionne un VPN ?

Un VPN fonctionne en créant un tunnel chiffré entre votre appareil et un serveur exploité par le fournisseur VPN. Votre trafic voyage à travers ce tunnel, sort du serveur et atteint Internet à partir de là. Les étapes ci-dessous expliquent à quoi ressemble ce processus au niveau du paquet et quel protocole le gère.

Le tunnel de chiffrement : ce qui arrive réellement à votre trafic

Lorsque vous vous connectez à un VPN, votre appareil et le serveur VPN effectuent une poignée de main (handshake) pour établir une clé de chiffrement partagée. À partir de ce moment, chaque paquet de données quittant votre appareil est chiffré avant son départ, enveloppé dans un nouveau paquet adressé au serveur VPN, et envoyé sur l'Internet public. Lorsqu'il arrive au serveur, il est déchiffré et transmis à sa destination réelle. La réponse de cette destination suit le même chemin en sens inverse.

Cela produit deux changements pratiques. Premièrement, votre trafic est illisible en transit : quiconque intercepte un paquet entre votre appareil et le serveur VPN voit des données chiffrées, et non du contenu. Deuxièmement, le serveur de destination voit l'adresse IP du serveur VPN comme origine de la requête, et non celle de votre appareil.

Les VPN réputés utilisent l'AES-256 pour le chiffrement symétrique, le même standard utilisé par les institutions financières et les agences gouvernementales pour les données sensibles. L'échange de clés qui configure la session utilise TLS ou le protocole Noise, selon le protocole utilisé, de sorte que la clé partagée n'est jamais transmise sur le réseau sous une forme lisible.

Protocoles VPN : comparaison entre WireGuard, OpenVPN et IKEv2

Le protocole détermine la manière dont le tunnel chiffré est établi et maintenu. Les différents protocoles font des compromis différents entre vitesse, sécurité et stabilité lors des changements de réseau.

WireGuard est le standard actuel pour la plupart des utilisations grand public des VPN. Son code compte environ 4 000 lignes, contre plus de 100 000 pour OpenVPN, ce qui signifie une surface d'attaque réduite pour les vulnérabilités et des audits indépendants plus rapides. Il utilise le protocole Noise pour l'échange de clés et ChaCha20 pour le chiffrement, et se reconnecte plus rapidement que les anciens protocoles lors du passage du Wi-Fi aux données mobiles.

OpenVPN est la référence en matière de confidentialité depuis plus d'une décennie. Il est open-source, largement audité et prend en charge les transports UDP et TCP. Le compromis réside dans la vitesse : il s'exécute dans l'espace utilisateur plutôt que dans le noyau, ce qui ajoute une charge de traitement et le rend nettement plus lent que WireGuard sur la plupart des connexions. Le choix entre WireGuard et OpenVPN dépend de la priorité accordée à la vitesse ou à l'auditabilité maximale pour votre cas d'utilisation.

IKEv2/IPsec est intégré nativement dans la plupart des systèmes d'exploitation mobiles, ce qui le rend rapide à connecter et fiable lors du changement de réseau. Il se reconnecte automatiquement après une perte de connexion. La limite est qu'IKEv2 n'est pas open-source dans ses implémentations les plus courantes, ce qui rend les audits de code indépendants plus difficiles.

Les protocoles propriétaires comme Lightway d'ExpressVPN et NordLynx de NordVPN (basé sur WireGuard) sont conçus pour la vitesse et appuyés par leurs audits indépendants respectifs, mais leurs composants à code fermé ne peuvent pas être vérifiés publiquement de la même manière que WireGuard ou OpenVPN.

À quoi sert un VPN ?

Cinq cas d'utilisation représentent la majorité de l'utilisation grand public des VPN. Certains apportent de véritables avantages en matière de sécurité ; d'autres relèvent plutôt du confort. Savoir dans quelle catégorie se situe votre situation vous aide à décider combien dépenser et quel fournisseur vous convient.

Protéger le trafic sur le Wi-Fi public

Les réseaux Wi-Fi publics des aéroports, hôtels et cafés ne sont pas sécurisés par défaut, ce qui signifie que quiconque se trouve sur le même réseau peut potentiellement intercepter le trafic non chiffré. Un VPN chiffre tout ce qui quitte votre appareil avant que cela n'atteigne le routeur, de sorte que même si quelqu'un intercepte un paquet, il ne voit que du texte chiffré.

C'est le cas d'utilisation le plus clair pour un VPN : la menace est bien documentée, la protection est directe et tout fournisseur payant réputé la couvre. Si vous utilisez principalement un navigateur sur des réseaux publics, une extension VPN pour navigateur est une alternative légère à une application de bureau complète, bien qu'un client complet offre une couverture plus large sur toutes les applications de l'appareil.

Masquer votre historique de navigation à votre FAI

Sans VPN, votre FAI peut voir chaque domaine que vous visitez, combien de temps vous y passez et quand. Dans de nombreux pays, ils sont légalement autorisés à conserver et vendre ces données aux annonceurs, ou à les transmettre aux autorités sans mandat. Un VPN redirige d'abord votre trafic via son propre serveur, de sorte que votre FAI voit seulement que vous vous êtes connecté au VPN et rien au-delà.

Le compromis est que votre fournisseur VPN occupe désormais la position que détenait auparavant votre FAI, c'est exactement pourquoi les audits de non-conservation des journaux existent et pourquoi l'historique d'audit du fournisseur que vous choisissez importe plus que son discours marketing.

Travail à distance et accès aux réseaux d'entreprise

Les VPN d'entreprise créent un tunnel privé de l'appareil d'un employé vers le réseau interne d'une entreprise, faisant en sorte qu'une connexion distante se comporte comme si l'appareil se trouvait physiquement dans le bureau. C'était l'objectif initial de la technologie VPN.

Les VPN grand public fonctionnent selon les mêmes principes techniques, bien qu'ils se connectent aux serveurs du fournisseur plutôt qu'à une passerelle d'entreprise privée. Pour les employés utilisant un client VPN fourni par l'entreprise, la configuration est gérée par le service informatique. Pour les indépendants, les prestataires ou les équipes dans des secteurs réglementés tels que la santé, le juridique ou la finance, un fournisseur disposant de garanties d'audit documentées et de la conformité au RGPD offre un registre plus auditable qu'un fournisseur dont l'infrastructure n'a pas fait l'objet d'un examen indépendant.

Contourner les restrictions géographiques

Les sites web et les services de streaming utilisent les adresses IP pour déterminer la localisation d'un visiteur et restreindre le contenu en conséquence. Un VPN remplace votre adresse IP visible par celle du serveur, donc vous connecter via un serveur dans un autre pays vous fait apparaître comme étant situé là-bas.

Notez que les plateformes de streaming détectent et bloquent activement les adresses de serveurs VPN connues, et les taux de réussite varient selon le fournisseur et le serveur. Qu'un VPN donné débloque de manière fiable un service spécifique dépend entièrement du fournisseur. Consultez leur documentation officielle pour les prises en charge confirmées plutôt que de supposer que cela fonctionne.

Réduire la publicité ciblée basée sur votre localisation

Les annonceurs utilisent les adresses IP comme un signal parmi d'autres pour établir des profils de localisation et diffuser des publicités ciblées. Un VPN modifie votre adresse IP visible, ce qui perturbe ce signal, mais ne bloque pas l'ensemble du suivi.

Pour une protection plus complète contre le suivi publicitaire, un VPN fonctionne aux côtés d'un navigateur axé sur la confidentialité et d'un bloqueur de publicités au niveau DNS plutôt qu'en tant que solution autonome.

Que masque réellement un VPN ?

Un VPN modifie qui peut voir votre trafic, et non si votre trafic peut être vu tout court.

Ce que votre FAI peut et ne peut pas voir

Lorsqu'un VPN est actif, votre FAI peut voir que vous vous êtes connecté à un serveur VPN, l'adresse IP de ce serveur, le volume de données transférées et l'horodatage de cette connexion. Ce qu'il ne peut pas voir, c'est tout ce qui se trouve au-delà du serveur VPN : les domaines que vous avez visités, le contenu des pages chargées, vos requêtes de recherche ou tout ce que vous avez envoyé ou reçu. Du point de vue du FAI, toute votre activité Internet se résume à une seule connexion chiffrée vers une adresse unique.

C'est important pour quiconque a un FAI soumis à des lois autorisant la journalisation du trafic, la vente de données aux annonceurs ou la divulgation aux autorités sans mandat. Cela ne change pas ce que les sites web que vous visitez peuvent voir de leur côté.

Ce que le site web que vous visitez peut voir

Le site web que vous visitez voit l'adresse IP du serveur VPN, et non votre adresse réelle. Tout le reste demeure visible : votre type de navigateur, votre système d'exploitation, la résolution de votre écran, les polices installées et tous les autres signaux qui contribuent à l'empreinte numérique du navigateur (browser fingerprinting). Si vous êtes connecté à un compte, le site sait exactement qui vous êtes, quelle que soit l'adresse IP dont provient la connexion. Les cookies définis avant d'activer le VPN persistent après son activation.

Un VPN modifie votre adresse IP. Il ne modifie pas l'identité de votre navigateur, vos sessions de compte ou votre comportement sur le site. Utiliser un VPN comme outil d'anonymat sur des sites où vous possédez un compte actif ne fonctionne pas. Ces deux choses ne peuvent pas coexister. Un VPN est une couche permettant de masquer votre adresse IP, pas un bouclier d'identité complet.

Types de VPN

Tous les VPN ne servent pas le même objectif. Les trois catégories principales diffèrent selon qui les exploite et ce qu'elles protègent.

Les VPN personnels sont le produit grand public auquel la plupart des gens pensent lorsqu'ils disent « VPN ». Vous installez une application, vous vous connectez à un serveur exploité par le fournisseur, et votre trafic sort de là. Le fournisseur est responsable de l'infrastructure, de la politique de non-conservation des journaux et de l'audit.

Les VPN d'accès distant connectent un appareil individuel à un réseau d'entreprise privé. La plupart des entreprises les fournissent aux employés travaillant à distance. Le trafic sort sur le réseau de l'entreprise plutôt que sur l'Internet public, et l'équipe informatique de l'entreprise contrôle la configuration.

Les VPN site à site connectent deux réseaux entiers plutôt qu'un seul appareil à un réseau, reliant généralement des bureaux situés dans des emplacements différents afin qu'ils fonctionnent comme un seul réseau interne. Cette catégorie sort du cadre de ce que fournissent les services VPN grand public.

La suite de cet article traite des VPN personnels.

Comment choisir un VPN

Points clés :

• La juridiction affecte l'exposition juridique, mais l'architecture détermine quelles données existent réellement pour être divulguées
• Les clients open-source permettent un examen indépendant du code ; les clients à code fermé exigent une confiance aveugle
• La prise en charge des protocoles détermine les compromis entre vitesse, sécurité et auditabilité
• Les différences de prix sont suffisamment importantes pour compter, mais l'option la moins chère est rarement la plus transparente

Où est basé le fournisseur et qu'est-ce que cela signifie ?

Un fournisseur VPN est soumis aux lois du pays dans lequel il opère. Les alliances Five Eyes (États-Unis, Royaume-Uni, Canada, Australie, Nouvelle-Zélande), Nine Eyes et Fourteen Eyes sont des traités de partage de renseignements qui créent des cadres juridiques pour les demandes de données transfrontalières. Les fournisseurs basés dans les pays membres de ces traités peuvent être contraints de coopérer aux demandes de tout gouvernement membre.

La Suisse se situe en dehors de ces trois traités et exige une ordonnance d'un tribunal local pour la divulgation de données. le Panama et les îles Vierges britanniques n'ont pas de lois sur la conservation des données. L'Espagne est membre des Fourteen Eyes mais est liée par le RGPD, qui impose des obligations strictes de minimisation des données à tout service y opérant.

La juridiction importe moins lorsque l'architecture du fournisseur rend la conservation impossible de toute façon. Elle importe le plus lorsque deux fournisseurs ont une conception équivalente de la confidentialité et que vous choisissez entre eux uniquement sur la base de l'exposition juridique.

Que stocke réellement le fournisseur par conception ?

Tous les grands VPN revendiquent une politique de non-conservation des journaux. La question la plus précise est de savoir ce que leur architecture rend techniquement possible de conserver, et non ce que leur politique dit qu'ils choisissent de ne pas conserver.

Une politique de minimisation des journaux signifie que le fournisseur pourrait conserver des données, mais choisit de ne pas le faire. Une architecture zero-knowledge signifie que le service est conçu de sorte que les métadonnées de connexion ne soient pas collectées sous une forme que le fournisseur puisse reconstruire ou divulguer.

Cette dernière est une contrainte structurelle plutôt qu'une décision politique. Les fournisseurs qui mettent en œuvre une conception zero-knowledge au niveau du VPN offrent un niveau de garantie différent des fournisseurs qui promettent simplement de ne pas regarder.

ProtonVPN repose sur des principes zero-knowledge et fait l'objet d'audits indépendants annuels par Securitum depuis 2022.

Internxt VPN affirme appliquer une politique de non-conservation des journaux et publie des clients open-source, mais son architecture VPN n'a pas fait l'objet d'un audit indépendant au moment de la rédaction. Mullvad va plus loin sur le plan opérationnel : il ne requiert aucune adresse e-mail à l'inscription et accepte les paiements en espèces, minimisant ainsi dès le départ les informations personnelles détenues par le fournisseur.

Pouvez-vous lire le code vous-même ?

Un client VPN open-source signifie que le code exécuté sur votre appareil est accessible publiquement pour un examen indépendant.

N'importe qui peut inspecter la manière dont le chiffrement est mis en œuvre, quelles données l'application transmet et si le client se comporte conformément à la politique déclarée du fournisseur. Les clients à code fermé exigent de faire confiance à la parole du fournisseur.

Un code open-source n'est pas la même chose qu'un audit indépendant achevé, mais c'est la condition qui rend un audit significatif possible.

Que comprend réellement la formule ?

Les forfaits VPN varient en termes de couverture de serveurs, de limites d'appareils simultanés, d'outils inclus et selon que le VPN est vendu comme un produit autonome ou inclus avec d'autres services.

Internxt VPN est inclus dans tous les forfaits payants d'Internxt (Essential 1 To, Premium 3 To et Ultimate 5 To) plutôt que vendu comme produit autonome. C'est le seul fournisseur de ce tableau qui regroupe un VPN avec un stockage cloud sécurisé sous un seul abonnement.

Limites des VPN : ce qu'un VPN ne fait pas

Un VPN a une fonction unique. Il chiffre la connexion entre votre appareil et un serveur et remplace votre adresse IP à la destination. Tout ce qui sort de ce cadre n'est pas couvert, et plusieurs idées reçues sur ce contre quoi un VPN protège sont incorrectes.

Un VPN ne vous rend pas anonyme. L'anonymat exige qu'aucune partie de la chaîne ne puisse relier votre activité à votre identité.

Un VPN retire votre FAI de cette chaîne mais le remplace par le fournisseur VPN. Si le fournisseur conserve des journaux, ou si vous utilisez le VPN tout en étant connecté à des comptes, votre identité n'est pas masquée.

Réduire qui peut voir votre trafic n'est pas la même chose que supprimer la possibilité de vous identifier.

Si vous téléchargez un logiciel malveillant, un VPN ne fait rien pour l'empêcher de s'exécuter sur votre appareil ou de transmettre des données depuis celui-ci. Le trafic chiffré d'un logiciel malveillant reste du trafic de logiciel malveillant. Un VPN chiffre le trajet vers le serveur ; il n'a aucune visibilité sur ce qui s'exécute localement sur votre appareil.

Un VPN n'arrête pas le suivi via les cookies, le fingerprinting ou les comptes connectés.

Les sites web identifient les utilisateurs grâce aux empreintes numériques de navigateur, aux cookies persistants et aux sessions de compte, quelle que soit l'adresse IP d'où provient la connexion. Les réseaux publicitaires qui utilisent le suivi intersite ne s'appuient pas uniquement sur les adresses IP. Modifier votre adresse IP perturbe un seul signal parmi d'autres.

Un VPN réduira votre vitesse de connexion. Chaque VPN ajoute de la latence car votre trafic est chiffré, redirigé via un serveur supplémentaire et déchiffré avant d'atteindre sa destination.

L'impact dépend du protocole (WireGuard engendre moins de charge qu'OpenVPN), de la distance du serveur et de la charge actuelle du serveur. Pour la plupart des navigations, la différence est minime. Pour des cas d'utilisation sensibles à la latence comme les jeux compétitifs ou les appels vidéo en temps réel, cela peut être suffisamment perceptible pour compter.

Un VPN ne protège pas contre le hameçonnage (phishing).

Un site frauduleux conçu pour ressembler à votre banque est tout aussi dangereux avec ou sans VPN actif. Le VPN chiffre la connexion vers le site ; il n'évalue pas si le site lui-même est légitime.

Un VPN n'est digne de confiance que dans la mesure où son fournisseur l'est.

Si un fournisseur conserve des journaux malgré sa politique affichée, ou si son infrastructure est compromise, la protection échoue à la source. Les clients open-source et les audits indépendants sont la réponse structurelle à cette préoccupation.

ProtonVPN et Mullvad ont tous deux réalisé des audits par des cabinets de sécurité nommés.

Internxt Drive est entièrement audité pour la sécurité, tandis qu'Internxt VPN publie des clients open-source sur GitHub, ce qui signifie que n'importe qui peut inspecter quelles données l'application transmet et comment le chiffrement est mis en œuvre.

Sur la question de savoir s'il faut garder un VPN activé en permanence : il n'y a aucun inconvénient en matière de sécurité à le laisser fonctionner en continu, mais la réduction de vitesse est constante lorsque vous le faites.

Une approche raisonnable consiste à le garder actif sur les réseaux non fiables (Wi-Fi public, connexions partagées) et à le désactiver sur les réseaux domestiques de confiance lorsque le surcoût de latence ne vaut pas le gain marginal de confidentialité. Cette décision dépend de votre modèle de menace, non d'une règle générale.

Foire aux questions

Un VPN masque-t-il votre adresse IP ?

Oui, un VPN remplace votre adresse IP visible par l'adresse IP du serveur VPN auquel vous vous connectez. Les sites web, les annonceurs et les observateurs du réseau voient l'emplacement et l'adresse du serveur, et non ceux de votre appareil.

Mon fournisseur d'accès Internet peut-il voir ce que je fais lorsque j'utilise un VPN ?

Lorsqu'un VPN est actif, votre FAI peut voir que vous vous êtes connecté à un serveur VPN, mais ne peut pas voir les sites web que vous visitez ni le contenu de votre trafic. Tout ce qui se trouve au-delà du serveur VPN est chiffré et invisible pour votre fournisseur d'accès Internet.

Devrais-je utiliser un VPN ?

Un VPN vaut la peine d'être utilisé si vous vous connectez régulièrement à des réseaux Wi-Fi publics, souhaitez masquer votre historique de navigation à votre FAI ou travaillez à distance avec un accès à des systèmes sensibles. Si votre objectif principal est d'accéder à du contenu depuis une autre région, vérifiez si le fournisseur spécifique prend en charge ce service avant de vous abonner, car tous les VPN ne débloquent pas de manière fiable les plateformes de streaming.

Un fournisseur VPN peut-il être contraint de transmettre mes données ?

Un fournisseur opérant dans une juridiction qui reçoit une demande légale valide peut être contraint de coopérer. Un fournisseur doté d'une architecture sans journaux n'a rien à transmettre de toute façon. Internxt VPN affirme qu'aucun journal de navigation ni aucune métadonnée de connexion ne sont conservés, et opère sous le RGPD, qui impose de strictes obligations de minimisation des données sur ce qui peut être collecté au départ.

Qu'est-ce qu'un bouton d'arrêt d'urgence (kill switch) VPN ?

Un kill switch coupe automatiquement votre connexion Internet si le VPN s'interrompt, empêchant ainsi votre adresse IP réelle et votre trafic non chiffré d'être exposés pendant l'interruption de connexion. C'est particulièrement important sur les réseaux non fiables où une brève défaillance du VPN sans kill switch exposerait votre activité à quiconque surveille ce réseau.

Est-il sûr d'utiliser un VPN basé dans un pays membre des Fourteen Eyes ?

L'appartenance aux Fourteen Eyes signifie qu'un gouvernement peut légalement demander des données aux services opérant dans ce pays. Un fournisseur appliquant une politique stricte de non-conservation des journaux n'a aucun élément matériel à transmettre. Internxt VPN opère sous le droit espagnol et le RGPD, qui imposent tous deux des obligations de minimisation des données, et affirme qu'aucun journal de navigation ni aucune métadonnée de connexion ne sont conservés.

Sur quels appareils puis-je utiliser Internxt VPN ?

Internxt VPN fonctionne comme une extension Chrome et peut être utilisé sur les ordinateurs de bureau Windows et macOS. Il n'y a pas d'application mobile autonome, il ne couvre donc pas les appareils iOS ou Android.

Vers quels pays puis-je me connecter avec Internxt VPN ?

Internxt VPN couvre jusqu'à cinq pays serveurs, mais l'accès dépend de la formule souscrite. Les forfaits gratuits et Essential incluent uniquement la France. Les forfaits Premium ajoutent l'Allemagne, la Pologne et le Canada. Le forfait Ultimate inclut les cinq : la France, l'Allemagne, la Pologne, le Canada et le Royaume-Uni. Si vous avez besoin de serveurs en dehors de ces emplacements, un fournisseur disposant d'un réseau plus étendu sera plus adapté.

Internxt VPN est-il gratuit ?

Internxt VPN est disponible sous forme d'extension Chrome gratuite offrant l'accès à un pays serveur (la France). Les forfaits payants d'Internxt débloquent des pays supplémentaires et des vitesses illimitées.

Prendre la bonne décision

Le secteur des VPN souffre d'un problème de confiance. Des dizaines de fournisseurs vendent de la confidentialité sans pouvoir la prouver, et la plupart des gens ne vérifient jamais.

La différence entre un fournisseur qui vaut la peine d'être payé et un autre qui ne le vaut pas se résume généralement à deux choses : si un cabinet indépendant a vérifié l'affirmation de non-conservation des journaux, et si le code client est lisible par quiconque souhaite le consulter. Ces deux filtres réduisent considérablement le marché.

Ce qui reste est une liste restreinte de fournisseurs présentant différents compromis. Internxt VPN se situe parmi eux — open-source, basé sur le RGPD, regroupé avec un stockage cloud chiffré et honnête sur sa situation actuelle concernant la vérification indépendante.

Pour un produit qui construit encore son historique d'audit, cette transparence constitue en soi un signal digne d'être souligné.