Ce que fait vraiment un VPN et ce dont il ne protège pas

Les VPN se vendent comme une cape magique : appuyez sur un bouton et devenez invisible. La réalité est plus modeste et plus utile : un tunnel qui fait trois choses précises, les fait bien et s'arrête là. Connaître ces limites économise de l'argent sur les abonnements et évite de mauvaises surprises au pire moment.

Comment fonctionne le tunnel

L'appli VPN crée dans le système une interface réseau virtuelle et y dirige tout le trafic de l'appareil. Les paquets sont chiffrés et voyagent en un seul flux jusqu'au serveur, où ils sont déchiffrés et partent vers les sites de façon normale, et les réponses reviennent par le même tunnel. Le mot clé ici est tout le trafic, du navigateur aux services d'arrière-plan. Un proxy sert les programmes configurés, le tunnel capte le système entier, y compris les applis qui ignorent son existence.

Trois fonctions honnêtes

• Chiffrement jusqu'au serveur. Le réseau local, du Wi-Fi du café à tout nœud intermédiaire, voit un seul flux chiffré vers une seule adresse. Impossible d'en extraire les sites que vous ouvrez ou ce que vous envoyez.
• Changement d'adresse et de localisation. Les sites voient l'adresse du serveur VPN : une page d'un autre pays, les prix d'une autre région, l'accès à des ressources fermées à votre adresse.
• Entrée dans un réseau privé. La variante d'entreprise : un tunnel vers le bureau fait de vous un membre du réseau interne avec ses ressources. C'est d'ailleurs le sens d'origine du sigle : réseau privé virtuel.

Ce qu'un VPN ne fait pas

Ici commence la zone des exagérations publicitaires, à parcourir point par point. Anonymat : les sites vous reconnaissent à vos comptes, cookies et empreinte de navigateur, et changer d'adresse n'y change rien. Protection contre les virus et le phishing : le tunnel transporte des octets sans juger s'ils sont utiles ou malveillants, et une fausse page de connexion reste aussi dangereuse par VPN. Chiffrement « jusqu'au bout » : le tunnel s'arrête au serveur VPN, ensuite le trafic suit son cours et sa protection dépend du HTTPS de chaque site. Enfin, la confiance : tout ce que voyait votre fournisseur, l'opérateur VPN le voit désormais. Vous n'avez pas retiré l'observateur, vous l'avez choisi, alors choisissez en connaissance de cause.

VPN ou proxy

La tâche tranche. Un tunnel convient à la protection personnelle : un utilisateur, tout l'appareil, des réseaux étrangers. Un proxy est fait pour les schémas de travail : des programmes séparés, de nombreuses adresses différentes, l'automatisation. Un scraper qui demande mille sorties ne se construit pas sur un VPN, car le tunnel donne une adresse à tout l'appareil. Et inversement : pour un portable à l'aéroport, un proxy ne suffit pas, il ne couvre pas le trafic des applis oubliées. Une comparaison détaillée par étapes de requête figure dans l'article sur le fonctionnement d'un proxy, et un tour pratique des tâches dans le texte sur l'utilité des serveurs proxy.

Un mot sur les protocoles

Sous le capot du tunnel vit un protocole : le standard moderne WireGuard est apprécié pour sa vitesse et sa résistance sur réseaux mobiles, le vétéran OpenVPN pour sa compatibilité, IKEv2 pour sa reprise rapide lors d'un changement de réseau. Pour l'utilisateur, la différence se résume à la vitesse et à la stabilité : si le client propose un choix, commencez par WireGuard. Les mathématiques du chiffrement sont aussi fiables dans les trois lorsque la configuration est correcte.

Choisir l'opérateur du tunnel

Puisque tout le trafic passe par le serveur VPN, l'identité de son propriétaire devient la principale propriété du produit. Les tunnels gratuits sans modèle économique vivent selon les mêmes lois que les proxies gratuits et les extensions de navigateur : quelqu'un les paie, généralement avec les données des utilisateurs. Pour l'accès d'entreprise, la réponse est évidente : le tunnel de la société. Pour un usage personnel : un opérateur à la juridiction claire, au modèle payant et à l'historique connu. Les plus à l'aise techniquement installent leur serveur WireGuard en une soirée et règlent la question de la confiance, reste celle de l'adresse unique.

Comment vérifier votre tunnel

Après la connexion, ouvrez la page de détection d'IP : l'adresse doit appartenir au serveur VPN. Puis le test d'anonymat : une fuite WebRTC et un fuseau horaire qui ne correspond pas à l'adresse trahissent le tunnel auprès des sites, et le rapport montre les deux points aussitôt. Le DNS est une autre histoire : les requêtes de noms doivent passer par le tunnel et éviter le fournisseur local, sinon la liste des domaines visités reste visible au réseau dont vous vouliez vous cacher. Un bon client s'en charge seul, et le même test d'anonymat permet de le vérifier par les serveurs de noms.

Une formule courte à retenir : un VPN est un tube chiffré avec une autre adresse. Ce qui promet plus qu'un tube mérite d'être confronté à la pratique de la protection sur les réseaux d'autrui : on y voit quelle part du travail revient au tunnel et quelle part aux habitudes.