Comment fonctionne un VPN : le tunnel chiffré
Un VPN (Virtual Private Network) crée un tunnel chiffré entre votre appareil et un serveur distant opéré par le fournisseur VPN. Tout le trafic internet qui passe par ce tunnel est chiffré et ne peut pas être lu par des tiers — ni votre opérateur internet, ni un éventuel espion sur un réseau WiFi public, ni votre employeur si vous êtes en télétravail sur un réseau VPN d’entreprise.
Pour comprendre le mécanisme, imaginez un courrier normal : l’enveloppe est visible par tous les intermédiaires (bureau de poste, livreur…) même si son contenu est fermé. Un VPN ajoute une deuxième enveloppe opaque autour de la première : les intermédiaires voient l’enveloppe extérieure (adressée au serveur VPN) mais ne peuvent pas deviner le contenu ni l’adresse finale de destination.
En pratique, voici ce qui se passe quand vous activez un VPN :
Votre appareil établit une connexion sécurisée avec un serveur VPN en utilisant un protocole de tunneling (WireGuard, OpenVPN, IKEv2…). Une négociation cryptographique échange des clés de session — des clés éphémères, différentes à chaque connexion, qui rendent le déchiffrement a posteriori impossible même si les clés à long terme venaient à être compromises (propriété appelée Perfect Forward Secrecy).
Votre trafic internet est encapsulé (enveloppé) dans des paquets chiffrés envoyés au serveur VPN. Le serveur VPN déchiffre ces paquets et les transmet vers leur destination réelle (le site web que vous consultez). Les réponses reviennent au serveur VPN, qui les chiffre et vous les envoie. Du point de vue des sites que vous visitez, la requête provient de l’adresse IP du serveur VPN, pas de la vôtre.
Votre adresse IP réelle est ainsi masquée aux sites visités. Mais attention à ne pas confondre confidentialité et anonymat. Pour les détails techniques sur la façon dont les adresses IP circulent sur internet, notre guide sur la sécurité réseau approfondit les mécanismes de protection.
Les protocoles VPN : OpenVPN, WireGuard, IKEv2 et PPTP
Tous les VPN ne se valent pas techniquement — et le protocole utilisé est l’un des critères les plus importants pour évaluer la sécurité et les performances d’un service.
OpenVPN est le protocole open source de référence depuis 2001. Il utilise TLS pour le contrôle et soit UDP soit TCP pour le tunnel de données. Son code source est long (~70 000 lignes) mais bien audité par la communauté de sécurité. Il fonctionne sur pratiquement tous les systèmes (Windows, macOS, Linux, iOS, Android, routeurs…) et est très configurable. Ses inconvénients sont une vitesse d’établissement de connexion plus lente et une légère sensibilité aux coupures réseau (passage WiFi → 4G).
WireGuard est apparu en 2016 et a été intégré au noyau Linux en 2020. Son code source compte environ 4 000 lignes — une simplicité délibérée qui rend les audits de sécurité beaucoup plus faciles et réduit la surface d’attaque potentielle. WireGuard utilise des algorithmes cryptographiques modernes : ChaCha20 pour le chiffrement symétrique, Poly1305 pour l’authentification, Curve25519 pour l’échange de clés. Les connexions s’établissent quasi-instantanément, et la gestion des changements de réseau (passage WiFi/4G) est transparente. En 2026, WireGuard est le protocole recommandé par défaut pour la majorité des cas d’usage.
IKEv2 (Internet Key Exchange version 2) est développé conjointement par Microsoft et Cisco, et est nativement supporté sur Windows et iOS. Sa principale qualité est la capacité de reconnecter rapidement après une coupure réseau — idéal pour les connexions mobiles. Il utilise IPsec pour le chiffrement. Sa faiblesse : il est plus difficile à déployer côté serveur et moins transparent qu’OpenVPN ou WireGuard pour un audit de sécurité.
PPTP (Point-to-Point Tunneling Protocol) est un protocole obsolète datant de 1999, développé par Microsoft. Son chiffrement (MS-CHAP v2) a été cassé en 2012. Ne l’utilisez jamais pour la sécurité — si un fournisseur VPN propose PPTP comme option principale, fuyez.
L2TP/IPsec est une combinaison plus récente que PPTP, mais toujours moins recommandée qu’OpenVPN ou WireGuard. Des documents Snowden suggèrent que la NSA aurait pu affaiblir les constantes cryptographiques d’IPsec ; même si ce n’est pas confirmé, le doute suffit à préférer des alternatives.
Pour comprendre comment ces protocoles interagissent avec les infrastructures internet, notre guide sur les protocoles internet explique la pile TCP/IP sur laquelle s’appuie tout VPN.
VPN gratuit vs VPN payant : la vérité sans filtre
La règle d’or est simple : si un service VPN est gratuit, vous êtes le produit. Pour les développeurs web qui souhaitent comprendre comment intégrer des connexions sécurisées dans leurs projets, Code Your Web propose des tutoriels pratiques sur les technologies web, dont les bases du chiffrement et de la sécurité applicative. Par ailleurs, un VPN complète — mais ne remplace pas — les bonnes pratiques de sécurité réseau pour protéger votre réseau domestique ou professionnel. Un VPN requiert une infrastructure coûteuse (serveurs dans des dizaines de pays, bande passante, maintenance, équipe de support). Un fournisseur VPN qui ne vous fait pas payer son service doit trouver ses revenus ailleurs.
Dans la plupart des cas, les VPN gratuits se financent par la vente de données de navigation. Une étude de 2020 analysant 283 applications VPN Android gratuites a révélé que 75 % d’entre elles contenaient des trackers tiers, et 38 % présentaient des malwares. C’est l’exact opposé du but affiché par un VPN.
Certaines exceptions existent, mais elles comportent des limitations :
Proton VPN Free (de Proton AG, société suisse qui édite aussi ProtonMail) est l’exception la plus sérieuse. La version gratuite est limitée à 1 serveur par pays (États-Unis, Pays-Bas, Japon), 100 Mb/s de débit et pas de streaming. Proton est financé par ses abonnements payants et a été audité de manière indépendante. C’est le seul VPN gratuit que l’on peut recommander pour un usage occasionnel.
Votre propre VPS est une option pour les utilisateurs techniques. Louer un VPS chez un hébergeur (Hetzner à partir de 4 €/mois, OVH, Linode) et y installer WireGuard ou OpenVPN vous donne un VPN entièrement sous votre contrôle. L’inconvénient est que votre VPS est lié à votre identité (paiement par carte bancaire) et qu’il ne bénéficie pas des protections de confidentialité d’un vrai service VPN.
Pour un usage sérieux, un VPN payant fiable coûte entre 2 et 6 € par mois sur un abonnement annuel. C’est un investissement modeste pour la protection qu’il apporte. Si vous gérez votre propre serveur, notre guide sur l’hébergement web et les noms de domaine vous aidera à choisir l’infrastructure la plus adaptée.
Comparatif des meilleurs VPN en 2026 : Mullvad, Proton et NordVPN
Le marché des VPN est encombré de services avec des promesses marketing extravagantes et des budgets d’affiliation énormes. Voici une évaluation honnête des acteurs les plus sérieux, basée sur les critères objectifs : politique de logs auditée, infrastructure technique, transparence et réputation.
Mullvad VPN est le choix des utilisateurs les plus soucieux de confidentialité. Son modèle de facturation est unique : vous achetez du temps (1 € par semaine), sans créer de compte, avec paiement accepté en espèces et en Monero. Mullvad ne collecte aucun email, aucun nom, aucune information personnelle. Sa politique de zéro log a été vérifiée lors d’une saisie de serveurs en 2023 — les autorités n’ont pu récupérer aucune donnée utilisateur. Infrastructure WireGuard et OpenVPN, audits réguliers par Cure53. Tarif : 5 €/mois. Idéal pour les utilisateurs avancés.
Proton VPN est édité par l’équipe de ProtonMail en Suisse, sous juridiction de la loi fédérale suisse sur la protection des données — l’une des plus strictes du monde. Proton publie son code client en open source, effectue des audits annuels, et propose une offre gratuite honnête. Son réseau Secure Core fait transiter le trafic par deux serveurs VPN (d’abord en Suisse ou en Islande, puis dans le pays de destination), rendant la corrélation de trafic beaucoup plus difficile. Tarif : 4 €/mois sur abonnement 2 ans. Idéal pour les utilisateurs qui veulent confier leur VPN à un acteur avec un long historique de résistance aux demandes gouvernementales.
NordVPN est le VPN le plus connu du grand public, avec d’importants budgets marketing et de nombreux créateurs de contenu partenaires. Sa politique de zéro log a été auditée (PricewaterhouseCoopers, 2018 et 2020). Mais un incident de 2018 — un serveur nordvpn.com en Finlande a été compromis par un attaquant externe — a mis en lumière l’importance de l’isolation des serveurs. NordVPN a amélioré son architecture depuis. NordVPN offre des fonctionnalités populaires comme Double VPN (deux serveurs en cascade), l’obfuscation pour contourner les bloqueurs de VPN, et une intégration avec un bloqueur de publicités (Threat Protection). Tarif : 3,5 €/mois sur abonnement 2 ans.
ExpressVPN est une autre option populaire, longtemps appréciée pour sa vitesse et son support des routeurs. Son acquisition en 2021 par Kape Technologies (dont la réputation est controversée dans le domaine de la cybersécurité) a suscité des inquiétudes. À considérer avec une vérification des derniers audits indépendants.
Notre conseil pour 2026 : Mullvad pour la confidentialité maximale, Proton VPN pour la praticité et l’écosystème (couplable avec ProtonMail et Proton Drive), NordVPN pour les utilisateurs qui veulent un service grand public avec de nombreuses fonctionnalités. Pour aller plus loin sur les protocoles réseau qui sous-tendent ces technologies, notre guide des protocoles internet explique en détail WireGuard, OpenVPN et la pile TCP/IP sur laquelle ils s’appuient.
Ce qu’un VPN ne fait PAS : les limites à connaître
La confusion autour du VPN génère des attentes irréalistes qui peuvent conduire à un faux sentiment de sécurité. Voici ce qu’un VPN ne protège pas.
Un VPN ne vous protège pas des cookies et du tracking cross-site. Lorsque vous êtes connecté à Facebook, Google ou Amazon, ces plateformes savent qui vous êtes — peu importe votre adresse IP. Le tracking publicitaire s’appuie sur des cookies, des identifiants de navigateur (fingerprinting) et des mécanismes comme les pixels de suivi qui ignorent complètement votre VPN. Pour compléter un VPN, utilisez un bloqueur de publicités (uBlock Origin), un navigateur respectueux de la vie privée (Firefox, Brave) et activez la protection contre le tracking cross-site.
Un VPN ne protège pas contre les malwares. Si vous téléchargez un fichier infecté ou si vous cliquez sur un lien de phishing, le VPN n’empêchera pas l’infection. Un antivirus à jour et une hygiène numérique saine (vérifier l’expéditeur, ne pas ouvrir les pièces jointes inattendues) restent indispensables.
Un VPN ne rend pas votre navigation privée vis-à-vis des sites que vous visitez. Si vous êtes connecté à un compte Google, le site de destination sait que vous êtes vous — même depuis une IP différente. Le VPN masque votre IP réelle, pas votre identité de compte.
Un VPN ne protège pas contre les erreurs de configuration DNS. Si votre logiciel VPN a une fuite DNS, vos requêtes DNS sont envoyées à votre résolveur habituel (celui de votre FAI) plutôt qu’au résolveur du VPN, révélant les sites que vous visitez à votre opérateur. Vérifiez les fuites DNS avec des outils comme dnsleaktest.com après avoir connecté votre VPN.
Un VPN ne garantit pas la légalité de ce que vous faites. Dans de nombreux pays dont la France, les prestataires VPN sont soumis aux obligations légales locales : en cas de réquisition judiciaire valide (investigation pour terrorisme, pédopornographie, cybercriminalité grave), les autorités peuvent obtenir des informations. Les VPN les plus rigoureux (Mullvad, Proton) minimisent les données conservées pour ne rien avoir à transmettre, mais le VPN n’est pas un bouclier contre la loi.
Configurer un VPN sur votre réseau domestique
Pour une protection optimale, plutôt que d’installer une application VPN sur chaque appareil séparément, il est possible d’intégrer le VPN directement dans votre routeur. Tous vos appareils (y compris les téléviseurs, les consoles et les appareils IoT qui ne supportent pas d’application VPN) bénéficient alors du tunnel chiffré de façon transparente.
La plupart des routeurs grand public avec des firmwares avancés (Asus avec AsusWRT-Merlin, Netgear avec DD-WRT, OpenWrt) supportent WireGuard ou OpenVPN nativement. Les principaux fournisseurs VPN fournissent des fichiers de configuration prêts à l’emploi pour les routeurs populaires.
Une approche hybride est souvent la plus intelligente : connecter le routeur au VPN pour les appareils IoT et les téléviseurs (qui ne peuvent pas se gérer eux-mêmes), tout en utilisant l’application VPN native sur les ordinateurs et smartphones pour plus de flexibilité (choix de serveur, activation/désactivation rapide, kill switch).
Le kill switch est une fonctionnalité à activer sur votre client VPN : il coupe automatiquement votre connexion internet si le tunnel VPN se déconnecte, empêchant toute fuite accidentelle de votre vraie adresse IP. Sur un réseau WiFi public — gare, café, hôtel — cette protection est essentielle.
VPN pour le télétravail : le VPN d’entreprise expliqué
Le VPN a été inventé non pas pour la confidentialité des particuliers, mais pour un usage professionnel : permettre aux télétravailleurs d’accéder aux ressources internes de l’entreprise (serveurs de fichiers, intranet, applications métier) depuis l’extérieur, via un tunnel sécurisé.
Le VPN d’entreprise fonctionne sur le même principe de tunnel chiffré, mais avec des exigences supplémentaires : authentification forte (certificats, MFA), journalisation des accès (pour les audits de sécurité), intégration avec l’Active Directory ou l’LDAP, et souvent un accès granulaire par rôle (l’employé RH accède aux serveurs RH, pas aux serveurs financiers).
Les solutions d’entreprise les plus courantes sont Cisco AnyConnect, GlobalProtect de Palo Alto, FortiClient et les solutions basées sur OpenVPN ou WireGuard (OpenVPN Access Server, Tailscale). Une tendance émergente est le VPN basé sur WireGuard à grande échelle via des solutions comme Tailscale ou Headscale, qui simplifient considérablement la gestion des configurations en créant un réseau overlay P2P entre tous les appareils de l’organisation.
L’alternative au VPN d’entreprise traditionnel est le modèle Zero Trust (ZTNA — Zero Trust Network Access), qui abandonne la notion de périmètre réseau de confiance. Plutôt que d’accorder un accès réseau global à un employé connecté via VPN, le ZTNA vérifie l’identité, l’état de l’appareil et le contexte (heure, localisation, comportement) à chaque demande d’accès à chaque application. Des solutions comme Cloudflare Access, Zscaler ou Microsoft Entra (anciennement Azure AD Application Proxy) représentent cette nouvelle génération de sécurité d’accès distante.
Pour les particuliers en télétravail, il est important de distinguer le VPN d’entreprise (qui route le trafic vers le réseau de l’entreprise) du VPN de confidentialité personnel (qui masque l’IP sur internet). Utiliser un VPN d’entreprise ne protège pas votre vie privée — au contraire, tout votre trafic transite par les serveurs de votre employeur, qui peut analyser vos connexions. Combiner un VPN d’entreprise et un VPN personnel crée généralement des conflits de routage. La meilleure approche est de les utiliser en alternance selon le contexte, sur un réseau WiFi domestique sécurisé et bien configuré.