Comment évaluer un VPN gratuit sans croire la publicité

Rien sur une page de tarifs ne vous dit qui peut observer votre trafic. Cette réponse se trouve dans les registres de propriété, les tableaux de conservation et les réglages du client que vous installez réellement, et les lire correctement prend un après-midi. Un badge qui affiche 'anonyme' ne nomme aucun observateur, il n’y a donc rien à vérifier. Les cinq étapes ci-dessous transforment la publicité en affirmations que vous pouvez tester une par une.

Qui exploite réellement la sortie

Commencez par l’entité juridique et le pays dont les tribunaux peuvent la contraindre. Une page de contact qui n’offre qu’un formulaire web n’est pas une voie de contact ; vous voulez une adresse postale ou un numéro d’enregistrement que vous pouvez vérifier. Des bénévoles nommés et un revendeur derrière une boîte aux lettres sont deux arrangements plausibles, mais ils échouent différemment quand un litige de paiement ou une demande de retrait arrive. Notez à qui vous avez affaire avant que quoi que ce soit soit installé.

Classez ensuite le déploiement auquel vous adhérez. Une sortie promotionnelle commerciale, un nœud bénévole issu d’un annuaire public et une passerelle d’employeur qui ne vous coûte rien sont trois accords différents, et la partie qui décide qui peut se connecter n’est pas la même dans chacun.

La classification prédit la défaillance que vous rencontrerez : un service financé par la publicité peut limiter le débit ou injecter du contenu, un nœud bénévole peut disparaître du jour au lendemain et une passerelle professionnelle peut tout journaliser par politique. Aucun de ces résultats n’apparaît dans un nombre de serveurs. Décider avec quel risque vous pouvez vivre est la véritable étape de sélection.

Quatre catégories de données à exiger

Demandez que la politique soit divisée en quatre : activité de navigation, métadonnées de connexion, données de compte et diagnostics. Une page qui promet l’absence de journaux sans ces divisions ne vous a pas dit ce qu’elle conserve. Les métadonnées de connexion sont la partie que la plupart des opérateurs conservent, parce qu’une plainte pour abus arrive avec une adresse et un horodatage joints. Un opérateur qui admet les conserver pendant une durée déclarée est plus facile à évaluer qu’un opérateur qui nie tout. Lisez la durée de conservation de chaque catégorie et la procédure qui suit une demande légale.

Les affirmations d’audit demandent le même traitement. Lisez le périmètre, l’auditeur et la date, puis demandez ce que couvre le rapport : la revue d’une application cliente dit peu de choses sur la configuration d’un serveur, et un rapport vieux de plusieurs années décrit un service qui a changé depuis. Si ces détails manquent, traitez le badge comme du marketing.

Une maintenance visible de l’extérieur

Un logiciel qui ne reçoit plus de mises à jour est un problème de sécurité quel que soit le protocole imprimé dessus. Cherchez un canal de publication avec des entrées datées et une manière documentée de signaler une vulnérabilité, car les deux sont peu coûteux à publier et difficiles à falsifier pendant des années.

L’étiquette d’un protocole décrit une composante du chemin, pas la partie à l’autre bout. WireGuard peut être à jour et aboutir malgré tout chez un opérateur qui tient un journal de connexion détaillé, et il en va de même pour OpenVPN ou n’importe quoi d’autre. Jugez la version du client que l’on vous dit d’installer et le chemin de mise à jour derrière elle, puis jugez l’opérateur comme une question séparée. L’étiquette dit comment les octets sont emballés, pas qui les déballe.

Prouvez la route et le kill switch

Installez le profil dans le client que vous utiliserez vraiment, connectez-le et regardez ce que la machine croit de son propre trafic. Sous Linux, trois commandes répondent à l’essentiel de la question :

curl -s https://ifconfig.me
ip route get 1.1.1.1
wg show

La première affiche l’adresse que voit un site distant, qui devrait être la sortie que vous avez choisie ; la deuxième montre dev wg0 quand la route par défaut est capturée ; la troisième signale une poignée de main mesurée en secondes. Une route qui pointe encore vers eth0, ou une poignée de main vieille de plusieurs heures, signifie que le tunnel ne transporte pas ce que vous supposez.

Répétez la recherche d’adresse après avoir coupé l’interface avec sudo wg-quick down wg0. Si la requête expire, le trafic était bloqué pendant l’absence du tunnel, ce qui est précisément le rôle d’un kill switch ; si elle renvoie l’adresse de votre fournisseur d’accès domestique, rien n’était protégé. Vérifiez aussi la couverture des routes du client, car un tunnel divisé qui exclut les destinations qui vous importent est un autre produit que celui annoncé. Les deux réponses appartiennent à vos notes, à côté de la sortie qui les a produites.

Secrets, lacunes et une décision en une phrase

Un fichier de profil ou un identifiant de compte est une clé vers une position réseau, alors traitez-le comme n’importe quel autre secret. Ne le collez pas dans un forum d’entraide, ne réutilisez pas le mot de passe ailleurs et révoquez-le lorsque vous cessez d’utiliser le service. Si la documentation n’explique jamais qui finance le service ni combien de temps les enregistrements sont conservés, notez-le comme une question ouverte. Une lacune inexpliquée est un fait sur l’opérateur, pas une raison d’inventer une explication généreuse.

Le guide de l’EFF pour choisir un VPN pose les mêmes questions du point de vue de l’utilisateur et constitue un meilleur point de départ qu’un tableau comparatif. Une fois les étapes terminées, essayez d’énoncer votre choix en une phrase : qui l’exploite, ce qu’ils conservent et ce que vous avez testé. Si cette phrase exige une affirmation que vous n’avez pas pu vérifier, la décision n’est pas terminée. Un outil gratuit n’efface pas un problème de confidentialité ; au mieux, il remet le problème à un opérateur que vous avez choisi les yeux ouverts. Gardez les notes, car une politique peut changer bien avant que vous ne le remarquiez.