Se déconnecter d'une application VPN n'est pas la même chose que retirer un relais

Un utilisateur ferme la fenêtre du VPN, voit l'icône déconnectée et considère l'affaire réglée. Si le produit installé relaie aussi le trafic d'autres personnes, cette icône a répondu à une question bien plus petite que celle posée. Derrière un seul bouton de déconnexion se cachent trois résultats distincts, et un seul concerne votre propre session. Traitez-les dans l'ordre, car chacun a des preuves et un responsable différents.

Trois résultats se cachent derrière un seul bouton de déconnexion

La fin de votre propre session est le résultat le plus étroit : le client cesse de porter le trafic que vous avez choisi et l'état du tunnel revient au repos. La fin de la participation au relais est un autre événement, car elle concerne un composant qui sert les requêtes de quelqu'un d'autre et l'autorisation qui le permet. Le traitement des enregistrements stockés est un troisième événement à part entière, puisqu'il porte sur des informations que le fournisseur gardait déjà de son côté.

Ces trois ne partagent pas un interrupteur. Désinstaller une application locale ne supprime pas un enregistrement distant, et supprimer un compte n'arrête pas forcément un composant d'arrière-plan qui tourne sur un appareil que vous avez oublié. Chaque résultat a aussi son propre responsable : vous, l'administrateur de l'appareil ou l'équipe d'assistance du fournisseur. Les confondre produit la situation familière où tout le monde croit le travail terminé alors que l'une des trois tâches reste ouverte.

La confusion est compréhensible, car les trois sont signalés par la même interface. Une icône de la zone de notification ne peut décrire que l'état que connaît le client, et un client à qui l'on a dit de cesser d'afficher un état connecté n'a aucune raison de mentionner un processus auxiliaire. Traitez l'icône comme un voyant d'état pour un sous-système, non comme un inventaire.

Ce que promet réellement la politique publiée

Certains produits gratuits disent clairement que les utiliser peut placer un appareil sur un réseau pair à pair. L'avis de confidentialité de Hola daté du 14 avril 2026 en est un exemple : il avertit que les personnes utilisant le niveau gratuit de ses services listés peuvent finir par agir comme un pair sur le réseau Bright Data. C'est une déclaration conditionnelle publiée par le fournisseur, non la preuve qu'un appareil ou une édition précis relaie des requêtes en ce moment.

Lisez une telle déclaration pour ses conditions : quels produits, quelles éditions, quelles plateformes et ce à quoi l'utilisateur est censé consentir. Une phrase qui couvre « les produits et services listés » ne couvre pas automatiquement une compilation plus ancienne, un niveau payant ou une extension de navigateur retirée du magasin.

Elle ne vous dit pas non plus ce que l'opérateur conserve une fois la participation arrêtée. Les durées de conservation, les dossiers de compte et les journaux de requêtes relèvent de sections distinctes du même document, et souvent d'une équipe différente de celle qui livre le client.

Vérifiez le composant local, pas la fenêtre

Partez de ce qui est installé et en cours d'exécution sur l'appareil, car c'est la partie que vous pouvez vérifier. Un client VPN qui utilise une extension système, un démon auxiliaire ou une extension de navigateur laisse plus d'un artefact, et l'application visible est généralement le moins informatif d'entre eux.

launchctl list | grep -i -E 'vpn|relay|peer'
ss -tunp state established | grep -v 127.0.0.1

La première commande liste les tâches launchd dont les libellés mentionnent les termes pertinents, et c'est là qu'apparaît un assistant d'arrière-plan sur macOS. La seconde affiche les sockets établies avec leurs processus propriétaires sous Linux, afin qu'une connexion que vous n'avez pas initiée ait une chance de se montrer. Aucune des deux commandes n'est un audit complet et aucune ne prouve une intention, mais toutes deux valent mieux que la lecture d'une icône de barre de menus.

Sous Windows, la première étape équivalente est une liste de services et de processus plutôt qu'une requête launchd, et sur toute plateforme l'inventaire des extensions de navigateur compte lorsque le produit en fournit une. Notez ce que vous trouvez avec des horodatages avant de changer quoi que ce soit, car l'état après retrait ne peut pas être reconstruit ensuite.

Une adresse de sortie partagée n'est pas un inventaire

Un tableau de bord affichant une adresse que vous reconnaissez n'établit pas qu'un appareil donné relaie du trafic. Pour qu'une requête traverse votre machine, il faut un chemin fonctionnel qui effectue le relais, et une fenêtre d'application inactive n'est pas la preuve de ce chemin. L'inverse est vrai aussi : une fenêtre inutilisée ne dit rien des composants qui tournent sans fenêtre.

Les adresses sont en général de faibles identifiants. Le NAT opérateur, les sorties de bureau et les sorties partagées des fournisseurs placent tous de nombreux clients derrière une seule adresse publique, si bien qu'une adresse vue dans un journal peut appartenir à n'importe lequel d'entre eux.

Quand plusieurs appareils partagent une sortie, séparez celui qui est retiré des autres avant de tirer des conclusions. Cela signifie lister les appareils autorisés et leurs propres enregistrements de connexion, non faire correspondre une seule adresse à une seule machine.

Bouclez la boucle par des preuves, pas par un outil de nettoyage

Utilisez la procédure officielle de refus ou de retrait du fournisseur, et gardez une trace de ce qui a été retiré et quand. Suivez les étapes documentées pour le produit et la plateforme exacts, car les instructions d'une autre édition énumèrent rarement chaque composant de celle-ci.

Si l'activité continue après un retrait pris en charge, conservez les horodatages, les noms de processus et les enregistrements de connexion pertinents, puis contactez l'opérateur légitime ou l'administrateur de l'appareil. Notez ce que vous avez observé avant de changer quoi que ce soit, car l'état après retrait ne peut pas être reconstruit ensuite. Recourir à un outil de nettoyage dont personne ne peut nommer l'éditeur transforme une question sur une adresse en véritable incident. Un ticket d'assistance avec une chronologie vaut mieux qu'une machine nettoyée par quelque chose que personne ne peut nommer.

Terminez en notant lequel des trois résultats vous avez réellement mené à bien : session terminée, composant retiré, enregistrements traités. Une note qui en nomme un honnêtement est plus utile qu'une liste de contrôle qui affirme les trois parce que l'icône est devenue grise.