Ce qu’un VPN cache et ce qu’il laisse bien en vue
Un VPN cache votre destination au réseau d’accès et remplace votre IP de sortie. Il ne cache ni les comptes, ni les cookies, ni l’état de l’appareil, ni ce que voit l’opérateur.
L’affirmation qu’un VPN vous rend anonyme est le mythe le plus coûteux de la confidentialité grand public, car elle est à moitié vraie et la moitié fausse est celle sur laquelle les gens comptent. Un tunnel cache bel et bien votre destination au réseau sur lequel vous êtes assis, et il cache votre adresse personnelle au site que vous visitez. Il ne cache pas qui vous êtes lorsque vous vous connectez, ce que porte votre navigateur, ni ce que l’opérateur du VPN peut observer. La question utile n’est jamais de savoir si un VPN vous cache, mais caché de quel observateur, pour quel trafic.
Le mythe : un tunnel est un interrupteur d’anonymat
Un VPN chiffre le chemin entre votre appareil et le serveur VPN, puis transmet vos requêtes depuis l’adresse du serveur. Tout ce que vous envoyez par ce chemin est caché à l’opérateur du Wi-Fi et au fournisseur d’accès devant le tunnel. C’est un vrai changement, et c’est pourquoi un réseau d’hôtel ne voit plus quels sites vous ouvrez. Ce n’est pas de l’anonymat, car le tunnel déplace le point d’observation au lieu de le supprimer.
La correction compte en pratique. Si vous vous connectez à un compte professionnel via un VPN, le site connaît toujours le compte. Si votre navigateur détient un cookie d’un réseau publicitaire, le tunnel ne l’efface pas. Si le client est configuré pour exclure le trafic local, ce trafic n’entre jamais dans le tunnel. Un cadenas fermé décrit le tunnel, pas la somme de ce que vous avez révélé.
Ce que le réseau d’accès perd et ce qu’il conserve
Le réseau d’accès, c’est-à-dire l’opérateur du Wi-Fi ou le fournisseur d’accès qui achemine votre connexion jusqu’au serveur VPN, voit toujours qu’une connexion VPN existe. Il peut journaliser l’adresse du point de terminaison, votre heure de connexion, la durée de la session et le volume de données à peu près échangé. Une analyse de trafic de cette forme peut être instructive même lorsque le contenu est illisible, et c’est pourquoi chiffré et invisible sont deux affirmations différentes.
Il conserve aussi tout ce que vous lui avez dit directement : une identification sur un portail captif, un numéro de chambre, un paiement pour l’accès. Et il peut encore voir le DNS si le client ou le résolveur du système envoie des requêtes hors du tunnel. Cette fuite est courante dans les configurations de tunnel divisé et sur les appareils qui conservent un serveur DNS du routeur ou de l’opérateur. Vérifiez le résolveur utilisé pendant la connexion, pas seulement l’adresse de sortie.
| Observer | Still sees | Hidden by the tunnel |
|---|---|---|
| Access network | VPN endpoint, timing, volume, portal login | Destination hostnames and content |
| Website | Exit address, account, cookies, fingerprint | Your ordinary public address |
| VPN operator | Destination IP, often the hostname, DNS if used | HTTPS content, unless it intercepts TLS |
| Device | History, app data, permissions, screen | Nothing |
Ce que le site web reconnaît encore
Le site voit l’adresse de sortie du serveur VPN, pas votre adresse personnelle, pour les connexions qui utilisent le tunnel. C’est tout le changement au niveau IP. Ce qu’il voit au-delà de l’adresse est inchangé : le compte auquel vous vous connectez, les cookies posés plus tôt, le navigateur et le système d’exploitation que vous présentez, et le moment de vos requêtes. Un site qui vous connaît déjà ne devient pas un inconnu parce que l’adresse source a changé.
La localisation mérite sa propre ligne. Un site qui demande la position au navigateur reçoit une réponse contrôlée par l’autorisation du navigateur, pas par le VPN. Le GPS d’un téléphone est indépendant du tunnel. Une adresse géolocalisée dans un autre pays alors que la carte montre encore votre ville n’est donc pas une défaillance du VPN ; ce sont deux canaux de localisation différents qui se contredisent.
L’empreinte est l’autre moitié. La taille de l’écran, les polices, le fuseau horaire, la langue et la sortie canvas peuvent distinguer des navigateurs même lorsque l’adresse est partagée avec des milliers d’autres utilisateurs. Un VPN change une entrée de ce profil et laisse le reste intact.
Ce que l’opérateur peut voir
L’opérateur termine votre tunnel et transmet la requête, il se place donc là où se trouvait votre fournisseur d’accès. Il peut voir les adresses de destination et, sans hello client chiffré, les noms d’hôtes que vous demandez ; il voit les requêtes DNS si vous utilisez son résolveur ; il voit le volume et le moment. Il ne peut pas lire le contenu d’une session HTTPS sans l’intercepter avec un certificat auquel votre appareil fait confiance, et c’est une attaque différente et plus bruyante.
La visibilité n’est pas la conservation. Un fournisseur peut être techniquement capable d’observer une requête sans la journaliser, ou journaliser des métadonnées de connexion en écartant le contenu. La question honnête est ce que la politique et la juridiction du fournisseur l’obligent à conserver, et un badge sans journaux n’y répond pas. Traitez l’opérateur comme une partie à qui vous choisissez de confier vos métadonnées.
Ce que l’appareil conserve, tunnel ou non
Rien du tunnel n’atteint l’intérieur de l’appareil. L’historique de navigation reste dans le navigateur, les téléchargements restent dans le système de fichiers, et une application ayant accès au microphone ou à l’écran conserve cet accès. Un logiciel de surveillance sur la machine peut lire des données avant leur chiffrement ou après leur déchiffrement, et c’est pourquoi un VPN ne protège pas contre un point de terminaison compromis.
Il en va de même pour les comptes. Un cookie de session copié depuis l’appareil fonctionne depuis n’importe quelle adresse, et un mot de passe réutilisé d’un site à l’autre relie des identités qu’aucun tunnel ne sépare. Si la menace qui vous préoccupe est quelqu’un qui tient l’appareil, le VPN n’y répond pas.
Testez la couverture que vous avez réellement achetée
Testez les propriétés sur lesquelles vous comptez plutôt que l’argument marketing. Tunnel actif, vérifiez l’adresse publique, le résolveur DNS et le chemin IPv6. Un tunnel uniquement IPv4 sur un réseau à double pile peut laisser le trafic IPv6 complètement en dehors. Le guide d’EFF pour choisir un VPN pose la même question comme un modèle de menace et non comme un classement de produits.
Testez ensuite le comportement en cas de panne. Déconnectez le tunnel et vérifiez si le trafic s’arrête ou retombe sur le chemin direct ; cela dépend du réglage du kill switch du client, pas du nom du protocole. Enfin, listez les applications et les préfixes que le client exclut. Le tunnel divisé est là où vivent la plupart des surprises, car la couverture que vous avez achetée est celle que le client est configuré pour fournir.