Ce que votre fournisseur VPN peut voir et ce qu’il ne peut pas
La sortie voit les adresses, les horaires et, sauf si Encrypted Client Hello est utilisé, le nom du site dans la poignée de main TLS. La rétention est une question distincte.
Votre tunnel garde le réseau local hors de votre trafic. Il n’élimine pas pour autant l’entreprise à l’autre bout, qui traite chaque paquet avant qu’il n’atteigne l’internet ouvert. Cette position est à la fois le modèle économique et la question de confidentialité. La question utile n’est donc pas de savoir si le fournisseur peut vous voir, mais ce qu’il voit, ce qu’il peut nommer et ce qu’il conserve.
Où la confiance se déplace réellement
Le chiffrement va de votre appareil au serveur du fournisseur, et ce tronçon extérieur est tout ce que votre réseau local voit jamais. Le fournisseur tient l’autre extrémité du tronçon, il déchiffre donc le tunnel et achemine vos paquets plus loin. Rien là-dedans n’est un défaut ; c’est la définition du service que vous avez acheté. La confiance s’est déplacée de l’opérateur local vers l’opérateur de la sortie plutôt que de disparaître.
Depuis cette position, il apprend votre adresse source, le moment de votre connexion, à peu près le volume transféré et les destinations contactées. Rien de tout cela n’exige de lire vos messages, et c’est tout l’intérêt de séparer les catégories. Les différences intéressantes entre fournisseurs portent sur ce qu’il advient ensuite de ces observations.
Ce que la sortie traite par nécessité
Classez les catégories selon la fiabilité avec laquelle la sortie peut les voir. Aucune ligne n’exige de casser un chiffrement, et chacune a une réponse différente quant à savoir si elle est évitable.
| Category | Visible at the exit | Why |
|---|---|---|
| Your public address | Always | It is the address the tunnel arrives from |
| Connection times and volume | Always | Accounting data, not content |
| Destination IP addresses | Always | The exit has to route the packets |
| HTTPS hostname (SNI) | Normally, unless ECH is used | Sent in the clear in the TLS ClientHello |
| DNS names | Only if DNS is plaintext | DoH or DoT hides the query; plaintext is readable by the forwarder |
| Page paths and form contents | Not normally | Protected by the destination site's TLS session |
La quatrième ligne est ce que la plupart des modèles mentaux manquent. Un navigateur moderne place le nom du site dans le ClientHello, premier message de la poignée de main TLS, et ce champ est lisible à la sortie même lorsque chaque requête DNS est chiffrée de bout en bout. Sauf si Encrypted Client Hello est négocié, le nom circule en clair à côté de l’adresse de destination. Le DNS chiffré change qui voit la requête, pas qui voit le nom.
Il en va de même des certificats sur les connexions plus anciennes : TLS 1.3 chiffre le certificat du serveur, tandis qu’une poignée de main TLS 1.2 peut exposer le nom à un observateur qui enregistre le flux. Les deux sont des faits de transport et non une politique du fournisseur.
Ce que TLS couvre et ce qu’il ne couvre pas
Quand un site sert du HTTPS, votre navigateur établit une connexion TLS vers le point de terminaison de ce site, pas vers le serveur VPN. Le fournisseur achemine des enregistrements chiffrés et apprend l’adresse de destination, le moment et les tailles approximatives. Le nom du site voyage dans le ClientHello sauf si ECH entre en jeu, et le corps de la page reste chiffré dans les deux cas. Un certificat racine inattendu modifie cette frontière, c’est pourquoi les avertissements de certificat méritent le respect.
Le HTTP simple n’a aucune protection de ce type au-delà de la sortie. Le tunnel protège le tronçon jusqu’au fournisseur, et ensuite la requête voyage exactement comme elle l’aurait fait sans VPN. ECH n’y remédie pas, car il protège le nom et non le contenu.
La rétention est une question distincte de la visibilité
Un opérateur peut traiter les données de connexion en mémoire et ne rien conserver, ou conserver un sous-ensemble et le décrire avec exactitude comme n’étant pas un historique de navigation. Lisez une affirmation de zéro journal par catégorie plutôt que par slogan : journaux de connexion, horodatages, totaux de volume, données de destination, identifiants de compte et messages d’assistance comptent tous. Un fournisseur peut honnêtement ne tenir aucun journal de navigation tout en conservant l’enregistrement du compte et les métadonnées nécessaires au service. La visibilité ne vous dit pas laquelle de ces catégories est stockée.
Un audit est une preuve sur les systèmes et la fenêtre temporelle qu’il a couverte, et le code client ouvert décrit le client et non les serveurs. Les deux sont utiles, et aucun ne parle pour chaque système de stockage derrière la sortie. Demandez la portée d’un audit, pas son insigne.
Les questions qui séparent les fournisseurs
Demandez ce qui est conservé, pendant combien de temps et qui peut le récupérer. Demandez qui exploite la sortie, car une fiche d’annuaire, un développeur d’application et la personne qui gère un serveur donné peuvent être trois parties différentes. Demandez comment le DNS est traité et si ECH est pris en charge sur les chemins que vous utilisez, puisqu’un ClientHello en clair nomme le site même sans requête DNS. Demandez ce qui se passe lors d’une demande légale, et lisez la réponse comme une description de capacité et non d’intention.
Le guide de l’EFF pour choisir un VPN est une liste de contrôle raisonnable pour ces questions, et c’est un cadre et non un verdict sur un service. Une page marketing n’est pas une politique de rétention. Rien de tout cela ne rend un VPN inutile ; cela change à qui vous devez faire confiance, et pour quoi.