Votre VPN est actif, mais l’application sait toujours où vous êtes

Vous activez le VPN, ouvrez l’application, et elle affiche encore la ville où vous vous tenez. Rien n’est cassé. L’application rapporte quelque chose qu’elle sait déjà au lieu de regarder votre trafic s’échapper du tunnel. Deux questions différentes se cachent dans ce résultat, et les confondre envoie les gens réinstaller le client.

Ce que l’application a réellement reçu

Une position à l’écran peut venir d’au moins quatre endroits. Un relevé de localisation de l’appareil, une ville approximative dérivée de votre adresse IP, une adresse enregistrée dans votre compte, ou quelque chose que vous avez saisi dans un formulaire.

Le relevé de localisation de l’appareil est ce que les gens veulent dire quand ils affirment que l’application sait où ils sont. Sur un téléphone, ce sont le GPS, le balayage Wi-Fi et les données cellulaires combinés par le système ; sur un ordinateur portable, c’est généralement une requête dans une base de données Wi-Fi. Tout cela arrive par une autorisation que l’application a demandée et que vous avez accordée. Le tunnel n’y entre pas du tout.

Les données du compte sont la source la plus sournoise. Une application de livraison qui stocke déjà votre adresse personnelle n’a pas besoin d’un capteur pour vous la remontrer.

Pourquoi le tunnel ne peut pas couvrir cela

Un VPN remplace l’adresse d’où votre trafic semble venir. Il ne touche ni au modèle d’autorisations, ni aux capteurs, ni à l’enregistrement du compte sur le serveur. Les données que l’application collecte localement puis envoie voyagent à l’intérieur de la connexion chiffrée, et c’est précisément à cela que sert la connexion. Le serveur destinataire apprend la charge utile parce que l’application a choisi de l’envoyer.

Pensez à un nom saisi dans un formulaire. Le tunnel cache l’enveloppe, pas la lettre.

C’est pourquoi une vérification d’adresse dans un navigateur peut contredire une application. Le navigateur rapporte l’adresse de sortie ; l’application rapporte une lecture de capteur. Les deux sont des réponses correctes à des questions différentes.

Autorisation, droit et ce que la plateforme permet

Les contrôles de localisation du Mac d’Apple sont une référence utile parce qu’ils expliquent d’où vient le nombre : les applications utilisent Location Services, et le Mac estime sa position à partir des réseaux Wi-Fi proches. La même page note que les applications et les sites web peuvent employer d’autres méthodes même lorsque Location Services est désactivé. Cette réserve, c’est toute l’histoire en une ligne.

Sur téléphone, la séparation est similaire. Une application détient une autorisation de localisation ou non, et la plateforme décide de ce qu’elle peut lire. Un client VPN n’est pas un gestionnaire d’autorisations et ne peut pas révoquer celle d’une autre application.

La langue, le fuseau horaire et les paramètres régionaux sont des signaux faibles en eux-mêmes. Ils déplacent l’endroit où un service devine, pas l’endroit où vous êtes.

À quoi ressemble une vraie fuite

Il vaut la peine d’isoler les vraies fuites, car leurs symptômes diffèrent : votre adresse réelle apparaissant dans les diagnostics de la page elle-même, des requêtes DNS résolues par votre fournisseur d’accès, du trafic IPv6 sortant hors du tunnel, ou une règle de tunnel divisé qui exclut l’application qui vous importait. Ces défauts montrent un hôte que vous ne vouliez pas contacter, et ils changent quand vous coupez le VPN.

L’indice, c’est la direction de la surprise. Une fuite révèle qui vous êtes à un inconnu, tandis qu’un envoi de l’application révèle ce que l’application avait déjà.

Testez le premier cas en comparant ce qu’un site rapporte sur votre adresse avec ce que le tableau de bord du VPN dit de la session connectée. Testez le second en regardant ce que contient le profil de votre compte.

Ce qu’il faut vérifier dans les dix prochaines minutes

Ouvrez l’entrée d’autorisations de l’application et lisez le réglage de localisation. S’il est autorisé et que vous ne voulez pas que l’application ait une position, passez-le en approximatif ou refusez-le, puis rechargez l’application pour qu’elle cesse d’utiliser un relevé en cache. Regardez ensuite l’adresse enregistrée et les champs d’envoi, car révoquer une autorisation n’efface pas une valeur que le serveur détient déjà. Enfin, vérifiez la liste de tunnel divisé du client VPN pour savoir quelles applications contournent le tunnel.

Faites ces trois choses dans l’ordre et l’ambiguïté se dissipe généralement d’elle-même.

Si la position survit à tout cela et que le tableau de bord du VPN affiche toujours une session saine, vous regardez des données stockées et non une fuite. Changer de pays de sortie ne la déplacera pas. Supprimer la valeur enregistrée, ou le champ du compte qui l’a produite, est la seule étape qui le fera.