Le mot « confidentialité » revient plus souvent que tout autre dans la publicité des VPN. « Anonymat total », « personne ne saura ce que vous faites », « protection contre toute surveillance ». La réalité est plus modeste. Un VPN est un outil parmi d'autres dans la panoplie de protection de la vie privée, et comprendre ses limites importe plus que croire au marketing.
Décomposons méthodiquement : contre quoi un VPN protège, contre quoi il ne protège pas, et ce qu'il faut en plus pour une confidentialité sérieuse.
Ce que signifie « la confidentialité en ligne »
Avant d'évaluer un VPN, il faut comprendre de qui vous voulez vous protéger. Les « adversaires » possibles, par ordre de popularité des recherches :
- Le fournisseur d'accès à Internet. Il voit chacune de vos requêtes, tient des journaux, et dans de nombreux pays il est tenu de les conserver en vertu de la loi.
- Les sites que vous visitez. Ils voient votre IP, l'empreinte de votre navigateur, vos habitudes, et s'en servent pour la publicité.
- Les régies publicitaires. Elles vous suivent d'un site à l'autre via les cookies et les traqueurs.
- Les réseaux sociaux et les grandes plateformes. Ils savent tout ce que vous leur avez vous-même confié, plus beaucoup de ce que vous ne leur avez pas dit.
- L'État. Selon les pays, les capacités de surveillance varient, du minimum au très étendu.
- Des malfaiteurs précis. Pirates, ex-partenaires, personnes malveillantes — des scénarios restreints de surveillance ciblée.
Un VPN traite une part différente pour chacun d'eux.
Contre quoi un VPN protège bien
Contre le fournisseur d'accès à Internet
C'est le plus grand atout d'un VPN. Sans VPN, le fournisseur voit chaque site que vous ouvrez, l'heure et la durée de vos visites, le volume total de trafic. Avec un VPN, le fournisseur voit seulement : « vous vous êtes connecté au serveur VPN X à telle heure, vous avez transféré Y gigaoctets ». Les sites précis, les requêtes de recherche, les applications ouvertes lui sont invisibles.
Contre les observateurs « occasionnels » sur le réseau
L'opérateur du Wi-Fi d'un café, le propriétaire d'un hôtel, le service informatique d'un bureau, un filtre étatique — autant d'observateurs « occasionnels » sur le trajet du trafic. Un VPN vous en protège totalement.
Contre le profilage de base par les sites
Le site que vous ouvrez sans être connecté voit votre IP — mais c'est l'IP du VPN, pas la vraie. Cela empêche de relier par l'IP vos actions dans un navigateur à celles dans un autre, et complique la détermination précise de la géolocalisation.
Contre quoi un VPN protège mal ou ne protège pas du tout
Contre les sites où vous êtes connecté
Si vous êtes connecté à Google, Facebook, Amazon — ils savent que c'est vous. L'IP a changé ? Peu importe : vous avez un compte. Ensuite, le profilage habituel opère.
Contre les traqueurs publicitaires
Les régies publicitaires identifient aujourd'hui les utilisateurs principalement via les cookies et les « empreintes de navigateur » (fingerprinting). Un VPN ne change ni l'un ni l'autre. Pour se protéger des traqueurs, il faut des navigateurs spéciaux (Brave, Firefox bien paramétré) ou des extensions (uBlock Origin, Privacy Badger).
Contre les réseaux sociaux
Un réseau social sait tout ce que vous y faites, et tout ce que vous lui avez volontairement confié. Un VPN ne masque pas votre profil vis-à-vis de votre propre compte.
Contre les attaques ciblées et sérieuses d'un État
Si vous n'êtes pas un utilisateur ordinaire, mais une cible précise d'un service de renseignement, un VPN aide, mais ne suffit pas. À l'échelle de certains pays, il existe des moyens de désanonymisation globale même à travers un VPN : analyse du trafic, demandes légales adressées au fournisseur VPN lui-même (d'où l'importance de la juridiction), accès physique aux appareils.
Ce que veut vraiment « la confidentialité »
Vous voulez plus de confidentialité ?
8 heures gratuites, sans carte bancaire. Accès complet à tous les serveurs.
Demandez-vous : de qui vous cachez-vous ? Des réponses précises appellent des pratiques différentes :
- « Je ne veux pas que mon fournisseur d'accès voie ce que je fais ». Un VPN — oui, cela suffit.
- « Je ne veux pas que la publicité me suive ». Un navigateur protégé contre le pistage. Le VPN est ici secondaire.
- « Je veux que les réseaux sociaux ne sachent pas qui je suis ». Créez un compte sous pseudonyme, n'indiquez pas de données réelles. Le VPN n'est qu'une fine couche par-dessus.
- « J'ai peur que l'État voie ce que je cherche ». Cela dépend du pays. Dans la plupart des cas, un VPN avec une politique no-logs et une juridiction hors du pays suffit.
- « Je veux l'anonymat parce que je fais quelque chose de précis ». Le VPN ne convient pas. Il faut Tor + un appareil isolé + un système d'exploitation propre, ou des approches spécialisées.
Les couches de confidentialité qui fonctionnent ensemble
Une confidentialité complète se compose d'une pile d'outils :
- Un VPN avec une politique no-logs. La couche inférieure — la protection du canal.
- Un navigateur protégé contre le pistage. Brave, Firefox bien paramétré, ou Chrome + uBlock Origin + Privacy Badger.
- Un moteur de recherche sans surveillance. DuckDuckGo, Brave Search, Kagi.
- Des comptes séparés. N'utilisez pas un seul compte Google pour tout — il relie entre eux le travail, le personnel, les recherches.
- La 2FA partout. Une fuite de mot de passe sans 2FA = un compte compromis. Avec la 2FA — non.
- La minimisation des données. Ne donnez pas aux sites plus que nécessaire. N'indiquez pas votre âge réel, votre téléphone, votre date de naissance si ce n'est pas obligatoire.
Le VPN est la fondation, le reste — les murs et le toit.
La juridiction du fournisseur VPN
C'est l'un des facteurs les plus importants dans le choix d'un VPN, précisément du point de vue de la confidentialité. Le pays où l'entreprise est immatriculée détermine :
- Quelles lois l'obligent à conserver des journaux.
- Qui peut légalement lui réclamer les données des utilisateurs.
- Ce qui se passera si elle reçoit une demande de l'État.
Les bonnes juridictions pour un VPN sont hors des « 14 Eyes » : le Panama, la Suisse, les îles Vierges britanniques, l'Islande. Plus de détails dans l'article comment choisir un VPN.
« No-logs » — ce que cela signifie en pratique
L'affirmation « we don't keep logs » peut s'interpréter de différentes manières. Les fournisseurs sérieux la précisent :
- Ils n'enregistrent pas de journaux d'activité : sites, IP, horodatages des sessions. C'est essentiel.
- Ils n'enregistrent pas de journaux de connexion : l'IP d'origine de l'utilisateur au moment de la connexion. C'est également essentiel.
- Ils conservent le minimum pour la facturation : le simple fait d'un abonnement actif et d'un paiement. C'est normal, sans cela le service ne pourrait pas fonctionner.
La meilleure preuve du no-logs est un audit indépendant, et non une promesse en l'air. C'est pourquoi, en choisissant un service, regardez s'il publie les résultats d'une vérification et ce qui y a été précisément contrôlé.
Les serveurs RAM-only — un sérieux bonus technique
Un prolongement de l'idée du no-logs. Les serveurs fonctionnent uniquement en mémoire vive, sans écriture sur disque. Au redémarrage, toute la mémoire est remise à zéro. Cela signifie que, même si un serveur est physiquement saisi (par la police, des concurrents, des pirates), il est impossible d'en lire l'historique d'activité — il n'y est physiquement pas.
C'est techniquement plus coûteux qu'une architecture ordinaire, mais, pour la confidentialité, c'est le standard d'un service « de qualité ». Renseignez-vous auprès de votre fournisseur sur la façon dont ses serveurs sont conçus.
En résumé
Un VPN est un outil de confidentialité réel et efficace, mais dans les limites de son domaine : la protection du canal de communication et la dissimulation vis-à-vis du fournisseur d'accès. Pour une confidentialité complète, il ne suffit pas — il faut un navigateur protégé contre le pistage, la minimisation des données et une gestion réfléchie des comptes. Mais comme première couche de protection, la couche de base, un VPN est irremplaçable.
Vous pouvez essayer VolnaLink et sa politique no-logs gratuitement pendant 8 heures, sans carte bancaire.