Un VPN masque votre adresse IP et chiffre votre connexion réseau. Ça s'arrête là. Le fingerprinting navigateur, les cookies, et tout ce que vous soumettez volontairement aux sites restent totalement exposés.
Un VPN actif rend anonyme et protège en ligne. Les sites ne savent plus qui vous êtes, vos données sont sécurisées, et la navigation est confidentielle.
Un VPN masque votre IP auprès des sites visités et chiffre le trafic entre votre appareil et le serveur VPN. Il ne protège ni le fingerprinting, ni les cookies, ni les données soumises aux formulaires, ni ce que les sites collectent directement.
Un VPN établit un tunnel chiffré entre votre appareil et un serveur distant. Tout le trafic qui passe par ce tunnel sort avec l'adresse IP du serveur VPN, pas la vôtre. Votre FAI voit que vous êtes connecté au serveur VPN mais ne voit pas les sites que vous visitez. Les sites que vous visitez voient l'IP du serveur VPN, pas votre IP réelle.
Cette protection est réelle et utile dans des contextes précis : sur un réseau Wi-Fi public non sécurisé, elle empêche l'interception du trafic par d'autres utilisateurs du réseau. Pour les requêtes DNS, un bon VPN les route aussi via le tunnel, empêchant le FAI de voir les domaines visités. Pour la géolocalisation basée sur l'IP, le VPN permet d'apparaître dans le pays du serveur choisi.
Un VPN ne protège pas contre le fingerprinting navigateur — votre empreinte technique est transmise directement par votre navigateur aux sites web, indépendamment de l'adresse IP source. Il ne supprime pas les cookies déjà déposés sur votre navigateur. Il ne cache pas les données que vous soumettez volontairement — si vous vous connectez à un compte Google avec un VPN actif, Google sait exactement qui vous êtes.
Un VPN ne protège pas contre les malwares déjà présents sur votre machine — un keylogger capture vos frappes avant qu'elles entrent dans le tunnel chiffré. Il ne protège pas contre le phishing — un faux site de banque avec HTTPS fonctionne aussi bien derrière un VPN. Et un VPN ne rend pas anonyme : le fournisseur VPN lui-même connaît votre adresse IP réelle et les serveurs auxquels vous vous connectez.
Vous avez déplacé la confiance de votre FAI vers votre fournisseur VPN. Votre FAI ne voit plus vos destinations — mais votre fournisseur VPN, lui, les voit toutes. La question critique est donc : que conserve-t-il ? La politique "no-logs" affichée par la plupart des VPN est une promesse commerciale. Sa valeur dépend entièrement de l'architecture technique du service et des audits indépendants qui l'ont vérifiée.
Un service dont la politique no-logs n'a jamais été auditée par un tiers indépendant avec rapport public n'offre aucune garantie réelle — seulement une déclaration. Quelques services ont vu leur politique no-logs confirmée de façon involontaire quand des autorités ont saisi leurs serveurs et n'ont rien trouvé. C'est le seul type de preuve qui vaille vraiment.
IP masquée auprès des sites visités — oui. Trafic chiffré sur le réseau local — oui. DNS masqués au FAI — oui (si configuré). Fingerprinting — non. Cookies — non. Données soumises aux formulaires — non. Ce que le fournisseur VPN lui-même collecte — dépend du service. Pour les pages qui détaillent la navigation privée et les malentendus sur HTTPS, le tableau complet des fausses protections se précise.
Même avec un VPN actif, plusieurs types de fuites peuvent exposer votre identité réelle. La fuite WebRTC est la plus courante : cette technologie intégrée aux navigateurs pour les communications en temps réel peut révéler votre adresse IP locale et publique réelle à n'importe quel site web, indépendamment du tunnel VPN. La fuite DNS survient quand les requêtes DNS transitent en dehors du tunnel VPN via les résolveurs de votre FAI. Ces deux types de fuites sont invisibles sans outil de diagnostic — le VPN semble fonctionner normalement.
Pour vérifier : rendez-vous sur ipleak.net avec votre VPN actif. Si des adresses IP autres que celle du serveur VPN apparaissent dans la section WebRTC ou DNS, votre VPN fuit. La correction pour WebRTC est dans le navigateur (désactivation dans about:config sur Firefox). La correction pour les DNS est dans les paramètres du client VPN (option "DNS leak protection").
Les connexions VPN ne sont pas permanentes — elles peuvent tomber lors d'un changement de réseau, d'une sortie de veille, ou d'une instabilité réseau. Entre la déconnexion et la reconnexion, votre trafic reprend sur votre connexion normale avec votre IP réelle. Sur une connexion mobile qui change fréquemment de point d'accès, cette fenêtre d'exposition peut se produire plusieurs fois par heure.
Le kill switch coupe l'accès internet dès que la connexion VPN est interrompue. Il doit être activé manuellement dans les paramètres de la plupart des clients VPN — il n'est pas actif par défaut. Pour le tester : activer le VPN, couper brièvement le Wi-Fi, observer si la connexion est coupée ou si le trafic continue. Si le trafic continue, le kill switch n'est pas configuré.
Le protocole utilisé détermine les performances et la robustesse cryptographique. WireGuard est le standard actuel — code compact, algorithmes modernes (Curve25519, ChaCha20-Poly1305), intégré au kernel Linux. OpenVPN est plus flexible et peut tourner sur TCP port 443, utile pour contourner des filtres réseau. La présence d'un audit de sécurité indépendant avec rapport public est le signal de sérieux le plus important — elle vérifie que les affirmations no-logs correspondent à l'architecture réelle.
La juridiction compte : un service domicilié en dehors des alliances de renseignement Five Eyes / Fourteen Eyes a des obligations légales différentes en matière de coopération avec les autorités. La politique de logs vérifiable, l'open source du client, et le rapport de transparence complètent la grille d'évaluation pour un choix informé.