Ce qu'un VPN protège, et tout ce qu'il ne protège pas
La promesse commerciale et la réalité technique divergent nettement. Voici la liste de ce qui change réellement quand on active un VPN, et de ce qui ne change pas.
Peu de produits sont vendus avec autant d'écart entre l'argumentaire et la fonction réelle. Le VPN fait une chose précise, utile dans certains cas, et à peu près rien de ce qu'on lui prête par ailleurs.
Ce qu'il fait réellement
Il chiffre le trafic entre votre appareil et un serveur, puis fait sortir ce trafic depuis ce serveur. Deux conséquences directes :
- L'opérateur du réseau que vous utilisez — un réseau ouvert dans un lieu public, par exemple — ne voit plus le détail de votre trafic, seulement qu'il y a une connexion chiffrée.
- Les sites que vous visitez voient l'adresse du serveur VPN, pas la vôtre.
C'est tout. C'est déjà utile dans deux situations : les réseaux dont on ne maîtrise pas l'administration, et le fait de ne pas exposer son adresse directement.
Ce qu'il ne fait pas
Il ne vous rend pas anonyme. L'essentiel du suivi en ligne repose sur les comptes connectés, les cookies et les empreintes de navigateur, aucun ne dépendant de l'adresse réseau. Connecté à vos comptes habituels, vous êtes identifié comme d'habitude.
Il ne protège pas des logiciels malveillants. Un fichier vérolé téléchargé via un VPN est un fichier vérolé.
Il ne protège pas de l'hameçonnage. Le tunnel achemine fidèlement vos données vers le faux site.
Un VPN déplace la confiance. Il ne la supprime pas : votre fournisseur d'accès voyait votre trafic, maintenant c'est l'opérateur du VPN.
Le point de vigilance principal
C'est ce déplacement de confiance. L'opérateur du VPN est techniquement en position de voir ce que voyait votre fournisseur d'accès. La question devient donc : à qui appartient ce service, sous quelle juridiction, et que conserve-t-il ?
Les affirmations d'absence de conservation sont invérifiables par l'utilisateur. Les audits indépendants publiés apportent un élément, sans constituer une preuve permanente. Un service gratuit doit se financer d'une manière ou d'une autre, et l'attention mérite d'être redoublée.
Ma position
Utile sur un réseau ouvert, utile pour ne pas exposer son adresse, insuffisant pour tout le reste. Les mesures qui protègent le plus au quotidien restent la double authentification, un gestionnaire de mots de passe et des logiciels à jour — trois choses moins commercialisables, ce qui explique peut-être qu'on en parle moins.
