Comprendre le fonctionnement d'un VPN : le guide simple et clair

Vous êtes dans un café, vous vous connectez au Wi-Fi gratuit, et vous vous demandez si le type à deux tables peut voir que vous consultez votre compte bancaire. Réponse courte : pas directement, parce que le trafic est chiffré. Mais il peut voir quels sites vous visitez, et si le réseau est mal configuré, il peut rediriger vos requêtes vers une fausse page de connexion. C'est exactement le genre de scénario où un VPN change réellement quelque chose. Pas de la magie : un déplacement du point de confiance.

Je vais vous expliquer ce qui se passe concrètement quand vous activez un VPN, étape par étape, avec les protocoles, les chiffrements, et surtout les cas où ça ne sert à rien. Parce qu'on m'a assez vendu le VPN comme une cape d'invisibilité.

Comment fonctionne un VPN, concrètement

Une analogie que j'utilise souvent : sans VPN, vous envoyez une carte postale. Le facteur (votre FAI) peut lire l'adresse de destination, même s'il ne peut pas lire le contenu s'il est écrit dans une langue qu'il ne comprend pas (le HTTPS). Avec un VPN, vous mettez la carte dans une enveloppe opaque adressée à un ami à l'étranger, qui la réexpédie lui-même. Le facteur voit passer l'enveloppe, mais il ne sait pas ce qu'il y a dedans ni où ça va finir.

Sauf que ce n'est pas juste une histoire d'enveloppe. Il y a une séquence technique précise.

Le trajet des données, étape par étape

1. Vous tapez une URL. Votre appareil doit résoudre le nom de domaine via DNS.
2. Selon la configuration, cette requête DNS part soit vers votre FAI, soit vers le serveur VPN. C'est un point que beaucoup ignorent : le VPN ne chiffre pas automatiquement vos DNS à moins que le client ne le prévoie.
3. Votre client VPN établit un tunnel avec le serveur distant. Les paquets sont encapsulés puis chiffrés en AES-256 (la norme actuelle, utilisée aussi par les banques et les gouvernements).
4. Les paquets chiffrés voyagent jusqu'au serveur VPN. Votre FAI voit une connexion vers une adresse IP unique, mais pas les destinations finales.
5. Le serveur VPN déchiffre, puis émet la requête vers le site cible depuis sa propre adresse IP.
6. La réponse revient au serveur, est rechiffrée, et redescend vers vous par le tunnel.

Ce qui se passe dans votre machine à ce moment-là est intéressant : la route par défaut de votre système est modifiée. Tout le trafic passe par l'interface virtuelle du VPN, sauf ce que le client exclut explicitement (on appelle ça le split tunneling). Si cette configuration est mal faite, votre trafic peut fuir hors du tunnel sans que vous le sachiez. J'ai déjà testé un client grand public sur une machine Windows : le test de fuite DNS montrait que mes requêtes sortaient en clair par mon FAI. J'ai changé de client le soir même.

Ce que chaque acteur voit, avec et sans VPN

Le tableau ci-dessous est, franchement, la partie que j'aurais aimé qu'on me montre il y a quelques années. J'ai perdu du temps à croire qu'un VPN me rendait invisible.

Acteur	Sans VPN	Avec VPN
Votre fournisseur d'accès	Adresse IP réelle, destinations visitées, horaires	Adresse IP du serveur VPN uniquement
Le site que vous consultez	Votre IP réelle, empreinte navigateur, cookies	IP du serveur VPN ; cookies et fingerprint inchangés
Le serveur VPN	N'existe pas dans le circuit	Votre IP réelle, toutes vos destinations — sauf si le protocole prévoit un no-log strict
Un observateur sur le réseau local (café, hôtel)	Vos destinations en clair, contenu chiffré si HTTPS	Rien de lisible, juste un flux chiffré vers le serveur VPN

Vous voyez le point sensible ? Vous déplacez votre confiance d'un acteur (votre FAI) vers un autre (le fournisseur VPN). Ce n'est pas de la magie, c'est un transfert.

Quels protocoles, et lequel choisir vraiment

Le protocole, c'est ce qui décide combien de temps met votre connexion à s'établir, à quelle vitesse elle tourne, et sur quels appareils elle fonctionne. Trois familles dominent encore aujourd'hui.

WireGuard, OpenVPN, IKEv2 : les vrais écarts

• WireGuard — conçu récemment, code très compact (quelques milliers de lignes contre des centaines de milliers pour OpenVPN). Résultat : poignée de main en moins d'une seconde, vitesse proche du débit natif. C'est mon choix par défaut sur mobile.
• OpenVPN — le plus compatible. Fonctionne partout, y compris sur des routeurs anciens ou derrière des pare-feux restrictifs. Plus lent à démarrer.
• IKEv2/IPsec — excellent pour la reconnexion automatique quand on change de réseau (4G vers Wi-Fi). C'est celui que je conseille à ceux qui se déplacent beaucoup.
• L2TP/IPsec — obsolète. Encore proposé par certains clients pour la rétrocompatibilité. À éviter si autre chose est disponible.

Un détail qui n'apparaît nulle part dans les comparatifs classiques : la vitesse perçue dépend moins du protocole que de la distance entre vous et le serveur VPN. Prendre un serveur à 8 000 km pour "paraître" dans un autre pays, c'est ajouter 150 à 250 ms de latence aller-retour. En visio, ça se sent immédiatement.

À quoi sert un VPN sur un téléphone

Sur ordinateur, le VPN est souvent un outil ponctuel. Sur téléphone, c'est une autre histoire. Votre smartphone change de réseau toute la journée : Wi-Fi du bureau, 5G dans le métro, Wi-Fi de la brasserie du coin. Chaque bascule est une occasion pour une application de faire fuiter un identifiant, ou pour un opérateur de capter une requête DNS non chiffrée.

Ce que le VPN apporte concrètement sur mobile : un point de sortie stable, quel que soit le réseau. Ce qu'il n'apporte pas : une protection contre les applications elles-mêmes. WhatsApp, Instagram, votre jeu mobile — ils vous identifient par votre compte, pas par votre IP. Une IP différente ne change rien à ça.

Autre point souvent mal compris : activer un VPN sur téléphone ne masque pas votre position GPS. Si une appli a la permission de localisation, elle vous localise à 10 mètres près, VPN ou pas.

VPN gratuit : ce qui se passe vraiment

Opérer un serveur VPN coûte de la bande passante, du matériel et de l'électricité. Une question simple : qui paie, si ce n'est pas vous ?

Trois modèles que j'ai vus en testant une dizaine de clients gratuits sur une période de quelques mois :

• Revente de bande passante à des tiers (parfois pour du scraping ou du trafic douteux)
• Injection de publicités dans les pages que vous consultez
• Journalisation revendue à des courtiers de données publicitaires

Un cas m'a marqué : sur un client gratuit installé sur une VM de test, j'ai surveillé le trafic sortant pendant une heure. J'y ai vu des requêtes vers des domaines publicitaires que je n'avais jamais visités. Le client "gratuit" était en train de monétiser ma navigation en direct. Désinstallé dans la minute.

Pourquoi un VPN ne sert à rien — parfois

Question qu'on me pose souvent, et qui mérite une réponse honnête : dans certains cas, un VPN ne sert effectivement à rien.

• Vous êtes déjà chez vous, sur votre propre connexion, et vous vous connectez à un site HTTPS. Le VPN n'ajoute quasiment rien en confidentialité face au site lui-même.
• Vous voulez "être anonyme" sans changer de navigateur, sans bloquer les cookies, sans désactiver le fingerprinting. Là, le VPN ne fait rien contre les traceurs qui vous suivent depuis des années.
• Vous l'utilisez pour contourner une restriction légale dans votre pays. Selon la juridiction, ce n'est pas juste inefficace, c'est risqué.

Bref, un VPN est un outil parmi d'autres. Pas une religion.

Comment installer et configurer un VPN correctement

Deux chemins, selon votre niveau de confort.

L'installation manuelle avec un serveur loué

Vous louez un petit VPS chez un hébergeur (5 à 6 € par mois), vous installez WireGuard en ligne de commande, vous générez les clés, et vous configurez chaque appareil. Comptez une heure pour la première fois, si vous lisez la documentation officielle. L'avantage : vous êtes le seul utilisateur, le serveur ne journalise rien par défaut, et vous savez exactement où passent vos données.

Le client commercial

Plus simple. Mais trois vérifications avant de payer :

1. Est-ce que le client supporte WireGuard nativement ?
2. Existe-t-il une politique de non-journalisation auditée, pas juste affirmée sur la page d'accueil ?
3. Que se passe-t-il si le tunnel tombe ? Le kill switch coupe-t-il vraiment tout, ou laisse-t-il passer des paquets ?

Ce troisième point est celui qui m'a le plus souvent déçu. J'ai testé une poignée de clients : deux d'entre eux laissaient fuiter du trafic pendant une seconde ou deux après déconnexion du tunnel. Une seconde, c'est suffisant pour envoyer une requête en clair.

Comment désactiver un VPN

Sur téléphone : ouvrez l'application du client, appuyez sur le bouton principal (souvent marqué « Déconnecter » ou un symbole d'interrupteur). Sur ordinateur, même logique depuis le client, ou via l'icône dans la barre des tâches. Si le VPN a été installé au niveau du système (routeur, profil d'entreprise), il faut passer par les paramètres réseau de l'OS — et parfois désactiver le profil manuellement, car la déconnexion via l'interface ne suffit pas.

Cas particulier que je vois régulièrement : sur certains mobiles, une application VPN reste active en arrière-plan même après avoir été « fermée ». Vérifiez dans les paramètres système si une connexion VPN est toujours listée comme active.

Ce qu'il faut retenir, en une idée

Un VPN ne vous cache pas du monde. Il déplace la personne à qui vous faites confiance. De votre opérateur vers un fournisseur, d'un réseau public vers un tunnel que vous contrôlez, ou l'inverse. La vraie question n'est donc jamais « est-ce que le VPN me protège », mais « à qui est-ce que je confie mes données, et est-ce que ce choix est meilleur que l'alternative ».

Pour la plupart des gens, la réponse honnête est : un bon client payant, un protocole moderne, un serveur proche de chez vous, et zéro illusion sur ce qu'un tunnel peut et ne peut pas faire. Le reste, c'est du marketing.