Comment choisir un VPN fiable pour sa sécurité : le guide

Un lecteur m'a écrit la semaine dernière. Il avait acheté une licence VPN « à vie » pour 39 €. Six mois plus tard, sa boîte mail principale a commencé à recevoir du spam ciblé, avec son prénom et le nom de sa banque. Il m'a demandé si le VPN était en cause. Je lui ai posé deux questions : où est basé l'éditeur, et qu'est-ce que la politique de confidentialité dit exactement sur la revente de données ? Il n'a pas su répondre. Ni à l'une, ni à l'autre.

Voilà le problème réel quand on cherche comment choisir un VPN fiable pour sa sécurité. Le marché est saturé de promesses : « militaire-grade encryption », « no-logs certifié », « 6 000 serveurs dans 90 pays ». Sauf qu'aucune de ces phrases ne vous dit si le service va réellement protéger quelque chose. Et un VPN mal choisi n'est pas neutre : il déplace votre trafic d'un point A que vous connaissez vers un point B que vous ne connaissez pas.

Un VPN fiable : les critères qui comptent vraiment (et ceux qu'on vous vend)

Le nombre de serveurs est l'argument marketing le plus répété et le moins utile. Un fournisseur avec 800 serveurs bien répartis fera mieux qu'un concurrent à 7 000 nœuds dont la moitié sont des machines virtuelles recyclées chez un hébergeur tiers.

Ce qui détermine la fiabilité tient en quatre blocs. Le premier, c'est l'architecture technique : serveurs sans disque dur (RAM-only), chiffrement des communications internes, propriété de l'infrastructure réseau. Le deuxième, la gouvernance : qui possède l'entreprise, où elle est immatriculée, quelles obligations légales de rétention s'appliquent à elle. Le troisième, les preuves : audits, code source ouvert, rapports de transparence. Le quatrième, la tenue dans le temps : débits constatés, réactivité du support, comportement tarifaire après la promo.

Ce que signifie vraiment « no-logs »

« Nous ne conservons aucun log. » Cette phrase, on la trouve sur à peu près tous les sites du secteur. Le problème, c'est qu'elle est invérifiable par nature : celui qui conserve les logs ne va pas l'écrire sur sa page d'accueil.

Il faut donc chercher un cran plus loin. Une politique sérieuse précise ce qui n'est pas collecté, et distingue explicitement les données de connexion (IP, horodatage, sites visités) des données de compte (email, moyen de paiement). Elle précise aussi combien de temps les données de facturation sont gardées, car c'est souvent par là que les réquisitions judiciaires arrivent.

Deuxième cran : un audit externe. Un cabinet indépendant qui se déplace, inspecte les serveurs et publie un rapport daté. C'est ce que fait CyberGhost avec Deloitte, et Proton avec Cure53 pour son code. Une certification affichée sans rapport téléchargeable ne vaut rien.

La juridiction : pourquoi le pays d'hébergement choisit à votre place

Un fournisseur basé aux États-Unis tombe sous le champ du FISA et des injonctions de type National Security Letter, avec clause de silence. Un fournisseur suisse ou panaméen, non. Ce n'est pas de la théorie : c'est la raison pour laquelle Proton est à Genève et non à San Francisco.

Le Royaume-Uni, avec son Investigatory Powers Act, impose des obligations de conservation aux opérateurs de télécommunications. Certains éditeurs installés à Londres expliquent très sérieusement qu'ils ne sont « pas concernés ». C'est un pari sur l'interprétation d'un texte, pas une garantie.

Ma règle, après avoir recroisé une dizaine de ces dossiers : si l'éditeur communique beaucoup sur sa juridiction, lisez la page « À propos » plutôt que la page marketing. L'adresse du siège social et le nom de l'entité légale en disent plus long que n'importe quel slogan.

Comment vérifier un VPN soi-même, sans croire personne

Avouons-le, la plupart des comparatifs racontent la même chose parce qu'ils recopient le même communiqué de presse. Vous avez, vous, un moyen de tester en quelques minutes. Je l'ai fait sur mon propre laptop, un mardi soir, avec une connexion fibre et un compte d'essai.

Tester les fuites DNS, IP et WebRTC

Connectez-vous au VPN, puis ouvrez un site de détection de fuites dans votre navigateur. Trois choses doivent apparaître : l'IP affichée est celle du serveur VPN, pas la vôtre. Le serveur DNS interrogé appartient au fournisseur. Et le test WebRTC, dans un navigateur qui le supporte encore, ne révèle pas votre IP locale.

J'ai vu un service d'entrée de gamme échouer sur le troisième point. IP publique masquée, mais une adresse locale qui traînait dans la réponse WebRTC. Sur un réseau domestique, l'impact est limité. Sur un Wi-Fi d'hôtel, c'est une information de plus pour quelqu'un de patient.

Autre test que personne ne fait : coupez brutalement le VPN en cours de session. Votre connexion doit se figer, pas basculer en clair. C'est le kill switch, et c'est probablement la fonctionnalité la plus importante du produit, celle qu'on ne remarque que le jour où elle manque.

Lire un rapport d'audit, pas la page d'accueil

Un rapport utile contient un périmètre (quels serveurs, quelles dates), une méthodologie et des conclusions. Celui publié pour CyberGhost par Deloitte, par exemple, porte sur l'absence de journaux côté serveurs et sur les procédures internes. Un audit qui ne dit pas ce qu'il a examiné ne prouve rien.

Proton publie de son côté son code applicatif, ce qui permet à n'importe quel développeur de vérifier que les clés ne quittent pas l'appareil. Deux approches différentes, deux niveaux de preuve honnêtes.

Le VPN gratuit : où est le piège exactement

Il faut bien payer le serveur, la bande passante et les salaires. Quand on ne paie pas, trois modèles économiques existent, et aucun n'est magique.

1. Le modèle publicitaire ou revendeur de données. Le plus connu, et pas seulement chez les petits acteurs. Une entreprise qui édite à la fois un antivirus gratuit et un VPN gratuit a un intérêt commercial à observer votre comportement.
2. La version d'appel. Le gratuit est un tunnel de conversion : serveurs peu nombreux, débit bridé, pas de streaming. Modèle légitime, mais ne vous attendez pas à de la confidentialité sérieuse.
3. Le gratuit par transparence. Proton VPN propose une offre limitée, financée par les abonnés payants. C'est le seul cas où j'accepte d'utiliser un service gratuit, et avec des attentes réduites.

Une chose que j'ai apprise un peu bêtement : sur un VPN gratuit, c'est souvent la bande passante qui coûte cher, pas la vie privée. Un serveur saturé à 10 000 utilisateurs, ça ne se devine pas sur la page d'accueil, ça se remarque à la première visioconférence.

Comparatif prix : combien coûte réellement un VPN sur douze mois

La bannière affiche 2,49 €/mois. La facture réelle, elle, se lit autrement. La plupart des éditeurs facturent la première période d'un coup puis renouvellent au tarif public, avec une hausse parfois du simple au triple.

Type d'offre	Prix d'appel affiché	Ce qui se passe au renouvellement	Durée d'engagement typique
Mensuel sans engagement	Élevé, souvent 10 à 13 €/mois	Stable	Aucune
Annuel	Modéré, 3 à 5 €/mois	Hausse modérée, tarif public	12 mois
Biennal ou triennal	Bas, 2 à 3 €/mois	Renouvellement au tarif plein, parfois ×3	24 à 36 mois
Offre « à vie »	Paiement unique, 30 à 60 €	Pas de renouvellement, mais pérennité douteuse	Aucune, et c'est le problème

Sur mes propres comptes, j'ai fini par adopter une règle simple : je prends l'abonnement annuel, je note la date de renouvellement dans mon agenda, et je résilie si le service n'a pas tenu ses promesses de débit. Sur trois ans, cette méthode m'a coûté environ 120 € au total, contre 210 € si j'avais laissé filer les reconductions tacites. Oui, j'ai laissé filer la première fois.

Où acheter un VPN ?

Directement sur le site de l'éditeur, avec une carte bancaire ou PayPal. Les revendeurs tiers, les clés OEM à 5 € sur les places de marché et les licences « partagées » sont à éviter : aucun support, aucune garantie de mise à jour, et parfois un compte partagé entre dizaines d'inconnus.

Le paiement lui-même est un indicateur. Un éditeur qui accepte le paiement anonyme (espèces par courrier, Monero) et s'en vante a généralement une vraie culture de la vie privée. Attention toutefois : si l'option existe mais que le service exige votre nom complet à l'inscription, l'intérêt tombe à zéro.

Ce qu'un VPN ne protégera jamais (et c'est la moitié du sujet)

Un VPN chiffre le trajet entre votre appareil et le serveur du fournisseur. À partir de ce serveur, votre trafic ressort vers internet. Le chiffrement HTTPS et le comportement du site visité ne changent pas.

Concrètement, un VPN ne vous sauve pas si :

• vous cliquez sur un lien de phishing et saisissez vos identifiants bancaires
• votre mot de passe est réutilisé sur quatre sites et l'un d'eux a été compromis (le VPN n'y est pour rien)
• votre navigateur exécute une extension malveillante qui lit le formulaire avant envoi
• vous êtes connecté à un compte Google ou Microsoft qui, lui, sait exactement qui vous êtes

J'ai tendance à le dire brutalement : pour 90 % des gens, un gestionnaire de mots de passe et la double authentification apportent plus de sécurité qu'un VPN. Je maintiens cette position. Le VPN résout un problème précis, la visibilité de votre trafic par votre fournisseur d'accès et par les réseaux que vous traversez. Il ne résout pas le problème du clic malheureux.

La méthode en cinq questions avant de payer

Posez ces cinq questions dans l'ordre, et vous éliminerez la majorité des mauvais choix. Où se trouve l'entité légale ? Quelles obligations de conservation s'appliquent à elle ? Existe-t-il un audit indépendant, avec un rapport téléchargeable ? Le kill switch est-il disponible sur votre système, pas seulement sur Windows ? Et quel sera le prix exact à la deuxième échéance ?

Une dernière chose, plus inconfortable. La fiabilité d'un fournisseur ne se vérifie pas le jour de l'achat. Elle se vérifie le jour où il reçoit une demande de données et où il publie un rapport de transparence expliquant comment il y a répondu. C'est le seul document du secteur qui parle vraiment. Le reste, y compris ce que je viens d'écrire, reste une lecture de signaux.

Et si vous hésitez encore entre deux services équivalents sur le papier, prenez celui dont l'offre gratuite ou l'essai vous laisse tester les fuites DNS avant de sortir la carte. Un fournisseur qui a peur de ce test vous a déjà répondu.