Comment repérer une app VPN à risque

Un VPN agit au niveau du système : il reçoit le trafic de tous les programmes de l'appareil, y compris ceux qui tournent en arrière-plan à votre insu. Une app ordinaire peut divulguer ce qu'elle a elle-même collecté ; un VPN peut divulguer tout ce que vous faites sur l'appareil. Le niveau d'exigence pour en choisir un doit donc être bien plus élevé.

« Il ne s'est rien passé » ne prouve pas que c'est sûr. L'enregistrement, la remontée d'informations et l'injection se font sur le serveur ou en arrière-plan, sans que l'utilisateur ne sente rien ; les conséquences arrivent souvent des mois plus tard et ne peuvent pas être rattachées à une app précise.

• Provenance inconnue : l'installateur arrive par un groupe de discussion, un lien de partage de fichiers ou un QR code, sans site officiel ni fiche dans un magasin d'applications. Un client légitime vient d'un magasin d'applications, du site de l'éditeur ou d'une page de publication dont on peut vérifier la signature.
• Il vous demande d'installer un certificat racine : « faire confiance à ce certificat », « installer ce profil », faire confiance à une autorité de certification. Avec un certificat racine installé, il peut déchiffrer tout votre trafic HTTPS, banque et messagerie comprises. Un VPN normal n'en a jamais besoin.
• Des autorisations excessives : un VPN qui veut vos contacts, vos SMS, votre journal d'appels, votre position précise ou votre photothèque. Un VPN n'a besoin que de l'autorisation de créer un tunnel.
• Vérification d'identité : l'inscription exige une carte d'identité, une reconnaissance faciale ou un numéro de téléphone chinois. C'est précisément ainsi qu'un VPN « conforme » relie votre identité à vos relevés de trafic ; un service légitime n'a besoin que d'une adresse e-mail.
• Protocole propriétaire et client fermé : utilisable uniquement avec sa propre app, sans aucun protocole standard (AnyConnect, OpenVPN, WireGuard, Hiddify), vous ne pouvez donc pas vérifier avec un client open source ce qu'il envoie réellement.
• Gratuit sans revenu visible : pas d'offre payante, pas de publicité, pas de clients professionnels, et pourtant il tourne depuis des années. La bande passante de sortie en Chine continentale se paie ; un service qui ne fait rien payer se rémunère ailleurs.
• Pas de société, pas d'assistance, pas d'historique : aucune entité exploitante identifiable, personne à contacter, un nom de domaine enregistré il y a moins d'un an, des changements de nom fréquents.
• Trafic anormal en arrière-plan : l'appareil envoie sans arrêt des données au repos, la batterie et le forfait fondent. Il sert peut-être de sortie à d'autres personnes, ou synchronise vos données.
• Un discours qui insiste sur « officiel », « enregistré », « légal et conforme » en sous-entendant que tout le reste est illégal : l'argument classique des apps adossées aux autorités, dont la conformité consiste justement à enregistrer et à faire remonter.
• Des notes uniformément élogieuses dans le magasin d'applications, des avis qui se ressemblent tous, et un nombre de téléchargements sans rapport avec le nombre d'avis : c'est acheté.

1. Vérifiez le protocole : le site indique-t-il quels protocoles il utilise, et si les clients tiers fonctionnent ? Un service accessible avec OpenVPN, AnyConnect, Hiddify ou Tailscale vous permet de capturer et d'examiner ce qui est envoyé.
2. Vérifiez les autorisations : après l'installation, ouvrez les réglages du système, retirez tout sauf l'autorisation VPN et voyez si elle fonctionne encore. Sinon, désinstallez.
3. Vérifiez les certificats : sur iOS, Réglages → Général → VPN et gestion de l'appareil ; sur Android, Paramètres → Sécurité → Chiffrement et identifiants → Identifiants de confiance → Utilisateur ; sur Windows, gestionnaire de certificats → Autorités de certification racines de confiance. Tout ce qu'elle a installé : supprimez-le, et désinstallez l'app.
4. Vérifiez les fuites : une fois connecté, ouvrez un test de fuite DNS et une page de test IPv6 pour confirmer que la résolution et les adresses passent par ses serveurs ; ouvrez ensuite un site HTTPS et vérifiez que l'émetteur du certificat est bien la véritable autorité de certification du site.
5. Vérifiez l'exploitant : le site nomme-t-il une société ou une équipe, dit-il depuis combien de temps il existe et où trouver l'assistance ; y a-t-il une politique de remboursement ; la politique de confidentialité précise-t-elle ce qui est enregistré ?

1. Désinstallez-la, puis vérifiez les emplacements ci-dessus et supprimez tout certificat ou profil qu'elle a installé.
2. Changez vos mots de passe (banque, messagerie, comptes du quotidien), en priorité ceux des comptes auxquels vous vous êtes connecté en l'utilisant.
3. Sur les comptes avec double authentification, consultez l'historique des connexions et retirez les appareils inconnus.
4. Si elle a été installée sur un routeur, réinitialisez-le aux paramètres d'usine et flashez un firmware officiel ou vérifiable.

Tous les clients LeoTun viennent d'éditeurs officiels et de projets open source reconnus (Cisco, OpenVPN, Hiddify, Tailscale), proposés en miroir sans modification, et vous pouvez remplacer notre téléchargement par la version officielle ou open source à tout moment. Tous les protocoles sont standard et peuvent être examinés par une capture de paquets.

L'inscription ne demande qu'une adresse e-mail : ni numéro de téléphone, ni pièce d'identité. Ce que nous enregistrons est indiqué sur la page À propos : e-mail, formule, date d'expiration, ainsi que la durée et le volume de chaque connexion, pour la facturation ; pas de contenu, pas d'injection de publicité, pas de revente de données.

Pas de certificat, pas de contacts, pas de localisation. Si un client se présentant comme le nôtre vous demande un jour d'installer un certificat racine, ce n'est pas le nôtre.