Un VPN est-il sûr ? Qui voit quoi

• Votre réseau local et votre fournisseur d'accès (box à la maison, Wi‑Fi du bureau ou du campus, hotspot d'un café) : ils voient que votre appareil est connecté à un serveur, à quel moment et quel volume de données a transité. Ils ne voient ni les domaines visités ni le contenu.
• L'opérateur du VPN : il voit votre IP d'origine, les domaines ou adresses visités, les horaires et le volume. Le contenu des sites HTTPS (pages, mots de passe, discussions, données de paiement) lui reste invisible.
• Les sites visités : ils voient l'IP de sortie au lieu de l'IP de votre domicile. Mais dès que vous vous connectez à votre compte, le site sait qui vous êtes, et les cookies de votre navigateur vous identifient toujours.
• Les logiciels de l'appareil : ce que peuvent voir vos apps, votre clavier et vos extensions de navigateur n'a rien à voir avec le VPN, et c'est pareil qu'il soit activé ou non.

Presque tous les sites et apps utilisent aujourd'hui HTTPS : une seconde couche de chiffrement entre votre appareil et le site, dont les clés ne sont détenues qu'aux deux extrémités. Le serveur VPN transmet ces données chiffrées sans pouvoir les ouvrir. Votre mot de passe bancaire, le corps d'un e-mail et vos messages apparaissent à l'opérateur d'un VPN comme à un fournisseur d'accès : du texte chiffré.

Ce qui reste visible, c'est ce qui est écrit sur l'enveloppe : quel domaine, à quelle heure, quel volume. Sans VPN, c'est votre réseau local et votre fournisseur d'accès qui le voient ; avec un VPN, c'est l'opérateur. Un VPN déplace cette visibilité d'un acteur à un autre : c'est pourquoi le choix de l'opérateur compte avant tout.

Le contenu devient visible dans deux cas. Le premier : un site encore en HTTP non chiffré, que la barre d'adresse signale comme « Non sécurisé ». Le second : un certificat racine installé sur votre appareil par un tiers, qui lui permet de déchiffrer le HTTPS. C'est de ce second cas qu'il faut se méfier, et la vérification ci-dessous indique où regarder.

Ces trois questions règlent l'essentiel. Pour savoir comment vérifier chacune, et que faire si une app douteuse est déjà installée, voir Comment repérer une app VPN à risque, qui liste dix signaux à vérifier vous-même.

• Qui l'exploite : pouvez-vous identifier l'entité qui le gère, depuis combien de temps fonctionne-t-il, existe-t-il un support joignable, et la politique de confidentialité dit-elle précisément ce qui est conservé ? L'opérateur voit désormais où vous allez : sa fiabilité passe en premier.
• Quelle app vous avez installée : un client standard issu d'un magasin d'applications ou du site de l'éditeur (Cisco, OpenVPN, Hiddify, Tailscale, etc.) peut être vérifié. Un installateur qui circule dans un groupe de discussion ou un partage de fichiers, ou un service qui ne fonctionne qu'avec sa propre app, ne le peut pas.
• Quelles autorisations elle a demandées : un VPN n'a besoin que d'une autorisation, celle de créer le tunnel. Contacts, SMS, photos, localisation, ou une demande d'installer et d'approuver un certificat dépassent tout ce dont un VPN peut avoir besoin.

Une app VPN sur iPhone tourne dans le bac à sable du système. Elle ne reçoit qu'une seule capacité, celle de créer un tunnel VPN, et la demande « souhaite ajouter des configurations VPN » à la première connexion est l'étape normale. Elle ne peut pas lire les données des autres apps, vos photos ni vos messages, sauf si vous l'y autorisez séparément.

Sur iPhone, trois choses méritent votre attention : tout ce qui vous demande d'installer un profil et d'approuver un certificat ; les apps installées hors de l'App Store via une signature d'entreprise ou une gestion de l'appareil ; et un téléphone fourni et géré par un employeur ou une école, dont l'administrateur peut voir davantage que n'importe quel VPN. Ouvrez Réglages → Général → VPN et gestion de l'appareil et vérifiez que vous reconnaissez chaque entrée.

Quant à la surveillance : votre opérateur peut voir que vous utilisez une connexion chiffrée et vers quel serveur, mais pas les sites ni le contenu à l'intérieur. L'opérateur du VPN peut voir les domaines et les horaires. Aucun des deux ne voit le contenu HTTPS.

Sur iPhone, LeoTun utilise les clients officiels de l'App Store (l'app de Cisco pour la méthode Cisco, Hiddify pour la méthode Hiddify) et ne vous demande jamais d'installer un certificat. Si le magasin ne les affiche pas, voir que faire quand iOS n'arrive pas à installer une app.

Il y a deux sortes de gratuit. Les logiciels libres, comme les clients open source OpenVPN, Hiddify et Tailscale, ne coûtent rien et peuvent être vérifiés. Un service gratuit, c'est autre chose : serveurs et bande passante coûtent de l'argent, et un service qui ne vous fait pas payer se rembourse ailleurs, généralement par la publicité, la collecte et la revente de données d'usage, ou en utilisant votre appareil comme sortie pour d'autres personnes.

Jugez donc un VPN gratuit à ce qui le fait vivre, puis appliquez les trois questions ci-dessus. Pour tout ce qui touche aux connexions à vos comptes, aux paiements ou au travail, utilisez un service dont vous pouvez identifier l'opérateur. Une comparaison plus complète se trouve dans VPN Chine gratuit ou payant ?

1. Provenance : l'app vient-elle d'un magasin d'applications ou du site de l'éditeur ? Si l'installateur vient d'un groupe de discussion, d'un partage de fichiers ou d'un QR code, réinstallez le même client depuis le canal officiel.
2. Autorisations : ouvrez les réglages du système, regardez ce qui a été accordé à l'app et désactivez tout sauf le VPN lui-même. Elle doit continuer à fonctionner.
3. Certificats et profils : sur iOS, Réglages → Général → VPN et gestion de l'appareil ; sur Android, Paramètres → Sécurité → Chiffrement et identifiants → Identifiants de confiance → Utilisateur. Supprimez toute entrée que vous ne reconnaissez pas et désinstallez le logiciel qui l'a ajoutée.
4. Sortie : une fois connecté, ouvrez une page qui affiche votre IP et vérifiez qu'il s'agit de la région choisie. Faites ensuite un test DNS comme décrit dans Fuite DNS ou empoisonnement DNS.
5. HTTPS : ouvrez le site de votre banque ou votre messagerie et cliquez sur le cadenas. L'émetteur du certificat doit être une autorité de certification ordinaire. Si le navigateur affiche un avertissement de certificat, arrêtez-vous là.
6. Activité en arrière-plan : si l'app envoie beaucoup de données au repos et que la batterie se vide nettement plus vite, cessez de l'utiliser et choisissez-en une autre.

Un VPN protège le trajet : les personnes sur le même Wi‑Fi, le réseau local et votre fournisseur d'accès ne peuvent pas voir où vous allez. La sécurité à l'intérieur de l'appareil et de vos comptes dépend des mises à jour du système, de logiciels de provenance fiable et de bonnes habitudes. Les points ci-dessous restent entre vos mains, avec ou sans VPN.

• Hameçonnage : fausses pages de connexion, faux agents du support, faux liens de gains. Si vous tapez vous-même votre mot de passe, le tunnel chiffré le livre fidèlement. Lisez le domaine avant de taper.
• Logiciels malveillants : un cheval de Troie sur l'appareil, un logiciel piraté avec porte dérobée ou une extension de navigateur d'origine inconnue récupèrent vos données avant même qu'elles n'entrent dans le VPN.
• Comptes connectés : connectez-vous à WeChat, Google ou Taobao et la plateforme sait que c'est vous, quelle que soit l'IP de sortie. Un VPN change votre adresse, pas votre identité.
• Mots de passe faibles et réutilisés : un site fuite, et les autres s'ouvrent avec la même clé. Donnez à vos comptes importants leurs propres mots de passe et activez la validation en deux étapes.
• Les informations que vous donnez vous-même : publications, formulaires remplis, accès à la localisation et aux contacts accordés aux apps.

• Les clients sont les versions officielles et open source de Cisco, OpenVPN, Hiddify et Tailscale, copiées sans modification. Vous pouvez à tout moment remplacer la copie téléchargée ici par celle du canal officiel.
• Tous les protocoles sont standard : vous pouvez capturer le trafic et l'inspecter vous-même.
• L'inscription ne demande qu'une adresse e-mail : ni numéro de téléphone, ni vérification d'identité.
• Nous ne conservons que les informations nécessaires à la facturation. Nous n'enregistrons pas les sites que vous visitez, n'inspectons pas le trafic, n'injectons pas de publicité et ne vendons pas de données.
• Aucun certificat à installer, aucune demande d'accès aux contacts ni à la localisation.