Que cache un VPN ? Vie privée, confiance et choix du fournisseur

Fiche complémentaire de la leçon « Introduction aux VPN : préserver sa vie privée et sa sécurité en ligne » — cours Vie privée en ligne

Que cache un VPN ? Moins que ne le suggère la publicité, mais pas rien. Il peut soustraire votre navigation au regard du réseau sur lequel vous vous trouvez et de votre fournisseur d’accès, mais il confie cette vue à l’entreprise du VPN. Cette fiche vous aide à décider si vous en avez besoin, et à qui vous feriez confiance.

A. Pourquoi c’est important

Un VPN (de l’anglais virtual private network, en français réseau privé virtuel) est souvent présenté comme un interrupteur unique : on l’active, et l’on devient invisible. En réalité, il protège de certains regards et pas d’autres, et il en ajoute un nouveau : celui de l’entreprise qui le fournit.

Dans ce cours, la vie privée tient en trois questions : qu’est-ce qui se sait de vous, qui le sait, et que choisissez-vous de laisser savoir ? Un VPN change le « qui », pas la quantité de ce qui se sait. Le voir ainsi fait d’un VPN un outil que vous choisissez, plutôt qu’un produit qu’on vous vend.

Ce que disent les sources

La CNIL, l’autorité française de protection des données personnelles, présente le VPN dans sa page sur les nouvelles méthodes de traçage, à la rubrique de l’adresse IP (l’identifiant de votre connexion à internet). Elle explique qu’il chiffre les communications, ce qui ajoute une couche de sécurité. Puis elle donne l’autre moitié : l’entreprise qui fournit le service « conserve la connaissance de votre adresse IP et des sites visités », et « peut transmettre ces informations à des tiers ». Elle note aussi que ces services sont proposés par des entreprises « plus ou moins transparentes ».

Les conseils des autorités pour le Wi-Fi public vont dans le même sens, avec une nuance utile. Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes, conseille d’éviter les réseaux Wi-Fi publics ou inconnus et de préférer, en déplacement, la connexion de son forfait mobile. Faute d’autre choix, il recommande de s’abstenir d’opérations sensibles et d’utiliser, si possible, un VPN : « utilisez si possible un réseau privé virtuel (VPN) ». L’ANSSI, l’agence nationale de la sécurité des systèmes d’information, décrit ces réseaux comme « une aubaine pour les attaquants », à éviter notamment pour un paiement ou une déclaration d’impôts, et cite elle aussi le VPN si l’on n’a pas le choix.

Reste ce qu’un VPN n’est pas. UFC-Que Choisir, l’association de consommateurs, écrit qu’« un VPN ne vous rend toutefois pas complètement anonyme » et qu’il n’empêche pas d’être infecté par un virus. Pour les VPN entièrement gratuits, elle relève que leur « modèle économique reste souvent flou ».

Ces sources françaises ne détaillent ni les audits indépendants ni le pays d’implantation des fournisseurs. Dans cette fiche, ces deux critères relèvent donc d’un raisonnement proposé par ce cours, et non d’une consigne officielle : ils sont présentés comme tels.

B. Notions clés

Cinq idées pour répondre à la question : que cache un VPN, et à qui ?

Le tunnel chiffré : ce qu’il cache, et à qui

Un VPN établit une connexion chiffrée entre votre appareil et un serveur exploité par le fournisseur. Votre trafic y passe d’abord, puis poursuit vers les sites que vous utilisez, qui voient alors l’adresse du serveur plutôt que celle de votre connexion. Sans VPN, le réseau local (le Wi-Fi d’un hôtel ou d’un café) et votre fournisseur d’accès à internet peuvent en général voir à quels sites vous vous connectez ; avec un VPN, ils voient seulement une connexion vers le serveur du VPN. Ce que HTTPS protège, et ce qu’il laisse voir, est expliqué dans la fiche sur HTTPS de cette section.

Pourquoi c’est important pour vous : Le tunnel ne couvre qu’un tronçon du trajet : de votre appareil au serveur du VPN. Si votre souci est le réseau autour de vous ou votre fournisseur d’accès, un VPN y répond directement. Commencez par nommer votre souci.

Ce qu’il ne cache pas

Un VPN ne vous cache pas aux services sur lesquels vous vous connectez. Votre messagerie, votre réseau social ou votre moteur de recherche savent que c’est vous, quelle que soit l’adresse d’où vous semblez venir. La CNIL range l’adresse IP parmi cinq techniques de traçage, aux côtés des cookies de traçage, de l’empreinte du navigateur (la reconnaissance de votre navigateur à sa combinaison particulière de caractéristiques), des liens uniques et des identifiants persistants comme l’adresse électronique. Dans sa page, le VPN figure dans la rubrique consacrée à l’adresse IP.

Pourquoi c’est important pour vous : Une grande partie de ce qui se sait de vous en ligne est connue des services que vous utilisez, non du réseau qui sert à les atteindre. Un VPN ne change rien à cette couche-là.

La confiance déplacée, pas supprimée

L’entreprise qui exploite le serveur peut désormais voir les sites auxquels vous vous connectez, et à quel moment, à la place du réseau local et de votre fournisseur d’accès. C’est le sens de l’avertissement de la CNIL cité plus haut : le fournisseur n’est pas un simple tuyau neutre.

Pourquoi c’est important pour vous : Vous choisissez quelle entreprise a la vue. Le comportement du fournisseur, plus que sa rapidité, passe en premier.

Comment une application VPN « gratuite » se finance

D’après UFC-Que Choisir, le modèle économique des VPN entièrement gratuits reste souvent flou, et ils pourraient exploiter vos données. Sur un téléphone, l’application peut en plus demander des autorisations, comme l’accès aux contacts ou à la position, dont le simple transport de votre trafic n’a pas besoin. La CNIL pose, pour toute application, la question à se poser : les autorisations demandées sont-elles nécessaires à son fonctionnement ? Son exemple : une application de lampe de poche n’a pas besoin de vos contacts ni de votre position.

Pourquoi c’est important pour vous : Une application VPN financée par vos données voit davantage que le réseau que vous vouliez éviter. « Qui paie, et pourquoi cette autorisation ? » sont des questions de vie privée.

Promesses « sans journaux », audits et juridiction

Un journal (log, en anglais) est la trace qu’un fournisseur garde de votre activité ou de vos connexions. Une promesse « sans journaux » (no log) n’est pas une garantie. Un audit indépendant, c’est un examen du service par une entreprise extérieure, dont on peut lire le rapport s’il est public et récent. Quant au pays, le droit de ceux où l’entreprise est établie ou exerce peut s’appliquer à elle. Ces trois critères sont des questions proposées par ce cours : les sources françaises consultées ne les détaillent pas.

Pourquoi c’est important pour vous : Ce que le fournisseur dit conserver, ce qu’un tiers indépendant a vérifié et quel droit s’applique se lisent dans ses propres documents. Vous pouvez le vérifier vous-même.

C. Un exemple concret : Luca et le Wi-Fi de l’hôtel

Luca a 36 ans, vit à Paris et voyage souvent. Dans un hôtel à l’étranger, la page de connexion du Wi-Fi lui a laissé une impression étrange. Il a installé le premier VPN gratuit de sa boutique d’applications, dont la description promettait un « anonymat total ». L’application lui a demandé l’accès à ses contacts et à sa position, et il a touché « Autoriser » : c’était, après tout, une application de vie privée. Ce soir-là, il a consulté sa banque, publié une photo et cherché des restaurants, en se sentant invisible.

Rien de ce qu’a fait Luca n’est déraisonnable, mais « invisible » n’était pas tout à fait exact. Sa banque, son réseau social et son moteur de recherche savaient que c’était lui, puisqu’il était connecté à ses comptes. Le réseau de l’hôtel ne voyait plus quels sites il visitait, mais l’entreprise du VPN pouvait tous les voir. Et il ignorait qui elle était, comment elle gagnait de l’argent, et pourquoi elle voulait ses contacts.

Ce qui a changé quand Luca a regardé de plus près

De retour chez lui, Luca a fait l’exercice de la section D, avec curiosité plutôt qu’inquiétude :

• Il a noté ce qu’il voulait : éloigner sa navigation des réseaux d’hôtel et d’aéroport, pas de sa banque.
• La politique de confidentialité de l’application gratuite autorisait le partage de données d’usage avec des partenaires et n’écartait pas les journaux de connexion. Il n’a pas trouvé trace d’un audit indépendant.
• Il a retiré les autorisations, puis supprimé l’application.

Il a pris une décision : avant le prochain voyage, comparer deux ou trois fournisseurs avec les mêmes cinq questions ; d’ici là, pour les opérations sensibles en déplacement, utiliser les données mobiles de son forfait, comme le conseille Cybermalveillance.gouv.fr. Ni un VPN par défaut, ni l’absence de VPN par principe : un choix qu’il peut expliquer.

D. À vous de jouer : faire le point sur un VPN (15 minutes)

Quatre étapes courtes. Vous n’avez pas besoin d’un VPN pour les faire, et « je n’en ai pas besoin » est un résultat tout à fait valable.

Étape 1 — Nommez ce que vous voulez cacher, et à qui (3 minutes)

• Écrivez une phrase : « Je veux garder ___ à l’abri de ___. »
• Si le second blanc est le réseau local ou votre fournisseur d’accès, un VPN peut aider. S’il s’agit des sites sur lesquels vous vous connectez, ou des annonceurs, regardez plutôt les réglages de vos comptes et de votre navigateur.
• Si vous ne parvenez pas à finir la phrase, un VPN n’est peut-être pas ce qu’il vous faut.

Étape 2 — Voyez ce qui est déjà sur votre téléphone (3 minutes)

• Sur Android, la page d’aide de Google (en anglais) place les réglages VPN dans l’application de paramètres, sous « Network & internet » puis « VPN » ; l’intitulé français peut différer selon la version et le fabricant. Si l’option reste introuvable, la même page conseille de rechercher « VPN » dans les paramètres. Sur iPhone, essayez de la même façon la recherche dans les réglages.
• Repérez les applications ou profils VPN que vous n’utilisez plus ou que vous ne reconnaissez pas.
• Pour toute application VPN que vous gardez, vérifiez que chaque autorisation a un sens pour un outil qui se contente de transporter votre trafic. La CNIL indique que les autorisations d’une application peuvent se modifier dans les réglages du téléphone.

Étape 3 — Posez cinq questions à un fournisseur (6 minutes)

Choisissez un VPN que vous utilisez ou envisagez, ouvrez sa politique de confidentialité et son site, et cherchez les réponses :

1. Que dit-il enregistrer de vos connexions et de votre activité ? Écarte-t-il, par écrit, la conservation de journaux ?
2. Une entreprise indépendante a-t-elle audité le service, et le rapport est-il public ? Est-il récent ?
3. Dans quel pays l’entreprise est-elle établie, et où exerce-t-elle ?
4. Comment est-il financé : abonnement, offre gratuite limitée, ou publicité et données ?
5. Partage-t-il des données avec des « partenaires » ou des tiers, et pour quoi faire ?

Là où vous ne trouvez rien, écrivez « introuvable ». C’est déjà une réponse. Ces cinq questions forment une méthode proposée par ce cours, non une grille officielle.

Étape 4 — Prenez une décision (3 minutes)

• Le garder : le fournisseur a répondu assez bien et couvre le souci de l’étape 1.
• Le remplacer : le souci est réel, mais les réponses du fournisseur ne tiennent pas.
• Le retirer : un VPN ne répond pas à votre souci, ou vous ne l’utilisez plus.

Une décision que vous savez expliquer vaut mieux qu’un VPN activé par habitude.

Déjà traité dans le cours Sécurité en ligne

Un VPN sur le routeur de la maison : ce qu’il fait, et ce qu’il ne fait pas
Cette fiche traite du VPN installé sur le routeur pour couvrir tous les appareils de la maison, avec ses compromis de vitesse et de compatibilité, et passe déjà en revue les questions de confiance (qui voit votre trafic, financement, journaux, audits, juridiction, ce qu’un VPN n’arrête pas) ; la présente fiche ajoute les applications VPN sur le téléphone, leurs autorisations et la vérification d’un fournisseur.

E. Vidéos, articles et autres ressources

Sources institutionnelles françaises d’abord, puis la presse de consommateurs et la documentation de plateforme. Une seule page est en anglais : l’aide d’Android, qui ne s’affiche qu’en anglais.

Sources institutionnelles

CNIL — Nouvelles méthodes de traçage en ligne : quelles solutions pour se protéger ?
Les principales techniques de traçage (cookies, empreinte du navigateur, adresse IP…) et, pour l’adresse IP, ce que le VPN protège et ce qu’il laisse voir au fournisseur.
https://www.cnil.fr/fr/nouvelles-methodes-de-tracage-en-ligne-quelles-solutions-pour-se-proteger

CNIL — Applications mobiles : votre vie privée devra être mieux protégée
Pourquoi les autorisations demandées par une application doivent être nécessaires à son fonctionnement, et comment les modifier.
https://www.cnil.fr/fr/applications-mobiles-votre-vie-privee-devra-etre-mieux-protegee

Cybermalveillance.gouv.fr — Les 10 mesures essentielles pour votre cybersécurité
Pourquoi éviter les Wi-Fi publics ou inconnus, la connexion du forfait mobile en déplacement, et le VPN faute d’autre choix.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique

ANSSI — 10 règles d’or en matière de sécurité numérique
Les Wi-Fi publics, les opérations à éviter sur ces réseaux et le recours possible à un VPN.
https://cyber.gouv.fr/securisation/10-regles-or-securite-numerique/

Presse et associations de consommateurs

UFC-Que Choisir — Données personnelles – Comment choisir un VPN fiable et sécurisé
Ce qu’un VPN protège et ne protège pas, les VPN gratuits et les critères de choix d’un service.
https://www.quechoisir.org/conseils-donnees-personnelles-comment-choisir-un-vpn-fiable-et-securise-n174338/

Documentation de plateforme

Aide d’Android — Connect to a virtual private network (VPN) on Android
Où se trouvent les réglages VPN d’Android et d’où viennent les applications VPN (page en anglais).
https://support.google.com/android/answer/9089766?hl=fr

Liens vérifiés en octobre 2026. Si une adresse change, chercher le titre sur le site de l’organisme aide souvent à la retrouver.

F. Le Framework Cyber Welfare : Compétences, Conscience du risque, Comportements sûrs

Cette fiche s’appuie sur le pilier Compétences, au niveau FL2 — Initié : juger un outil sur ce qu’il fait, non sur ce qu’il promet.

Compétences

• Repérer qui peut voir votre trafic sur un réseau donné, avec et sans VPN.
• Lire la politique de confidentialité d’un fournisseur : journaux, partage, financement.
• Retrouver les réglages VPN et les autorisations des applications VPN sur votre téléphone.

Conscience du risque

• Comprendre qu’un VPN change qui peut voir votre trafic, au lieu de le cacher à tous les regards.
• Savoir qu’il ne vous cache pas aux services sur lesquels vous vous connectez, ni aux cookies et à l’empreinte du navigateur.
• Reconnaître qu’un VPN « gratuit » se finance d’une manière ou d’une autre, et que la réponse compte.

Comportements sûrs

• Utiliser un VPN pour une raison que vous savez nommer, non par habitude.
• Choisir un fournisseur dont vous avez vérifié les promesses ; retirer les applications VPN inutilisées.
• Réserver les opérations sensibles aux connexions de confiance ou, à défaut, aux données mobiles du forfait, avec ou sans VPN.

G. Questions pour réfléchir

• À qui préféreriez-vous confier la liste des sites que vous visitez : votre fournisseur d’accès, le réseau d’un hôtel ou une entreprise de VPN ?
• Que devrait vous montrer un fournisseur de VPN pour que vous lui accordiez votre confiance ?
• Parmi les informations que vous tenez le plus à garder privées, lesquelles sont connues des services sur lesquels vous vous connectez, là où un VPN ne change rien ?

H. Que faire maintenant

Les recommandations (R) et mesures de sécurité (MS) de la base Cyber Welfare qui s’appliquent le plus directement ici.

1. Avant de chercher un VPN

• R9 — Se connecter uniquement en HTTPS : l’enveloppe fermée du web : il protège ce que vous envoyez à un site sur n’importe quel réseau, avec ou sans VPN.
• R13 — Contrôler les autorisations des applications : qui peut faire quoi : une application VPN peut déjà voir votre trafic, donc regardez aussi ses autres autorisations.
• R22 — Supprimer les applications inutilisées : moins de portes ouvertes sur votre téléphone, y compris les applications VPN installées pour un seul voyage.

Engagement minimal : aujourd’hui, terminez la phrase de l’étape 1 : « Je veux garder ___ à l’abri de ___. »

2. Si vous décidez qu’un VPN vous convient

• R11 — VPN pour le trafic confidentiel : quand il sert vraiment sur les réseaux auxquels vous ne faites pas confiance, avec un fournisseur passé au crible des cinq questions de l’étape 3.
• MS10 — Configurer un VPN sur le routeur couvre d’un coup tous les appareils de la maison : une étape plus avancée, une fois que vous avez un fournisseur de confiance (voir la fiche du cours Sécurité en ligne ci-dessus).

Engagement minimal : avant d’installer ou de renouveler un VPN, vérifiez un seul point de sa politique de confidentialité : écarte-t-il par écrit la conservation de journaux ?

En bref

• Que cache un VPN ? Votre navigation, au réseau local et à votre fournisseur d’accès, et votre adresse aux sites que vous visitez.
• Il ne vous cache pas aux services sur lesquels vous vous connectez, ni aux cookies ou à l’empreinte du navigateur, et il ne vous rend pas anonyme.
• Un VPN déplace la confiance vers le fournisseur : ses journaux, ses audits, son financement et le droit qui s’applique sont ce que vous choisissez vraiment.
• « Je n’en ai pas besoin » peut être une réponse éclairée. « Celui-ci, pour cette raison » aussi.

Ressources associées dans ce cours

• Vie privée sur un Wi-Fi public : ce que sait un réseau ouvert
• Wi-Fi public avec mot de passe : ce qu’il protège vraiment
• Cadenas HTTPS : ce qu’il garantit, et ce qu’il ne dit pas
• Que peut voir mon fournisseur d’accès internet à la maison ?

Découvrez d’autres fiches complémentaires des cours du programme Protégez votre Vie Privée Numérique.