Un VPN sur le routeur de la maison : ce qu’il fait, et ce qu’il ne fait pas

Fiche complémentaire de la leçon « Un VPN sur le routeur de la maison : ce qu’il fait et ce qu’il ne fait pas » — cours Sécurité en ligne

Un VPN installé sur le routeur couvre d’un coup tous les appareils de la maison, y compris ceux qui ne peuvent pas faire tourner un VPN eux-mêmes. C’est réellement utile, pour des raisons précises — et il vaut la peine d’être précis sur ces raisons.

C’est aussi la fiche de ce cours la moins appuyée sur des sources françaises, et nous le disons d’emblée : nous n’avons trouvé aucune source publique française sur le VPN installé sur le routeur de la maison. Cybermalveillance.gouv.fr et l’ANSSI parlent du VPN sur les Wi-Fi publics et en télétravail, qui sont deux autres sujets. La CNIL, en revanche, dit très clairement ce qu’un VPN fait et ne fait pas, et c’est sur elle que s’appuie cette fiche, avec l’EFF pour la partie routeur.

A. Pourquoi c’est important

Un VPN — pour virtual private network, réseau privé virtuel — crée une connexion chiffrée entre votre appareil et un serveur de l’entreprise qui fournit le service. Votre trafic arrive sur internet depuis ce serveur, et non depuis votre connexion à la maison.

Le configurer sur le routeur plutôt que sur chaque appareil couvre toute la maison d’un coup, y compris les téléviseurs, les consoles et les objets connectés qui ne peuvent pas faire tourner de logiciel VPN. C’est l’intérêt pratique, et il est réel.

En France, une précision s’impose : chez la plupart des gens, le routeur, c’est la box du fournisseur d’accès. Or les box fournies par les opérateurs ne proposent souvent pas ce réglage, et installer un VPN pour toute la maison passe alors souvent par un second routeur, branché derrière la box.

Ce que disent les sources françaises, et ce qu’elles ne disent pas

Les autorités françaises parlent du VPN dans deux situations. Pour les Wi-Fi publics, Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes, écrit : « Si vous n’avez d’autre choix que d’utiliser un WiFi public, veillez à ne jamais y réaliser d’opérations sensibles et utilisez si possible un réseau privé virtuel (VPN). » Pour le télétravail, il s’adresse aux employeurs : « Systématisez les connexions sécurisées à vos infrastructures par l’emploi d’un « VPN » ». Ce sont deux conseils de VPN sur l’appareil, pour des réseaux qui ne sont pas les vôtres. Aucun ne parle du routeur, du réseau de la maison ou du VPN face à votre fournisseur d’accès, et s’en servir pour ouvrir ce sujet reviendrait à leur faire dire ce qu’ils ne disent pas.

La CNIL est la source française la plus utile ici, parce qu’elle dit les deux côtés. Dans sa page de 2022 sur les nouvelles méthodes de traçage, elle explique que le VPN chiffre les communications et que « les données de navigation sont ainsi protégées d’un éventuel attaquant ». Puis elle ajoute : « Toutefois, l’entreprise qui fournit le service conserve la connaissance de votre adresse IP et des sites visités, et peut transmettre ces informations à des tiers. »

Cette fiche est au niveau FL4 — Confirmé, parce qu’elle touche à la configuration du routeur et à un vrai compromis. Ce n’est une première étape pour personne, et elle ne remplace rien de ce que couvrent les fiches précédentes.

B. Notions clés

Six idées, limites comprises.

Ce que chiffre un VPN

La connexion entre vous et le serveur du VPN. À partir de là, le trafic continue son chemin normalement.

Pourquoi c’est important pour vous : c’est le point que beaucoup de descriptions laissent flou. Le chiffrement couvre la première partie du trajet, pas le trajet entier.

Ce qu’il cache, et à qui

Votre navigation est cachée au réseau local et à votre fournisseur d’accès. Votre adresse IP — l’adresse de votre connexion sur internet — est cachée aux sites que vous visitez, qui voient à la place celle du serveur VPN.

Pourquoi c’est important pour vous : ce sont deux avantages réels, dans des circonstances précises : sur un réseau auquel vous ne faites pas confiance, ou quand la visibilité de votre fournisseur d’accès vous gêne.

Ce qu’il ne fait pas

Il n’arrête ni les logiciels malveillants, ni l’hameçonnage (phishing), ni le traçage fait par les sites sur lesquels vous vous connectez, ni la prise d’empreinte du navigateur. Il ne vous rend pas anonyme.

Pourquoi c’est important pour vous : il faut le dire, parce que la publicité présente souvent les VPN comme une protection à tout faire. La CNIL les range d’ailleurs parmi plusieurs outils contre le traçage, chacun avec ses limites, et non comme une solution complète.

Le fournisseur de VPN devient celui à qui vous faites confiance

Tout ce que votre fournisseur d’accès pouvait voir, l’entreprise du VPN peut le voir.

Pourquoi c’est important pour vous : c’est le compromis central, et c’est ce qui fait du choix du fournisseur la décision la plus importante : pays d’établissement et droit applicable, politique de conservation des journaux, audits indépendants, modèle économique. La CNIL le dit en une phrase : l’entreprise « peut transmettre ces informations à des tiers ».

Serveur VPN et client VPN

Deux choses différentes, qui portent le même nom. Un serveur VPN sur le routeur vous permet d’entrer dans votre réseau de la maison quand vous êtes à l’extérieur. Un client VPN fait sortir tout le trafic de la maison par un fournisseur de VPN. Cette fiche parle du second.

Pourquoi c’est important pour vous : l’avantage du client VPN sur le routeur, c’est la couverture et la régularité. Ses inconvénients : il s’applique à tout, sans distinction, et de nombreux services bloquent ou ralentissent le trafic qui vient de serveurs VPN connus.

Performances et compatibilité

Faire passer tout le trafic de la maison par un VPN réduit le débit, parfois nettement, et dépend de la puissance du routeur.

Pourquoi c’est important pour vous : beaucoup de routeurs domestiques n’ont pas la puissance nécessaire pour bien le faire, et en France le routeur est le plus souvent la box de l’opérateur. Un second obstacle concerne le serveur VPN : pour entrer chez vous depuis l’extérieur, il faut une adresse IP publique, ce que tous les abonnements ne fournissent pas. Ces contraintes pratiques tranchent souvent la question.

C. Un exemple concret : quand cela vaut la peine, et quand non

Une situation où c’est pertinent

• Un foyer qui veut que son fournisseur d’accès voie moins de choses de sa navigation.
• Des objets connectés — un téléviseur, une console — qui ne peuvent pas faire tourner de VPN mais envoient des données à l’extérieur.
• Un routeur capable de gérer le chiffrement sans diviser le débit par deux.
• Un fournisseur de VPN choisi en connaissance de cause, avec une politique de journaux publiée et auditée.

Une situation où cela ne l’est pas

• Quelqu’un qui attend de ce réglage qu’il arrête l’hameçonnage, les logiciels malveillants ou le piratage de comptes.
• Un foyer dont la box ne sait pas bien le faire : le résultat est une connexion lente et une fausse impression d’être couvert.
• Quelqu’un qui n’a pas encore fait ce que demandent les fiches précédentes : mots de passe uniques, deuxième facteur, mises à jour. Cela compte beaucoup plus.

L’ordre honnête : un VPN au niveau du routeur est une étape raisonnable pour qui a déjà fait l’essentiel et a une raison précise. Ce n’est pas par là qu’on commence.

D. Essayez : décider avant de configurer

Une dizaine de minutes, consacrées volontairement à la décision et non à l’installation, parce que c’est la décision qui fait presque toute la valeur de l’exercice.

Étape 1 — Formulez votre raison

• Que voulez-vous changer, concrètement ? La visibilité de votre fournisseur d’accès ? La protection des appareils qui ne peuvent pas faire tourner de VPN ? Autre chose ?
• Si la réponse est générale — « pour être plus en sécurité » —, les fiches précédentes feront davantage pour vous.

Étape 2 — Regardez votre box ou votre routeur

• Prend-il en charge le mode client VPN ? Les box fournies par les opérateurs, souvent, non.
• Si oui, quel débit tient-il avec le chiffrement activé ? L’information est en général publiée.
• Si ce que vous voulez, c’est entrer chez vous depuis l’extérieur, et non faire sortir votre trafic, vérifiez aussi que vous disposez d’une adresse IP publique : sans elle, un serveur VPN sur le routeur ne fonctionne pas.

Étape 3 — Choisissez le fournisseur avec soin

• Où est-il établi, et sous quel droit ?
• Quelle est sa politique de conservation des journaux, et a-t-elle été auditée de façon indépendante ?
• Comment le service est-il financé ? Un VPN gratuit doit bien gagner de l’argent quelque part, et c’est souvent votre trafic qui est le produit.

Étape 4 — Décidez de la portée

• Tout le trafic, ou seulement certains appareils ? Beaucoup de routeurs permettent les deux.
• Le routage sélectif permet de laisser hors du VPN les services de streaming et de banque en ligne, qui bloquent souvent le trafic venant d’un VPN.

Si l’étape 1 ne donne pas de réponse précise, c’est aussi un résultat utile. Rien ne vous oblige à adopter tous les outils.

E. Vidéos, articles et autres ressources

Les conseils institutionnels sur le VPN pour les particuliers sont rares, et nous n’en avons trouvé aucun en France pour le cas du routeur. Ces sources couvrent le terrain autour.

Sources françaises

CNIL — Nouvelles méthodes de traçage en ligne : quelles solutions pour se protéger ? (février 2022)
La source française la plus utile de cette fiche : ce que protège un VPN, et pourquoi le fournisseur du service devient celui qui voit votre adresse IP et vos sites. La page présente aussi d’autres outils, comme le DNS via HTTPS. Certains exemples ont vieilli (elle cite iOS 15).
https://www.cnil.fr/fr/nouvelles-methodes-de-tracage-en-ligne-quelles-solutions-pour-se-proteger

Cybermalveillance.gouv.fr — Les 10 mesures essentielles pour assurer votre cybersécurité
La mesure 10 : éviter les Wi-Fi publics, préférer la connexion de votre abonnement mobile, et utiliser si possible un VPN. Le cas où le VPN fait consensus : les réseaux qui ne sont pas les vôtres.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique

Cybermalveillance.gouv.fr — Recommandations de sécurité informatique pour le télétravail
Le VPN de l’employeur, pour accéder aux systèmes de l’entreprise : un autre sujet, à lire comme tel.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/actualites/recommandations-securite-informatique-teletravail

ANSSI — Bonnes pratiques : protégez-vous
Les conseils de l’agence nationale au grand public : sur un Wi-Fi public, « utilisez, si possible, un réseau privé virtuel (VPN) ». Rien sur la box ni sur le routeur.
https://cyber.gouv.fr/bonnes-pratiques-protegez-vous

Références internationales conservées

EFF — Surveillance Self-Defense (en anglais)
Le contenu indépendant le plus équilibré sur ce qu’un VPN protège et ne protège pas, avec un guide pour choisir un fournisseur.
https://ssd.eff.org/

CISA — Securing your home Wi-Fi (en anglais)
La configuration du routeur en général, préalable à celle-ci.
https://www.cisa.gov/audiences/high-risk-communities/projectupskill/module5

NCSC (Royaume-Uni) — Smart devices: using them safely in your home (en anglais)
Utile pour la principale raison de passer par le routeur : les appareils qu’on ne peut pas protéger un par un.
https://www.ncsc.gov.uk/guidance/smart-devices-in-the-home

Liens vérifiés le 26 septembre 2026. Méfiez-vous des sites comparatifs de VPN : une bonne partie est rémunérée par des commissions des fournisseurs qu’ils classent.

F. Le Framework Cyber Welfare : Compétences, Conscience du risque, Comportements sûrs

Cette leçon relève du pilier Compétences, au niveau FL4 — Confirmé. Elle suppose que tout ce qui va de FL1 à FL3 est déjà fait.

Compétences

• Juger si un routeur peut vraiment faire tourner un client VPN de façon utile.
• Évaluer un fournisseur de VPN sur son pays d’établissement, ses journaux et ses audits, et non sur son marketing.
• Configurer un routage sélectif plutôt que de tout couvrir sans distinction.

Pour les professionnels et les organisations

• Distinguer le VPN de l’organisation, qui donne accès aux systèmes internes, du VPN grand public, qui change qui voit le trafic. C’est le premier que recommande Cybermalveillance.gouv.fr aux employeurs.

Conscience du risque

• Comprendre qu’un VPN déplace la confiance au lieu de la rendre inutile.
• Reconnaître qu’il ne traite aucun des risques couverts par les fiches sur les mots de passe, l’hameçonnage et les appareils.
• Savoir qu’un service gratuit doit bien être payé par quelqu’un.

Pour les futurs formateurs et ambassadeurs

• Être prêt à dire qu’un VPN n’est pas nécessaire. Le survendre est tentant, et fait perdre en crédibilité sur tout le reste.

Comportements sûrs

• Adopter un VPN pour une raison formulée, et non comme protection générale.
• Choisir le fournisseur en connaissance de cause.
• Garder le micrologiciel du routeur à jour, ce qui compte encore plus quand c’est lui qui fait ce travail.

Pour les organisations

• Fournir un VPN d’organisation pour l’accès aux systèmes internes, en étant clair sur le fait que son but est différent.

G. Questions à emporter

1. Si vous utilisez un VPN, contre quoi pensiez-vous qu’il vous protégeait ? Et le fait-il ?
2. Préféreriez-vous que ce soit votre fournisseur d’accès ou une entreprise de VPN qui voie votre trafic ? Pourquoi ?
3. Avez-vous déjà fait ce que demandent les fiches précédentes — mots de passe uniques, deuxième facteur, mises à jour — avant de penser à cela ?
4. Votre box ou votre routeur prend-il en charge un client VPN, et à quel débit ?

H. Ce que vous pouvez faire maintenant

Les recommandations (R) et les mesures de sécurité (MS) de la base Cyber Welfare qui s’y rattachent.

La place du VPN

• R11 — Utiliser un VPN pour le trafic confidentiel, en dehors d’un réseau de confiance. C’est le cas que recommandent Cybermalveillance.gouv.fr et l’ANSSI.
• MS10 — Pour une installation domestique plus avancée, configurer le VPN directement sur la box ou le routeur.

Engagement minimum : ces deux recommandations précisent dans quelles circonstances elles s’appliquent. Aucune ne présente le VPN comme une protection générale.

Ce qui compte davantage, dans l’ordre

• R1, R2, R3 — Des identifiants uniques, dans un gestionnaire de mots de passe.
• R4 — L’authentification à deux facteurs (2FA) sur les comptes essentiels. Note de vocabulaire : Cybermalveillance.gouv.fr parle de « double authentification », ou de « validation ou vérification en deux étapes » ; dans les menus, vous lirez « identification à deux facteurs » chez Apple, « validation en deux étapes » chez Google et « vérification en deux étapes » chez Microsoft.
• R6 — Tout garder à jour, y compris la box ou le routeur.
• R9 — Se connecter uniquement en HTTPS, qui chiffre déjà le contenu que beaucoup de gens croient protégé par le VPN. Cybermalveillance.gouv.fr demande de vérifier « que l’adresse du site Internet commence par « https:// » ».

Engagement minimum : si l’une de ces étapes n’est pas encore faite, elle vous apportera davantage qu’un VPN.

En résumé

• Un VPN change qui voit votre trafic ; il ne dispense pas de faire confiance à quelqu’un.
• Le configurer sur le routeur couvre les appareils qu’on ne peut pas protéger un par un : c’est l’argument le plus fort en sa faveur.
• Il ne fait rien contre l’hameçonnage, les logiciels malveillants ou le traçage des services sur lesquels vous vous connectez. La CNIL rappelle en outre que le fournisseur voit votre adresse IP et vos sites.
• Beaucoup de box d’opérateur ne le font pas, ou pas assez bien pour que cela vaille la peine.
• Nous n’avons trouvé aucune source publique française sur le VPN installé sur le routeur : Cybermalveillance.gouv.fr et l’ANSSI parlent du Wi-Fi public et du télétravail, qui sont d’autres cas.

Autres ressources de ce cours

Le réseau sur lequel cela tourne, et ce qu’il faut faire d’abord :

• Sécuriser sa box internet : c’est par là que tout commence
• Le Wi-Fi public est-il dangereux ? Ce qui a vraiment changé
• Appareils connectés à la box : les compter tous

Découvrez d’autres fiches complémentaires des cours du programme Protégez votre Vie Privée Numérique.