VPN : ce qu'il change vraiment, et ce qu'il ne change pas

Par La rédaction de Mon-Adresse-IP.net·Publié le 22 mai 2026·Mis à jour le 21 août 2026·

Un VPN ne supprime pas l'observateur de votre trafic : il le déplace. Comprendre précisément ce qui change pour votre opérateur, pour les sites visités et pour le fournisseur du tunnel est la seule façon de décider si vous en avez besoin, lequel choisir, et quand l'éteindre.

Ce qu'est un VPN, et les deux mondes qu'on confond

Un VPN, pour Virtual Private Network, est un tunnel chiffré entre votre appareil et un serveur distant. Le principe technique est ancien et parfaitement banal : on encapsule des paquets dans d'autres paquets, on chiffre le tout, et on ressort à l'autre bout comme si l'on était physiquement branché là-bas.

Ce même mécanisme sert aujourd'hui à deux usages sans rapport, et la confusion entre les deux est la source de la moitié des malentendus sur le sujet.

• Le VPN d'accès distant, dit « VPN d'entreprise ». Il existe pour vous rattacher au réseau interne d'une organisation : serveurs de fichiers, applications métier, imprimantes, ressources qui ne sont pas exposées sur Internet. L'objectif est l'accès, pas la confidentialité vis-à-vis de l'employeur : qui est précisément celui qui exploite le serveur. En configuration « tunnel complet », toute votre navigation, y compris personnelle, transite par l'entreprise et peut y être journalisée et filtrée. En configuration « tunnel partagé », seul le trafic à destination du réseau interne passe par le tunnel.
• Le VPN grand public, dit « VPN commercial ». Il existe pour substituer une adresse IP à la vôtre et soustraire votre trafic au regard de votre fournisseur d'accès. L'objectif est la confidentialité vis-à-vis du réseau local et de l'opérateur, au prix d'un transfert de confiance vers l'éditeur du service.

Les deux se pilotent depuis une icône similaire et emploient parfois les mêmes protocoles, décrits dans notre guide sur les protocoles VPN. Ils ne répondent pourtant pas à la même question. Utiliser le VPN de son employeur pour « protéger sa vie privée » pendant une pause revient à confier sa navigation personnelle à son service informatique : exactement le contraire de l'effet recherché.

Ce qu'un VPN change exactement, étape par étape

Pour juger un VPN, il faut savoir ce que chaque acteur du trajet observe avant et après son activation. Reprenons une requête ordinaire vers un site en HTTPS.

Sans VPN. Votre appareil demande d'abord à un résolveur DNS, généralement celui de votre opérateur, l'adresse correspondant au nom du site. Cette requête part en clair si vous n'avez pas activé de DNS chiffré. Votre appareil ouvre ensuite une connexion vers l'adresse obtenue. Le contenu échangé est chiffré par TLS, mais l'adresse de destination, le volume et l'horodatage ne le sont pas, et le nom du serveur demandé apparaît en clair dans le champ SNI de la négociation TLS, sauf si le chiffrement de ce champ est disponible des deux côtés. Autrement dit : votre opérateur ne lit pas vos messages, mais il sait très précisément où vous allez.

Avec VPN. Le tunnel est monté vers un serveur unique. Votre opérateur ne voit plus qu'un flux chiffré constant vers une adresse d'hébergeur, sans distinguer les destinations. Le résolveur DNS utilisé devient normalement celui du fournisseur de VPN, atteint à l'intérieur du tunnel. Le site visité, lui, voit l'adresse du serveur de sortie et la localisation associée ; le principe est détaillé dans notre page sur les méthodes pour masquer son adresse IP. Le fournisseur de VPN, en revanche, occupe désormais la position exacte que votre opérateur occupait auparavant.

Avec VPN et DNS chiffré. Le gain marginal est réel mais limité au cas où le tunnel tombe ou fuit : si les requêtes DNS sont chiffrées vers un résolveur choisi par vous, une fuite hors tunnel n'expose plus la liste des noms consultés au résolveur de l'opérateur. Notre guide pour changer de DNS explique comment le configurer au niveau du système plutôt que du seul navigateur.

Une lecture attentive de ce tableau suffit à répondre à la plupart des questions : le VPN excelle sur la colonne « réseau local et opérateur », il n'a strictement aucun effet sur la ligne des cookies et de l'empreinte, et il crée une nouvelle ligne de risque, celle du fournisseur du tunnel.

La question centrale : à qui faites-vous confiance

C'est le point que les pages promotionnelles évitent, et c'est pourtant le seul qui compte vraiment. Sans VPN, votre trafic est observable par votre fournisseur d'accès, entité réglementée, identifiable, soumise au droit français et européen, avec un service juridique et une adresse postale. Avec VPN, il l'est par une société qui peut être immatriculée n'importe où, dont l'actionnariat réel n'est pas toujours public, et dont la seule garantie tient dans une promesse écrite.

Le VPN ne supprime donc pas l'observateur : il le remplace. La question devient « lequel des deux préférez-vous ? », et la réponse dépend entièrement de votre situation. Sur un réseau d'hôtel étranger, la réponse est évidente. Sur votre ligne fixe chez un opérateur français, elle est beaucoup moins tranchée : notre page sur la conservation des données par les fournisseurs d'accès décrit précisément ce que l'opérateur enregistre et pendant combien de temps.

La juridiction, et pourquoi elle compte moins qu'on ne le dit

Le pays d'établissement détermine les obligations de conservation, les procédures de réquisition applicables et la possibilité pour l'éditeur d'informer ou non ses utilisateurs. Une juridiction réputée peu contraignante est souvent mise en avant comme argument de vente. La nuance à garder en tête est double : d'une part, une société peut être immatriculée dans un pays et exploiter ses serveurs dans une dizaine d'autres, chacun avec ses propres règles ; d'autre part, un service peut coopérer volontairement, indépendamment de toute obligation. La juridiction est un indice, pas une garantie.

Les audits indépendants : ce qu'ils prouvent et ce qu'ils ne prouvent pas

Plusieurs éditeurs font auditer leur politique de journalisation par un cabinet extérieur. C'est un progrès réel par rapport à une simple affirmation. Il faut cependant lire ce qui a été audité.

• Un audit est une photographie à une date donnée : il constate la configuration observée lors de la visite, pas celle du mois suivant.
• Le périmètre varie énormément : certains audits portent sur l'infrastructure complète, d'autres sur une application, d'autres encore sur la seule cohérence entre la politique publiée et les procédures internes.
• L'auditeur travaille sur les systèmes qu'on lui montre. Il ne peut pas exclure l'existence d'une capture en amont, imposée ou volontaire.
• Un rapport complet et publié en intégralité vaut infiniment mieux qu'un logo « audité » sur une page d'accueil, sans lien vers le document.

Un dernier signal, souvent plus parlant que les audits : les affaires judiciaires dans lesquelles un service a été sommé de fournir des données et n'a rien pu produire. Ces épisodes, quand ils sont documentés publiquement, constituent la vérification la plus concrète d'une politique de non-journalisation.

Les critères de choix, dans le bon ordre

Les comparatifs classent par vitesse et par nombre de serveurs, car ce sont des chiffres faciles à afficher. Ce sont pourtant les critères les moins discriminants : à ce niveau de marché, presque tous les services sérieux sont assez rapides. Voici les critères rangés par importance réelle, sans aucune marque.

Un critère absent de ce tableau mérite d'être signalé : le nombre total de serveurs. Il n'a presque aucune valeur informative. Mille serveurs saturés valent moins que cent serveurs correctement dimensionnés, et le chiffre n'est vérifiable par personne de l'extérieur.

Le cas particulier des VPN gratuits

Le problème des VPN gratuits n'est pas moral, il est structurel, et il tient à la nature même du service. Un VPN consomme de la bande passante en volume, pour chaque utilisateur, en permanence, et cette bande passante se paie au gigaoctet transféré. Contrairement à un service qui héberge du texte ou des images, il n'existe aucun effet d'échelle qui rendrait le coût marginal négligeable. Un fournisseur gratuit doit donc financer un coût variable élevé sans recette variable : le déséquilibre doit être comblé quelque part.

Les mécanismes de compensation observés sont connus : insertion de publicités dans les pages, redirection de liens commerciaux, collecte et revente de données de navigation, et surtout le plus problématique, l'utilisation des appareils des utilisateurs comme nœuds de sortie pour un réseau de proxys résidentiels revendu à des tiers. Dans ce dernier cas, du trafic inconnu ressort par votre ligne, sous votre adresse IP, avec les conséquences que cela suppose. Notre guide sur les proxys explique comment fonctionnent ces réseaux.

Deux formules gratuites échappent à ce raisonnement :

• L'offre limitée d'un éditeur payant. Un quota de données mensuel, un choix de pays restreint, un débit bridé. Le modèle est cohérent : les abonnés financent l'infrastructure, la version gratuite sert de vitrine et de produit d'appel. Vérifiez tout de même que la politique de confidentialité est bien la même pour les deux formules.
• Les services associatifs ou militants. Financés par des dons ou par une structure à but non lucratif, souvent avec un code ouvert et une capacité modeste assumée. La contrepartie est une performance variable et une capacité limitée, pas votre navigation.

Vérifier que son VPN fonctionne vraiment

Installer une application et voir un cadenas vert ne prouve rien. Voici la vérification complète, à faire une fois à l'installation, puis après chaque mise à jour majeure du système ou de l'application.

1. Relevez votre situation de départ. VPN désactivé, ouvrez la page d'accueil et notez l'adresse IP affichée, l'opérateur associé et la ville. Si une adresse IPv6 apparaît, notez-la aussi : c'est elle qui fuit le plus souvent.
2. Activez le tunnel et rechargez. L'adresse doit avoir changé, et l'organisation affichée doit désormais être un hébergeur ou le fournisseur de VPN, pas votre opérateur. Si le nom de votre fournisseur d'accès apparaît toujours, le tunnel ne transporte pas votre trafic web.
3. Vérifiez l'IPv6. Toujours sur la page d'accueil, contrôlez qu'aucune adresse IPv6 appartenant à votre opérateur ne subsiste. Si c'est le cas, votre application ne gère pas l'IPv6 : désactivez-le dans les réglages du tunnel ou au niveau du système. Notre page sur l'IPv6 à la maison explique où se trouve ce réglage sur les box françaises.
4. Testez WebRTC. Ouvrez notre test de fuite WebRTC avec le tunnel actif. Seule l'adresse du serveur VPN doit apparaître. Une adresse locale en 192.168.x.x n'est pas grave ; votre adresse publique réelle, si.
5. Contrôlez le DNS. Le résolveur interrogé doit être celui du fournisseur de VPN ou celui que vous avez choisi, jamais celui de votre box. Si vous avez configuré un DNS chiffré, vérifiez qu'il reste actif une fois le tunnel monté : certaines applications le remplacent silencieusement.
6. Inspectez vos en-têtes HTTP. Notre outil mes en-têtes HTTP révèle la présence d'un intermédiaire non annoncé, par exemple un proxy inséré par l'application. La présence d'en-têtes comme X-Forwarded-For ou Via mérite explication.
7. Éprouvez le kill switch. Lancez un téléchargement volumineux, puis coupez brutalement le tunnel : en tuant le processus ou en désactivant l'interface, pas en cliquant sur « déconnecter », ce qui suit un chemin propre. Le transfert doit s'arrêter net. S'il continue, votre adresse réelle vient d'être exposée.
8. Recommencez après un changement de réseau. Passez du Wi-Fi aux données mobiles, mettez l'appareil en veille dix minutes, puis reprenez au point 2. C'est dans ces transitions que les fuites apparaissent, et jamais pendant un test statique.

Les usages où le VPN est réellement utile

• Les réseaux que vous ne contrôlez pas. Wi-Fi d'hôtel, d'aéroport, de gare, de coworking, de copropriété. C'est l'usage historique et le plus solide : le tunnel neutralise l'observation par les autres usagers et par l'exploitant du réseau. Notre guide sur le Wi-Fi public détaille les risques concernés.
• Soustraire sa navigation à son opérateur. Motif parfaitement légitime, notamment pour des consultations sensibles : santé, situation juridique, orientation, engagement syndical ou politique. Ces catégories relèvent des données sensibles au sens du RGPD.
• Contourner un filtrage réseau abusif imposé par un hôtel ou un opérateur de passage, tant que cela ne contrevient à aucun règlement auquel vous avez souscrit.
• Éviter la discrimination par le lieu. Tarifs ou contenus modulés selon le pays d'origine de la connexion, à condition de rester dans les conditions d'utilisation du service concerné.
• Se protéger d'un ciblage direct. En jeu vidéo compétitif, en diffusion en direct ou lors d'échanges pair-à-pair, votre adresse peut être connue d'inconnus. Le tunnel présente une adresse jetable à leur place, comme l'explique notre page sur l'IP et les jeux vidéo.
• Accéder à ses ressources professionnelles : avec le VPN d'entreprise, et lui seul, dans sa configuration prévue.
• Tester un site depuis un autre pays pour vérifier un affichage, une redirection ou une règle de géolocalisation, comme le décrit notre guide sur la géolocalisation par IP.

Les usages où il ne sert à rien

• Se cacher des services auxquels vous êtes connecté. Dès que vous ouvrez une session sur un compte, l'adresse IP devient un détail : le service sait qui vous êtes parce que vous le lui avez dit.
• Échapper au pistage publicitaire. Cookies, identifiants persistants et empreinte du navigateur survivent intégralement au changement d'adresse. Un bloqueur de traceurs et un cloisonnement des sessions font ici tout le travail ; le VPN n'y contribue quasiment pas.
• Se protéger des logiciels malveillants et de l'hameçonnage. Le tunnel transporte fidèlement un fichier infecté et une page frauduleuse. Les fonctions « blocage de sites dangereux » intégrées à certaines applications sont de simples filtres DNS, utiles mais très en deçà d'une protection sérieuse.
• Sécuriser un site en HTTPS. La connexion est déjà chiffrée de bout en bout. Le VPN n'ajoute rien sur ce plan précis ; il agit sur les métadonnées, pas sur le contenu.
• Chez soi, contre un adversaire ciblé. Si quelqu'un vous vise personnellement, le point faible ne sera pas votre adresse IP mais vos mots de passe, vos appareils et vos comptes. Voir notre page sur les risques liés à l'adresse IP.
• Rendre légale une activité qui ne l'est pas. Le tunnel ne modifie ni la qualification des faits, ni la responsabilité, ni les capacités d'enquête.
• Améliorer une connexion déjà saine. Sur une ligne fibre correctement raccordée à un serveur proche, le tunnel ne peut qu'ajouter de la latence.

VPN et performance : où passe le débit

Une baisse de débit avec un VPN est normale. Son ampleur, en revanche, s'explique par quatre facteurs identifiables, qu'il est utile de savoir distinguer avant d'accuser le fournisseur.

• La distance, et la physique. Dans une fibre, un signal se propage à environ 200 000 kilomètres par seconde. Un aller-retour vers un serveur situé à 1 000 km coûte donc au minimum 10 millisecondes, avant même de compter les équipements traversés. Choisir un serveur à Singapour depuis Lyon pour « plus de sécurité » ajoute mécaniquement plus de 150 ms de latence. Un traceroute avec et sans tunnel rend le détour immédiatement visible.
• Le chiffrement. Sur un ordinateur récent doté d'accélération matérielle, le coût processeur est marginal. Sur un téléphone d'entrée de gamme, un boîtier NAS ou surtout un routeur domestique, il devient le facteur limitant : beaucoup de routeurs grand public plafonnent bien en dessous de leur débit habituel dès qu'un tunnel est actif.
• Le surcoût d'en-tête et la fragmentation. Encapsuler des paquets consomme quelques dizaines d'octets par paquet. Si la taille maximale de paquet n'est pas ajustée en conséquence, chaque paquet plein est fragmenté en deux, ce qui peut faire chuter le débit bien au-delà des quelques pour cent attendus. Un débit anormalement bas alors que la latence est correcte est le symptôme typique d'un problème de MTU.
• La charge du serveur de sortie. Vous partagez un lien avec les autres utilisateurs connectés au même serveur. Aux heures de pointe, l'écart entre deux serveurs du même fournisseur peut être considérable. Testez-en plusieurs avant de tirer une conclusion.

Le choix du protocole intervient également : un tunnel traité dans le noyau du système est nettement plus efficace qu'un tunnel traité en espace utilisateur, et un tunnel transporté en TCP se dégrade fortement sur une liaison instable. Ces mécanismes sont détaillés dans notre comparatif des protocoles VPN.

Quand le VPN améliore la connexion

Le cas existe et surprend souvent. Le débit entre vous et un service ne dépend pas seulement de votre abonnement, mais du chemin emprunté : si le point d'interconnexion entre votre opérateur et le réseau qui héberge le service est saturé aux heures de pointe, votre débit s'effondre alors que votre ligne va très bien. Un tunnel vous fait ressortir ailleurs, par un opérateur d'hébergement généralement très bien interconnecté, et contourne le goulot d'étranglement. C'est pour la même raison qu'un VPN peut stabiliser une session de jeu : non pas en « accélérant » quoi que ce soit, mais en substituant un itinéraire plus régulier à un itinéraire médiocre. Le diagnostic se fait à l'ancienne : mesurez le même transfert avec et sans tunnel, à la même heure, et comparez.

VPN et blocages : captchas, banques, diffusion

Activer un VPN dégrade souvent la fluidité de la navigation ordinaire, pour une raison simple : vous adoptez une adresse partagée, appartenant à un hébergeur, et déjà utilisée par des milliers d'autres personnes. Aux yeux d'un système anti-abus, ces trois caractéristiques constituent un profil à risque.

• Captchas et vérifications répétées. C'est la manifestation la plus courante. La réputation de l'adresse de sortie a été dégradée par le comportement d'autres utilisateurs. Changer de serveur, ou choisir un serveur moins fréquenté, résout le problème dans la majorité des cas.
• Sites bancaires et administratifs. Beaucoup surveillent les changements brusques de pays ou refusent les plages d'adresses d'hébergeurs, par prévention de la fraude. Il est raisonnable de couper le tunnel pour ces usages, ou de sélectionner un serveur français : la connexion reste chiffrée par HTTPS de toute façon.
• Services de diffusion vidéo. Leurs contrats de distribution sont territoriaux, ce qui les oblige à détecter et bloquer les adresses d'hébergement. Le jeu du chat et de la souris est permanent : un serveur qui fonctionne aujourd'hui peut être bloqué demain. Aucun fournisseur ne peut garantir durablement cet usage, et contourner une restriction géographique peut contrevenir aux conditions d'utilisation du service.
• Messagerie électronique. Certains serveurs d'envoi refusent les connexions issues de plages d'hébergement pour limiter le pourriel. La conséquence typique est un message qui part depuis le téléphone mais pas depuis l'ordinateur sous tunnel.
• Blocage complet d'un site. Rare, mais possible quand une plage entière a été signalée. Notre page mon adresse IP est bloquée détaille la marche à suivre, y compris pour faire retirer une adresse d'une liste noire.

Ces frictions expliquent pourquoi beaucoup d'utilisateurs finissent par adopter un tunnel partagé : le VPN reste actif pour le navigateur, et les applications bancaires ou de messagerie l'évitent. La fonction porte le nom de split tunneling dans la plupart des applications.

Monter son propre VPN

L'idée revient régulièrement, et elle est excellente : à condition de bien voir ce qu'elle apporte. Deux montages complètement différents se cachent derrière la même expression.

La conclusion mérite d'être énoncée sans détour : un VPN auto-hébergé est un excellent outil d'accès distant et de contrôle technique, mais un mauvais outil de discrétion. La confidentialité d'un VPN commercial vient précisément du mélange : des centaines d'utilisateurs derrière une même adresse rendent l'attribution difficile. Seul derrière la vôtre, ce bénéfice disparaît. Si votre besoin est l'anonymat plutôt que la confidentialité, l'outil approprié est Tor, dont l'architecture à trois relais répond à une menace différente.

Cadre légal en France

Utiliser un VPN en France est légal, sans déclaration ni condition. Aucun texte n'interdit ni ne restreint le chiffrement d'une connexion pour un particulier, et l'usage est quotidien dans les entreprises comme chez les professionnels du numérique. Le point important est ailleurs : le tunnel ne change pas la qualification juridique de ce que vous faites. Les faits répréhensibles le restent, et les moyens d'enquête existent, notamment par les traces conservées chez l'hébergeur du serveur de sortie ou par les autres identifiants laissés en ligne.

Trois précisions utiles :

• Conservation des données. Un fournisseur de VPN établi en France est soumis aux obligations françaises de conservation des données de connexion, au même titre que d'autres opérateurs de communications électroniques. C'est un point à connaître avant de privilégier un service « français » pour de mauvaises raisons : notre page sur la conservation des données par les FAI détaille les durées applicables.
• À l'étranger. Quelques pays réglementent, restreignent ou soumettent les VPN à autorisation. Renseignez-vous avant un déplacement, en particulier si vous voyagez avec du matériel professionnel.
• En entreprise. Installer un VPN personnel sur un poste fourni par l'employeur contrevient généralement à la charte informatique, et peut désactiver des protections de sécurité que l'entreprise doit maintenir.

Enfin, l'adresse IP est une donnée à caractère personnel au sens du RGPD dès lors qu'elle permet, directement ou indirectement, d'identifier une personne. Cela vaut pour votre adresse réelle comme pour celle du serveur de sortie que vous empruntez ; les conséquences pratiques sont exposées dans notre guide adresse IP et RGPD.

Questions fréquentes