Un VPN gratuit est-il fiable ? 9 vérifications avant de l’installer

Un VPN voit toutes les connexions de votre téléphone. C’est sa raison d’être, et c’est pour cela qu’en choisir un mauvais est pire que de ne rien utiliser. Bonne nouvelle : pas besoin d’être ingénieur pour faire la différence. Ces neuf vérifications prennent quelques minutes, et la plupart des réponses se trouvent sur le site du fournisseur ou sur sa fiche Google Play.

Pourquoi « gratuit » mérite un second regard

Faire tourner un VPN coûte de l’argent : serveurs, bande passante, personnes. Si vous ne payez pas, quelqu’un d’autre paie, et la question est ce qu’il obtient en échange. Ce n’est pas théorique. Une étude de 283 applis Android utilisant l’autorisation VPN, présentée à l’Internet Measurement Conference en 2016, a relevé des tunnels peu sûrs, des applis laissant fuir le trafic DNS et IPv6 hors du tunnel, des applis intégrant des bibliothèques de pistage et certaines interceptant des connexions chiffrées. L’étude figure dans les sources en bas de page.

Cela ne rend pas dangereux tous les VPN gratuits. Cela veut dire que c’est à l’appli de prouver qu’elle est fiable.

Les 9 vérifications

1. Qui paie, et est-ce écrit ?

Cherchez une réponse claire sur le site : une offre payante qui finance la gratuite, un sponsor, les fonds propres du projet. « Nous sommes gratuits parce que votre vie privée compte » n’est pas une réponse. L’absence de réponse est un signal d’alarme.

2. Que conserve-t-il, par écrit et avec des durées ?

Un « sans logs » sur une bannière ne veut pas dire grand-chose. Une bonne politique de confidentialité liste ce qui est conservé, sous quelle forme et combien de temps, ligne par ligne. Notre article Que signifie « sans logs » ? montre quoi regarder.

3. Y a-t-il une société identifiable ?

Un nom, un pays, une adresse et des mentions légales. La juridiction décide quels tribunaux peuvent demander des données, et une société qu’on peut trouver est une société qu’on peut tenir à sa parole.

4. Contient-il des SDK publicitaires ou de pistage ?

Des bibliothèques de publicité et d’analyse dans une appli VPN, c’est mauvais signe : l’appli qui protège votre trafic ne devrait pas vous profiler. La section Sécurité des données de la fiche déclare ce que l’appli collecte et partage ; les outils qui analysent les applis à la recherche de traqueurs connus permettent de le vérifier.

5. Quelles autorisations demande-t-il ?

Un VPN a besoin de l’autorisation VPN d’Android et de l’accès au réseau. Il n’a aucune raison de lire vos contacts, vos fichiers ou vos SMS. S’il demande la localisation, il doit expliquer précisément pourquoi. L’autorisation VPN elle-même déclenche chez toutes les applis VPN un avertissement d’Android un peu inquiétant ; notre article d’aide sur cette autorisation explique ce qu’il signifie.

6. Y a-t-il des fuites ?

Connectez-vous, puis testez. Votre IP publique doit être celle du VPN, votre serveur DNS aussi, et l’IPv6 doit passer par le tunnel ou être bloqué. Notre test gratuit d’IP et de WebRTC montre dans le navigateur ce que voient les sites.

7. Quel protocole ?

WireGuard, ou une configuration éprouvée d’OpenVPN ou d’IPsec. Méfiez-vous d’un « chiffrement maison » que personne d’extérieur ne peut examiner.

8. Y a-t-il un kill switch ?

Sur Android, le plus fiable est intégré au système : VPN permanent et Bloquer les connexions sans VPN. Une bonne appli vous explique comment les activer, plutôt que de promettre un interrupteur maison que le système ne peut pas garantir.

9. Y a-t-il un rapport de transparence et un contact sécurité ?

Une page qui compte les demandes des autorités et les signalements d’abus, et un moyen de signaler des vulnérabilités (une page sécurité ou un fichier security.txt), montrent qu’un fournisseur s’attend à rendre des comptes.

Le résultat de PryVPN aux mêmes vérifications

Ce serait vous demander d’exiger des autres applis ce que nous ne faisons pas nous-mêmes si nous sautions cette partie. Voici donc notre propre ligne, lacunes comprises.

Un point sur neuf est encore « pas encore ». Nous préférons que vous le sachiez avant d’installer, pas après.

Les signaux qui doivent vous arrêter

• Pas de politique de confidentialité, ou une politique qui dit seulement « nous ne vendons pas vos données ».
• Des autorisations sans rapport avec le réseau.
• « Chiffrement de niveau militaire », « 100 % anonyme » ou « illimité, le plus rapide, le meilleur » sans preuve.
• Un APK à télécharger depuis un site au lieu d’une boutique de confiance.
• Des avis élogieux qui ne disent jamais ce que fait l’appli.

Questions fréquentes

Un VPN payant est-il forcément plus sûr ?

Non. Payer enlève une raison de monétiser vos données, mais les huit autres vérifications restent valables. Une appli payante avec des SDK publicitaires ou sans durées écrites échoue tout autant.

Sur un Wi-Fi public, un VPN gratuit vaut-il mieux que rien ?

S’il est fiable, oui : il cache au réseau les sites que vous visitez. S’il ne l’est pas, le risque passe simplement du Wi-Fi du café à une société dont vous ne savez rien. Notre guide sur le Wi-Fi public détaille ce que le réseau peut voir.

Puis-je vérifier moi-même les traqueurs d’une appli ?

En partie. La section Sécurité des données de Google Play est la déclaration du développeur lui-même. Les analyseurs de traqueurs qui examinent le paquet de l’appli donnent un avis indépendant sur les bibliothèques connues qu’elle contient.

Si PryVPN passe assez de ces vérifications à vos yeux, rejoignez la bêta et dites-nous laquelle vous voudriez nous voir régler en premier.

Vous avez repéré une erreur ? Écrivez-nous à support@pryvpn.com : nous la corrigeons et mettons la date à jour.