Faire tourner un réseau VPN coûte cher. Il faut des milliers de serveurs répartis dans le monde, une bande passante énorme, des ingénieurs pour les maintenir, des équipes de sécurité, des applications pour chaque appareil. Des millions d'euros chaque année.
Et pourtant, dans les boutiques d'applications, des dizaines de VPN se présentent comme « 100 % gratuits, illimités, sans inscription ».
Quand un service coûte aussi cher à faire fonctionner et ne vous coûte rien, quelqu'un paie à votre place. La seule vraie question est : qui ? Les réponses ont été documentées ces dernières années par des chercheurs et des journalistes. Certaines vont vous surprendre. Et la dernière est la plus inquiétante.
Pourquoi la question compte autant pour un VPN
Un VPN n'est pas une application comme les autres. Par définition, tout votre trafic internet passe par ses serveurs. C'est ce qui le rend utile, par exemple pour se protéger sur le Wi-Fi d'un stade ou d'un bar, comme nous l'expliquons dans les risques du Wi-Fi public. Mais c'est aussi ce qui le rend dangereux s'il est mal intentionné ou mal protégé : il voit exactement ce que le propriétaire du Wi-Fi ne voit plus.
Utiliser un VPN, c'est donc déplacer sa confiance : on cesse de faire confiance au réseau, pour faire confiance au fournisseur du VPN. Encore faut-il qu'il la mérite.
Première réponse : la publicité
Le modèle le plus courant est aussi le plus visible : des publicités dans l'application, parfois envahissantes. En soi, ce n'est pas un drame. Mais pour mieux vendre ces publicités, beaucoup d'applications embarquent des outils de pistage publicitaire, qui collectent des informations sur votre appareil et vos usages.
Une vaste étude publiée en 2016 par des chercheurs australiens et américains, portant sur près de 300 applications VPN pour Android, a montré que la grande majorité d'entre elles intégraient des bibliothèques de pistage, et qu'une partie ne chiffrait même pas correctement le trafic. Un VPN censé protéger votre vie privée qui vous piste : le paradoxe est total.
Deuxième réponse : vos données
Certains services gratuits collectent les sites que vous visitez, vos habitudes et votre localisation, puis les exploitent ou les revendent. Le cas le plus célèbre est celui d'Onavo Protect, une application VPN rachetée par Facebook, qui servait en réalité à analyser l'usage des autres applications par ses utilisateurs. Elle a été retirée de l'App Store d'Apple en 2018, après que cette collecte a été jugée contraire aux règles de la boutique.
Troisième réponse : votre connexion elle-même
En 2015, des chercheurs ont révélé que Hola, un service VPN gratuit très populaire, utilisait la connexion de ses utilisateurs gratuits comme points de sortie pour d'autres personnes, via un service payant revendu à des entreprises. Autrement dit, du trafic d'inconnus pouvait passer par votre propre connexion internet, avec votre adresse IP. Le service a dû clarifier ses conditions, mais le principe a marqué durablement le secteur.
La quatrième réponse, la plus inquiétante : les fuites
Beaucoup de VPN gratuits affichent fièrement une politique « no-log » : ils promettent de ne conserver aucune trace de votre activité. En 2020, des chercheurs en sécurité ont découvert qu'un groupe de sept applications VPN gratuites, utilisées par des millions de personnes et affichant justement cette promesse, avait laissé en accès libre une base de données contenant des informations sur leurs utilisateurs et leur activité.
Voilà la réponse la plus troublante à la question du début : parfois, personne ne paie volontairement. Ce sont simplement vos données qui finissent exposées, parce qu'un service gratuit n'avait ni les moyens ni l'intention de les protéger.
Tous les VPN gratuits sont-ils à éviter ?
Non, et il faut être honnête sur ce point. Quelques fournisseurs reconnus proposent une version gratuite, financée par leurs abonnés payants : c'est par exemple le cas de Proton VPN. Ces versions sont limitées (moins de serveurs, de fonctionnalités ou de vitesse), mais elles ne reposent pas sur la revente de vos données. Le problème vient des services dont on ne comprend pas comment ils gagnent leur argent.
Les 6 questions à se poser avant d'installer un VPN
- Comment gagne-t-il de l'argent ? Si la réponse n'est ni un abonnement payant, ni une version payante clairement identifiée, méfiance.
- Sa politique « no-log » a-t-elle été vérifiée par un audit indépendant ? Une promesse ne suffit pas : les services sérieux font contrôler la leur par des cabinets extérieurs.
- Qui est derrière ? Une entreprise identifiable, avec une adresse et une juridiction connues, ou un nom d'application générique sans éditeur clair ?
- Quelles autorisations demande l'application ? Un VPN n'a aucune raison d'accéder à vos contacts ou à vos photos.
- Propose-t-il un « kill switch » ? Cette fonction coupe internet si la connexion VPN tombe, pour éviter que vos données ne repartent en clair.
- Que disent les tests indépendants ? Méfiez-vous des avis trop enthousiastes dans les boutiques d'applications, parfois achetés.
Notre recommandation
Pour un usage régulier, par exemple pour vous connecter souvent depuis des réseaux publics ou en voyage, un VPN payant reconnu reste le choix le plus sûr : son modèle économique est clair, vous êtes le client et non le produit. Les deux services que nous recommandons ont fait vérifier leur politique « no-log » par des audits indépendants, et proposent une garantie de remboursement qui permet de vérifier sereinement qu'ils conviennent à votre usage.
Pour comprendre ce qu'un VPN fait vraiment, et ce qu'il ne fera jamais, lisez notre guide VPN : à quoi ça sert vraiment pour un fan de sport. Et pour aller plus loin sur la protection de votre vie privée, voici nos 4 bonnes raisons de protéger votre vie privée quand vous regardez du sport.
Le fin mot de l'histoire
« Si c'est gratuit, c'est vous le produit » : la formule est connue, mais elle n'a jamais été aussi juste que pour les VPN. Un service qui voit passer tout votre trafic internet doit être financé de façon transparente. Sinon, il finit toujours par être payé, d'une manière ou d'une autre, avec ce que vous vouliez justement protéger.
C'est d'ailleurs la même logique que celle des sites de streaming « gratuits », que nous avons décortiquée dans le match est gratuit, alors qui paie l'addition ?
