Télécharger un VPN gratuit : limites réelles et vérifications

Le modèle économique du gratuit

Un service VPN paie du transit, des machines et des adresses IP tous les mois. Quand ce n’est pas vous qui payez, il reste trois financements. Le freemium, où le palier gratuit est une vitrine bridée exprès pour vendre l’abonnement. La publicité et la revente de données de navigation, qui vident le produit de son objet puisque l’application voit tout votre trafic. Et la revente de votre bande passante : Hola a transformé ses utilisateurs en nœuds de sortie en 2015, parc ensuite commercialisé sous la marque Luminati et utilisé pour lancer une attaque contre le forum 8chan.

L’étude la plus citée sur le sujet reste celle d’Ikram et al., présentée à l’Internet Measurement Conference en 2016. Sur 283 applications VPN Android analysées : 38 % étaient signalées comme contenant du code malveillant par au moins un moteur de VirusTotal, 18 % n’implémentaient aucun chiffrement du tunnel, 84 % laissaient fuir le trafic IPv6 et 66 % les requêtes DNS. Le corpus a dix ans et les proportions ont bougé depuis, mais le mécanisme n’a pas changé : une application VPN est le meilleur point de collecte qui existe sur un téléphone.

Le cas le plus lisible reste Onavo Protect, racheté par Facebook, retiré de l’App Store en août 2018 puis de Google Play début 2019. L’application faisait bien du VPN. Sa fonction réelle était de mesurer l’usage des applications concurrentes.

Ce que le palier gratuit retire

Le bridage porte rarement sur le chiffrement. Il porte sur le confort et sur les fonctions de sécurité secondaires.

ProtonVPN fait exception avec une offre gratuite sans plafond de volume, en échange d’un petit nombre de pays et d’un seul appareil. Windscribe donne 10 Go par mois si vous confirmez votre adresse e-mail, 2 Go sinon, détail qui coince souvent. Ces paliers bougent plusieurs fois par an : relisez la page tarifaire du fournisseur le jour du téléchargement plutôt qu’un comparatif daté.

Critère	Palier gratuit courant	Offre payante
Volume mensuel	2 à 10 Go (illimité chez Proton)	sans plafond
Pays disponibles	2 à 5	50 à 100
Appareils simultanés	1	5 à 10
Débit	bridé, serveurs saturés aux heures de pointe	file prioritaire
Kill switch	souvent absent	présent
Streaming et P2P	bloqués ou détectés	serveurs dédiés

Protocoles et ports : ce que le client vous laisse choisir

Beaucoup d’applications gratuites imposent un seul protocole sans l’annoncer. Ouvrez les réglages avant de décider.

WireGuard tient dans environ 4 000 lignes de code pour son implémentation noyau, contre plusieurs dizaines de milliers pour OpenVPN, ce qui réduit d’autant la surface à auditer. Il ne parle qu’UDP, donc il tombe dès qu’un réseau d’entreprise ne laisse sortir que le 443. OpenVPN sait basculer en TCP 443 et ressembler à du HTTPS, au prix du TCP dans TCP : deux couches de retransmission qui s’emballent l’une l’autre dès que la ligne perd des paquets. Gardez ce repli pour les hôtels et les réseaux filtrés, pas pour l’usage quotidien.

PPTP traîne encore dans des applications gratuites parce qu’il est intégré partout et coûte zéro effort d’implémentation. Son authentification MS-CHAPv2 a été ramenée en 2012 par Moxie Marlinspike et David Hulton à une seule clé DES, cassable en moins de vingt-quatre heures sur un service de calcul en ligne. Un tunnel PPTP protège du voisin de café, pas d’un adversaire qui capture le trafic.

Protocole	Port par défaut	État
WireGuard	UDP 51820	à préférer, code court, reprise rapide
OpenVPN	UDP 1194, repli TCP 443	solide, plus lourd, franchit les filtrages
IKEv2/IPsec	UDP 500 et 4500	bon sur mobile, survit au changement de réseau
L2TP/IPsec	UDP 1701 avec 500 et 4500	vieillissant, sans intérêt face aux deux premiers
PPTP	TCP 1723 plus GRE	à éviter, authentification cassée depuis 2012

Vérifier le tunnel après l’installation

Le voyant vert du client ne prouve rien. Quatre tests, deux minutes.

Le cas de panne le plus fréquent en France ressemble à ceci : le tunnel monte, `curl` en IPv4 renvoie bien une adresse néerlandaise, et une page de test affiche quand même une adresse en 2a01: qui appartient à votre opérateur. Le tunnel est en IPv4 seul, l’IPv6 sort par la route par défaut de la box, et les sites joignables en IPv6 voient votre vraie adresse. Correctif : un client qui route aussi l’IPv6, ou désactivation de l’IPv6 sur l’interface pendant la session.

Sans kill switch, une coupure du tunnel rebascule le trafic sur la route normale sans un mot. C’est la fonction la plus souvent retirée du gratuit, et celle qui compte le plus si la raison d’être du VPN est de ne jamais exposer l’adresse réelle.

• IPv4 : `curl -s https://api.ipify.org` avant puis après connexion. Résultat identique, le tunnel ne porte pas votre trafic.
• IPv6 : `curl -s -6 https://api64.ipify.org`. Les box Free, Orange et Bouygues fournissent de l’IPv6 natif, et beaucoup de clients gratuits l’ignorent.
• DNS : `dig +short myip.opendns.com @resolver1.opendns.com` donne l’IP publique vue par OpenDNS ; `resolvectl status` sous Linux ou `scutil --dns` sous macOS montre quel résolveur est réellement interrogé. Un résolveur resté sur la box, c’est votre historique de domaines qui continue de passer chez le FAI.
• WebRTC : `about:webrtc` sous Firefox. Chrome et Firefox masquent maintenant l’adresse locale derrière un identifiant mDNS, le risque résiduel concerne surtout les extensions proxy et les navigateurs anciens.

Ce qu’un VPN gratuit ne fait pas

Une extension Chrome ou Firefox présentée comme un VPN est presque toujours un proxy HTTPS. Elle ne couvre que le trafic de l’onglet. Le client de messagerie, les mises à jour du système, un client BitTorrent ou n’importe quelle autre application sortent par la route normale. Pratique pour changer de pays sur un site, sans rapport avec un VPN système.

Un VPN ne vous rend pas anonyme. Le site consulté voit vos cookies, votre session connectée et une empreinte de navigateur largement suffisante pour vous reconnaître. Votre opérateur ne voit plus le contenu, mais voit parfaitement qu’un tunnel est établi et vers quelle adresse. Vous déplacez la confiance du FAI vers le fournisseur de VPN, vous ne la supprimez pas.

La mention « no-log » vaut ce que vaut la contrainte qui la teste. PureVPN, qui l’affichait, a fourni des éléments au FBI en 2017 dans l’affaire Ryan Lin. Sur une offre gratuite, la promesse pèse encore moins lourd puisque la donnée est le modèle économique.

Utiliser un VPN est légal en France, y compris pour contourner un blocage géographique, ce qui relève au pire d’une violation de conditions d’utilisation. En revanche il ne légalise rien : les relevés anti-piratage portent sur l’adresse IP visible dans le réseau P2P, et derrière un tunnel cette adresse est celle du fournisseur, ce qui déplace la question sans l’éteindre. Ne confondez pas non plus « gratuit » et « essai de 30 jours remboursé », ni avec le VPN d’entreprise, qui sert à joindre un réseau interne et dont l’administrateur voit tout.

Télécharger sans embarquer autre chose

Prenez le binaire sur le site du fournisseur ou dans le dépôt officiel, jamais sur un portail de téléchargement qui réempaquette l’installeur avec son propre gestionnaire. C’est le vecteur classique d’adware sous Windows, et il touche des applications par ailleurs saines.

En juillet 2020, des chercheurs ont mis la main sur un cluster Elasticsearch laissé ouvert contenant environ 1,2 To de journaux appartenant à sept applications VPN gratuites partageant la même infrastructure, toutes annonçant une politique sans journalisation. On y trouvait des adresses IP d’origine, des horodatages de connexion et des sites visités. Aucun moyen simple, côté utilisateur, de détecter ce genre de collecte avant la fuite.

• Windows et macOS : contrôlez l’éditeur affiché par la signature de l’exécutable, et le condensat quand il est publié (`certutil -hashfile fichier.exe SHA256`, ou `shasum -a 256 fichier.dmg`).
• Linux : dépôt du fournisseur avec sa clé GPG, ou plus simplement un fichier `/etc/wireguard/wg0.conf` fourni par le service et `wg-quick up wg0`. Pas de paquet .deb ramassé sur un forum.
• Android : lisez les permissions demandées. Le service VPN du système est légitime ; la localisation précise, les contacts ou la liste des applications installées n’ont aucune justification technique dans un client VPN.
• iOS : l’application pose un profil de configuration. Passez ensuite dans Réglages, VPN et gestion d’appareils pour vérifier qu’aucun profil supplémentaire n’a été installé au passage.

Questions fréquentes

Existe-t-il un VPN gratuit sans limite de données ?

ProtonVPN est la seule offre grand public connue sans plafond de volume sur son palier gratuit. La contrepartie est un choix de pays réduit, un seul appareil connecté et des serveurs partagés qui saturent le soir. Partout ailleurs, comptez un quota mensuel entre 2 et 10 Go, parfois conditionné à la confirmation de votre adresse e-mail.

Un VPN gratuit suffit-il pour regarder un catalogue étranger ?

Rarement. Les plages d’adresses des hébergeurs sont publiques et listées par les plateformes, et une offre gratuite concentre beaucoup d’utilisateurs sur très peu d’adresses IP, donc ce sont les premières bloquées. C’est aussi la fonction que les fournisseurs réservent volontairement à leurs serveurs payants.

Comment savoir si mon VPN gratuit fuit ?

Trois vérifications. `curl -s https://api.ipify.org` doit renvoyer une autre adresse qu’avant connexion. `curl -s -6 https://api64.ipify.org` ne doit pas renvoyer votre adresse IPv6 d’opérateur. Et `dig +short myip.opendns.com @resolver1.opendns.com` doit correspondre au serveur VPN, sinon vos requêtes DNS continuent de passer en clair par la box.

Une extension VPN gratuite pour Chrome, c’est pareil ?

Non. Une extension est un proxy HTTPS limité au navigateur : tout ce qui sort d’une autre application passe par la connexion normale. Utile pour changer de pays sur un site, insuffisant dès que l’objectif est de couvrir l’ensemble de la machine.

Vaut-il mieux monter son propre VPN ?

Cela répond à un autre besoin. WireGuard sur un VPS à quelques euros par mois n’est pas gratuit et ne mutualise rien : l’adresse IP est à vous seul, donc parfaitement traçable. C’est une bonne solution pour chiffrer sa connexion sur un réseau public ou joindre son réseau domestique à distance, pas pour se fondre dans une foule. Installé sur un Raspberry Pi à la maison, le tunnel ressort même avec l’IP de votre box.

Testez vos connaissances

À lire aussi

changer adresse ip · chiffrement · confidentialite en ligne · adware