VPN gratuit : ce qu’il protège, ce qu’il monnaye

Ce que le mot « gratuit » finance réellement

Faire transiter du trafic coûte cher. Un serveur de sortie correct en Europe se loue quelques dizaines d'euros par mois, et c'est la bande passante qui fait grimper la note : une heure de vidéo en 1080p représente environ 3 Go selon les chiffres publiés par Netflix, et tout passe par le tunnel, donc tout est payé par l'opérateur du serveur. Personne ne distribue ça par philanthropie. La contrepartie existe toujours, le travail consiste à l'identifier avant de lui confier son trafic.

Le cas le mieux documenté reste Hola. Le service se présentait comme un VPN gratuit ; il fonctionnait en réalité en pair-à-pair, chaque utilisateur gratuit servant de nœud de sortie aux autres. Cette bande passante était revendue à des clients professionnels via la filiale Luminati. En mai 2015, l'administrateur de 8chan a rendu public le fait qu'une attaque contre son site provenait de ce réseau : les adresses IP mises en cause appartenaient à des utilisateurs de Hola qui ignoraient tout de l'affaire.

Autre modèle, autre problème. Onavo Protect, racheté par Facebook en 2013, était un VPN gratuit dont la fonction réelle était de mesurer l'usage des applications concurrentes sur le téléphone. Apple l'a retiré de l'App Store en août 2018 pour collecte de données excessive, et Facebook l'a retiré de Google Play en février 2019.

Les chiffres publics les plus solides sur ce marché datent de 2016 : Ikram et ses coauteurs (CSIRO, UNSW, UC Berkeley) ont analysé 283 applications Android utilisant l'API VPNService. 38 % embarquaient du code signalé comme malveillant par VirusTotal, 18 % ne chiffraient tout simplement pas le trafic, 84 % laissaient fuir le trafic IPv6 et 66 % les requêtes DNS. L'étude approche des dix ans et le catalogue a changé depuis ; aucune publication comparable n'est venue démentir l'ordre de grandeur, mais aucune n'est venue le confirmer sur le catalogue actuel non plus.

• Freemium bridé : le gratuit est limité en volume, en pays ou en débit pour vendre l'abonnement. C'est le modèle le plus lisible, et le seul où l'intérêt du fournisseur reste aligné avec le vôtre.
• Publicité et régies : injection d'annonces dans les pages, ce qui suppose parfois d'installer un certificat racine et de casser le chiffrement TLS sur l'appareil.
• Revente de bande passante : votre connexion devient un nœud de sortie résidentiel loué à des tiers. Les requêtes qu'ils émettent partent avec votre adresse IP.
• Revente de données de navigation : historiques agrégés cédés à des cabinets d'analyse de marché.
• Aucun modèle affiché : le cas le plus inquiétant, parce que le coût d'exploitation existe quand même.

VPN grand public, VPN d’entreprise, proxy : trois objets distincts

Le même sigle recouvre deux usages sans rapport. Le VPN d'entreprise sert à joindre un réseau privé depuis l'extérieur : le tunnel mène au LAN de la société, et le trafic vers Internet peut très bien continuer à sortir par votre ligne, c'est le split tunneling. Le VPN grand public fait l'inverse : il n'ouvre l'accès à aucun réseau privé, il sert uniquement à faire sortir tout votre trafic ailleurs. Les offres gratuites relèvent toutes de la seconde catégorie.

Un proxy n'est pas un VPN non plus. Un proxy HTTP ou SOCKS5 ne s'applique qu'aux applications qui le configurent, souvent le seul navigateur, et il ne chiffre rien par lui-même. Les extensions estampillées « VPN gratuit » dans Chrome ou Firefox sont presque toujours des proxys. Le trafic de votre client de messagerie, de vos mises à jour système et de vos autres applications continue de sortir par la route normale.

La vérification tient en une commande. Extension active, ouvrez un terminal hors navigateur et lancez curl -s https://api.ipify.org : si l'adresse renvoyée est celle de votre FAI alors que le site de test affiché dans l'onglet montre une IP étrangère, vous avez un proxy navigateur, pas un VPN.

Ce que le tunnel chiffre, ce qu’il laisse voir

Le VPN déplace la confiance, il ne la supprime pas. Sans VPN, votre fournisseur d'accès voit les adresses IP contactées, les requêtes DNS si elles partent en clair, et le nom de domaine transmis dans le SNI du handshake TLS. Avec un VPN, il ne voit plus qu'un flux chiffré vers un serveur unique. Mais c'est désormais l'opérateur du VPN qui occupe cette position, avec exactement la même visibilité, et vous ne connaissez ni ses administrateurs ni sa politique de rétention réelle.

Le contenu des pages HTTPS, lui, était déjà protégé avant le VPN. Un VPN gratuit n'ajoute rien à une session bancaire en TLS 1.3 sur le Wi-Fi d'un hôtel. L'argument du hotspot public dangereux date de l'époque où une bonne partie du web circulait encore en HTTP clair. Ce que le tunnel apporte réellement sur ce réseau, c'est de masquer à l'exploitant du hotspot la liste des domaines que vous contactez.

Il ne masque pas non plus ce que vous fournissez vous-même : cookies de session, compte connecté, empreinte de navigateur. Se connecter à son compte Google derrière un VPN gratuit ne rend pas la session anonyme, cela change seulement l'adresse IP associée à cette session.

Information	Sans VPN	Avec VPN
Contenu d'une page HTTPS	Chiffré, invisible pour le FAI	Chiffré, invisible pour le fournisseur VPN
Domaine visité (SNI, requêtes DNS)	Visible par le FAI	Visible par le fournisseur VPN
Adresse IP source vue par le site	La vôtre	Celle du serveur de sortie
Horodatage et volume des sessions	Journalisé par le FAI	Journalisé par le VPN s'il le décide
Identité liée à un compte connecté	Visible du site	Visible du site, inchangée

Les fuites qui vident le tunnel de son intérêt

Un tunnel monté ne garantit pas que tout le trafic l'emprunte. La fuite DNS est la plus banale : le client monte bien l'interface, mais le résolveur configuré sur le système reste celui de la box. Vos requêtes de noms partent alors en clair vers votre FAI pendant que le reste du trafic passe par le tunnel. Sous systemd-resolved, resolvectl status affiche le serveur réellement utilisé par interface ; si le DNS de la box apparaît encore sur l'interface physique avec le domaine générique ~., la fuite est là.

La fuite IPv6 est plus vicieuse parce qu'elle ne se voit pas. Beaucoup de clients gratuits ne routent que l'IPv4. Sur une ligne fibre française où l'IPv6 est actif par défaut, un site joignable en dual-stack sera contacté en IPv6, hors tunnel, avec votre préfixe d'origine. Dans une configuration WireGuard, la ligne AllowedIPs = 0.0.0.0/0 employée seule produit exactement ce comportement. Il faut écrire AllowedIPs = 0.0.0.0/0, ::/0, ou désactiver IPv6 sur l'interface.

Reste la coupure. Quand le serveur tombe, le système bascule sur la route par défaut et le trafic ressort en clair, sans notification, parfois pendant des heures. Un kill switch bloque au niveau du pare-feu tout paquet qui ne passe pas par l'interface du tunnel ; sur les offres gratuites il est souvent absent ou réservé à la version payante. Côté navigateur, WebRTC peut exposer l'adresse locale et parfois l'adresse publique réelle via les candidats ICE, indépendamment de l'état du VPN.

• curl -s https://api.ipify.org puis curl -s -6 https://api64.ipify.org : si la seconde répond une adresse rattachée au préfixe de votre FAI, votre IPv6 sort hors tunnel.
• resolvectl status sous Linux, Get-DnsClientServerAddress sous PowerShell : montre quel résolveur est réellement interrogé, interface par interface.
• wg show : affiche le dernier handshake WireGuard et les compteurs d'octets. Avec du trafic en cours, WireGuard renégocie au moins toutes les 120 secondes ; un handshake vieux de trois minutes signale un tunnel mort.
• traceroute 1.1.1.1 : le premier saut doit être la passerelle du tunnel, pas celle de la box.
• Test du kill switch : coupez volontairement le service VPN pendant un téléchargement et regardez s'il continue. S'il continue, il n'y a pas de kill switch, quoi qu'en dise la fiche produit.

Les offres gratuites qui tiennent, et à quelles conditions

La ligne de partage utile n'est pas la marque, c'est le modèle. Un freemium adossé à une offre payante a une raison commerciale de ne pas revendre votre trafic : il vend des abonnements. Une application gratuite sans version payante n'a aucun revenu visible, donc un revenu invisible. Proton VPN est le cas le plus cité côté freemium parce que son offre gratuite ne pose pas de quota de volume, au prix d'un choix de pays réduit et d'un débit non prioritaire.

Les autres freemium fonctionnent au quota mensuel : de l'ordre de 10 Go chez Windscribe après confirmation de l'adresse e-mail, 10 Go chez hide.me, 2 Go chez TunnelBear. Ces valeurs bougent régulièrement, relisez la page tarifaire au moment de choisir plutôt que de vous fier à un comparatif. Pour situer l'échelle : 2 Go couvrent une semaine de navigation texte et à peu près une heure de vidéo HD.

Trois options sortent du cadre commercial classique. Cloudflare WARP chiffre le trafic jusqu'au réseau Cloudflare sans quota, mais ce n'est pas un outil de contournement géographique : vous ne choisissez pas le pays de sortie. Tor offre un anonymat réseau sans comparaison, au prix d'un débit faible et de blocages fréquents sur les sites grand public. Monter son propre serveur WireGuard sur un VPS change carrément la nature du service : vous ne masquez plus rien à un fournisseur, vous devenez ce fournisseur. Excellent pour joindre son réseau domestique, sans intérêt pour se fondre dans la masse, puisque cette IP n'est utilisée que par vous.

Option	Coût	Ce qu'elle règle	Ce qu'elle ne règle pas
Freemium bridé	0 € avec quota	Chiffrement du transit, IP de sortie tierce	Débit, choix des pays, kill switch souvent réservé au payant
Application gratuite sans offre payante	0 € affiché	Rien de garanti	Financement opaque, permissions larges, audits absents
Cloudflare WARP	0 €, sans quota	Chiffrement, masquage de l'IP vis-à-vis des sites	Pas de choix du pays de sortie
Tor	0 €	Anonymat réseau sérieux	Débit, blocage des nœuds de sortie par de nombreux sites
WireGuard auto-hébergé	3 à 10 € par mois de VPS	Contrôle total, accès distant, aucun tiers	Aucun anonymat : l'IP vous est propre et vous identifie

Vérifier un VPN gratuit en dix minutes

Commencez par le protocole annoncé. WireGuard et OpenVPN sont documentés, implémentés en logiciel libre et audités par des tiers. Un protocole propriétaire dit optimisé, sans spécification publique, est un signal d'alerte sur une offre gratuite. PPTP figure encore dans quelques applications alors que MS-CHAPv2, son mécanisme d'authentification, a été cassé publiquement en 2012 et se force en quelques heures.

Le reste tient à des vérifications que personne ne fait et qui prennent le temps d'un café.

• Lisez la politique de journalisation en cherchant les mots connexion et métadonnées, pas seulement la formule no logs : la plupart des services conservent horodatage et volume même sans historique de navigation.
• Identifiez l'éditeur et le pays d'enregistrement de la société. Une application sans mentions légales vérifiables ne mérite pas votre trafic.
• Sur Android, examinez les permissions. Un VPN a besoin du service VPN du système ; il n'a aucune raison de demander les contacts, les SMS ou la localisation fine.
• Exigez un audit externe téléchargeable, avec le nom du cabinet et la date. La mention audité sans rapport accessible ne vaut rien.
• Testez la fuite DNS et la fuite IPv6 avant tout usage réel, avec les commandes de la section précédente.
• Regardez la juridiction sans en attendre de miracle. En France, le décret n° 2021-1362 du 20 octobre 2021 impose aux fournisseurs d'accès de conserver un an les adresses IP source ; la qualification exacte d'un service VPN au regard de ce texte n'est pas tranchée, mais un hébergement français n'est en rien une garantie de discrétion.

Protocole	Transport par défaut	État
WireGuard	UDP 51820	Recommandé, ChaCha20-Poly1305, base de code très réduite
OpenVPN	UDP 1194, TCP 443 en repli	Mature, plus lourd, passe bien les réseaux filtrés en TCP 443
IKEv2/IPsec	UDP 500 et UDP 4500	Solide, reprend vite après un changement de réseau, adapté au mobile
L2TP/IPsec	UDP 1701, 500, 4500	Ancien, souvent bloqué, sans avantage aujourd'hui
PPTP	TCP 1723 plus GRE	À proscrire, MS-CHAPv2 cassé publiquement en 2012

Testez vos connaissances

Questions fréquentes

Utiliser un VPN gratuit est-il légal en France ?

Oui. Aucun texte français n'interdit l'usage d'un VPN, gratuit ou payant. Ce que vous faites à travers le tunnel reste soumis au droit commun : le VPN ne rend pas licite un acte illicite, et il n'empêche pas une réquisition judiciaire adressée au fournisseur. La situation diffère dans les pays qui encadrent ou interdisent les VPN non déclarés, notamment la Chine, la Russie et l'Iran.

Un VPN gratuit permet-il d’accéder au catalogue Netflix d’un autre pays ?

Rarement, et jamais longtemps. Les plateformes de streaming maintiennent des listes de plages IP appartenant à des hébergeurs et à des VPN connus. Les serveurs gratuits, très partagés et donc très visibles, figurent parmi les premiers bloqués. À cela s'ajoute le quota : deux heures de série en HD suffisent à consommer un forfait mensuel de 10 Go.

L’extension VPN gratuite de mon navigateur suffit-elle ?

Elle ne protège que le navigateur, et il s'agit presque toujours d'un proxy plutôt que d'un tunnel système. Vos applications, votre client de messagerie et les mises à jour du système continuent de sortir par la connexion normale. Vérifiez-le en lançant curl -s https://api.ipify.org depuis un terminal pendant que l'extension est active : l'adresse retournée sera celle de votre FAI.

Un VPN gratuit me rend-il anonyme ?

Non. Il remplace l'observateur, il ne le supprime pas : votre FAI ne voit plus vos destinations, le fournisseur du VPN les voit toutes. Il ne change rien aux cookies, aux comptes connectés ni à l'empreinte de votre navigateur, qui restent les principaux vecteurs d'identification sur le web. Pour de l'anonymat réel, Tor est l'outil approprié, avec les contraintes de débit qui vont avec.

Vaut-il mieux un VPN gratuit ou pas de VPN du tout ?

Cela dépend de ce contre quoi vous vous protégez. Sur un Wi-Fi public où presque tout le trafic est déjà en HTTPS, installer une application inconnue qui obtient un accès total à vos paquets crée plus de risque qu'elle n'en supprime. Si l'objectif est de masquer vos destinations à l'exploitant du réseau ou à votre FAI, un freemium adossé à une offre payante et audité constitue un compromis défendable. Une application gratuite sans modèle économique visible, non.

À lire aussi

changer adresse ip · chiffrement · confidentialite en ligne · cloudflare dns 1 1 1 1