VPN illimité et gratuit : ce qui existe, ce qui n’existe pas

Illimité en quoi ? Les quatre plafonds d’un VPN gratuit

Un VPN gratuit se présente rarement avec ses limites en gros caractères. Elles portent presque toujours sur l'un de ces quatre paramètres : le volume mensuel (2 Go chez TunnelBear, 10 Go chez Windscribe avec une adresse e-mail confirmée), le débit (bridé, ou dépendant de serveurs saturés), la durée de session (certaines applications coupent après 30 ou 60 minutes et réclament le visionnage d'une publicité pour repartir), et le choix du serveur. Une offre « illimitée » l'est sur le volume, presque jamais sur le reste.

Au moment de la rédaction, deux services sérieux ne plafonnent pas les données. Proton VPN Free tunnelise autant de trafic que vous voulez, mais sur un seul appareil à la fois, avec un serveur choisi automatiquement dans une poignée de pays, sans P2P ni accès aux serveurs de streaming. Cloudflare WARP est également sans limite, avec une différence de nature : il chiffre votre trafic jusqu'au réseau de Cloudflare, mais ne cherche pas à masquer votre localisation.

Offre	Volume mensuel	Restriction principale
Proton VPN Free	Illimité	1 appareil, pays imposé, pas de P2P
Cloudflare WARP	Illimité	Sortie proche de votre position réelle, aucun choix de serveur
Windscribe Free	10 Go (2 Go sans e-mail confirmé)	Une dizaine de pays
TunnelBear Free	2 Go	Volume épuisé en quelques heures de vidéo

Qui paie quand vous ne payez pas

Un serveur VPN coûte de la bande passante, et un utilisateur gratuit en consomme autant qu'un abonné. Le modèle le plus lisible est le freemium : Proton ou Windscribe financent leur offre gratuite avec leurs abonnés payants et espèrent vous convertir. Les autres modèles sont moins visibles. Publicités et SDK de tracking injectés dans l'application, revente des données de navigation, ou revente de votre connexion elle-même.

Le cas d'école reste Hola. En 2015, ce « VPN gratuit illimité » fonctionnait en pair-à-pair : votre trafic sortait par la connexion d'un autre utilisateur, et votre propre bande passante était revendue à des clients professionnels via la filiale Luminati, devenue Bright Data. Vous étiez le nœud de sortie de quelqu'un d'autre, avec les conséquences juridiques que cela implique si ce quelqu'un télécharge n'importe quoi.

Une étude de 2016 menée par des chercheurs du CSIRO et de l'université de Nouvelle-Galles du Sud sur 283 applications VPN Android donne l'ampleur du problème : 18 % ne chiffraient pas du tout le trafic, 38 % contenaient du code signalé par au moins un moteur de VirusTotal, 84 % laissaient fuir le trafic IPv6 et 66 % les requêtes DNS. En 2020, des chercheurs ont trouvé sur un serveur Elasticsearch ouvert environ 1,2 To de journaux appartenant à sept applications gratuites basées à Hong Kong (UFO VPN, Super VPN, Free VPN et d'autres) qui affichaient toutes une politique « zéro log », avec des mots de passe en clair.

Tester les fuites avant de faire confiance

Un VPN qui fuit ne sert à rien, et les fuites ne se voient pas à l'usage. Quatre tests suffisent, à faire tunnel actif puis tunnel coupé pour comparer.

Sous Linux, ip route et ip -6 route doivent montrer la route par défaut sur l'interface du tunnel (wg0 ou tun0), et resolvectl status doit n'associer le résolveur du fournisseur qu'à cette interface. Si le résolveur de votre FAI apparaît encore sur eth0 ou wlan0 avec un domaine de recherche global, une partie des requêtes DNS passera à côté.

• Adresse IP publique : curl -s https://ifconfig.co doit renvoyer l'adresse du serveur VPN, pas celle de votre box. Refaites le test en IPv6 avec curl -6 -s https://ifconfig.co : si une adresse revient alors que le fournisseur annonce ne pas prendre en charge IPv6, votre trafic v6 contourne le tunnel.
• Résolveur DNS : dig +short whoami.akamai.net renvoie l'adresse du résolveur qui a réellement interrogé les serveurs d'Akamai. Si c'est celui de votre FAI, chaque nom de domaine visité lui est transmis, VPN ou pas.
• WebRTC : dans le navigateur, une page de test WebRTC peut révéler l'adresse locale et parfois l'adresse publique réelle via STUN. Désactivez WebRTC ou bloquez-le par extension si le VPN ne le fait pas.
• Coupure du tunnel : arrêtez le VPN sans fermer l'application et relancez curl. Sans kill switch, le trafic repart en clair immédiatement. Beaucoup d'offres gratuites n'en ont pas.

Proxy de navigateur, Tor, WARP : trois choses appelées VPN à tort

Le « VPN gratuit illimité » intégré à Opera est un proxy HTTPS limité au navigateur. Le trafic de vos autres applications (mises à jour, client mail, jeux) sort en clair par votre adresse habituelle. Même logique pour la plupart des extensions Chrome ou Firefox estampillées VPN : elles changent l'adresse vue par les sites, pas votre routage.

Tor est gratuit et sans plafond de volume, mais ce n'est pas un VPN. Le trafic traverse trois relais bénévoles, le débit dépasse rarement quelques Mbit/s, et le nœud de sortie voit en clair tout ce qui n'est pas en HTTPS. Pour naviguer anonymement, c'est l'outil adapté. Pour tunneliser une machine entière ou une console, non.

Cloudflare WARP mérite une place à part. C'est un vrai tunnel WireGuard (UDP 2408 par défaut, avec repli sur les ports 500, 1701 et 4500) qui protège efficacement sur un Wi-Fi public contre un voisin malveillant. Mais Cloudflare vous fait sortir près de votre position géographique et le dit clairement : WARP n'est pas conçu pour cacher où vous êtes ni pour contourner un blocage régional.

Héberger son propre VPN : gratuit, illimité, mais pas anonyme

Si l'objectif est de sécuriser vos connexions en déplacement, pas de changer de pays, un tunnel vers votre propre réseau coûte zéro euro par mois. WireGuard tourne sur un Raspberry Pi ou n'importe quelle machine allumée en permanence, écoute sur le port UDP 51820, et une paire de clés se génère en une ligne : wg genkey | tee privatekey | wg pubkey > publickey. Il reste à ouvrir ce port sur la box et à monter le tunnel avec wg-quick up wg0.

Tailscale simplifie encore la mise en place : son offre gratuite couvre 3 utilisateurs et 100 appareils, et l'option « exit node » fait sortir tout le trafic d'un téléphone par la machine de votre choix, sans ouvrir de port sur la box. Le protocole sous-jacent est WireGuard, le volume n'est pas plafonné.

La limite est de principe. Votre trafic sort par votre propre adresse IP résidentielle, avec le débit montant de votre box (souvent 10 à 20 fois inférieur au descendant en ADSL, bien moins asymétrique en fibre), et vous n'êtes protégé que sur le segment entre vous et chez vous. Un VPS à quelques euros par mois déplace le point de sortie, mais ce n'est plus gratuit, et la plupart des hébergeurs facturent ou brident au-delà d'un quota mensuel de trafic.

Testez vos connaissances

Questions fréquentes

Proton VPN gratuit est-il vraiment illimité ?

Sur le volume, oui : aucun quota mensuel. Les restrictions portent ailleurs : un seul appareil connecté, serveur choisi automatiquement parmi quelques pays, débit qualifié de « moyen » par Proton, pas de P2P ni de serveurs dédiés au streaming. Le code des clients est public et l'absence de journaux a fait l'objet d'audits indépendants.

Utiliser un VPN gratuit est-il légal en France ?

Oui. Chiffrer sa connexion et la faire sortir par un serveur tiers n'est visé par aucune interdiction. Ce qui est illégal le reste avec un VPN, et si le fournisseur conserve des journaux, ils peuvent être réquisitionnés. Certains pays, comme la Chine ou la Russie, restreignent les VPN non agréés.

Un VPN gratuit ralentit-il beaucoup la connexion ?

Le chiffrement lui-même coûte peu : WireGuard ou OpenVPN sur un processeur récent tiennent plusieurs centaines de Mbit/s. Le ralentissement vient des serveurs gratuits partagés entre des milliers d'utilisateurs, parfois bridés volontairement pour pousser vers l'abonnement, et de la distance jusqu'au serveur imposé : quelques millisecondes de latence en plus pour un serveur voisin, 80 à 100 ms pour la côte est des États-Unis.

Comment vérifier que mon VPN gratuit ne fuit pas mon adresse IP ?

Tunnel actif, lancez curl -s https://ifconfig.co, puis la même commande avec -6, puis dig +short whoami.akamai.net. Les trois doivent renvoyer des adresses du fournisseur VPN, jamais celles de votre FAI. Coupez ensuite le tunnel : si la première commande répond aussitôt avec votre adresse résidentielle, il n'y a pas de kill switch.

Un VPN gratuit suffit-il sur un Wi-Fi public ?

Contre un attaquant présent sur le même réseau, oui, à condition que tout le trafic passe dans le tunnel et que l'application ne fuie ni en DNS ni en IPv6. Cloudflare WARP ou Proton VPN Free remplissent ce rôle. Une application inconnue installée depuis un store, non : vous remplacez un risque local par un intermédiaire dont vous ne savez rien.

À lire aussi

changer adresse ip · confidentialite en ligne · chiffrement · attaque man in the middle