Un VPN chiffre le trafic entre un appareil et un serveur distant, puis substitue l’adresse IP visible par celle du serveur. Cette protection repose sur plusieurs couches techniques. Si une seule d’entre elles présente un défaut, des données personnelles peuvent fuiter sans qu’aucune alerte ne s’affiche dans l’application.
Fuite IPv6 et trafic hors tunnel : le test que la plupart des utilisateurs oublient
La majorité des fournisseurs VPN gèrent correctement le protocole IPv4, mais le trafic IPv6 peut transiter hors du tunnel chiffré. Si le fournisseur d’accès à internet attribue une adresse IPv6 à l’appareil et que le VPN ne la prend pas en charge, les sites visités voient cette adresse, qui suffit à localiser l’utilisateur.
A découvrir également : Pourquoi VPN sur NAS ?
Pour vérifier, il faut se rendre sur un outil de test IPv6 en ligne, d’abord sans VPN, puis avec le VPN activé. Si une adresse IPv6 apparaît dans les deux cas et qu’elle reste identique, le tunnel ne couvre pas ce protocole.
Deux solutions existent : désactiver IPv6 dans les paramètres réseau du système d’exploitation, ou choisir un fournisseur VPN qui bloque ou encapsule nativement le trafic IPv6. Vérifier ce point prend moins d’une minute, et il révèle un angle mort que les tests classiques d’adresse IP ignorent souvent.
A voir aussi : Quelles mesures une organisation doit-elle prendre pour garantir la sécurité de son logiciel ?
Test DNS : vérifier que les requêtes passent bien par le VPN
Chaque fois qu’un navigateur charge une page, il envoie une requête DNS pour traduire le nom de domaine en adresse IP. Si cette requête sort du tunnel VPN et atteint les serveurs DNS du fournisseur d’accès, celui-ci voit la liste complète des sites consultés, même si le reste du trafic est chiffré.
Une fuite DNS rend le VPN inutile pour la confidentialité de navigation. Le chiffrement protège le contenu des échanges, mais pas la liste des destinations.
Comment détecter une fuite DNS
- Se connecter au VPN et ouvrir un site de test DNS (plusieurs outils gratuits existent, comme dnsleaktest.com).
- Lancer un test étendu : le résultat affiche les serveurs DNS qui traitent les requêtes.
- Si les serveurs listés appartiennent au fournisseur d’accès internet (et non au fournisseur VPN), il y a fuite.
La plupart des VPN sérieux forcent l’utilisation de leurs propres serveurs DNS. Si le problème persiste, configurer manuellement un résolveur DNS tiers dans les paramètres réseau peut corriger la fuite.
Fuite WebRTC dans le navigateur : un risque indépendant du VPN
Le protocole WebRTC permet aux navigateurs d’établir des connexions directes entre pairs, par exemple pour la visioconférence. Par conception, WebRTC peut interroger les interfaces réseau de l’appareil et exposer l’adresse IP réelle, y compris quand un VPN est actif.
Ce comportement ne dépend pas du fournisseur VPN. Il relève du navigateur. Chromium et ses dérivés sont particulièrement concernés.
Pour tester, il suffit de visiter un outil de détection WebRTC avec le VPN connecté. Si l’adresse IP locale ou l’IP publique réelle apparaît, le navigateur la divulgue. Désactiver WebRTC dans les paramètres du navigateur ou installer une extension dédiée corrige le problème. Sur Firefox, le réglage se trouve dans about:config, via la clé media.peerconnection.enabled.
Inspection approfondie des paquets et obfuscation du tunnel VPN
Un VPN peut fonctionner sans fuite détectable, et pourtant ne pas protéger dans certains environnements réseau. Les systèmes d’inspection approfondie des paquets (DPI) analysent la forme du trafic, pas son contenu, pour identifier et bloquer les connexions VPN.
WireGuard, bien que rapide et moderne, produit des paquets reconnaissables par DPI. Certains réseaux d’entreprise, hôtels ou pays restreignant l’accès internet bloquent ce protocole même si le tunnel chiffre correctement les données.
Pour contourner ce blocage, vérifier si le fournisseur VPN propose un mode d’obfuscation. Certains replient la connexion sur OpenVPN via TCP sur le port 443, qui ressemble alors à du trafic HTTPS standard. D’autres proposent des protocoles propriétaires conçus pour résister à la détection. Si le VPN se connecte mais que le débit tombe à zéro ou que certains sites restent inaccessibles, un blocage par DPI est une hypothèse sérieuse.
Politique de journalisation : ce que le VPN conserve malgré la connexion chiffrée
Un tunnel VPN sans fuite IP, DNS ou WebRTC protège contre la surveillance du fournisseur d’accès et des sites visités. Il ne protège pas contre le fournisseur VPN lui-même. L’expression « no-log » recouvre des réalités très différentes d’un service à l’autre.
Certains fournisseurs ne conservent pas l’historique des sites visités, mais enregistrent les horodatages de connexion, la durée des sessions ou le volume de données transféré. Ces métadonnées, croisées avec d’autres sources, peuvent suffire à relier une activité à un utilisateur.
- Rechercher un audit indépendant de la politique de journalisation, réalisé par un cabinet de sécurité tiers et rendu public.
- Vérifier si des cas documentés existent où le fournisseur, sollicité par une autorité, n’a pas été en mesure de fournir de données utilisateur.
- Lire la politique de confidentialité complète, pas seulement le résumé marketing. La juridiction du siège social influence les obligations légales de conservation.
Un VPN correctement connecté et sans fuite technique reste un outil limité si le fournisseur conserve des journaux exploitables.
VPN actif ne signifie pas navigation anonyme
Le dernier angle mort n’est pas technique, il est comportemental. Se connecter à Google, Facebook ou Amazon avec un VPN actif relie l’activité au compte utilisateur, indépendamment de l’adresse IP affichée. Les cookies déposés lors de sessions précédentes, l’empreinte du navigateur (combinaison de résolution d’écran, polices installées, fuseau horaire) et les extensions actives créent un identifiant unique que le VPN ne masque pas.
Vérifier la protection d’un VPN ne se limite donc pas à tester l’adresse IP. La question porte aussi sur ce que le navigateur transmet en dehors du tunnel : comptes connectés, cookies persistants, empreinte matérielle. Un VPN protège le canal de transport. Il ne modifie pas ce que l’utilisateur envoie volontairement à l’autre bout.
