Accueil › L'application cliente
Le VPN, pour vous, c'est d'abord un logiciel installé sur vos appareils. Ce logiciel s'exécute avec des privilèges élevés et gère votre trafic : c'est le composant sur lequel vous avez le plus de prise, et celui que la plupart des comparatifs n'examinent pas. Il applique concrètement les protections évoquées dans la méthode d'évaluation.
Pour rediriger tout le trafic, le client doit créer une interface réseau virtuelle, modifier la table de routage du système, souvent installer des règles de pare-feu, et parfois faire tourner un service en arrière-plan avec des droits d'administration. Sur certains systèmes, il charge une extension noyau ou un pilote. Chacun de ces éléments est utile — et constitue une surface d'attaque supplémentaire si le code est de mauvaise qualité ou mal maintenu.
La conséquence : installer un client VPN, c'est accorder à son éditeur un niveau d'accès comparable à celui d'un antivirus. Le choix de l'éditeur engage donc autant que le choix du réseau de serveurs.
Sur ordinateur, l'installation requiert les droits d'administrateur, et un composant privilégié reste actif ensuite. Sur mobile, l'application crée un « profil VPN » que vous autorisez explicitement, et propose une option « VPN permanent ». Méfiance si une application mobile réclame l'accès à la localisation « pour détecter les réseaux Wi-Fi non fiables » : cette fonction peut le plus souvent s'en passer, et la permission est disproportionnée.
Passez en revue les permissions au moment de l'installation, et retirez après coup celles qui ne sont pas nécessaires au fonctionnement du tunnel. Une application qui cesse de marcher sans accès à la localisation ou aux contacts pose une vraie question.
Un client dont le code source est publié peut être audité par des tiers, et sa version distribuée peut, dans le meilleur des cas, être reconstruite à l'identique à partir des sources (builds reproductibles) — ce qui prouve que le binaire installé correspond bien au code publié. C'est la forme de vérifiabilité la plus directement accessible à un utilisateur technique. Un client fermé n'est pas disqualifiant, mais il demande de reporter la confiance sur l'éditeur et sur ses audits, ce qui ramène au critère juridiction et audits.
Indépendamment des journaux réseau, l'application peut envoyer des données : rapports de plantage, « statistiques d'utilisation », identifiant d'installation, éléments sur votre appareil. Il faut distinguer un diagnostic réellement anonyme et désactivable d'un identifiant persistant qui permet de suivre un utilisateur dans le temps. La politique de confidentialité doit traiter ce point séparément de la question des logs de trafic ; si elle n'en parle pas, c'est un manque.
Le multi-saut (ou « double VPN ») fait transiter le trafic par deux serveurs. L'intérêt : le premier serveur voit votre adresse réelle mais pas votre destination finale, le second voit la destination mais pas votre adresse. Aucun point unique ne possède les deux informations, ce qui complique la corrélation. Le coût : un débit réduit et une latence accrue. C'est pertinent pour un objectif de confidentialité élevé, inutile pour du streaming.
Regardez ce que la création de compte exige : une adresse e-mail seule, ou davantage. Et les moyens de paiement acceptés : ceux qui limitent le lien avec votre identité civile ont une valeur pour l'objectif de vie privée. Ces éléments se lisent avec le critère juridiction et journaux et avec le modèle économique.
Les fonctions ne sont pas toujours identiques d'un système à l'autre. Il est fréquent que le client de bureau dispose d'un coupe-circuit système complet et d'un tunnel partiel par application, tandis que la version mobile s'appuie sur les mécanismes de l'OS et offre moins de réglages ; l'inverse existe aussi. Avant de choisir, listez les appareils que vous utiliserez le plus et vérifiez que les fonctions dont vous avez besoin sont présentes sur ces plateformes précises, pas seulement dans la version vitrine.
Un bon client se met à jour de façon signée et vérifiée, régulièrement. Un logiciel de sécurité qui n'a pas été mis à jour depuis un an est un risque en soi, quelle que soit la qualité initiale du code. Regardez l'historique des versions : un rythme régulier, avec des notes de version qui décrivent les correctifs, vaut mieux qu'une longue période de silence suivie d'une mise à jour massive.
La plupart des services proposent une extension pour navigateur. C'est utile à préciser : dans la quasi-totalité des cas, il s'agit d'un proxy HTTPS, pas d'un tunnel de niveau système. L'extension ne protège que le trafic du navigateur qui l'héberge ; tout le reste — autres navigateurs, applications, mises à jour du système — passe hors protection. Certaines extensions apportent un plus réel sur la fuite WebRTC et le blocage de traqueurs, mais les confondre avec le client complet conduit à se croire protégé alors qu'on ne l'est qu'à moitié. Réservez l'extension à un usage d'appoint, jamais comme seule barrière.
La plupart des opérateurs sérieux permettent d'utiliser leur réseau via les clients officiels des protocoles — l'application WireGuard de référence, un client OpenVPN générique — plutôt que leur logiciel maison. C'est une option précieuse : ces clients tiers sont minimalistes, largement audités, et n'embarquent aucune télémétrie propre à l'opérateur. Ils exigent en revanche d'importer manuellement des fichiers de configuration et se privent des fonctions du client maison, coupe-circuit système en tête. Un service qui fournit ces configurations sans réticence signale une certaine confiance dans sa propre transparence.
Installer le VPN sur le routeur protège tous les appareils du foyer, y compris ceux qui n'acceptent pas d'application. Le compromis : la puissance de calcul d'un routeur grand public limite le débit chiffré, souvent bien en dessous de ce qu'obtient un ordinateur ; le choix d'emplacement s'applique à tout le réseau à la fois ; et une mauvaise configuration peut désactiver le coupe-circuit sans que ce soit visible. À réserver à qui sait vérifier le résultat avec les tests de fuite décrits par ailleurs.
Une revue sérieuse d'un client VPN ne se limite pas à des captures d'écran de l'interface. Elle indique la version testée et sa date, précise si le code est ouvert, liste les permissions demandées à l'installation, vérifie le comportement du coupe-circuit lors d'une coupure provoquée, contrôle l'absence de fuite DNS et IPv6, et observe le trafic émis par l'application elle-même au repos. Si une page « meilleur VPN » recommande un service sans avoir mené ne serait-ce qu'une partie de ces contrôles, sa recommandation vaut ce que vaut une fiche commerciale.
Le dernier critère de la série remet tout en perspective : modèle économique et signaux de confiance. Pour les protections que ce client doit impérativement offrir, revenez à fuites et coupe-circuit.