Accueil › Protocoles et chiffrement
Le protocole détermine la vitesse, l'autonomie sur mobile, la capacité à passer les filtrages et une partie des propriétés de vie privée. C'est un critère technique où le vocabulaire commercial est particulièrement trompeur. Après avoir tranché la question de la juridiction et des journaux, c'est l'élément suivant à examiner dans l'évaluation d'un service.
Un VPN fait quatre choses. Il authentifie les deux extrémités pour que votre client parle bien au bon serveur et réciproquement. Il échange des clés de session, idéalement de façon à ce qu'une compromission ultérieure de la clé long terme ne permette pas de déchiffrer le trafic passé — c'est la confidentialité persistante (perfect forward secrecy). Il chiffre et authentifie chaque paquet de charge utile. Enfin il encapsule le tout dans un nouveau paquet routable jusqu'au serveur de sortie.
Ce qu'un observateur du réseau voit alors : que vous parlez à une adresse IP identifiée comme un serveur VPN, le volume et le rythme des paquets. Ce qu'il ne voit pas : le contenu, et les destinations situées au-delà du serveur. La qualité d'un protocole se juge sur la solidité de ces quatre étapes et sur leur coût en performance.
Les deux familles de chiffrement symétrique utilisées aujourd'hui — AES-256 en mode GCM et ChaCha20-Poly1305 — offrent une marge de sécurité équivalente à l'état de l'art. Le choix se joue ailleurs : les processeurs de bureau et de serveur disposent d'instructions dédiées (AES-NI) qui rendent l'AES très rapide, tandis que ChaCha20 est plus efficace sur les puces mobiles anciennes ou sans accélération. Un bon client sélectionne automatiquement le plus adapté.
« Chiffrement de niveau militaire » ne désigne rien de particulier : l'AES-256 est le standard civil courant, présent dans chaque connexion HTTPS. Sa présence est un prérequis, pas un argument différenciant.
OpenVPN existe depuis plus de vingt ans, a été audité de nombreuses fois et fonctionne aussi bien sur UDP (rapide) que sur TCP (plus lent mais capable de traverser des réseaux restrictifs, notamment sur le port 443 où il se fond dans le trafic web chiffré). Sa souplesse a un coût : une base de code volumineuse, une consommation CPU supérieure, et des débits en retrait face aux protocoles récents. Il reste un choix sûr, en particulier là où la discrétion prime sur la vitesse.
WireGuard tient en quelques milliers de lignes, ce qui facilite l'audit, et affiche les meilleurs débits ainsi qu'une reconnexion quasi instantanée lors des changements de réseau. Il fonctionne uniquement sur UDP.
Sa nuance : dans sa forme brute, WireGuard attribue à chaque client une adresse IP interne stable et conserve en mémoire la dernière adresse publique vue pour chaque pair. Sur un serveur partagé, cela pourrait faciliter le rattachement d'une session à un abonné. Les opérateurs sérieux corrigent ce point par une couche d'attribution dynamique : l'adresse interne est allouée à la connexion puis libérée, et aucune correspondance n'est écrite sur disque. Avant de retenir un service qui met WireGuard en avant, vérifiez dans sa documentation qu'il décrit ce traitement.
IKEv2 est intégré nativement à la plupart des systèmes d'exploitation et gère très bien la mobilité : grâce à MOBIKE, il maintient le tunnel quand vous passez du Wi-Fi aux données cellulaires. C'est souvent le meilleur compromis stabilité/vitesse sur téléphone. Il est en revanche plus facile à bloquer que de l'OpenVPN sur port 443, car il utilise des ports identifiables.
Plusieurs opérateurs proposent un protocole sous leur propre nom. Dans la quasi-totalité des cas, il s'agit de WireGuard ou d'OpenVPN modifié, généralement pour ajouter de l'obfuscation ou améliorer la reconnexion. Ce n'est pas un défaut en soi, mais la transparence l'est : un protocole propriétaire dont l'implémentation n'est ni documentée ni auditée demande une confiance supplémentaire.
Le chiffrement ne sert à rien si votre client accepte de parler à n'importe quel serveur se présentant à la bonne adresse. L'authentification mutuelle — le client vérifie un certificat ou une clé publique du serveur, et réciproquement — est ce qui empêche un intermédiaire de s'insérer dans l'échange. OpenVPN s'appuie sur une infrastructure de certificats ; WireGuard, sur un échange de clés publiques préconfigurées. Dans les deux cas, la sécurité repose sur la façon dont le client obtient et vérifie l'identité du serveur au premier contact. Un bon service documente ce mécanisme ; un service qui n'en parle pas laisse une zone d'ombre sur un point structurant.
Même parfaitement configuré, un tunnel laisse fuir des métadonnées de forme : le volume de données échangées, le rythme des paquets, les moments d'activité. Une analyse de trafic suffisamment fine peut, dans certains cas, corréler ces motifs entre l'entrée et la sortie d'un réseau. Aucun protocole grand public ne neutralise complètement ce canal ; le multi-saut et l'ajout de trafic de remplissage le compliquent, au prix du débit. Il faut le savoir pour ne pas surestimer ce qu'un simple tunnel apporte face à un adversaire qui observe les deux extrémités.
Faire passer OpenVPN sur TCP, port 443, le rend très discret, mais empile deux couches de contrôle de flux TCP l'une sur l'autre : celle du tunnel et celle de la connexion transportée. En cas de perte de paquets, les deux couches tentent de retransmettre, ce qui peut dégrader fortement le débit — un phénomène connu sous le nom de « fonte du TCP sur TCP ». Sur une bonne connexion, l'effet est négligeable ; sur un réseau instable, il est sensible. D'où l'intérêt de garder UDP par défaut et de ne basculer sur TCP que lorsque le réseau bloque le reste.
Le tunnel ajoute des en-têtes à chaque paquet. Si la taille maximale de transmission (MTU) n'est pas ajustée en conséquence, des paquets trop gros sont fragmentés en route, ce qui augmente la latence et peut casser certaines connexions. Les bons clients détectent et règlent ce paramètre automatiquement ; sur une configuration manuelle, c'est une cause fréquente de lenteurs inexpliquées.
Certains réseaux — universités, entreprises, pays qui filtrent — détectent et bloquent le trafic VPN par inspection profonde des paquets. L'obfuscation habille le tunnel pour qu'il ressemble à du trafic HTTPS ordinaire. Elle est indispensable dans ces contextes, mais coûte en débit et en latence ; ne l'activez que si vous en avez besoin. La disponibilité d'un mode obfusqué fiable est un critère fort pour qui voyage dans des zones à filtrage strict, secondaire ailleurs.
| Usage | Protocole adapté | Raison |
|---|---|---|
| Débit maximal (streaming, gros téléchargements) | WireGuard | Meilleur rendement, faible latence |
| Téléphone, déplacements fréquents | IKEv2 ou WireGuard | Reprise de connexion transparente |
| Réseau restrictif, besoin de discrétion | OpenVPN TCP 443 ou mode obfusqué | Se confond avec le trafic web |
| Priorité à l'auditabilité | WireGuard | Base de code réduite |
Un protocole solide ne sert à rien si votre adresse réelle s'échappe par un canal annexe : l'étape suivante est le contrôle des fuites DNS, WebRTC, IPv6 et du coupe-circuit. Pour comprendre l'effet du protocole sur les débits observés, voir réseau de serveurs et performance.