Les VPN ont le vent en poupe et on les voit partout. Or, si les consommateurs que nous sommes avons souvent pour réflexe de nous concentrer sur le prix du service, ce n'est évidemment pas tout ce qui compte. Si c'est vraiment la confidentialité et la sécurité que vous recherchez, assurez-vous de comparer les bons critères avant de choisir un VPN plutôt qu'un autre.
Service zero-log, kill switch, protection multi-appareil : les options de protection avancées par les services VPN sont légion. Au-delà de l'aspect marketing, il est important de bien comprendre ces fonctionnalités et certaines notions de sécurité pour choisir le fournisseur et l'abonnement le mieux adapté à ses exigences de confidentialité et ses habitudes de navigation en ligne.
Les questions auxquelles répond cet article reviennent régulièrement sur les forums et commentaires en ligne. Nous avons souhaité permettre à chacun de mieux connaître les indispensables d'un bon service VPN qui se doit avant tout d’offrir une expérience stable, fiable et sécurisée.
1. Contrat de confidentialité respecté : pour le fournisseur VPN aussi !
Première chose à faire : s’assurer que le VPN envisagé respecte ses promesses de sécurité et de confidentialité. Pour s’en approcher, pas de secret. Il faut éplucher la politique de confidentialité à la recherche des types de données que collecte, et ne collecte pas, le fournisseur. Pensez aussi à vérifier ses pratiques en matière de gestion et de traitement des informations récupérées : sont-elles anonymisées ? Stockées ? Revendues ? Dans le cas d’une conservation assumée, à quelles fins ces éléments sont-ils stockés ? Pendant combien de temps ?
Il est ici important d’opérer une distinction entre les données de fonctionnement du service, qui comprennent les informations de création de compte, de facturation et techniques (plantages, données d’usages anonymisées) que la majorité des fournisseurs VPN collectent et conservent, et les données personnelles d’activités et d’identification, parmi lesquelles on trouve l’adresse IP réelle des internautes, les dates, heures et durées de connexion au service, les emplacements virtuels sélectionnés, voire, dans les cas les plus critiques, les informations de trafic comme les sites web visités.
Bien évidemment, la plupart des réseaux privés virtuels grand public revendiquent une politique de confidentialité no-log. Mais gardez en tête que l’argument rhétorique ne prouve rien des pratiques réelles de services pilotés par des entreprises privées. Quelques éléments connexes, comme le nom de la société mère, d’éventuels scandales ayant défrayé l’espace médiatique ou des rapports détaillés d’audits peuvent néanmoins dessiner une tendance du niveau de confiance qu’on peut accorder à tel VPN ou tel autre.
Le pays de domiciliation participe aussi à donner des indications sur la fiabilité du fournisseur. En clair, il s’agit de se renseigner sur le cadre législatif relatif à la collecte et à la conservation des données privées en vigueur dans le pays où l’entreprise VPN a établi son siège social. Outre les lois nationales, certains États ont signé des accords internationaux de surveillance et de partage de renseignements. On pense aux 5/9/14 Eyes, aux SIGINT et à l’OTAN.
Pour en savoir plus sur les libertés en ligne accordées aux citoyens en fonction du pays dans lequel ils résident, il suffit de consulter les données et rapports de différentes organisations comme OpenNet Initiative, Freedom House et Reporters sans Frontières .
2. Taille et qualité de l’infrastructure VPN
6 500 serveurs dans 111 pays chez l’un, 11 000 serveurs dans 100 pays chez l’autre, qui dit mieux ? La taille de l’infrastructure compte, mais plus que son envergure, sa qualité doit consolider votre choix. On parle ici de répartition homogène des emplacements de connexion et d’équipements physiques plutôt que d’équipements virtuels.
Pour rappel, les serveurs physiques sont géographiquement localisés dans le pays de connexion, tandis que les serveurs virtuels sont localisés ailleurs pour permettre d’atteindre des territoires autrement difficiles d’accès. Un serveur virtuel est tout indiqué pour pouvoir se connecter depuis des régions soumises à la censure et à la surveillance d’État, hostiles aux VPN, par exemple. On pense à la Chine, à l’Inde, à l’Iran, à la Russie ou à l’Éthiopie, entre autres. En revanche, ce type d’équipements étant jugé moins performant (co-intallations de plusieurs serveurs virtuels sur un même serveur physique), mieux vaut les éviter pour les autres pays.
Doivent aussi entrer en compte les technologies de stockage utilisées par les serveurs (la RAM étant plus rapide et plus sécurisée que les disques durs physiques), leurs capacités de gestion des flux de trafic (minimum 1 Gb/s ; 10 Gb/s dans la mesure du possible), et l’assiduité avec laquelle le parc réseau est entretenu (maintenance réactive, mises à jour de qualité et de sécurité régulières). N’oubliez pas qu’un fournisseur se vantant d’administrer des dizaines de milliers de serveurs dans le monde sera toujours moins efficace qu’un VPN limité à quelques centaines ou milliers de serveurs s’il n’entretient pas correctement son infrastructure.
Pour des raisons de confort plus que de nécessité, vous pouvez vous attarder sur la mise à disposition de serveurs optimisés pour des pratiques spécifiques comme le streaming et le téléchargement P2P. Sachez toutefois que les VPN les plus répandus sont en mesure de gérer ces usages sans déployer d’équipements spécifiques. En ce qui concerne les velléités de sécurité renforcées, la prise en charge de Tor, du multihop (double VPN) ou de serveurs obfusqués (capable de faire passer du trafic VPN pour du trafic HTTPS standard) sont un plus.
3. Sécurité des connexions : protocoles VPN et chiffrement
Là encore, impossible de faire l’impasse sur la base de la base : un bon fournisseur VPN doit, a minima, prendre en charge OpenVPN et l’algorithme de chiffrement AES.
S’il n’est pas considéré comme le protocole VPN le plus rapide, OpenVPN est aujourd’hui reconnu comme l’un des standards les plus sécurisés, les plus fiables et les plus stables. Depuis quelques années maintenant, il est régulièrement mis en concurrence avec WireGuard, jugé moins lourd et plus performant, également compatible avec la norme de chiffrement AES.
Certains fournisseurs développent leurs propres protocoles de tunnelisation qui, du fait de leur intégration verticale, devraient théoriquement limiter l’impact du VPN sur la connexion d’origine et améliorer sensiblement les débits montants comme ascendants. Gardez en tête que ces protocoles restent des technologies propriétaires, contrairement à OpenVPN et WireGuard distribués sous licence open source. De fait, rien ne prouve leur niveau de sécurité réel, en dehors des promesses formulées par les entreprises.
Concernant la clé de chiffrement AES, considérez 126 bits comme sécurisé, 256 bits comme un must. De manière générale, les réseaux privés virtuels les plus populaires proposent automatiquement un chiffrement AES-256.
4. Le kill switch, c’est au-to-ma-tique !
Le kill switch, que l'on pourrait traduire par « arrêt d'urgence » intègre la liste des fonctionnalités de sécurité indispensables que tout bon VPN se doit de proposer. Cette fonction permet de bloquer instantanément l'accès à Internet lorsqu'il est impossible de se connecter ou de se reconnecter à un serveur VPN après un décrochage du service. Ceci afin de se prémunir des fuites de données en dehors du tunnel VPN et d'empêcher son appareil d'accéder au réseau Internet public (HTTP/HTTPS) en cas d'interruption accidentelle du VPN.
5. Impact du VPN et qualité des débits offerts
Divers éléments cités dans ce papier peuvent affecter la vitesse de connexion VPN : distance physique qui sépare l’internaute et le serveur VPN choisi, protocole VPN utilisé, qualité et niveau de sécurité du chiffrement appliqué aux données, taux de charge des équipements à un instant T, qualité de l’infrastructure. Notez que les connexions Internet fibrées filaires seront moins affectées que les connexions aux réseaux Wi-Fi et mobiles, ou les connexions plus modestes (ADSL, débits faibles, etc.). Avant de choisir un service VPN plutôt qu'un autre, assurez-vous aussi que le fournisseur envisagé n'impose pas de limite de bande passante.
Pour en savoir plus sur la qualité des débits des VPN les plus populaires, n'hésitez pas à consulter les différents avis et prises en main rédigés par la rédaction.
6. Appareils pris en charge et nombre de connexions VPN simultanées
Un service VPN de qualité propose des applications et des configurations pour bon nombre de plateformes comme les ordinateurs Windows, macOS et Linux, les tablettes et smartphones Android et iOS, les TV connectées, les Raspberry Pi et différents routeurs. S’il ne s’agit pas de VPN à proprement parler (pas de protocole de tunnelisation à l’œuvre), les extensions proxy pour Chrome et Firefox sont un plus dans les cas où l’on ne pourrait pas installer de client logiciel sur son appareil.
Quant au nombre de connexions simultanées, plus le fournisseur en propose, mieux c’est. Au minimum, exigez un VPN capable de prendre en charge les différents équipements desktop et mobiles du foyer (les vôtres et ceux des personnes résidant sous le même toit) en même temps.
7. Ergonomie du service
Qu’on se le dise : personne ne s’embêtera à utiliser un service parfait en tout point s’il est infernal à prendre en main. Pensez donc à vérifier les points suivants avant de vous engager définitivement : peut-on se connecter rapidement au meilleur emplacement ? Peut-on changer de serveur depuis l’écran d’accueil, sans se déconnecter avant ? Les options sont-elles bien organisées ou faut-il souvent fouiller menus et sous-menus ? Le service dispose-t-il d’une assistance technique réactive et pertinente ? Les différents clients sont-ils, de manière générale, agréables à utiliser ?
8. Rapport qualité-prix
Vient enfin la question du rapport qualité-prix. Au regard de l’ensemble des critères évoqués ci-dessus, mieux vaut accepter de payer un peu plus chaque mois avec l’assurance de profiter d’un service fonctionnel et sécurisé plutôt que de grappiller quelques euros et de négliger la sécurité de ses données ou de sacrifier son expérience d’utilisation.
Puisque l’évaluation de ces critères dépend partiellement de la prise en main des VPN en conditions réelles, et que peu d’entre eux proposent des offres d’essais gratuites, n’hésitez pas à vous renseigner sur les politiques de remboursement. La plupart des fournisseurs grand public s’astreignent à proposer des offres soumises à satisfaction, vous autorisant à vous rétracter dans un délai suffisamment long (15 à 30 jours) pour vous permettre d’en éprouver les fonctionnalités au quotidien.
