Le guide principal insiste sur un point : la question n'est pas « ce VPN gratuit est-il bon », mais « est-il adapté à ce dont je me protège ». Un outil se juge par rapport à un adversaire. Cette page décrit six adversaires courants, ce qu'un VPN gratuit fait contre chacun, et les cas où il ne suffit pas.

Poser son modèle de menace

Trois questions suffisent à cadrer un usage. De qui, ou de quoi, est-ce que je cherche à me protéger ? Qu'est-ce qui a de la valeur — une information, une identité, une localisation, un contact ? Quelle est la conséquence si la protection échoue : un désagrément, une perte financière, un risque physique ou judiciaire pour moi ou pour un tiers ? Plus cette conséquence est grave, moins un outil gratuit non vérifié a sa place.

Adversaire 1 — Un autre utilisateur du même Wi-Fi public

Sur le réseau ouvert d'un café ou d'un hôtel, un tiers peut tenter d'observer le trafic partagé ou de se faire passer pour le point d'accès. Le tunnel chiffré d'un VPN, même gratuit, neutralise ces deux attaques : l'observateur local ne voit qu'un flux chiffré vers un serveur VPN. Pour ce cas, un service gratuit techniquement correct — protocole moderne, pas de fuite — est adéquat.

Adversaire 2 — Le fournisseur d'accès qui profile

Votre opérateur fixe ou mobile voit, en l'absence de VPN, tous les domaines que vous consultez et peut en tirer un profil, à des fins commerciales ou de conservation légale. Un VPN déplace cette visibilité de l'opérateur vers le fournisseur du VPN. Le gain est réel à condition que le VPN, lui, ne fasse pas ce que l'opérateur faisait : c'est tout l'enjeu du modèle économique et de la politique de journalisation. Un VPN gratuit qui vit de la revente de données n'est pas une protection ici, c'est un transfert de la fuite.

Adversaire 3 — Les régies publicitaires et le pistage

Le suivi publicitaire repose sur plusieurs identifiants : l'adresse IP, mais aussi les cookies, la connexion à des comptes, et l'empreinte du navigateur (configuration matérielle et logicielle). Un VPN masque l'adresse IP ; il ne fait rien contre les autres. Contre cet adversaire, un VPN gratuit apporte une amélioration partielle, à compléter par un navigateur qui limite le pistage et par une hygiène de comptes. Attendre d'un VPN seul qu'il rende anonyme est une erreur de modèle.

Adversaire 4 — L'employeur ou l'administrateur réseau

Sur un appareil fourni par l'entreprise, l'administrateur peut avoir installé des outils de supervision qui voient l'activité avant qu'elle n'entre dans le tunnel : le VPN n'y change rien. Sur un appareil personnel connecté au réseau de l'entreprise, l'administrateur voit qu'un tunnel VPN est établi, sans son contenu, et peut choisir de le bloquer. Le résultat dépend entièrement de qui contrôle l'appareil, pas du VPN.

Adversaire 5 — Une plateforme qui applique des restrictions géographiques

Ici, l'objectif est le confort, pas la sécurité, et l'enjeu est faible. Les plateformes de streaming détectent et bloquent les plages d'adresses connues comme appartenant à des VPN. Les adresses partagées des offres gratuites, très exposées, sont parmi les premières bloquées. Un VPN gratuit est donc souvent techniquement insuffisant pour cet usage, sans que ce soit un problème de sécurité.

Adversaire 6 — Un État, dans un contexte sensible

Journalisme d'investigation, protection d'une source, opposition politique, activité associée à un risque judiciaire dans un pays à surveillance active : dans ces situations, l'adversaire dispose de moyens d'observation du réseau, de pouvoirs de contrainte sur les intermédiaires, et de temps. Un VPN gratuit — modèle économique souvent opaque, journalisation probable, aucune garantie d'audit, entité potentiellement soumise à réquisition — est disqualifié. La réponse relève d'outils conçus pour ce niveau de menace (réseau à routage en oignon, protocoles de contournement résistants au filtrage), d'une discipline opérationnelle stricte, et d'un accompagnement spécialisé. Utiliser un outil grand public gratuit dans ce cas expose non seulement l'utilisateur, mais souvent un tiers.

Adversaire 7 — Le fournisseur du VPN lui-même

C'est l'adversaire que la publicité fait oublier. En vous connectant, vous déplacez la visibilité sur votre trafic depuis votre fournisseur d'accès vers le fournisseur du VPN. Si ce dernier journalise, revend des données ou prête votre adresse IP, vous n'avez pas réduit le risque, vous l'avez transféré vers un acteur souvent moins régulé et moins identifiable. Pour tout usage où le fournisseur d'accès faisait partie du modèle de menace, le fournisseur du VPN doit y entrer aussi, et c'est là que les critères de modèle économique, de journalisation et de juridiction deviennent décisifs.

L'erreur inverse : se sur-protéger

Faire correspondre l'outil à la menace fonctionne dans les deux sens. Utiliser un réseau à routage en oignon pour consulter sa banque ajoute de la friction, déclenche des blocages, et peut rendre la session plus singulière donc plus repérable, sans bénéfice réel face à l'adversaire concerné, qui est ici l'observateur local. Empiler les outils sans logique — un VPN gratuit par-dessus un autre, des extensions redondantes — multiplie les intermédiaires qui voient passer le trafic et les points de défaillance, sans gain de sécurité. La bonne configuration est la plus simple qui couvre la menace identifiée, pas la plus lourde.

Combiner plusieurs outils quand c'est justifié

Certaines situations appellent une combinaison réfléchie : un navigateur qui limite le pistage pour l'empreinte et les cookies, plus un VPN pour l'adresse IP et le réseau local ; ou un réseau à routage en oignon pour l'anonymat, utilisé depuis une connexion qui n'attire pas l'attention. L'essentiel est que chaque brique réponde à une menace précise du modèle, et que l'utilisateur sache ce que chacune fait et ne fait pas. Une pile d'outils qu'on ne sait pas expliquer est une pile d'outils qu'on ne sait pas déboguer le jour où elle fuit.

Grille de synthèse

Réévaluer son modèle de menace dans le temps

Un modèle de menace n'est pas figé. Un changement de situation personnelle ou professionnelle, un déplacement dans un pays au cadre légal différent, une exposition médiatique, une activité associative ou syndicale nouvelle : chacun de ces éléments peut faire passer un usage d'une case de la grille à une autre, et rendre inadapté un outil qui convenait jusque-là. Le réflexe utile est de se reposer les trois questions de cadrage — de qui je me protège, ce qui a de la valeur, la conséquence d'un échec — à chaque changement de contexte, plutôt que de conserver par habitude une configuration choisie pour une situation qui n'existe plus.

Ce qu'il faut retenir

Un VPN gratuit couvre correctement le bas et le milieu de l'échelle des menaces : réseau local hostile, profilage commercial, masquage d'adresse. Il ne couvre pas le haut de l'échelle, et aucune option gratuite ne le fera. Quand l'usage sort du périmètre du gratuit, il faut choisir un autre outil : la page les alternatives au VPN gratuit grand public détaille ce que chacune protège réellement.