Chaque VPN promet un trafic chiffré, et cette promesse tient : personne ne casse par force brute un chiffrement AES-256 ou ChaCha20 dans un délai réaliste. L’analyse de trafic, parfois appelée corrélation de flux ou analyse temporelle, contourne entièrement ce problème. Elle ne touche pas au chiffrement. Elle observe plutôt la forme de votre trafic, et face à un adversaire suffisamment bien positionné, cela peut suffire à vous démasquer.
Ce qu’est réellement l’analyse de trafic
Une connexion VPN classique fonctionne comme un tunnel unique entre vous et un serveur. L’analyse de trafic exploite un fait simple sur ce montage : le timing et le volume des paquets chiffrés entrant dans le serveur VPN depuis votre appareil correspondent étroitement au timing et au volume des paquets qui quittent ce même serveur vers sa destination finale. Un observateur capable de voir les deux extrémités de ce tunnel, votre connexion internet d’un côté et la connexion sortante du serveur VPN de l’autre, peut faire correspondre les deux schémas de trafic sans jamais déchiffrer le moindre paquet.
Imaginez deux tuyaux d’eau observés à distance. Vous ne voyez pas ce qui coule dans l’un ou l’autre, mais si une bouffée d’eau entre dans le tuyau A exactement au moment où une bouffée correspondante sort du tuyau B, répété encore et encore selon un schéma constant, vous pouvez raisonnablement en conclure qu’ils sont reliés, même sans voir l’eau elle-même.
Pourquoi ce n’est pas une faille propre à votre VPN
C’est une propriété structurelle du fonctionnement des VPN à un seul saut, pas un bug qu’un fournisseur aurait oublié de corriger. Tous les grands VPN grand public, NordVPN, ProtonVPN, ExpressVPN, Surfshark, Mullvad, tous, font transiter votre trafic par un seul serveur, ce qui veut dire que le problème de correspondance de motifs existe pour eux tous de façon égale. Une politique sans logs plus solide ou un meilleur audit ne change rien à cela, car l’attaque ne repose absolument pas sur le fait que le fournisseur conserve ou remette des logs. Elle repose uniquement sur un tiers observant le trafic réseau à deux points simultanément.
Qui peut réellement faire ça en pratique
C’est le point que beaucoup de couvertures alarmistes perdent en route. Corréler du trafic en deux points distincts d’internet, en temps réel, avec assez de précision pour faire correspondre des sessions individuelles, exige une visibilité sur une part significative de l’infrastructure du backbone internet. C’est une capacité réalistement limitée aux agences de renseignement étatiques disposant de programmes de surveillance au niveau du backbone, pas un pirate ordinaire, un FAI curieux, ou un site web que vous visitez. Si votre modèle de menace se résume à « je ne veux pas que des inconnus ou des publicitaires me pistent », l’analyse de trafic n’est pas le risque à craindre. Si votre modèle de menace inclut un adversaire gouvernemental doté de moyens importants, c’est une limite réelle de tout VPN à un seul saut, un point c’est tout.
L’exemple récent qui a remis le sujet à la une
Ce sujet précis est revenu sur le devant de la scène début septembre 2026, quand le sénateur Ron Wyden a envoyé une lettre à la NSA l’exhortant à mettre à jour ses recommandations de cybersécurité avec des mises en garde plus claires sur les limites des VPN commerciaux face à une surveillance étrangère sophistiquée. L’argument central rejoignait ce qui est décrit ici : la seule force du chiffrement ne protège pas contre un adversaire capable de collecte et de corrélation de trafic à grande échelle. Il ne s’agissait pas d’une nouvelle vulnérabilité révélée, mais d’un appel à plus d’honnêteté dans les recommandations officielles sur une limite qui existe depuis aussi longtemps que les VPN à un seul saut. La lettre citait spécifiquement Tor et des services de type mixnet comme NymVPN comme alternatives plus solides pour les utilisateurs à haut risque, aux côtés du design à deux sauts d’iCloud Private Relay d’Apple, plutôt que de suggérer que les VPN commerciaux seraient cassés ou inutiles.
Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.
Ce qui aide vraiment : ajouter des sauts
La défense principale contre l’analyse de trafic est architecturale : faire transiter votre trafic par plusieurs points indépendants plutôt qu’un seul, pour qu’aucun observateur isolé ne puisse voir à la fois l’entrée et la sortie simultanément. Tor fait cela par défaut, en faisant rebondir votre connexion à travers trois relais distincts gérés par des opérateurs différents et sans lien entre eux, ce qui rend la corrélation de bout en bout nettement plus difficile puisqu’un adversaire aurait besoin d’une visibilité sur plusieurs sauts gérés indépendamment à la fois, pas juste un seul serveur VPN.
Les configurations VPN multi-sauts, parfois commercialisées sous le nom de « double VPN », fonctionnent selon le même principe à plus petite échelle, en faisant transiter votre trafic par deux serveurs VPN au lieu d’un seul. C’est une amélioration réelle par rapport à un seul saut, même si cela reste un nombre de sauts inférieur aux trois par défaut de Tor, et si les deux serveurs sont gérés par la même entreprise, un fournisseur compromis ou soumis à une assignation voit toujours l’ensemble du tableau. Les services plus récents basés sur des mixnets, conçus spécifiquement pour résister à la corrélation de trafic via un routage et un timing aléatoires, sont une autre option dans ce domaine, même s’ils sacrifient vitesse et compatibilité grand public pour cette résistance renforcée.
Ce qui n’aide pas vraiment
Changer de fournisseur VPN n’aide pas, puisque la vulnérabilité structurelle n’est pas propre à un fournisseur en particulier. Payer pour un service « sans logs audité » n’aide pas non plus, puisque les logs ne sont pas ce qui est exploité ici. Un kill switch, une protection contre les fuites DNS et un chiffrement solide restent tous utiles, ils protègent contre des menaces différentes et plus courantes, comme un site web voyant votre vraie IP ou votre FAI lisant votre trafic non chiffré, mais aucun ne traite spécifiquement la corrélation de trafic. Il est facile de confondre « mon VPN a passé tous les tests de fuite » avec « mon VPN est à l’abri de toute forme de surveillance », et c’est exactement l’écart que des mises à jour de recommandations officielles comme celle de Wyden cherchent à combler.
Est-ce qu’un VPN classique ne sert alors à rien ?
Non. Pour l’immense majorité des usages d’un VPN, masquer sa navigation à son FAI, éviter le pistage sur un wifi public, débloquer du contenu géo-restreint, un VPN à un seul saut avec un chiffrement solide et une véritable politique sans logs suffit amplement. L’analyse de trafic est une limite réelle, mais une limite qui ne compte que face à une catégorie d’adversaire précise et restreinte : capable d’une surveillance réseau à grande échelle et en temps réel sur plusieurs points. Journalistes, militants, et toute autre personne évoluant sous un modèle de menace réellement élevé sont ceux qui doivent vraiment envisager le routage multi-sauts ou Tor.
Une façon concrète de penser votre propre risque
Demandez-vous contre quoi vous vous protégez réellement. S’il s’agit d’un FAI qui revend vos données de navigation, d’un site web construisant un profil publicitaire, ou d’un réseau wifi public espionnant du trafic non chiffré, un VPN standard et audité gère très bien tout cela. S’il s’agit d’un gouvernement aux moyens importants traquant spécifiquement vos communications, superposez Tor ou une configuration multi-sauts, en sachant que vous échangez une partie de la vitesse et du confort contre une résistance nettement meilleure aux attaques de corrélation. La plupart des gens n’ont jamais besoin de faire ce compromis. Un plus petit nombre en a réellement besoin, et prétendre le contraire, dans un sens comme dans l’autre, ne rend service à personne. La lecture honnête ressemble davantage à un spectre qu’à une opposition binaire : un VPN à un seul saut plus de bonnes habitudes couvre la plupart des besoins de confidentialité au quotidien, le multi-sauts apporte une amélioration réelle mais plus modeste, et Tor se situe à l’extrémité pour les personnes dont la sécurité dépend réellement de résister à la corrélation d’un adversaire bien financé. Choisir l’outil adapté à sa position réelle sur ce spectre compte plus que de supposer que l’option la plus forte est automatiquement la bonne pour tout le monde.
L'analyse de trafic est une limite structurelle réelle des VPN à un seul saut face à une menace précise mais bien réelle : la surveillance étatique dotée de moyens importants. Cela ne rend pas l'usage ordinaire d'un VPN inutile, mais cela signifie que la seule force du chiffrement ne donne pas le tableau complet en matière de confidentialité. Les utilisateurs à haut risque devraient se tourner spécifiquement vers Tor ou des configurations multi-sauts ; tous les autres sont bien servis par un VPN standard et audité comme NordVPN ou Mullvad.
À lire aussi : Double VPN et multi-hop expliqués et VPN contre Tor : lequel choisir ?.