L'état des VPN mi-2026 : censure, applis qui fuient et course techno inégale

Quatre actualités distinctes ont secoué le monde des VPN ces trois derniers mois. Prise isolément, chacune ressemble à une mise à jour de niche. Mises bout à bout, elles racontent une industrie prise en étau des deux côtés à la fois : les gouvernements resserrent l’usage des VPN, pendant que les outils eux-mêmes s’avèrent moins fiables que ne le promet leur marketing.

Voici ce qui s’est passé dans chaque cas, pourquoi ça compte, et ce que ça change vraiment pour choisir un VPN aujourd’hui.

La Russie arrête de combattre le réseau, s’attaque à l’appli

Pendant des années, la Russie bloquait les VPN au niveau de l’infrastructure : ralentissement des protocoles, listes noires d’adresses IP, ordres donnés aux FAI d’interférer avec le trafic chiffré. Contourner ça restait un jeu du chat et de la souris entre fournisseurs VPN et l’État, et les fournisseurs trouvaient en général une parade, au moins pour un temps.

Ça a changé le 15 avril 2026. Ozon, la plus grande plateforme e-commerce russe, et Kinopoisk, un service de streaming majeur, se sont mis à détecter directement les utilisateurs VPN et à leur refuser l’accès. Plus besoin de blocage réseau : le site fait désormais le tri lui-même. Des applis bancaires et de VTC ont connu des perturbations similaires autour de la même date, mais pas toutes les plateformes n’ont suivi : VKontakte et Wildberries auraient continué à fonctionner normalement avec un VPN actif.

L’ordre viendrait du ministère russe du Développement numérique, qui a fixé une échéance de mise en conformité couvrant plus de 20 plateformes. La pression sur l’industrie du VPN elle-même montait déjà en parallèle : plus de 100 applis VPN ont été retirées des stores russes en 2025, et Apple a coupé la facturation mobile en Russie en avril 2026, ce qui rend le paiement d’un abonnement VPN nettement plus compliqué avant même qu’un quelconque blocage n’intervienne.

Ce virage compte parce qu’il ferme une brèche qui fonctionnait plutôt bien jusque-là : même quand le réseau était hostile, le site de destination se souciait rarement de la manière dont on y accédait. Désormais, c’est l’appli elle-même qui vérifie, et il n’existe pas de changement de serveur qui corrige une détection côté application comme il en existait un pour le ralentissement réseau. On a détaillé les mécanismes, les plateformes concernées et ce qui fonctionne encore dans notre article complet sur la répression russe des VPN.

Une étude universitaire a testé 281 VPN Android, et la plupart ont échoué

Pendant que les gouvernements s’occupaient de bloquer les VPN, des chercheurs vérifiaient si les VPN que les gens réussissent encore à utiliser font réellement leur travail. L’université du Michigan a construit un outil de test baptisé MVPNalyzer et l’a présenté au symposium NDSS 2026 le 7 juillet. C’est le plus gros audit indépendant jamais réalisé sur le marché des VPN mobiles, et il a inspecté les applis sur plusieurs couches à la fois : le trafic qui sort réellement de l’appareil, les requêtes DNS émises, les fichiers de configuration qui gèrent le chiffrement, et les identifiants transmis à des serveurs tiers.

Les résultats sont mauvais. Sur 281 applis VPN Android populaires testées, 29 laissaient fuir du trafic DNS ou navigateur en dehors du tunnel chiffré, ce qui veut dire que la promesse de base de l’appli, cacher ce que vous naviguez, ne tenait tout simplement pas à l’épreuve des tests. Soixante-seize applis envoyaient l’Advertising ID de l’appareil à des tiers, exactement l’identifiant de traçage dont un VPN est censé vous protéger, pas celui qu’il distribue à des régies publicitaires. Plus de 60% des applis ont échoué à des vérifications de sécurité basiques, du type validation correcte des certificats ou configurations par défaut sûres.

Rien de tout ça ne concerne la poignée de fournisseurs audités et no-logs que ce site suit de près. C’est une histoire sur la masse bien plus large d’applis gratuites et peu connues qui traînent à une recherche de distance sur le Play Store, arborant les mêmes trois lettres sur leur icône sans offrir aucune des mêmes garanties. On détaille la méthodologie complète et les chiffres dans notre article dédié à l’étude MVPNalyzer.

Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.

Chiffrement post-quantique : un seul leader, le reste en discute encore

Les ordinateurs quantiques n’existent pas encore à l’échelle nécessaire pour casser les échanges de clés des VPN actuels. Mais la menace n’est pas “attendre qu’ils existent”. C’est le principe “récolter maintenant, déchiffrer plus tard” : un adversaire peut enregistrer du trafic chiffré aujourd’hui et le déverrouiller des années plus tard, une fois le matériel disponible. Pour toute personne avec des secrets à horizon long, journalistes, avocats, chercheurs, dossiers médicaux ou financiers, l’horloge tourne déjà, peu importe quand un ordinateur quantique opérationnel finira par apparaître.

Mi-2026, NordVPN est le seul VPN grand public à avoir vraiment terminé la migration sur l’ensemble de ses plateformes. Son NordLynx post-quantique, construit sur ML-KEM superposé à l’échange de clés WireGuard existant, est sorti d’abord sur Linux en septembre 2024 et a atteint toutes les plateformes restantes, Windows, macOS, iOS, Android, Android TV et tvOS, en mai 2025. Il tourne par défaut sur chaque appli prise en charge, sans réglage à aller chercher ni option experte à activer.

ExpressVPN, Surfshark et Proton VPN ont tous signalé une intention de roadmap dans la même direction, mais aucun n’a livré d’implémentation post-quantique complète en production à l’heure où on écrit ces lignes. Cet écart n’est pas un détail. C’est la différence entre une menace déjà traitée pour tous les utilisateurs et une menace qui traîne encore sur une slide de roadmap produit. On va plus loin sur qui livre quoi, et pourquoi cet écart compte davantage pour certains profils que pour d’autres, dans notre dossier sur le chiffrement VPN post-quantique.

Les lois de vérification d’âge continuent de se propager, et le VPN reste la solution de contournement

Le quatrième fil est réglementaire, et il se construit depuis le début de l’année. Vingt-cinq États américains ont désormais des lois de vérification d’âge en vigueur, avec le SB 73 de l’Utah comme texte le plus agressif du lot : il vise directement les utilisateurs de VPN, tient les sites responsables si un résident de l’Utah contourne la vérification d’âge avec un VPN, et interdit même aux sites concernés de publier des instructions pour le faire. Le Royaume-Uni, l’Australie, le Brésil et la Turquie ont tous adopté ou fait appliquer des textes similaires au cours de l’année écoulée. L’UE prépare désormais un cadre unifié de vérification d’âge destiné à s’appliquer aux 27 États membres d’ici fin 2026.

Chacune de ces lois a produit le même effet secondaire : un pic de téléchargements de VPN. Des gens ordinaires se tournent vers un VPN pour continuer à consulter du contenu qui était légal la veille et se retrouve soudainement verrouillé, pas pour faire quoi que ce soit de répréhensible. La loi de l’Utah est actuellement le test le plus tranché pour savoir si un État peut réellement réguler des utilisateurs dont il ne peut pas légalement vérifier la localisation physique, et elle est contestée devant un tribunal fédéral en ce moment même, son application ayant été reportée le temps que la procédure suive son cours. On détaille l’état des lieux État par État et pays par pays dans notre tour d’horizon des lois de vérification d’âge.

Ce que ça donne une fois recollé

Mettez les quatre fils côte à côte et une tendance saute aux yeux assez vite. Les régulateurs, en Russie et de plus en plus dans les démocraties aussi, en ont fini de traiter le VPN comme un outil de confidentialité de niche que personne n’a besoin d’encadrer. En parallèle, un audit de sécurité indépendant vient de confirmer qu’une bonne partie du marché VPN ne tient pas la promesse même qui justifie son existence. Et les fournisseurs qui investissent réellement dans une cryptographie pérenne restent une liste courte, pas l’ensemble de l’industrie.

Rien de tout ça ne veut dire que le VPN a cessé d’être utile. J’en utilise un tous les jours. Mais l’écart entre un fournisseur sérieux et un nom qui sonne juste comme tel vient de se creuser, et mal choisir a désormais un coût réel : requêtes DNS qui fuient, Advertising ID revendu, ou appli qui coupe net dès que le site de destination décide de vérifier qui se connecte vraiment.

Comment choisir un VPN sérieux dans ce contexte

Trois filtres font l’essentiel du travail, et aucun ne demande une expertise technique particulière. D’abord, choisir un fournisseur avec un audit no-logs indépendant terminé, pas juste une affirmation enfouie dans une politique de confidentialité. Ensuite, vérifier que l’appli utilise bien un protocole moderne, WireGuard, NordLynx ou Lightway, plutôt que quelque chose de daté comme PPTP ou du L2TP nu, et regarder si l’échange de clés post-quantique est déjà livré ou au moins sur une roadmap publique. Enfin, se méfier des applis gratuites hors de la petite poignée de noms établis et audités : les chiffres de MVPNalyzer ci-dessus, c’est exactement ce qui arrive quand le modèle économique d’un VPN repose sur la revente de données plutôt que sur leur protection.

NordVPN coche actuellement chacune de ces cases : politique no-logs auditée, NordLynx basé sur WireGuard activé par défaut, et le seul déploiement post-quantique complet du marché à ce jour. Proton VPN reste une alternative solide si vous cherchez un fournisseur avec un solide historique open source et militant pour la vie privée, même si son propre chantier post-quantique est encore en cours plutôt que terminé.

Sources : The Moscow Times sur le blocage des VPN par les sites russes | Université du Michigan sur l’étude MVPNalyzer