281 applis VPN Android testées. 29 fuitaient tout ce qu'elles promettaient de cacher.

Des chercheurs de l’université du Michigan ont construit un outil baptisé MVPNalyzer pour faire ce que personne n’avait fait à cette échelle : auditer des centaines d’applis VPN Android sur ce qu’elles font réellement sur le réseau, pas sur ce qu’elles prétendent faire. Ils l’ont fait tourner sur 281 applis VPN populaires du Play Store. Les résultats, présentés au symposium NDSS 2026, sont ce qui se rapproche le plus d’un bulletin de notes indépendant pour le marché des VPN mobiles. Et la plupart des applis échouent.

Cet article ne parle pas de NordVPN, Proton VPN, ou des autres fournisseurs audités que l’on couvre sur ce site. Il parle du tas bien plus large d’applis VPN gratuites et obscures qui se trouvent à une recherche de distance sur le Play Store, avec les mêmes trois lettres sur leur icône.

Ce que MVPNalyzer a réellement mesuré

Auditer un VPN correctement demande plus que lire sa politique de confidentialité. MVPNalyzer a inspecté les applis sur plusieurs couches en même temps : le trafic réseau qui sort de l’appareil, les requêtes DNS effectuées, les fichiers de configuration qui contrôlent le chiffrement, et les identifiants envoyés à des serveurs externes. Cette combinaison est ce qui distingue l’étude d’un simple argument marketing. Elle vérifiait ce qui sortait du téléphone, pas ce que l’appli disait qu’il se passerait.

L’autrice principale, Roya Ensafi, professeure associée au College of Engineering de Michigan, a résumé la motivation sans détour : « Notre motivation vient du constat que beaucoup de gens comptent sur les VPN pour leur vie privée et leur sécurité, alors que de nombreuses applis n’assurent même pas les protections de base. Nous voulons permettre aux utilisateurs, aux régulateurs et aux chercheurs de voir ce qui se passe réellement sous le capot, pour qu’ils puissent faire des choix informés et pousser l’industrie à mieux faire. »

Le co-auteur Aaron Ortwein, doctorant sur le projet, a formulé l’objectif en termes de responsabilité : « En automatisant l’analyse à travers les couches réseau et les configurations, on peut découvrir des vulnérabilités qui touchent des millions d’utilisateurs et tenir les développeurs d’applis pour responsables. »

Les chiffres qui comptent

Voici ce à quoi ressemblaient 281 applis une fois que quelqu’un a vraiment vérifié :

• 29 applis fuitaient carrément le trafic DNS et le trafic navigateur, ce qui annule tout l’intérêt de faire tourner un VPN.
• Plus de 20 %, soit 61 applis, transmettaient du contenu sensible, dont des fichiers de configuration et du trafic exposant la localisation de l’utilisateur, soit en clair, soit carrément hors du tunnel VPN.
• Plus de 60 % n’appliquaient pas les mesures de durcissement de sécurité de base.
• 76 applis envoyaient des identifiants propres à l’appareil, dont l’Advertising ID, à des tiers, permettant un traçage et un fingerprinting persistants qui vont directement à l’encontre des promesses de confidentialité imprimées sur la fiche du Play Store.
• Sur les 108 applis dont les chercheurs ont pu obtenir les fichiers de configuration, 107 n’appliquaient pas correctement les standards de chiffrement recommandés.

Relisez cette dernière ligne. Presque toutes les applis que l’équipe a pu inspecter au niveau configuration se plantaient sur les bases. Ce n’est pas une poignée de cas isolés douteux. C’est quasiment l’échantillon entier.

Pourquoi un VPN qui fuit est pire que pas de VPN du tout

Un VPN qui fuit du trafic DNS ou navigateur n’est pas neutre, il est activement nuisible. Les utilisateurs qui installent ces applis pensent être cachés de leur FAI, de leur opérateur réseau, ou de qui que ce soit d’autre qu’ils cherchent à éviter. À la place, ils obtiennent la fausse confiance d’un cadenas affiché à l’écran pendant que leurs requêtes partent quand même en clair. Quiconque surveille ce trafic voit exactement ce qu’il verrait sans VPN installé, sauf que l’utilisateur a arrêté de prendre d’autres précautions parce qu’il pense être couvert.

Le problème de l’Advertising ID aggrave les choses. Un identifiant prévu pour le ciblage publicitaire à l’intérieur des applis devient une empreinte stable quand une appli censée protéger la vie privée le transmet à un tiers en même temps que des données réseau. C’est exactement le contraire de ce qu’une appli VPN est censée faire, et ça arrive dans plus d’un quart des applis testées.

Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.

Comment repérer un VPN qui ment sur ce qu’il fait

Vous ne pouvez pas lancer MVPNalyzer vous-même, mais vous pouvez appliquer le même scepticisme que les chercheurs. Quelques filtres pratiques :

Ignorez “inbloquable” et “100 % anonyme”. Aucun VPN honnête ne promet une anonymité absolue. Les fournisseurs qui appuient leurs affirmations sur des preuves parlent de juridiction, de dates d’audit et de protocoles de chiffrement précis, pas de superlatifs.

Cherchez un audit publié et daté. Pas un article de blog sur du “chiffrement de niveau militaire”, un vrai rapport d’audit tiers avec un nom de cabinet, une date et un périmètre. On explique exactement comment distinguer un vrai audit d’un exercice marketing dans notre guide pour vérifier les politiques no-logs.

Méfiez-vous des applis gratuites sans modèle économique clair. Faire tourner une infrastructure de serveurs VPN coûte de l’argent. Si une appli est gratuite, n’a aucun abonnement payant, et doit quand même payer sa bande passante quelque part, cet argent vient probablement de vos données. Notre comparatif VPN gratuit vs payant détaille quelles options gratuites sont réellement sûres et lesquelles ne le sont pas.

Regardez qui l’a développé. Une entreprise avec un bureau public, un historique, et quelque chose à perdre en cas de procès se comporte différemment d’un compte développeur anonyme au nom générique avec une poignée d’applis quasi identiques.

Vérifiez les permissions demandées. Une appli VPN qui demande l’accès aux contacts, à la caméra ou aux SMS n’a aucune raison technique d’en avoir besoin.

Rien de tout ça ne demande d’outils spéciaux. Ça demande juste de traiter “VPN” comme une catégorie qui inclut à la fois des services audités et gérés professionnellement, et des applis qu’un développeur a mises en ligne le mois dernier sans aucune vérification indépendante de ce qu’elles prétendent.

Ce que ça change pour les fournisseurs qui valent le coup

Cette étude n’est pas un réquisitoire contre l’industrie du VPN dans son ensemble, et la traiter comme telle serait une erreur. Les fournisseurs qu’on recommande sur ce site sont passés par des audits indépendants et nommés, précisément parce que des affirmations sans vérification ne valent rien, comme cette recherche vient de le démontrer à grande échelle. NordVPN et Proton VPN ont tous deux publié des résultats d’audit liés à des cabinets de sécurité nommés, ce qui est exactement la distinction que cette étude souligne.

L’écart que les chercheurs ont trouvé n’est pas vraiment un problème de technologie VPN. WireGuard et OpenVPN, correctement configurés, ne fuitent pas de trafic DNS. L’écart se situe entre les fournisseurs qui se font auditer et assument leurs responsabilités, et ceux qui collent “VPN” sur une appli, sautent le travail d’ingénierie, et comptent sur le fait que presque personne ne vérifie.

Ce qu’il faut faire concrètement avec ça

Si vous utilisez actuellement une appli VPN gratuite ou peu connue venant du Play Store, c’est le moment de vérifier ses permissions, de chercher son nom associé à “audit”, et de voir si quelque chose remonte. Si rien ne remonte après plusieurs années sur le marché, ce silence est lui-même une information.

Si vous choisissez un VPN pour la première fois, laissez tomber les applis qui promettent la lune et partez des fournisseurs capables de pointer vers un audit daté et nommé. C’est une vérification de cinq minutes que la grande majorité des 281 applis de cette étude aurait ratée.

Sources : University of Michigan College of Engineering | Tech Xplore