Le sénateur Ron Wyden a envoyé une lettre le 2 septembre 2026 au directeur de la NSA, le général Joshua Rudd, appelant l’agence à mettre à jour ses recommandations de cybersécurité avec des mises en garde plus claires et plus honnêtes sur ce qu’un VPN commercial peut et ne peut pas protéger pour les Américains. C’est sa troisième lettre sur ce sujet général cette année, après deux précédentes en mars et juillet, et elle pointe une vraie lacune technique plutôt qu’une frayeur fabriquée de toutes pièces.
Ce que Wyden demande réellement
L’argument central de la lettre, tel que rapporté par CyberScoop, est direct : les réseaux privés virtuels (VPN) commerciaux, bien que recommandés par les agences fédérales et largement présentés comme des boucliers contre l’espionnage en ligne, ne protègent pas suffisamment les utilisateurs contre des adversaires sophistiqués. Le problème n’est pas que le chiffrement des VPN serait cassé. C’est que les recommandations fédérales prônant l’usage d’un VPN ne détaillent actuellement pas une limite précise et bien documentée : l’analyse de trafic, où un adversaire ayant une visibilité sur les deux extrémités d’une connexion VPN peut corréler timing et volume de données pour démasquer une activité sans jamais rien déchiffrer.
Pourquoi ça revient toujours à l’analyse de trafic
Selon le reportage de TechRadar, une note du Congressional Research Service citée en lien avec la lettre affirme sans détour que la seule force du chiffrement ne protège pas les utilisateurs contre une menace persistante et avancée menant une collecte de trafic de données en masse. C’est précisément une description de l’analyse de trafic : les VPN à un seul saut font transiter tout par un seul serveur, et un adversaire capable d’observer à la fois l’entrée et la sortie de ce serveur peut faire correspondre les schémas de trafic entre eux, une capacité réalistement limitée à des acteurs étatiques bien dotés disposant d’une infrastructure de surveillance au niveau du backbone, pas un pirate ordinaire ou un publicitaire.
Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.
Vers quelles alternatives la lettre oriente
La lettre de Wyden recommanderait, selon les informations rapportées, que les recommandations de la NSA orientent les utilisateurs vers des architectures spécifiquement conçues pour résister à ce type de corrélation : les configurations VPN multi-sauts, l’iCloud Private Relay d’Apple (qui répartit le trafic sur deux relais gérés séparément), Tor, et des services basés sur des mixnets comme NymVPN. Aucun de ces éléments n’est présenté comme un remplacement des VPN commerciaux dans leur usage général. Ils sont positionnés comme les outils appropriés pour une catégorie plus restreinte d’utilisateurs à haut risque, journalistes, militants, et autres personnes confrontées à des menaces étatiques réellement sophistiquées, là où la limite d’un VPN à un seul saut compte vraiment.
Un schéma récurrent, pas une lettre isolée
C’est la troisième lettre de Wyden poussant sur les recommandations fédérales liées aux VPN en 2026, après deux précédentes en mars et juillet. Les réponses antérieures du Bureau du directeur du renseignement national n’auraient offert que des notes de prudence générales sur l’examen attentif des fournisseurs VPN, sans traiter directement la lacune sur l’analyse de trafic que cette dernière lettre pointe spécifiquement. Le thème récurrent des trois lettres : les agences fédérales recommandent largement l’usage d’un VPN, mais les réserves techniques précises sur ce que cette recommandation couvre et ne couvre pas n’ont pas suivi, selon Wyden, la sophistication des menaces décrites ailleurs dans les mêmes documents de recommandation, y compris un précédent avis de la NSA sur une campagne parrainée par la Chine ciblant les réseaux de télécommunications et gouvernementaux.
La chronologie 2026, dans l’ordre
La pression de Wyden sur ce sujet s’est construite régulièrement au fil de l’année. En mars, une première lettre soulevait des préoccupations sur la dépendance fédérale aux technologies VPN en général. En juillet, un suivi ciblait spécifiquement les appliances VPN obsolètes et exposées sur internet au sein des agences fédérales, demandant un délai contraignant de deux ans pour les éliminer, une proposition sur l’infrastructure d’entreprise plutôt que sur l’app VPN de votre téléphone. Cette lettre de septembre est la plus précise des trois, nommant une lacune technique spécifique, la résistance à l’analyse de trafic, et une solution spécifique, des recommandations mises à jour de la NSA, plutôt qu’une plainte institutionnelle plus large. Prises ensemble, les trois lettres décrivent un argument qui s’intensifie : la communication fédérale sur les VPN n’a pas suivi la façon dont les menaces sous-jacentes sont réellement décrites ailleurs dans les avis gouvernementaux.
À quoi ressembleraient des recommandations plus claires
La lacune que décrit Wyden ne porte pas vraiment sur la question de savoir si les VPN sont recommandés ou non, mais sur les petites lignes en dessous de cette recommandation. Les recommandations fédérales actuelles approuvent largement l’usage d’un VPN sans distinguer systématiquement entre le type de protection de la vie privée qu’un VPN à un seul saut apporte face à un FAI ou un site web, ce qui est solide, et le type de protection qu’il ne peut pas apporter face à un adversaire disposant des moyens d’observer une connexion en plusieurs points simultanément. Des recommandations plus claires, dans la vision de Wyden, préciseraient explicitement cette seconde catégorie et orienteraient spécifiquement vers des alternatives multi-sauts ou mixnet pour le groupe restreint de personnes qui ont réellement besoin d’anticiper ce cas, plutôt que de laisser cette distinction se reconstituer à partir d’articles académiques et de rapports d’associations.
Ce que ça ne signifie pas pour l’utilisateur VPN ordinaire
Il vaut la peine d’être précis sur la portée ici, ce genre de lettre ayant tendance à se résumer en titres du type « les VPN ne servent à rien », qui exagèrent le propos. Pour l’immense majorité de ce pour quoi les gens utilisent réellement un VPN, masquer sa navigation à un FAI, protéger ses données sur un wifi public, débloquer du contenu géo-restreint, un VPN standard et audité reste entièrement efficace. L’analyse de trafic est une limite réelle mais restreinte, qui compte spécifiquement face à un adversaire capable de surveillance réseau à grande échelle et en temps réel, ce qui décrit un petit nombre de services de renseignement étatiques, pas les menaces dont la plupart des consommateurs s’inquiètent réellement au quotidien.
Pourquoi c’est un problème de recommandations, pas un rappel de produit
Rien dans la lettre de Wyden ne suggère qu’un fournisseur VPN précis aurait mal agi, et aucune entreprise VPN n’a été nommée dans le cadre de cette préoccupation, une distinction à garder en tête si les titres sur cette lettre venaient à se réduire à quelque chose de plus alarmiste que ce qui a réellement été dit. Le problème, tel que formulé, concerne entièrement la communication fédérale : des agences disant aux Américains d’utiliser un VPN sans expliquer aussi, clairement et précisément, la catégorie de menace qu’un VPN ne couvre pas. Cette distinction compte pour savoir à quel point prendre ça au sérieux en tant que consommateur. C’est un appel à un meilleur étiquetage et des recommandations plus claires, pas une preuve qu’un fournisseur VPN grand public aurait une faille à corriger.
Que faire concrètement de cette information
Si votre usage quotidien d’un VPN concerne la confidentialité face à votre FAI, la sécurité sur le wifi public, ou l’accès au streaming, cette lettre ne change rien à quel VPN choisir ni à la pertinence d’en garder un. Si vous avez une raison sérieuse de penser être spécifiquement la cible d’une surveillance étatique, les alternatives recommandées par la lettre, Tor, les configurations multi-sauts, ou un service mixnet, valent la peine d’être étudiées directement plutôt que de supposer que votre abonnement VPN grand public actuel couvre ce modèle de menace. La NSA n’a pas encore répondu publiquement à la lettre au moment de la rédaction de cet article. Vu le schéma des deux lettres précédentes de 2026, une réponse publique substantielle, si elle arrive, aura probablement plus de chances de se présenter comme une mise à jour discrète d’un document d’avis existant, des mois plus tard, plutôt que comme une réponse formelle adressée directement à Wyden.
La lettre de Wyden n'identifie pas une nouvelle faille dans un VPN quelconque, elle pousse pour que les recommandations fédérales soient plus précises sur une limite connue et restreinte : l'analyse de trafic par des adversaires étatiques. L'usage ordinaire d'un VPN pour la confidentialité, le wifi public et le streaming n'est pas concerné. Les utilisateurs à haut risque sont le public visé par les alternatives recommandées dans la lettre. Pour la plupart des gens, un VPN rapide et audité comme NordVPN reste un choix quotidien approprié.
À lire aussi : Les attaques par analyse de trafic expliquées et Le sénateur Wyden veut purger les VPN obsolètes de l’administration américaine.