Un VPN est cens\u00e9 acheminer votre trafic de donn\u00e9es via un tunnel crypt\u00e9 afin que ni votre fournisseur d\u2019acc\u00e8s \u00e0 Internet, ni quiconque espionnant le r\u00e9seau Wi-Fi ne puisse voir ce que vous faites. Le probl\u00e8me, c\u2019est qu\u2019\u00e0 partir de ce moment-l\u00e0, l\u2019application VPN elle-m\u00eame peut tout voir. Vous ne faites que transf\u00e9rer votre confiance de votre fournisseur d\u2019acc\u00e8s Internet \u00e0 l\u2019entreprise qui a d\u00e9velopp\u00e9 l\u2019application. Une nouvelle \u00e9tude montre que de nombreux fournisseurs gratuits ne m\u00e9ritent pas cette confiance. <\/p>\n
Des chercheurs de l\u2019universit\u00e9 du Michigan, de l\u2019universit\u00e9 du Nouveau-Mexique et de l\u2019IIT Delhi ont test\u00e9 281 applications VPN gratuites disponibles sur le Google Play Store, sur 14 appareils Android. Ils ont pr\u00e9sent\u00e9 les r\u00e9sultats \u00e0 l\u2019aide de leur cadre de test, MVPNalyzer, lors de la conf\u00e9rence sur la s\u00e9curit\u00e9 NDSS ; l\u2019universit\u00e9 du Michigan a publi\u00e9 l\u2019\u00e9tude en juillet. Les applications test\u00e9es pr\u00e9sentant au moins un probl\u00e8me totalisent \u00e0 elles toutes plus de 2,4 milliards d\u2019installations. <\/p>\n
Cinq applications peuvent \u00eatre pirat\u00e9es via le Wi-Fi<\/p>\n
La d\u00e9couverte la plus dangereuse concerne cinq applications qui chargent leur fichier de configuration sans le chiffrer. Ce fichier pr\u00e9cise \u00e0 quel serveur l\u2019application se connecte. S\u2019il circule sur le r\u00e9seau en texte clair, un attaquant se trouvant sur le m\u00eame r\u00e9seau Wi-Fi, tel que l\u2019exploitant d\u2019un point d\u2019acc\u00e8s public, peut le modifier en cours de route et rediriger la connexion vers son propre serveur. L\u2019utilisateur voit s\u2019afficher l\u2019\u00e9cran familier \u00ab Connect\u00e9 \u00bb, mais tout son trafic continue d\u2019\u00eatre achemin\u00e9 via l\u2019attaquant. Les chercheurs ont reproduit et confirm\u00e9 cette attaque sur leurs propres appareils. Parmi les cinq fournisseurs signal\u00e9s, deux ont r\u00e9pondu et se sont engag\u00e9s \u00e0 passer au protocole HTTPS ; trois n\u2019ont pas r\u00e9pondu. <\/p>\n
Fuites et traceurs, malgr\u00e9 des promesses contraires<\/p>\n
29 applications ont laiss\u00e9 le trafic de donn\u00e9es s\u2019\u00e9chapper du tunnel. 24 d\u2019entre elles ont expos\u00e9 des requ\u00eates DNS, r\u00e9v\u00e9lant ainsi les sites web visit\u00e9s au r\u00e9seau local ; ces applications repr\u00e9sentent \u00e0 elles seules environ 360 millions d\u2019installations. Six ont laiss\u00e9 fuir l\u2019int\u00e9gralit\u00e9 du trafic, et quatre ont exploit\u00e9 des tunnels sans aucun chiffrement. <\/p>\n
Le suivi est particuli\u00e8rement pr\u00e9occupant, car de nombreuses personnes installent un VPN pr\u00e9cis\u00e9ment pour l\u2019emp\u00eacher. 76 applications ont transmis l\u2019identifiant publicitaire de l\u2019appareil, que les annonceurs utilisent pour suivre une personne d\u2019une application \u00e0 l\u2019autre. Plus de 80 %, soit 246 applications, ont contact\u00e9 des serveurs publicitaires et de suivi connus et ont envoy\u00e9 des informations telles que le mod\u00e8le, la version du syst\u00e8me d\u2019exploitation et la taille de l\u2019\u00e9cran. Bien qu\u2019inoffensives prises isol\u00e9ment, ces donn\u00e9es forment ensemble une empreinte digitale qui identifie de mani\u00e8re unique un appareil. Une application a m\u00eame transmis les coordonn\u00e9es GPS exactes. Le cas de PromptSnatcher<\/a> a r\u00e9cemment d\u00e9montr\u00e9 \u00e0 quel point un logiciel d\u00e9guis\u00e9 peut facilement espionner en secret.
<\/p>\n Un chiffrement obsol\u00e8te en arri\u00e8re-plan<\/p>\n Les chercheurs ont \u00e9galement analys\u00e9 les fichiers de configuration OpenVPN de 108 applications. Une seule r\u00e9pondait \u00e0 l\u2019ensemble des exigences de s\u00e9curit\u00e9 test\u00e9es. Environ 89 % ne s\u2019appuyaient que sur une seule m\u00e9thode d\u2019authentification au lieu de combiner un mot de passe et un certificat. Pr\u00e8s d\u2019une sur cinq utilisait un chiffrement faible ou obsol\u00e8te, notamment les anciens algorithmes Blowfish et Triple DES, connus pour pr\u00e9senter des vuln\u00e9rabilit\u00e9s. Certaines d\u00e9sactivaient compl\u00e8tement le chiffrement au sein du tunnel. Le point commun est simple : ces applications font l\u2019objet de peu de maintenance, et les contr\u00f4les automatis\u00e9s du Play Store leur permettent de passer entre les mailles du filet. Selon cette \u00e9tude, le badge \u00ab V\u00e9rifi\u00e9 \u00bb attribu\u00e9 aux applications VPN rel\u00e8ve davantage d\u2019un stratag\u00e8me marketing que d\u2019une v\u00e9ritable garantie de s\u00e9curit\u00e9.
<\/p>\n Ce n\u2019est pas un cas isol\u00e9<\/p>\n D\u2019autres enqu\u00eates vont dans le m\u00eame sens. En ao\u00fbt 2025, le Citizen Lab et l\u2019universit\u00e9 d\u2019\u00c9tat de l\u2019Arizona ont d\u00e9couvert plusieurs applications VPN Android populaires, totalisant \u00e0 elles toutes plus de 700 millions de t\u00e9l\u00e9chargements, qui \u00e9taient secr\u00e8tement connect\u00e9es les unes aux autres, partageaient des mots de passe cod\u00e9s en dur et collectaient des donn\u00e9es de localisation. En octobre 2025, la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 Zimperium a signal\u00e9 que trois des quelque 800 VPN gratuits test\u00e9s utilisaient encore une version d\u2019OpenSSL vuln\u00e9rable \u00e0 Heartbleed, une faille qui avait d\u00e9j\u00e0 \u00e9t\u00e9 corrig\u00e9e en 2014.
<\/p>\n Ce que vous pouvez faire vous-m\u00eame<\/p>\n Les failles les plus graves, \u00e0 savoir une configuration non chiffr\u00e9e et des param\u00e8tres de tunnel insuffisants, ne sont pas visibles de l\u2019ext\u00e9rieur. C\u2019est pr\u00e9cis\u00e9ment l\u00e0 que r\u00e9side le probl\u00e8me. La meilleure d\u00e9fense ne r\u00e9side donc pas dans le protocole mis en avant, mais plut\u00f4t dans l\u2019identit\u00e9 de ceux qui se cachent derri\u00e8re l\u2019application. Privil\u00e9giez les fournisseurs qui publient un audit de s\u00e9curit\u00e9 r\u00e9cent et ind\u00e9pendant. M\u00e9fiez-vous des applications gratuites qui vous inondent de publicit\u00e9s. Et consid\u00e9rez les affirmations telles que \u00ab v\u00e9rifi\u00e9 \u00bb ou \u00ab sans journaux \u00bb comme un point de d\u00e9part, et non comme une preuve. Si vous recherchez la liste compl\u00e8te des applications pr\u00e9occupantes, vous la trouverez en annexe de l\u2019\u00e9tude.<\/p>\n","protected":false},"excerpt":{"rendered":"Un VPN est cens\u00e9 acheminer votre trafic de donn\u00e9es via un tunnel crypt\u00e9 afin que ni votre fournisseur…\n","protected":false},"author":2,"featured_media":172114,"comment_status":"","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"footnotes":"","_share_on_mastodon":"0"},"categories":[70],"tags":[53968,53961,12,13,18,17,53964,53966,47972,1289,53965,1285,1287,1286,73,71,75,72,53963,53967,76,74,1288,53969,12400,53960,53962,14238],"class_list":["post-172113","post","type-post","status-publish","format-standard","has-post-thumbnail","category-sciences-et-technologies","tag-application-vpn-securisee","tag-applications-vpn-gratuites","tag-be","tag-be-fr","tag-belgique","tag-belgium","tag-confidentialite-vpn","tag-fuite-dns","tag-google-play","tag-informations-sur-des-ordinateurs-portatifs","tag-mvpnalyzer","tag-nouvelles","tag-rapport","tag-revues","tag-science","tag-science-and-technology","tag-sciences","tag-sciences-et-technologies","tag-securite-vpn","tag-suivi-vpn","tag-technologies","tag-technology","tag-test","tag-test-vpn-2026","tag-vpn","tag-vpn-gratuit","tag-vpn-pour-android","tag-wi-fi-public"],"share_on_mastodon":{"url":"https:\/\/pubeurope.com\/@be_fr\/116906596934620040","error":""},"_links":{"self":[{"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/posts\/172113","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/comments?post=172113"}],"version-history":[{"count":0,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/posts\/172113\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/media\/172114"}],"wp:attachment":[{"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/media?parent=172113"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/categories?post=172113"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.europesays.com\/be-fr\/wp-json\/wp\/v2\/tags?post=172113"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}