Mise à jour le 23/10/2026
Le marketing promet l’anonymat pour zéro euro et vend le VPN gratuit comme un réflexe universel. Les mesures scientifiques racontent autre chose, et elles le disent avec des chiffres. Cet article passe la question au tampon des études publiées, puis propose un arbre de décision simple pour trancher selon votre situation.
Qu’est-ce qu’un VPN, et pourquoi le gratuit pose question ?
Un VPN est un tunnel chiffré entre votre appareil et un serveur distant. Tout votre trafic passe par ce serveur avant de rejoindre Internet. À l’origine, l’outil répondait à un besoin professionnel précis : Cybermalveillance recommande le VPN pour chiffrer les connexions extérieures d’une organisation et limiter ses accès distants aux seuls équipements authentifiés, avec une double authentification pour se prémunir de l’usurpation. Le guide d’hygiène informatique de l’ANSSI va dans le même sens et décrit un tunnel établi entre le poste nomade et une passerelle fournie par l’entité.
Rien là d’un gadget grand public. Le VPN offert que vous téléchargez ce soir n’a pas ce cadre : vous devenez le client d’un serveur que quelqu’un d’autre paie. La question qui compte devient : comment ce quelqu’un se fait-il payer ?
Ce que les études mesurent sur les VPN gratuits
Les travaux évalués par les pairs sur ce sujet existent, et leurs résultats convergent. Une étude de l’ACM Internet Measurement Conference (2016) a analysé 283 applications Android utilisant la permission VPN, dont une majorité d’applications gratuites. Selon les chiffres publiés par les auteurs de l’étude (Razaghpanah et al., ACM IMC 2016), 75 % des applications intégraient des bibliothèques tierces de traçage, 37 % présentaient des signes de malwares selon VirusTotal, et 18 % chiffraient mal ou pas du tout le trafic malgré la promesse d’anonymat affichée.
| Étude | Échantillon | Résultat clé |
|---|---|---|
| Razaghpanah et al., ACM IMC 2016 | 283 applications Android avec permission VPN | 75 % avec traçage tiers, 37 % avec malwares, 18 % sans chiffrement réel |
| Ikram et al., ACM IMC 2018 | 62 fournisseurs commerciaux analysés | 45 % avec offre gratuite ou d’essai ; injections de publicités et redirections documentées chez certains fournisseurs |
Deux ans plus tard, la même conférence a publié une analyse de 62 fournisseurs commerciaux. Les chercheurs y documentent des cas de trafic modifié : pages HTTP complétées avec du JavaScript hébergé par le fournisseur pour afficher une publicité, requêtes redirigées vers d’autres destinations. Les mêmes auteurs relèvent (Ikram et al., ACM IMC 2018) que 45 % des 62 services analysés proposaient une version sans abonnement ou d’essai, ce qui en fait un segment large du marché, pas une marge exotique.
Comment un VPN offert sans abonnement gagne-t-il de l’argent ?
Héberger des serveurs coûte. Un service gratuit doit donc financer cette infrastructure autrement, et les études citées plus haut observent les méthodes réelles : injection de publicités dans les pages visitées, redirections de trafic, collecte de données destinée à être monétisée. Ce modèle du traçage s’applique d’autant mieux que le fournisseur voit passer tout votre trafic, une position qu’aucun site web ne détient.
Faut-il en conclure que tout service gratuit est un piège ? Les données ne le permettent pas. Les deux études citées datent de 2016 et 2018, un marché a changé depuis : plusieurs grands éditeurs proposent aujourd’hui des offres gratuites plafonnées en volume, financées par des abonnés payants. Aucune étude indépendante d’ampleur comparable n’a été publiée depuis sur ce segment, et c’est une limite honnête à garder en tête. Ce qui reste vrai, c’est le mécanisme : un service gratuit sans limite de données et sans société mère identifiable mérite un examen plus poussé avant installation.
Quand un VPN a-t-il une vraie utilité ?
Le cas d’usage le plus solide n’a rien de grand public : sécuriser une connexion à distance vers votre propre système d’information. C’est la recommandation officielle des deux sources citées, avec l’authentification forte en renfort. Hors de ce cadre, l’utilité dépend de la situation. Un arbre de décision :
- Vous vous connectez à distance à des fichiers ou outils de votre entreprise : VPN mis en place par votre organisation, pas une application de store.
- Vous utilisez un Wi-Fi public et voulez chiffrer une session sensible : un VPN peut dépanner ponctuellement, à condition de savoir qui l’exploite et comment il se finance, et restez attentif aux tentatives de manipulation dans les messages (voir notre article sur les arnaques par email qui ciblent les entreprises).
- Vous naviguez sur des sites en HTTPS depuis votre connexion habituelle : le VPN n’apporte presque rien, le chiffrement existe déjà bout en bout.
- Vous cherchez l’anonymat complet : aucun VPN ne le fournit par construction, puisque le fournisseur lui-même voit le trafic et peut conserver des journaux.
Notez le dernier point. La promesse d’anonymat vendue par beaucoup d’applications se heurte à une réalité technique : le serveur VPN est un point de passage unique, et c’est lui qui détient les journaux, pas vous. Les applications qui promettent l’anonymat tout en embarquant des bibliothèques de traçage, comme l’a mesuré l’étude de 2016, rendent cette contradiction visible.
FAQ
Un VPN gratuit peut-il voler mes mots de passe ?
Le risque existe dans les cas documentés de malwares ou de trafic modifié, mais il ne se limite pas au gratuit : ce qui compte est la fiabilité de l’éditeur. HTTPS protège déjà vos mots de passe en transit, c’est le trafic hors HTTPS et les données non chiffrées qui restent exposées à un fournisseur malveillant. Pour aller plus loin sur la protection des comptes, voir notre guide sur les mots de passe et la double authentification.
Les VPN gratuits plafonnés des grands éditeurs valent-ils mieux ?
Ils fonctionnent sur un modèle différent, financé par les abonnés payants, avec des limites de volume. Aucune étude indépendante récente de grande ampleur ne les a mesurés comme l’ont été les applications de 2016 et 2018, donc la prudence reste de mise, mais le mécanisme de financement est explicite plutôt qu’opaque.
Un VPN suffit-il pour être anonyme sur Internet ?
Non. Le fournisseur de VPN voit votre trafic et peut le journaliser, et votre empreinte dépend aussi des cookies, comptes et empreintes de navigateur. L’anonymat réel exige une chaîne de mesures dont le VPN n’est qu’un maillon.
Faut-il un VPN pour le télétravail ?
Si votre entreprise met un VPN à disposition, c’est l’outil prévu pour ça : l’ANSSI recommande ce tunnel entre le poste nomade et la passerelle de l’entité, avec authentification forte. Installer une application grand public à la place ne remplit pas le même rôle.
Sur quoi se baser pour juger un VPN gratuit avant de l’installer ?
Regardez trois choses : l’identité légale de l’éditeur (société connue, pays, mentions), le mode de financement annoncé, et la politique de conservation des journaux. Un éditeur introuvable juridiquement avec un service illimité gratuit cumule les signaux qui ont rendu les études citées alarmantes.
Sources
- Razaghpanah et al., « An Analysis of the Privacy and Security Risks of Android VPN Permission-enabled Apps », ACM IMC 2016 : PDF de l’étude
- Ikram et al., « An Empirical Analysis of the Commercial VPN Ecosystem », ACM IMC 2018 : PDF de l’étude
- Cybermalveillance.gouv.fr, « La sécurisation du télétravail » : fiche officielle
- ANSSI, « Guide d’hygiène informatique » (mesure 32, sécuriser la connexion des postes nomades) : PDF officiel