VPN gratuit : 5 critères essentiels avant de l’installer

Temps de lecture : 7 minutes

En 2016, des chercheurs de l’agence scientifique australienne CSIRO ont passé au crible 283 applications VPN sur Android. Résultat : 38 % contenaient un logiciel malveillant ou de la publicité malveillante, environ une sur cinq ne chiffrait même pas le trafic, et plus de 80 % réclamaient l’accès à des données sensibles comme les SMS.

Un VPN gratuit n’est pas forcément dangereux. Mais un VPN voit passer tout ce que vous faites en ligne : c’est l’outil auquel vous accordez le plus de confiance sur votre téléphone. Avant de lui confier votre connexion, il faut donc se poser une question simple : qui paie, et avec quoi ? Voici la grille en cinq critères que j’applique avant d’installer le moindre VPN gratuit.

Pourquoi un VPN gratuit doit être jugé plus sévèrement

Faire tourner un VPN coûte cher : des serveurs dans des dizaines de pays, de la bande passante, des développeurs, de la sécurité. Si vous ne payez pas, quelqu’un d’autre paie, et il faut savoir qui.

L’histoire du secteur l’a montré plusieurs fois. En 2015, Hola, une extension VPN gratuite utilisée par des millions de personnes, revendait la bande passante de ses utilisateurs via une filiale, Luminati, à environ 20 dollars le gigaoctet. Concrètement, la connexion des utilisateurs servait de point de sortie au trafic de clients payants, et le réseau a été utilisé pour attaquer un site. Le fondateur a répondu que cela faisait partie des conditions acceptées par les utilisateurs gratuits.

Plus récemment, en avril 2025, l’ONG américaine Tech Transparency Project a établi que 20 des 100 VPN gratuits les plus populaires de l’App Store américain appartenaient à des entreprises chinoises, sans que cela soit clairement affiché. Plusieurs étaient liés à Qihoo 360, une société classée par le Pentagone parmi les « entreprises militaires chinoises ». Plus de 70 millions de téléchargements aux États-Unis.

Ce n’est pas une raison pour fuir tout ce qui est gratuit. C’est une raison pour vérifier.

Critère 1 : le code est-il public ?

Un VPN dont le code des applications est publié permet à n’importe quel expert de vérifier ce qu’il fait réellement : quelles données il envoie, à qui, et comment il chiffre la connexion. Ce n’est pas une garantie absolue, car peu de gens lisent réellement le code, mais c’est un signal fort de confiance. Un éditeur qui n’a rien à cacher n’a pas peur de montrer son travail.

Comment vérifier : cherchez un lien vers GitHub ou GitLab sur le site du VPN, ou tapez son nom suivi de « open source ». Un VPN qui reste flou sur la question a généralement une bonne raison de l’être.

Critère 2 : un audit indépendant a-t-il été publié ?

« Nous ne conservons aucun journal » : tous les VPN l’écrivent. La vraie question est de savoir si quelqu’un d’extérieur l’a vérifié. Un audit indépendant, c’est un cabinet de sécurité qui inspecte les serveurs et l’infrastructure, puis publie un rapport.

Ce qu’il faut regarder : un rapport accessible publiquement, un cabinet nommé, une date récente. Un audit de 2019 ne dit pas grand-chose sur un service en 2026. Certains éditeurs se font auditer chaque année : c’est le meilleur signe.

Il existe une preuve encore plus forte : le passage devant un tribunal. En avril 2025, la justice grecque a relaxé le fondateur du VPN Windscribe, poursuivi après qu’un de ses serveurs avait été utilisé pour une intrusion informatique. Le tribunal a reconnu que l’entreprise ne pouvait pas fournir des données qu’elle n’avait jamais collectées. Une politique « sans journaux » testée en conditions réelles vaut tous les slogans.

Critère 3 : sait-on qui est derrière ?

Le nom de l’entreprise, son pays, ses dirigeants, ses hébergeurs : tout cela devrait figurer clairement sur le site. Le pays compte, parce qu’il détermine quelles lois s’appliquent et quelles autorités peuvent exiger des données. Nous avions détaillé ces enjeux juridiques dans notre article sur les VPN et la réglementation européenne.

Un VPN qui ne dit pas qui le possède, ou qui affiche une adresse de façade dans un pays et des développeurs dans un autre, doit éveiller votre méfiance. L’enquête de 2025 l’a montré : le problème n’était pas que ces VPN soient chinois, mais qu’ils le cachent.

Comment vérifier : lisez les mentions légales et la politique de confidentialité, et cherchez le nom de la société éditrice. Si vous ne trouvez rien, c’est déjà une réponse.

Critère 4 : comment gagne-t-il sa vie ?

C’est le critère le plus important. Un VPN gratuit a trois façons honnêtes de financer son offre gratuite : des abonnés payants qui financent les gratuits, des dons, ou une structure à but non lucratif. Tout le reste doit vous alerter : publicité ciblée (qui suppose de vous suivre), revente de données « anonymisées », ou revente de votre bande passante comme dans l’affaire Hola.

Comment vérifier : cherchez l’offre payante. Un VPN gratuit sérieux est presque toujours la version limitée d’un service payant. S’il n’y a ni offre payante, ni dons, ni explication claire, posez-vous la question de ce qui est vendu. Lisez aussi la politique de confidentialité en cherchant les mots « partenaires », « publicité » et « tiers ».

Critère 5 : quel est son passé ?

Un service lancé il y a six mois n’a encore rien prouvé. Un service présent depuis des années a eu le temps d’être scruté, attaqué, audité, et parfois pris en défaut. Ce qui compte, ce n’est pas l’absence totale d’incident, c’est la manière dont l’éditeur a réagi : transparence, correction, communication publique.

Comment vérifier : tapez le nom du VPN suivi de « fuite », « leak » ou « controverse ». Regardez depuis quand il existe. Et méfiez-vous des projets très jeunes qui promettent tout gratuitement, avec une communication enthousiaste mais sans audit ni hébergeur nommé : ils ne sont pas forcément malhonnêtes, mais rien ne permet encore de leur faire confiance.

Bonus : regardez les autorisations demandées

Sur Android, avant d’installer, consultez les autorisations demandées par l’application. Un VPN a besoin d’accéder au réseau. Il n’a aucune raison de lire vos SMS, vos contacts ou votre position GPS. L’étude de 2016 avait justement montré que plus de 80 % des applications réclamaient des accès sensibles.

Un VPN gratuit qui passe la grille

Appliquons la grille à un exemple concret. Proton VPN propose une offre gratuite sans limite de données, sans publicité, utilisable sur un appareil, avec un choix de pays plus restreint que l’offre payante. Ses applications sont open source, sa politique sans journaux est auditée chaque année depuis 2022 par le cabinet Securitum (le cinquième audit, en mai 2026, n’a trouvé aucun journal de navigation ni de trafic, y compris sur les serveurs gratuits), l’entreprise est suisse et identifiée, l’offre gratuite est financée par les abonnés payants, et le service existe depuis 2017.

C’est le VPN gratuit que je recommande à qui veut commencer sans payer : Proton VPN. Si vous en avez un usage régulier, l’offre payante ajoute des pays, la vitesse et plusieurs appareils.

Et si vous voulez aller au bout de la logique, il reste une option où vous n’avez à faire confiance qu’à vous-même : monter votre propre VPN en 15 minutes, sur votre box ou votre serveur.

Ce qu’un VPN, même bon, ne fait pas

Un VPN cache votre trafic à votre fournisseur d’accès et à votre réseau Wi-Fi, et masque votre adresse IP aux sites que vous visitez. Il ne vous rend pas anonyme : si vous êtes connecté à votre compte Google, Google sait qui vous êtes. Il ne vous protège pas du pistage par les cookies, ni des sites malveillants, ni du phishing. Nous avons consacré un article entier à ce que les outils de protection ne font pas, et c’est particulièrement vrai pour les VPN.

Un VPN déplace la confiance : de votre fournisseur d’accès vers l’éditeur du VPN. Toute la question est de savoir si celui-ci la mérite davantage.

Si cet article vous a été utile, la newsletter vous préviendra des prochains. Et si vous voulez aider Webologie à rester gratuit et sans pub, tu peux soutenir le site ☕

Marc.

---

Certains liens de cet article sont des liens affiliés (Proton). Si vous souscrivez via ces liens, Webologie touche une petite commission, sans surcoût pour vous. Mes recommandations restent indépendantes : la grille présentée ici s’applique à Proton VPN comme à tous les autres.