Qu'est-ce qu'un VPN ? Comment fonctionne le réseau privé virtuel

Chaque appareil connecté à Internet a une adresse IP, un numéro grâce auquel les paquets de données trouvent le chemin jusqu'à lui, comparable à une adresse postale. Sans VPN, votre téléphone ou votre ordinateur portable envoie ses requêtes directement au site web via le fournisseur d'accès, et le site répond à votre adresse. Le fournisseur d'accès voit à quels serveurs vous vous connectez, et le site voit de quelle adresse vient la requête. Notre guide montre quelle est votre adresse en ce moment (→ Trouver son adresse IP – et ce qu'elle révèle sur vous).

Un VPN intercale une station intermédiaire entre vous et Internet. Sur votre appareil tourne un programme, le client VPN (en général simplement l'application du fournisseur), qui chiffre toutes les données sortantes et les emballe dans de nouveaux paquets. Ces paquets partent vers un serveur VPN, qui les déchiffre et les transmet à la destination réelle. La réponse prend le même chemin en sens inverse. L'Office fédéral allemand de la sécurité informatique (BSI) décrit ce tronçon chiffré comme un « tunnel » : pour quiconque écoute entre les deux, les contenus sont illisibles. NordVPN le formule ainsi dans son explication : le serveur remplace votre adresse IP visible par la sienne.

Il en découle qui voit quoi. Votre fournisseur d'accès ou l'exploitant du wifi ne voit plus que votre appareil maintient une connexion chiffrée vers un certain serveur VPN, pas quels sites web vous consultez derrière. Le site web, lui, voit l'adresse IP du serveur VPN et vous attribue au pays où se trouve ce serveur. Le fournisseur VPN voit les deux : d'où vous venez et où vous allez. C'est le cœur de toute la technique, et c'est de là que découlent aussi bien son utilité que ses limites.

Pour que le client et le serveur se fassent confiance et disposent d'une clé commune, ils effectuent au début une poignée de main (handshake) : ils s'identifient mutuellement et s'entendent sur les clés avec lesquelles la session sera chiffrée. La manière exacte dont cela se déroule est fixée par le protocole, l'ensemble de règles que les deux côtés doivent parler, comme HTTPS est l'ensemble de règles entre le navigateur et le site web. Selon le BSI, les VPN étaient à l'origine surtout utilisés dans la vie professionnelle, pour relier en toute sécurité le télétravail et le service externe au réseau de l'entreprise ou pour interconnecter des sites. Que des particuliers souscrivent un abonnement auprès d'un service commercial pour naviguer via ses serveurs est un développement plus tardif, mais c'est aujourd'hui la forme sous laquelle la plupart des gens rencontrent le terme.

VPN d'entreprise : c'est la forme classique. L'entreprise exploite un serveur VPN en bordure de son réseau, les collaborateurs s'y connectent depuis chez eux ou en déplacement et se retrouvent alors dans le réseau de l'entreprise comme s'ils étaient au bureau. Le National Cyber Security Centre britannique (NCSC) décrit exactement cet usage dans ses lignes directrices sur la sécurité des appareils, des connexions sûres entre des appareils situés dans des lieux physiquement séparés, et recommande aux organisations pour cela IPsec avec certificats et un VPN qui se connecte automatiquement, pour que personne n'oublie de l'activer. Cette variante n'a rien à voir avec le streaming ou l'anonymat ; elle protège l'accès aux systèmes internes.

VPN vers son propre réseau domestique : beaucoup de routeurs peuvent eux-mêmes servir de serveur VPN. Selon le fabricant fritz.com, la FRITZ!Box prend en charge aussi bien IPsec que WireGuard ; avec WireGuard, il suffit selon fritz.com de scanner un code QR sur le smartphone ou la tablette, et vous accédez ensuite depuis l'extérieur à votre stockage réseau, à vos caméras ou à votre maison connectée comme si vous étiez chez vous. Le BSI cite précisément cela comme avantage : les appareils domotiques se pilotent ainsi via son propre routeur, sans passer par le cloud d'un fabricant et sans ouverture de ports, qui constituerait un risque de sécurité. Votre adresse IP publique est dans ce cas celle de votre raccordement domestique ; du point de vue des sites web, vous naviguez donc depuis chez vous, même si vous êtes à l'étranger.

Services VPN commerciaux : NordVPN, Surfshark, Proton VPN, ExpressVPN, CyberGhost et bien d'autres exploitent des milliers de serveurs dans des dizaines de pays et louent l'accès par abonnement. Vous installez l'application, choisissez un pays, et dès lors votre trafic passe par un serveur qui s'y trouve. Le BSI cite comme critères une connexion rapide même en cas de forte charge et plusieurs emplacements de serveurs, et signale que le droit allemand de la protection des données ne s'applique pas aux serveurs situés à l'étranger et que le choix du fournisseur est une « question de confiance », parce que l'intégralité du trafic passe par ses serveurs. C'est de cette troisième variante qu'il est question dans le reste de cet article, sauf mention contraire.

Ce qui n'est pas un VPN : une extension de navigateur qui ne redirige que le trafic du navigateur n'est pas, selon le BSI, un VPN à part entière ; le programme de messagerie, les messageries instantanées et les autres applications passent à côté ; pour l'ensemble du trafic réseau, il faut un logiciel VPN dédié. Un simple proxy redirige lui aussi les requêtes, mais ne les chiffre pas forcément. Tor est un réseau à part, avec plusieurs stations intermédiaires et un autre modèle de sécurité (voir plus bas). Et un VPN n'est pas un antivirus : il ne vérifie aucun téléchargement, ne détecte aucun logiciel malveillant et n'avertit pas des sites web contrefaits.

Le protocole fixe la manière dont le client et le serveur établissent le tunnel, quel chiffrement ils utilisent et comment ils renouvellent les clés. Pour vous, en tant qu'utilisateur, c'est le plus souvent une option de l'application, réglée par défaut sur « Automatique ». Il vaut malgré tout la peine de connaître les trois grands noms, parce qu'ils diffèrent nettement en vitesse, en ancienneté et en vérifiabilité.

WireGuard est le plus jeune des trois et se décrit sur wireguard.com comme un VPN extrêmement simple, mais rapide et moderne (« extremely simple yet fast and modern VPN »). Il renonce à tout choix en matière de cryptographie et s'en tient à un jeu fixe de procédés modernes : ChaCha20 avec Poly1305 pour le chiffrement, Curve25519 pour l'échange de clés, BLAKE2s pour le hachage, SipHash24 et HKDF. La poignée de main suit le cadre du protocole Noise et n'a besoin, selon la description du protocole, que d'un message aller et d'un message retour, donc d'un seul aller-retour ; les clés de session sont renouvelées toutes les quelques minutes, de sorte qu'une clé volée plus tard ne permet pas de déchiffrer les sessions passées (Perfect Forward Secrecy). Tous les paquets passent par UDP. Le projet fait partie du noyau Linux et fonctionne selon wireguard.com aussi sous Windows, macOS, BSD, iOS et Android ; il est conçu pour tenir en très peu de lignes de code et donc pouvoir être vérifié par une seule personne.

OpenVPN est le vétéran. La page du projet le décrit comme une solution open source complète pour VPN SSL, dont le modèle de sécurité repose sur SSL, respectivement TLS, la même technique qui sécurise HTTPS dans le navigateur. Pour le transport des données, un seul port UDP ou TCP suffit, ce qui rend OpenVPN plus souple dans les réseaux restrictifs que les protocoles purement UDP. Le chiffrement passe par la bibliothèque OpenSSL, l'intégrité est vérifiée par HMAC. OpenVPN fonctionne sous Linux, BSD, macOS et Windows, est bien documenté et en service depuis plus de deux décennies dans les entreprises et chez les services VPN ; en contrepartie, il passe pour plus lent et plus volumineux. NordVPN met en regard, sur son blog, environ 400 000 lignes de code pour OpenVPN et une base nettement plus petite pour sa variante de WireGuard, NordLynx (environ 10 000 lignes selon NordVPN) ; un code plus petit est plus facile à vérifier et à maintenir.

IKEv2/IPsec est le standard que les systèmes d'exploitation apportent d'origine. Selon Apple, iOS intègre les protocoles IKEv2, L2TP sur IPsec et Cisco IPsec (état au 22.10.2026) ; la FRITZ!Box décrit IPsec comme directement pris en charge par de nombreux systèmes d'exploitation, et le NCSC britannique recommande expressément IPsec aux organisations pour l'accès VPN, parce que c'est un standard ouvert, intégré aux systèmes d'exploitation, avec l'inconvénient que certains réseaux tiers bloquent le trafic IPsec. Si vous voulez configurer un VPN sans application, par exemple vers votre routeur domestique ou vers un fournisseur qui le propose, vous aboutissez le plus souvent à IKEv2 ; notre guide montre comment faire sur l'iPhone (→ Configurer un VPN sur iPhone – avec une app ou à la main).

S'y ajoutent les développements maison des fournisseurs, qui sont en règle générale des variantes des protocoles cités. NordLynx de NordVPN repose, selon le blog de NordVPN, sur WireGuard et y ajoute un double système NAT : comme WireGuard, dans sa forme de base, attribuerait à chaque utilisateur une adresse IP interne fixe sur le serveur, tous les utilisateurs d'un serveur NordLynx partagent vers l'extérieur la même adresse locale, tandis qu'une deuxième interface attribue par session une adresse dynamique, qui disparaît avec la session. Pour les pays à forte censure, NordVPN recommande son protocole NordWhisper, parce que le trafic WireGuard a une empreinte reconnaissable et que l'UDP est parfois bloqué dans les réseaux d'universités ou d'entreprises. Ces protocoles supplémentaires ne sont pas en soi un gage de qualité ; ce qui compte, c'est que la base soit documentée publiquement et vérifiée.

Sécuriser le wifi public : à l'hôtel, à l'aéroport ou au café, vous partagez le réseau avec des inconnus. L'Office fédéral de la cybersécurité (OFCS) décrit les risques dans sa rétrospective hebdomadaire 29/2024 : des bornes non chiffrées ou faiblement sécurisées, par lesquelles des données d'accès et des numéros de cartes de crédit peuvent être interceptés, ainsi que de faux points d'accès aux noms dignes de confiance ; comme exemple, l'OFCS cite un cas en Australie avec de faux réseaux dans des aéroports et des avions. L'OFCS recommande textuellement d'utiliser « si possible » un VPN, au motif que celui-ci « chiffre l'ensemble du trafic de données ». Le BSI le formule de façon semblable : un VPN réduit le risque d'être espionné par d'autres utilisateurs du même réseau. Les deux autorités ajoutent toutefois qu'il ne faut malgré tout pas traiter de données sensibles comme l'e-banking sur les réseaux publics et qu'il faut veiller au HTTPS.

Tenir le fournisseur d'accès à l'écart : sans VPN, votre fournisseur d'accès Internet ou votre opérateur mobile voit à quels serveurs vous vous connectez. Avec un VPN, il ne voit plus que le tunnel vers le serveur VPN. Pour qui cela compte est une question d'appréciation personnelle ; en Suisse, en France, en Belgique et dans l'UE, il y a rarement une raison impérieuse de le faire, mais en voyage dans des pays à surveillance étendue, cela peut être pertinent. L'important est la contrepartie : ce que le fournisseur d'accès ne voit plus, le fournisseur VPN le voit désormais.

Changer de localisation : comme le site web voit l'adresse IP du serveur VPN, il vous attribue au pays du serveur. Le BSI cite expressément le contournement du géoblocage comme cas d'usage, mais renvoie aux motifs liés aux licences et à la situation juridique. Les cas typiques sont son propre abonnement de streaming en vacances, des sites d'information bloqués depuis l'étranger ou des comparaisons de prix, lorsque les fournisseurs affichent des prix différents selon le pays. Ce n'est pas une garantie, et les conditions d'utilisation des services peuvent interdire le contournement des restrictions géographiques ; vous devriez les lire avant.

Accès à distance et protection contre le pistage : avec un VPN vers votre réseau domestique, vous atteignez depuis l'extérieur vos appareils à la maison sans les exposer sur l'Internet ouvert ; le BSI cite comme gain de sécurité le fait d'éviter les ouvertures de ports. Contre le pistage publicitaire, un VPN n'aide que sur un point : votre adresse IP, que les réseaux publicitaires utilisent comme l'un des critères de reconnaissance parmi d'autres, change avec chaque serveur. Les cookies, l'empreinte de l'appareil et les connexions aux comptes n'en sont pas affectés ; pour vous débarrasser des cookies, voyez (→ Vider le cache et supprimer les cookies – dans chaque navigateur, sur ordinateur et sur mobile). Si vous voulez avant tout savoir si vous avez besoin d'un VPN, vous trouverez l'analyse dans notre guide (→ Avez-vous vraiment besoin d'un VPN en 2026 ? Le guide honnête).

Pas d'anonymat : un VPN déplace la connaissance, il ne l'efface pas. Proton VPN écrit sur son propre blog que le fournisseur VPN connaît votre véritable adresse IP, traite vos requêtes DNS et voit les sites web consultés, et qu'il faut donc lui faire confiance. Et dès que vous êtes connecté à Google, Facebook, Instagram ou à votre compte e-mail, le service sait de toute façon qui vous êtes ; Proton le formule ainsi : Google peut alors suivre tous les aspects de votre navigation (« all aspects of your browsing »), seule l'adresse IP actuelle reste cachée. S'y ajoutent les cookies et le fingerprinting du navigateur, c'est-à-dire la reconnaissance par de petites différences entre navigateurs et appareils ; selon Proton, un VPN n'empêche ni l'un ni l'autre.

Pas de protection contre l'hameçonnage, les logiciels malveillants et les mots de passe faibles : un VPN ne vérifie pas si le site web sur lequel vous saisissez votre carte de crédit est authentique. Si vous tombez dans le piège d'une fausse page d'hôtel ou de banque, cela se produit avec ou sans VPN, comme dans un cas récent en Suisse signalé par l'OFCS, où de faux e-mails d'hôtels servaient à s'emparer de l'e-banking et des comptes TWINT. Proton le résume en une phrase : un VPN ne peut rien contre un appareil compromis (« A VPN can't overcome a compromised device »). Contre les logiciels malveillants, il vous faut des mises à jour et un antivirus ; contre les prises de contrôle de comptes, des mots de passe forts et uniques et l'authentification à deux facteurs (→ Activer la validation en deux étapes sur votre compte Google – invite, application, clé ou clé d'accès), voir (→ Créer un mot de passe sécurisé – et ce qui est vraiment sûr en 2026) et notre comparatif (→ Meilleurs gestionnaires de mots de passe 2026 : 1Password, NordPass, Bitwarden et Proton Pass comparés).

Le chiffrement s'arrête au serveur : le BSI souligne que le chiffrement VPN ne va que jusqu'au serveur VPN, respectivement jusqu'au routeur, et ne s'applique pas au-delà. De là jusqu'au site web, ce qui vous protège est ce qui vous protège aussi sans VPN : HTTPS, reconnaissable au cadenas dans la barre d'adresse, qui est aujourd'hui la norme sur la très grande majorité des sites web. C'est pourquoi le BSI dit expressément qu'un VPN ne remplace ni HTTPS ni les messageries chiffrées. À l'inverse, cela signifie aussi que ce que HTTPS chiffre déjà, mots de passe, contenus, données de paiement, ne devient pas plus sûr grâce à un VPN, mais est seulement caché en plus à l'exploitant du wifi et au fournisseur d'accès, qui sans VPN voient au moins l'adresse de destination.

Plus lent, et un nouveau confident : chaque détour par un serveur supplémentaire coûte du temps. Le BSI écrit que la vitesse de transmission baisse le plus souvent ; NordVPN admet que la vitesse peut baisser « un peu » (« a little »), selon le serveur, la charge du réseau et le protocole. Un serveur proche et un protocole moderne limitent la perte, un serveur éloigné et un protocole ancien l'augmentent. Et enfin la question de la confiance : vous échangez un fournisseur d'accès soumis au droit suisse contre une entreprise dont les serveurs se trouvent quelque part dans le monde. Le BSI qualifie donc le choix du fournisseur de « question de confiance », et c'est précisément là qu'entrent en jeu les promesses no-logs et les audits.

Kill switch (coupure d'urgence) : si la connexion VPN tombe sans que vous le remarquiez, par exemple au passage du wifi au réseau mobile, votre appareil continuerait sinon simplement à naviguer sans protection et révélerait votre véritable adresse IP. Un kill switch l'empêche : selon NordVPN, Proton VPN et Surfshark, il bloque le trafic Internet jusqu'à ce que le tunnel soit rétabli. NordVPN distingue un kill switch au niveau du système, qui coupe immédiatement tout le trafic, d'un kill switch au niveau des applications, qui n'arrête que des programmes choisis ; sur Android, NordVPN utilise selon sa propre page, à partir d'Android 7, la fonction système « Always on VPN » (VPN permanent). Proton VPN propose, en plus du kill switch standard, qui n'intervient qu'en cas de coupure involontaire, un « Advanced Kill Switch », qui n'autorise Internet qu'avec une connexion Proton active et survit à un redémarrage ; sur iOS, vous trouvez la fonction selon Proton dans les réglages sous « Security Options ». Surfshark appelle ses deux niveaux « Soft » (seulement en cas de coupure inattendue) et « Strict » (toujours, dès que le VPN est désactivé). Si vous utilisez sérieusement le VPN, activez le kill switch ; si vous n'en avez besoin que pour le streaming, vous pouvez vous en passer, parce qu'il gêne lorsque la connexion est instable.

No-logs (pas de journaux) : les fournisseurs promettent ainsi de ne pas enregistrer ce que vous faites via leurs serveurs. Proton VPN le formule sur sa page en disant ne conserver aucun journal de votre activité en ligne et ne stocker aucune métadonnée (« We do not keep any logs of your online activity and do not store any metadata »), donc ni sites web consultés, ni durée de session, ni adresse IP, ni journaux de connexion. Proton justifie cette position par le droit suisse, qui n'oblige pas les fournisseurs VPN à la conservation des données ; le siège est à Genève. L'essentiel reste toutefois ceci : une promesse no-logs n'est d'abord qu'une affirmation du fournisseur. Vous ne pouvez pas vérifier vous-même ce qui est stocké sur des serveurs étrangers.

Audits (vérifications indépendantes) : c'est pourquoi les fournisseurs sérieux font vérifier leurs affirmations de l'extérieur. Un audit est une expertise d'un cabinet d'audit ou d'une société de sécurité, qui examine les serveurs, les configurations ou les applications et confirme que la pratique correspond à l'affirmation, toujours uniquement au moment de la vérification. Proton VPN cite sur sa page no-logs des vérifications par la société de sécurité Securitum et publie ses applications entièrement en open source, de sorte que chacun peut consulter le code. Surfshark renvoie à des vérifications de ses déclarations no-logs par Deloitte en 2023 et en juin 2025 (état au 22.10.2026). S'y ajoute le for juridique, c'est-à-dire le pays dont les lois s'appliquent au fournisseur : Surfshark B.V. a son siège à Amsterdam, Proton AG à Genève (état au 22.10.2026). La manière dont chaque fournisseur gère le siège, les vérifications et la journalisation est décrite dans nos analyses (→ Surfshark avis 2026 : pas cher, mais est-il vraiment bon ?) et (→ NordVPN avis 2026 : le leader du marché vaut-il encore son prix ?).

Qu'une confiance ne soit jamais acquise une fois pour toutes, un incident de la fin de l'été 2026 le montre. Surfshark a rapporté dans un rapport d'incident de septembre 2026 qu'un serveur de test interne des équipes de développement était accessible depuis Internet à la suite d'une erreur de configuration ; selon Surfshark, les premiers indices datent du 31 août, et l'incident a été confirmé et circonscrit le 2 septembre. Selon le rapport, étaient accessibles des documents d'ingénierie internes, des parties de fichiers système, des configurations et des identifiants de build ; aucune donnée d'utilisateur ni aucun service VPN n'a été touché (« no user data and VPN services were affected »), écrit Surfshark, les utilisateurs n'ont rien à faire, tous les identifiants concernés ont été remplacés. Surfshark a mené l'enquête lui-même ; un audit indépendant a été annoncé. Nous le rapportons de façon neutre : le rapport témoigne de transparence, mais montre aussi que même des fournisseurs audités font des erreurs, et que vous devriez tenir compte, dans le choix du fournisseur, de la manière dont il gère de tels incidents.

Relais privé iCloud : le service d'Apple pour les abonnés iCloud+ est souvent confondu avec un VPN, mais c'est autre chose. Selon l'assistance Apple, le relais privé protège la navigation dans Safari : les requêtes passent par deux relais distincts, le premier géré par Apple, qui voit votre adresse IP mais, grâce aux requêtes DNS chiffrées, pas quel site vous consultez ; le second géré par un fournisseur tiers, qui attribue une adresse IP temporaire et contacte le site web. L'objectif, selon Apple, est qu'« aucune partie, même Apple, ne puisse savoir qui vous êtes ni quelles pages vous consultez ». La différence avec un VPN : cela ne vaut que pour Safari et pas pour les autres applications, vous ne pouvez pas choisir de localisation, et le service n'est pas disponible dans tous les pays selon Apple. Pour le quotidien dans le navigateur, c'est une bonne protection discrète de l'adresse IP ; pour un wifi public avec toutes les applications ou pour une autre localisation, il vous faut un VPN.

Tor : le réseau Tor poursuit un autre but qu'un VPN, à savoir l'anonymat sans un opérateur unique auquel vous devez faire confiance. Selon l'aide du projet Tor, le navigateur Tor fait passer le trafic par trois serveurs choisis au hasard (« relays ») ; le dernier, le relais de sortie, envoie la requête vers l'Internet ouvert. Votre fournisseur d'accès ne voit pas quels sites vous visitez, et le site ne voit qu'une connexion venant du réseau Tor, pas votre adresse. Le navigateur Tor se défend en plus contre le fingerprinting, n'enregistre pas d'historique et efface les cookies après chaque session. Le prix, c'est le confort : la protection ne vaut que dans le navigateur Tor lui-même, le projet Tor déconseille expressément d'utiliser Tor avec d'autres navigateurs, et il n'y a pas de localisation au choix comme avec un VPN. Selon le projet, Tor s'adresse aux personnes qui doivent se protéger de la surveillance et de la censure, pas aux utilisateurs de streaming.

Proxy : un proxy est un serveur mandataire, qui fait les requêtes en votre nom. Contrairement à un VPN, il est le plus souvent configuré par programme, par exemple uniquement dans le navigateur, et ne chiffre pas forcément le trajet jusqu'à lui. Les extensions de navigateur qui se disent « VPN » sont souvent exactement cela selon le BSI : elles ne chiffrent que le trafic web, tandis que toutes les autres applications vont directement sur le réseau. Si vous voulez protéger l'ensemble du trafic d'un appareil, il vous faut selon le BSI un logiciel VPN dédié.

VPN d'entreprise : si votre employeur a configuré un VPN sur votre ordinateur portable, il sert à l'accès aux systèmes internes et souvent aussi à la surveillance du trafic par l'entreprise ; le NCSC britannique conseille expressément aux organisations un VPN imposé sans split tunnelling, pour que les applications ne puissent pas contourner la surveillance de l'entreprise. À titre privé, vous naviguez donc via un VPN d'entreprise, du point de vue d'Internet, depuis le site de l'entreprise, et le service informatique peut voir ce que vous faites. Dans le doute, utilisez le VPN d'entreprise uniquement pour le travail et un appareil privé pour le privé.

Utiliser un VPN est autorisé en Suisse, en France, en Belgique et dans l'UE ; les entreprises, les administrations et les universités l'utilisent quotidiennement, et des routeurs domestiques comme la FRITZ!Box apportent la fonction d'origine. Ce qui est interdit le reste avec un VPN : qui télécharge sans autorisation des contenus protégés par le droit d'auteur via un serveur étranger ou commet une fraude n'est pas moins punissable parce que l'adresse IP est différente. Ce n'est pas un conseil juridique, mais le principe auquel le BSI renvoie aussi lorsqu'il rappelle, à propos du géoblocage, les motifs liés aux licences et la situation juridique.

Il en va autrement avec les services de streaming. Juridiquement, se connecter à son propre abonnement depuis l'étranger n'est pas une infraction ; contractuellement, le fournisseur peut interdire dans ses conditions d'utilisation le contournement des restrictions géographiques et, dans le pire des cas, bloquer le compte. Ce que votre service dit exactement à ce sujet figure dans ses conditions ; nous ne les avons pas vérifiées une par une pour cet article et ne garantissons donc pas ce qui fonctionne avec quel service.

En voyage : certains États restreignent ou interdisent les VPN. Le BSI cite la Chine en exemple et conseille d'en tenir compte lors des voyages ; l'OFCS recommande dans ses conseils pour les voyages à l'étranger, de façon générale, de s'informer avant le départ sur les règles en vigueur dans les pays concernés et de tenir compte des conseils aux voyageurs du DFAE, et avertit que dans quelques pays, les gardes-frontières ont le droit d'examiner les disques durs et même de les confisquer. Concrètement, cela signifie : avant un voyage dans de tels pays, se renseigner, installer l'application au préalable le cas échéant, et ne pas compter sur le fait qu'elle y fonctionne. Pour la connexion elle-même, l'OFCS recommande d'ailleurs de relier l'appareil directement à Internet via sa propre connexion mobile plutôt que par un wifi étranger ; comment faire à bon prix dans l'UE avec un abonnement suisse ou une eSIM de voyage est expliqué dans (→ Roaming dans l'UE depuis la Suisse en 2026 : comment éviter le piège des frais), et ce qu'est une eSIM dans (→ Qu'est-ce qu'une eSIM ? Comment fonctionne la carte SIM numérique).

Un service VPN coûte de l'argent : des serveurs dans de nombreux pays, de la bande passante, le développement des applications. Qui l'offre gratuitement doit le financer autrement. Le BSI avertit que les offres gratuites comportent souvent des restrictions de fonctions ou une moins bonne qualité de connexion, et que les utilisateurs paient fréquemment avec leurs données, qui peuvent par exemple être exploitées à des fins marketing. Pour un service qui, par définition, voit l'intégralité de votre trafic, c'est un mauvais échange. L'OFCS mentionne certes dans sa rétrospective hebdomadaire que les magasins d'applications proposent des solutions VPN gratuites, mais ne cite ni nom ni critère.

Une exception qui se laisse vérifier est Proton VPN Free : selon l'assistance Proton (état au 22.10.2026), le niveau gratuit existe sans limite de données et sans publicité ; les restrictions sont un seul appareil et des serveurs gratuits dans dix pays (Pays-Bas, Japon, Roumanie, Pologne, Norvège, Suisse, Singapour, Mexique, Canada, États-Unis). Pour une protection occasionnelle sur le wifi de l'hôtel, cela suffit ; si vous avez besoin d'une localisation précise ou de plusieurs appareils, vous ne pouvez pas éviter un abonnement. Selon Proton, le kill switch est également inclus dans le niveau gratuit.

Chez les services payants, les prix sont proches les uns des autres pour les contrats de deux ans, les abonnements mensuels coûtent plusieurs fois plus. NordVPN demande, pour « 2 ans + 3 mois », l'équivalent de 3,49 $ par mois pour Basic, 3,99 $ pour Complete et 6,99 $ pour Prime, l'abonnement mensuel 14,99 $ ; sont compris 10 appareils, plus de 7 100 serveurs dans 150 pays et 30 jours de garantie de remboursement (état au 22.10.2026, confirmé le 27.10.2026). Surfshark coûte, pour la même durée, 2,49 $ (Starter et One) respectivement 3,99 $ (One+) par mois et autorise un nombre illimité d'appareils, avec plus de 4 500 serveurs dans 100 pays (état au 22.10.2026). Proton VPN Plus se situe à 3,49 $ sur 24 mois et à 9,99 $ en abonnement mensuel pour 10 appareils (état au 22.10.2026) ; ExpressVPN indique pour « 2 ans + 4 mois » 2,99 $ pour Basic dans 113 pays, CyberGhost pour « 2 ans + 2 mois » 2,19 $ avec plus de 9 500 serveurs dans 100 pays (état au 12.10.2026). Tous les prix sont affichés en dollars américains sur les sites des fournisseurs ; les détails et les conditions de renouvellement figurent dans les analyses (→ NordVPN avis 2026 : le leader du marché vaut-il encore son prix ?) et (→ Surfshark avis 2026 : pas cher, mais est-il vraiment bon ?).

Ce qui est équitable dépend de ce dont vous avez besoin. Pour une simple protection du wifi de temps en temps, Proton VPN Free suffit, ou, sur l'iPhone dans Safari, le relais privé d'Apple compris dans l'abonnement iCloud+. Si vous voulez accéder régulièrement à votre propre abonnement de streaming depuis l'étranger, équiper la famille et plusieurs appareils ou tenez à des déclarations no-logs vérifiées, un abonnement de deux ans pour l'équivalent d'environ 2,50 à 4 $ par mois vous conviendra ; l'abonnement mensuel ne vaut la peine que pour un seul voyage. Et si vous cherchez avant tout l'anonymat, vous serez mieux servi par Tor que par n'importe quel abonnement. Notre guide vous aide à trouver la variante qui vous convient (→ Avez-vous vraiment besoin d'un VPN en 2026 ? Le guide honnête) ; lorsqu'une promotion comme le Black Friday NordVPN est en cours, nous la résumons sous (→ NordVPN Black Friday 2026 : ce que la promotion apporte vraiment).