Ce dossier détaille le premier critère de la grille d'évaluation d'un VPN présentée sur ce site : le modèle économique réel qui se cache derrière une offre gratuite, et pourquoi il détermine à lui seul une grande partie du risque réel pris en l'utilisant.
Le vrai coût d'un service qui ne facture rien
Maintenir un VPN coûte cher : des serveurs répartis dans plusieurs pays, une bande passante suffisante pour ne pas ralentir chaque connexion, une équipe pour corriger les failles de sécurité et maintenir les applications à jour sur chaque plateforme. Rien de tout cela n'est gratuit pour l'entreprise qui le fournit. Quand l'utilisateur ne paie pas directement, ces coûts sont donc couverts autrement — et la façon dont ils le sont change complètement l'évaluation du risque. Il existe, en pratique, trois modèles bien distincts, et les confondre conduit à traiter un service par ailleurs sérieux avec la même méfiance qu'un service réellement problématique, ou inversement.
Modèle 1 — L'offre gratuite limitée d'un fournisseur par ailleurs payant
Le modèle le plus défendable est celui d'un fournisseur dont l'activité principale reste un abonnement payant, et qui propose une version gratuite volontairement restreinte — en volume de données, en nombre de serveurs disponibles ou en vitesse — pour donner un aperçu du service avant de pousser vers l'offre complète. Le financement de cette version gratuite provient in fine des abonnements payants des autres utilisateurs, pas d'une exploitation cachée de vos données. La limitation est assumée ouvertement plutôt que dissimulée, ce qui en fait un indicateur de transparence plus qu'un défaut en soi.
Modèle 2 — La publicité comme source de revenu
Un second modèle repose sur l'affichage de publicités, dans l'application elle-même ou injectées dans les pages consultées pendant que le VPN est actif. Ce modèle pose un problème de cohérence plus que de sécurité directe : il va à l'encontre de l'idée même d'une navigation débarrassée du pistage publicitaire, puisque le service qui est censé vous en protéger en devient lui-même un vecteur. Certaines de ces publicités, en outre, proviennent de régies publicitaires tierces dont les propres pratiques de collecte de données échappent totalement au contrôle du fournisseur de VPN, ce qui ajoute une couche d'opacité difficile à auditer de l'extérieur.
Modèle 3 — La revente de données, le cas le plus problématique
Le troisième modèle, le plus problématique, consiste à collecter des données sur l'activité de navigation des utilisateurs pour les revendre à des tiers — courtiers en données, annonceurs, ou toute autre partie intéressée par des habitudes de navigation agrégées ou individualisées. Ce modèle inverse directement la promesse de base d'un VPN : l'utilisateur installe l'outil pour échapper au pistage, et se retrouve, dans les faits, suivi par une entité supplémentaire qui a un accès particulièrement large à son trafic, puisque l'ensemble de la connexion transite par ses serveurs. La difficulté pratique est que ce modèle se dissimule rarement sous un nom explicite : il se cache dans les clauses les plus techniques d'une politique de confidentialité rarement lue en entier.
Comment distinguer les trois modèles en pratique
Trois vérifications simples permettent, la plupart du temps, de situer un service donné. D'abord, l'existence ou non d'une offre payante clairement affichée à côté de la version gratuite : son absence totale est un signal d'alerte plutôt qu'un simple manque d'ambition commerciale, puisqu'un service sans aucune source de revenu visible doit nécessairement en avoir une invisible. Ensuite, la politique de confidentialité elle-même : une politique courte, vague sur la nature exacte des données collectées et sur leur éventuel partage avec des tiers, mérite davantage de méfiance qu'un document long mais précis sur ce point, même si un document long et délibérément confus rédigé pour décourager sa lecture complète mérite tout autant de prudence. Enfin, la transparence sur l'identité de la société éditrice et son pays d'enregistrement : une société difficile à identifier, sans adresse vérifiable ni mentions légales complètes, ne donne aucun moyen de recours ni de vérification en cas de litige, alors qu'une société clairement identifiée reste au moins soumise aux obligations légales de sa juridiction d'enregistrement, quelles qu'elles soient.
Ce que révèlent les permissions demandées par l'application
Sur mobile en particulier, les permissions réclamées par une application VPN gratuite lors de l'installation donnent une indication supplémentaire, souvent négligée. Une application dont la seule fonction est de créer un tunnel chiffré n'a, en toute logique, pas besoin d'accéder aux contacts, aux photos ou aux messages de l'appareil qui l'installe. Des permissions larges et sans rapport apparent avec la fonction annoncée constituent un signal à prendre au sérieux, même lorsque l'application elle-même semble par ailleurs fonctionner correctement au quotidien. Cette vérification, accessible en quelques clics dans les paramètres de l'application avant même de l'installer sur certains systèmes, ne demande aucune compétence technique particulière et peut être effectuée par n'importe quel utilisateur en moins d'une minute.
Ce qu'un VPN gratuit ne peut structurellement pas offrir
Même dans le meilleur des cas — celui d'un fournisseur par ailleurs payant et transparent — une offre gratuite reste construite pour orienter vers l'abonnement complet, ce qui implique des limitations qui ne sont pas de simples détails : un nombre de serveurs réduit à quelques pays, des vitesses volontairement plafonnées aux heures de forte affluence, un quota de données mensuel qui ne couvre parfois pas une heure de vidéo en haute définition, ou l'impossibilité de contourner les restrictions géographiques des plateformes de streaming les plus surveillées sur ce plan. Ces limitations ne sont pas des défauts de conception, mais des choix commerciaux assumés dont il faut simplement avoir conscience avant de baser un usage régulier sur une offre gratuite.
Dans quel cas un VPN gratuit reste défendable
Un usage ponctuel et à faible enjeu — consulter un article bloqué géographiquement, tester l'ergonomie d'une application avant de s'engager sur un abonnement annuel — reste un cas d'usage raisonnable pour une offre gratuite du premier modèle décrit plus haut. Le problème n'est donc pas l'existence même d'un VPN gratuit, mais l'usage régulier et prolongé d'une offre dont le modèle économique reste flou, en particulier pour des activités qui impliquent des informations sensibles : accès bancaire, messagerie professionnelle, ou tout usage où la confidentialité constitue précisément la raison d'installer un VPN en premier lieu. La règle pratique la plus simple reste de faire correspondre le niveau de confiance accordé au service au niveau de sensibilité de l'usage envisagé : un test ponctuel et anodin ne mérite pas la même prudence qu'un usage quotidien impliquant des données que vous ne voudriez voir ni revendues ni exposées.
Une fois ce premier critère vérifié, il reste à examiner les trois autres points de la grille d'évaluation présentée en page d'accueil, en particulier les contraintes propres à un usage mobile lorsque c'est votre cas principal, ainsi que la fiabilité vérifiable de la politique de juridiction et de non-conservation des journaux, qui s'applique aussi bien aux offres gratuites qu'aux offres payantes.