VPN, HTTPS et traceurs

Les publicités pour VPN sont partout, et promettent « l’anonymat total » et une « protection absolue contre les pirates ». C’est faux. Un VPN est un outil utile, mais pour des usages précis — et il ne remplace ni la prudence, ni le cadenas HTTPS, ni un bon bloqueur.

Pour s’y retrouver, une image suffit.

Qui voit quoi ?

C’est la question qui remet chaque outil à sa place. Aujourd’hui, presque tous les sites sont en HTTPS : c’est la colonne du milieu qui décrit votre navigation ordinaire.

Qui regarde	Site en HTTP	Site en HTTPS	HTTPS + VPN
Le Wi-Fi public et votre fournisseur d’accès	Le site et tout son contenu	Le nom du site, pas le contenu	Seulement que vous utilisez un VPN
Le site visité	Votre adresse IP, et ce que vous y faites	Pareil	L’adresse du VPN, et ce que vous y faites
Le fournisseur du VPN	—	—	Le nom des sites, pas le contenu

Deux leçons à tirer de ce tableau. D’abord, HTTPS fait l’essentiel du travail : vos mots de passe et vos opérations sont illisibles en chemin, VPN ou pas. Ensuite, un VPN ne fait pas disparaître la surveillance, il la déplace : ce que votre fournisseur d’accès ne voit plus, c’est le fournisseur du VPN qui le voit. Tout repose sur la confiance que vous lui accordez.

Le VPN : quand il sert, quand il ne sert à rien

Il est utile pour :

• utiliser un Wi-Fi public (hôtel, gare, aéroport) sans que son gestionnaire voie les sites que vous visitez ;
• cacher à votre fournisseur d’accès la liste des sites que vous consultez ;
• apparaître dans un autre pays, par exemple pour accéder à un service limité géographiquement.

Il ne fait rien contre :

• un fichier piégé que vous téléchargez ;
• le phishing : il vous emmène fidèlement jusqu’au faux site ;
• le pistage par votre compte : connecté à Google, Google sait que c’est vous, VPN ou pas ;
• les traceurs et cookies des sites, qui vous suivent quelle que soit votre adresse.

Le cadenas HTTPS : nécessaire, pas suffisant

Le cadenas garantit une chose : la connexion entre vous et le site est chiffrée, et le site est bien celui dont le nom figure dans l’adresse. Il ne dit rien de l’honnêteté de ce site. Les faux sites ont eux aussi leur cadenas — c’est gratuit et automatique. Le cadenas protège l’enveloppe, pas le destinataire.

Un réglage à activer tout de suite : le mode HTTPS uniquement. Le navigateur refuse alors de charger une page non chiffrée sans vous prévenir.

Navigateur	Où le trouver
Firefox	Paramètres, Vie privée et sécurité, « Mode HTTPS uniquement »
Chrome	Paramètres, Confidentialité et sécurité, Sécurité, « Toujours utiliser des connexions sécurisées »

Les intitulés peuvent varier légèrement d’une version à l’autre : en cas de doute, tapez « HTTPS » dans la recherche des paramètres.

Les traceurs, et le bloqueur qui est un outil de sécurité

Sur un simple site d’actualité, des dizaines de scripts invisibles se chargent en arrière-plan : ce sont des traceurs. Ils notent ce que vous lisez, combien de temps, d’où vous venez, pour construire votre profil publicitaire.

Il y a pire : les réseaux publicitaires sont parfois détournés pour diffuser des publicités piégées, sur des sites parfaitement honnêtes. Un bloqueur coupe tout cela à la source. Vous gagnez en vie privée, en sécurité, et en vitesse de chargement.

Navigateur	Le bloqueur recommandé
Firefox	uBlock Origin
Chrome, Edge	uBlock Origin Lite : Chrome n’accepte plus la version complète
Safari	uBlock Origin Lite, sur l’App Store

Installez-le uniquement depuis la boutique officielle du navigateur, en vérifiant le nom de l’éditeur : les faux bloqueurs, remplis de publicités ou pire, ne manquent pas. Pour aller plus loin et protéger toute la maison d’un coup, l’épisode 8 de la formation TrueNAS installe un filtre pour tout le réseau.