X, anciennement Twitter, n’est plus seulement un réseau social où l’on publie des messages courts. C’est une plateforme de contenus, de messagerie, de vidéo, de publicité, de paiement, de profils professionnels, d’identification et désormais d’intelligence artificielle. Cette évolution change la manière dont il faut lire sa politique de confidentialité.

Quelles données X peut-il associer à votre compte, à votre appareil, à vos habitudes et à votre identité probable ?

Et surtout : que pouvez-vous réellement limiter ?

La politique de confidentialité actuelle de X, applicable depuis le 15 janvier 2026, confirme plusieurs catégories sensibles : informations de compte, activité sur la plateforme, adresse IP, données d’appareil, localisation approximative, interactions publicitaires, données issues de partenaires, identité inférée, informations biométriques avec consentement, données professionnelles et usage possible des informations collectées ou publiques pour entraîner des modèles de machine learning ou d’intelligence artificielle.

Un VPN peut réduire une partie de l’exposition réseau, notamment l’adresse IP visible, mais il ne protège pas contre ce que vous publiez, ce que vous aimez, les comptes que vous suivez, les cookies déjà présents, les identifiants d’appareil ou les données que vous fournissez volontairement.

Ce que X collecte quand vous créez un compte

Lorsque vous créez un compte X, vous fournissez au minimum des informations permettant de vous identifier ou de gérer votre accès : nom affiché, nom d’utilisateur, mot de passe, adresse e-mail ou numéro de téléphone, date de naissance, langue d’affichage, et éventuellement informations liées à une connexion via un service tiers. X précise aussi que les informations de profil, comme le nom affiché et le nom d’utilisateur, sont publiques.

Ce premier niveau de collecte paraît classique. Pourtant, il est déjà important pour la vie privée. Une adresse e-mail réutilisée partout, un numéro de téléphone personnel ou un nom d’utilisateur identique sur plusieurs plateformes facilitent les recoupements.

X indique aussi que les comptes professionnels peuvent fournir une catégorie professionnelle, une adresse, un e-mail de contact ou un numéro de téléphone, certains de ces éléments pouvant être publics. Les utilisateurs qui achètent des services payants ou de la publicité fournissent également des informations de paiement.

La donnée la plus visible n’est donc pas toujours la plus sensible. Votre pseudonyme public peut être banal. Votre e-mail, votre numéro, vos habitudes de connexion et vos informations de paiement, eux, peuvent créer un rattachement beaucoup plus durable.

« Sérieusement, que deviennent mes données ? » – © X Corp.

Données biométriques et informations professionnelles : le point sensible

X indique pouvoir collecter et utiliser des informations biométriques, sur la base du consentement, pour des finalités de sécurité, d’identification et de sûreté.

Il faut être précis ici. Cela ne veut pas dire que X collecte automatiquement le visage ou les empreintes de tous les utilisateurs. Mais cela signifie que la politique prévoit cette possibilité dans certains cas, par exemple pour des fonctionnalités d’identification, de vérification ou de sécurité.

Même prudence pour les données professionnelles. X indique pouvoir collecter et utiliser des informations comme la biographie, l’historique professionnel, l’historique éducatif, les préférences d’emploi, les compétences, les capacités, l’activité de recherche d’emploi ou les interactions liées aux candidatures. Ces données peuvent servir à recommander des opportunités, permettre des candidatures, connecter candidats et employeurs, ou afficher de la publicité plus pertinente.

Ce n’est pas anodin. Une plateforme sociale qui connaît déjà vos opinions publiques, vos interactions, vos centres d’intérêt et votre réseau peut, si vous utilisez aussi des fonctions professionnelles, enrichir fortement votre profil.

Le risque, c’est le croisement.

Ce que X observe quand vous utilisez la plateforme

La partie la plus importante de la politique de confidentialité c’est celle qui concerne votre activité.

X indique collecter des informations sur les contenus que vous publiez, la date, l’application utilisée, la version, votre activité dans les Spaces, vos listes, vos bookmarks, les communautés auxquelles vous appartenez, ainsi que vos interactions avec les contenus : reposts, likes, bookmarks, partages, téléchargements, réponses, mentions, tags, historique d’écoute ou de visionnage, commentaires et réactions.

Autrement dit, même quand vous ne publiez rien, vous produisez des signaux.

Un like, un bookmark, un temps passé sur un contenu, une participation à un Space, une réaction à une publicité ou une consultation répétée d’un même type de sujet peuvent contribuer à construire un profil comportemental.

C’est une erreur fréquente de croire que la vie privée sur un réseau social dépend seulement de ce que l’on poste. En réalité, une grande partie du profilage se construit à partir de ce que l’on consulte, évite, répète, suit, masque ou enregistre.

Messages privés : privés ne veut pas toujours dire invisibles

X distingue les messages chiffrés et les messages directs classiques. Sa politique mentionne la collecte de métadonnées liées aux messages chiffrés, ainsi que, pour les messages directs, les contenus des messages, les destinataires, les dates et heures d’envoi.

C’est un point essentiel pour les utilisateurs : un message privé n’est pas automatiquement un message confidentiel au sens strict.

Un message direct peut être privé vis-à-vis du public, mais cela ne signifie pas qu’il échappe à tout traitement par la plateforme. Et même lorsqu’un chiffrement est proposé, les métadonnées restent souvent révélatrices : qui parle à qui, quand, à quelle fréquence, depuis quel appareil ou dans quel contexte.

Pour les conversations sensibles, les messageries conçues autour du chiffrement de bout en bout restent plus adaptées que les DM d’un réseau social généraliste.

Adresse IP, appareil, cookies : ce que X peut voir techniquement

X collecte des informations sur la connexion et l’appareil : adresse IP, navigateur, système d’exploitation, opérateur, langue, identifiants d’appareil et publicitaires, applications installées, niveau de batterie, carnet d’adresses si vous choisissez de le partager, et localisation approximative.

L’adresse IP permet généralement d’obtenir une localisation approximative et d’associer des connexions à un fournisseur d’accès ou à un réseau. Elle ne donne pas votre adresse exacte à elle seule, mais elle reste un signal technique fort.

X collecte aussi des informations de journalisation lorsque vous consultez ou interagissez avec ses services, même sans compte ou sans être connecté : IP, navigateur, langue, système, page de provenance, heures d’accès, pages visitées, localisation, opérateur mobile, identifiants d’appareil ou d’application, recherches, publicités vues, identifiants générés par X et identifiants associés aux cookies.

Un VPN masque votre adresse IP réelle aux services que vous consultez et à certains intermédiaires réseau. Mais son rôle doit être correctement compris. Si vous êtes connecté à votre compte X, avec les mêmes cookies, le même navigateur, le même appareil et les mêmes habitudes, changer d’adresse IP ne suffit pas à vous rendre méconnaissable.

Identité inférée : le point que beaucoup sous-estiment

La politique de X mentionne explicitement l’identité inférée. X peut associer un navigateur ou un appareil à votre compte lorsque vous vous connectez. Selon vos réglages, la plateforme peut aussi associer votre compte à d’autres navigateurs ou appareils, ou associer un appareil non connecté à d’autres identifiants générés par X.

X indique aussi pouvoir utiliser les informations fournies, comme un e-mail ou un numéro de téléphone, pour inférer d’autres informations sur vous ou votre identité. Par exemple, la politique mentionne l’association possible avec des hachages d’adresses e-mail partageant des composants communs avec l’adresse fournie.

C’est technique, mais très concret : une plateforme moderne ne dépend pas d’un seul identifiant. Elle peut s’appuyer sur une combinaison de signaux : compte, e-mail, numéro, appareil, cookies, IP, comportement, contacts, publicité, partenaires et historique de navigation.

C’est pour cette raison que croire en l’anonymat absolu est dangereux. Un VPN peut casser ou brouiller un signal réseau. Il ne supprime pas tous les autres.

Données venues de partenaires publicitaires et de sites tiers

X ne collecte pas uniquement ce qui se passe sur X. Sa politique indique que des partenaires publicitaires, développeurs et éditeurs peuvent partager des informations avec la plateforme. Ces données peuvent inclure des identifiants de cookies, des identifiants publicitaires mobiles, des adresses e-mail hachées, des informations démographiques ou d’intérêt, ainsi que des contenus consultés ou des actions réalisées sur d’autres sites et applications. Ces informations peuvent être combinées avec les données que X collecte, reçoit, génère ou infère par ailleurs.

La plateforme peut aussi recevoir des informations lorsque vous interagissez avec du contenu X intégré sur des sites tiers, comme une timeline intégrée ou des boutons de partage.

Beaucoup d’utilisateurs pensent à la confidentialité uniquement lorsqu’ils ouvrent l’application. En réalité, l’écosystème publicitaire permet souvent de prolonger l’observation au-delà de la plateforme elle-même.

Là encore, un VPN ne supprime pas les cookies, les pixels, les identifiants publicitaires ou les données déjà transmises par des partenaires.

X, intelligence artificielle et entraînement des modèles

La politique de X indique que l’entreprise peut utiliser les informations collectées ainsi que les informations publiquement disponibles pour aider à entraîner ses modèles de machine learning ou d’intelligence artificielle, dans les objectifs décrits par sa politique.

C’est un sujet à traiter sans exagération. Il ne faut pas écrire que tous vos messages privés sont automatiquement aspirés dans un modèle IA si la politique ne permet pas de l’affirmer précisément. En revanche, il est légitime de dire que les contenus publics et certaines informations collectées peuvent être utilisés dans des systèmes d’amélioration, de recommandation, de personnalisation ou d’entraînement IA.

Pour un utilisateur, la conséquence pratique est simple : ce qui est public sur X doit être considéré comme durablement exploitable. Même supprimé plus tard, un contenu public peut avoir été vu, capturé, indexé, cité, archivé ou réutilisé.

La meilleure protection reste donc la plus ancienne : ne pas publier ce que vous ne voulez pas voir réapparaître ailleurs.

Faut-il quitter X pour protéger sa vie privée ?

Pas forcément. Ce serait une réponse trop simple.

Tout dépend de votre usage.

Si vous utilisez X pour lire l’actualité, suivre quelques comptes et publier peu, vous pouvez réduire une partie de l’exposition avec de bons réglages, un navigateur propre et un VPN.

Si vous utilisez X pour débattre, publier souvent, liker massivement, envoyer des messages, gérer un compte professionnel, postuler, vérifier votre identité ou connecter des services tiers, votre empreinte devient beaucoup plus riche.

Le problème c’est l’accumulation.

Une donnée isolée peut sembler banale. Une adresse IP seule n’est pas toute votre identité. Un like seul ne dit pas tout de vous. Un appareil seul ne suffit pas toujours. Mais l’ensemble peut devenir très parlant : compte, appareil, IP, comportement, contacts, contenus, publicités, partenaires, messages, historique et signaux inférés.

C’est cette logique de combinaison qu’il faut comprendre.

Conclusion : X n’est pas seulement ce que vous publiez

X est une plateforme publique, publicitaire, sociale, technique et algorithmique. Elle ne voit pas seulement vos posts. Elle peut traiter vos interactions, vos appareils, votre adresse IP, votre localisation approximative, vos messages selon leur type, vos signaux publicitaires, vos données issues de partenaires et certaines informations permettant d’inférer votre identité.

Un VPN peut aider à protéger une partie de votre confidentialité réseau, surtout votre adresse IP réelle et votre exposition sur des connexions non fiables. Mais il ne protège pas contre votre comportement, votre compte, vos cookies, vos contenus publics ou les données que vous fournissez vous-même.

À qui s’adresse GrapheneOS ?

GrapheneOS peut être un excellent choix pour :

• les utilisateurs qui veulent limiter leur dépendance aux services Google ;
• les personnes sensibles à la confidentialité des données mobile ;
• les journalistes, indépendants, chercheurs, militants ou professionnels exposés ;
• les utilisateurs Android avancés qui acceptent quelques compromis ;
• ceux qui veulent un smartphone plus strict, mais encore utilisable au quotidien.

En revanche, ce n’est pas forcément le meilleur choix pour quelqu’un qui veut simplement “un téléphone qui marche sans se poser de questions”. GrapheneOS demande un minimum de compréhension : choix des profils, installation éventuelle des services Google Play sandboxés, vérification des applications critiques, gestion des permissions.

Comment installer GrapheneOS ?

GrapheneOS propose deux méthodes officielles : un installateur WebUSB recommandé pour la plupart des utilisateurs, et une installation en ligne de commande pour les profils plus techniques. Le projet recommande d’utiliser uniquement ses méthodes officielles, car les guides tiers peuvent vite devenir obsolètes ou contenir de mauvais conseils.

Attention, si vous voulez installer GrapheneOS, partez toujours de la documentation officielle. Ce type d’installation touche au système du téléphone, au bootloader et à la chaîne de confiance. Un mauvais tutoriel peut vous faire perdre du temps, voire affaiblir ce que vous cherchiez justement à renforcer.

GrapheneOS remplace-t-il un VPN ?

Non. GrapheneOS et un VPN ne répondent pas au même problème. (voir : Qu’est-ce qu’un VPN ?)

GrapheneOS renforce le système d’exploitation du smartphone et limite certains accès des applications. Un VPN chiffre le trafic entre votre appareil et le serveur VPN, masque votre adresse IP publique aux sites consultés, et peut réduire certaines formes de surveillance réseau.

Les deux peuvent être complémentaires, mais aucun ne rend invisible. Un smartphone sécurisé peut encore être suivi par les comptes auxquels vous vous connectez, les applications que vous installez, les permissions que vous accordez, votre navigateur, vos habitudes ou vos métadonnées.

Conclusion

GrapheneOS est l’une des alternatives Android les plus sérieuses pour celles et ceux qui veulent reprendre davantage de contrôle sur leur smartphone. Son intérêt vient d’un travail concret sur le durcissement du système, la sandbox des applications, les permissions et la réduction de certaines surfaces d’attaque.

Il faut toutefois éviter de le présenter comme LA solution de smartphone invisible. GrapheneOS ne rend pas anonyme, ne supprime pas tous les risques, et ne garantit pas que toutes les applications fonctionneront sans ajustement. Son vrai mérite est ailleurs : il propose un Android plus strict, plus transparent dans sa logique, et mieux aligné avec une approche sérieuse de la sécurité mobile.

Pour un utilisateur motivé, c’est un excellent choix. Pour un utilisateur qui veut simplement installer trois applications et ne jamais toucher aux réglages, ce n’est pas forcément le chemin le plus confortable.

Caractéristiques clés du Proton CAPTCHA :

• Approche conçue par Proton comme privacy-first et compatible avec les exigences RGPD.
• Fonctionnement adapté aux mobiles.
• Absence de dépendance à un service CAPTCHA tiers.
• Support du routage alternatif pour les pays où l’accès à certains services peut être restreint.
• Défense multicouche : preuve de travail, défis visuels, détection de bots annoncée comme respectueuse de la vie privée.
• Prise en compte de l’accessibilité, notamment pour les personnes malvoyantes.

Proton©

En quoi le CAPTCHA de Proton résiste à la censure ?

Le CAPTCHA de la firme Suisse est conçu pour fonctionner même dans des pays ou des régions où l’accès à certains services Internet est restreint ou bloqué par le gouvernement ou d’autres entités. Voici comment le CAPTCHA de Proton résiste à la censure :

 

• Routing alternatif : Le CAPTCHA de Proton offre un support pour le routage alternatif. Cela signifie qu’il peut rediriger le trafic à travers différents chemins pour contourner les blocages ou les restrictions imposées par les censeurs.

• Indépendance des services tiers : En développant son propre CAPTCHA, Proton s’assure qu’il n’est pas dépendant de services tiers qui pourraient être bloqués dans certains pays. Cela garantit une plus grande disponibilité et accessibilité du CAPTCHA.

 

L’intérêt stratégique est clair : si Proton dépendait entièrement d’un service CAPTCHA tiers bloqué dans certains pays, l’accès à ses comptes pourrait être fragilisé. En développant sa propre solution et en l’intégrant à son routage alternatif, la firme Suisse réduit cette dépendance. Cela ne signifie pas une garantie absolue d’accès dans tous les contextes de censure, mais une meilleure maîtrise de cette couche critique.

En quoi le CAPTCHA de Proton respecte-t-il davantage la vie privée ?

Proton CAPTCHA ne doit pas être présenté comme une garantie absolue de confidentialité. Un CAPTCHA reste un mécanisme anti-abus : il sert à distinguer un utilisateur humain d’un bot, et il implique donc nécessairement une forme d’évaluation du comportement ou du contexte de connexion. L’intérêt de l’approche de Proton est ailleurs : réduire la dépendance à un prestataire externe au moment précis où l’utilisateur crée un compte ou effectue une action sensible.

Concrètement, l’entreprise explique que son CAPTCHA fonctionne sans faire appel à un service tiers. Cela limite l’exposition de données à des acteurs externes, contrairement aux solutions classiques qui peuvent ajouter une couche de suivi ou de profilage difficile à contrôler pour l’utilisateur. Proton indique également ne pas sauvegarder les données liées au CAPTCHA.

La vérification humaine peut toutefois prendre plusieurs formes selon le niveau de risque détecté : CAPTCHA, vérification par email ou vérification par SMS. Dans ce cadre, la firme précise que certaines données peuvent être conservées temporairement pour lutter contre les abus, par exemple la création massive de comptes ou les attaques par force brute. Lorsque des adresses email ou numéros de téléphone doivent être conservés de manière permanente pour empêcher leur réutilisation abusive, Proton indique qu’ils ne sont pas stockés en clair, mais sous forme d’empreinte cryptographique.

Le point important est donc le suivant : Proton CAPTCHA ne supprime pas toute friction ni toute logique anti-abus, mais il évite de déléguer cette étape sensible à un acteur tiers. C’est une différence réelle, surtout pour un service qui fonde sa crédibilité sur la confidentialité, mais ce n’est pas une preuve magique d’anonymat ou d’absence totale de collecte technique.

Conclusion

Deux ans après son annonce, Proton CAPTCHA semble toujours faire partie de l’infrastructure anti-abus de Proton. Sa présence dans la politique de confidentialité 2026 confirme qu’il reste une méthode possible de vérification humaine, aux côtés de l’email et du SMS. En revanche, rien n’indique aujourd’hui que le fournisseur en ait fait une solution publique largement accessible aux sites tiers. C’est donc moins un “produit CAPTCHA” qu’un composant interne de l’écosystème Proton : intéressant pour comprendre la stratégie anti-abus de Proton, mais à ne pas présenter comme une alternative publique mature à reCAPTCHA ou hCaptcha. En tant qu’initiative collaborative, Proton valorise énormément les retours et suggestions de sa communauté. Votre expérience et vos retours sont importants pour continuer à améliorer et innover.

Qu’est-ce que la confidentialité des données ?

La confidentialité des données concerne le contrôle que nous avons sur nos informations personnelles, qu’il s’agisse de notre nom, adresse, informations financières, ou même de nos habitudes de navigation. La question n’est plus de savoir si vos données sont collectées, mais quand et comment elles le seront.

En ligne, chaque service auquel nous accédons collecte une part de nos données. Certaines entreprises les utilisent pour améliorer l’expérience utilisateur, tandis que d’autres les revendent à des courtiers en données sans notre consentement. Et c’est là que les risques apparaissent : une mauvaise gestion de ces données peut entraîner des vols d’identité, des escroqueries et des violations de données massives.

Confidentialité vs sécurité des données : quelle différence ?

Contrairement à la sécurité des données, qui concerne la protection des informations contre les menaces extérieures (comme les cyberattaques), la confidentialité des données porte sur la manière dont les entreprises utilisent, partagent, et conservent vos informations. Même des données stockées en toute sécurité peuvent être exploitées sans votre accord si la confidentialité n’est pas respectée.

Comment protéger efficacement vos données personnelles ?

Voici des gestes concrets que vous pouvez adopter pour réduire le risque de voir vos informations personnelles exposées ou exploitées :

• Utilisez des mots de passe robustes : Les gestionnaires de mots de passe gratuits peuvent vous aider à créer et à stocker des mots de passe uniques pour chaque compte.
• Activez l’authentification à deux facteurs (2FA) : Ce processus ajoute une couche supplémentaire de protection, rendant l’accès à vos comptes bien plus difficile pour les pirates.
• Bloquez les publicités ciblées : Désactivez les publicités basées sur vos centres d’intérêt via les paramètres de Google, Facebook, et autres plateformes pour limiter la quantité de données partagées avec des annonceurs.
• Méfiez-vous des liens suspects : Ne cliquez pas sur des liens provenant d’e-mails ou de messages non sollicités, et ne téléchargez jamais des pièces jointes venant de sources inconnues.
• Chiffrez vos communications : Utilisez des applications de messagerie offrant un chiffrement de bout en bout, comme Signal, pour protéger vos conversations.
• Vérifiez la sécurité des sites que vous visitez : Assurez-vous que les sites sur lesquels vous naviguez utilisent le protocole HTTPS et affichent un symbole de cadenas à côté de l’URL.
• Nettoyez vos applications : Passez en revue régulièrement les applications que vous n’utilisez plus. Certaines continuent de collecter vos données en arrière-plan sans que vous vous en rendiez compte.

La réglementation : le RGPD et au-delà

En Europe, le Règlement général sur la protection des données (RGPD) impose aux entreprises des règles strictes sur la collecte, le stockage et l’utilisation des données personnelles. En vertu de cette loi, aucune entreprise ne peut stocker vos informations sans votre consentement explicite. Le RGPD a également inspiré de nombreuses législations dans le monde, comme la CCPA en Californie, visant à renforcer les droits des consommateurs face aux abus des géants de la tech.

Les amendes RGPD atteignent des montants considérables, mais leur impact réel sur les pratiques des grandes entreprises reste incertain.

Confidentialité en ligne : un mythe ou une réalité ?

Espérer un anonymat total sur Internet est devenu illusoire. Cependant, cela ne signifie pas que vous devez abandonner toute tentative de protéger votre vie privée. En étant vigilant et en prenant des mesures concrètes, vous pouvez limiter considérablement l’exploitation de vos informations personnelles.

Souvenez-vous que les données que vous partagez aujourd’hui peuvent être utilisées à des fins que vous ne maîtrisez pas demain. Alors, avant de poster, de vous inscrire ou de cliquer, prenez le temps de réfléchir : que vaut votre vie privée ?

Un VPN gratuit peut rendre service ponctuellement. Pour sécuriser une connexion Wi-Fi dans un hôtel, tester un service sans sortir la carte bancaire ou masquer ponctuellement son adresse IP, il a son utilité.

On ne va pas se mentir : un VPN gratuit n’est jamais totalement “gratuit”. Même sans sortir la carte bancaire, vous confiez une partie de votre trafic à un service que vous ne connaissez pas toujours très bien.

Un VPN ne fait pas disparaître les intermédiaires. Il en remplace un par un autre. Au lieu de laisser uniquement votre fournisseur d’accès voir certaines informations sur votre connexion, vous confiez une partie de cette visibilité au fournisseur VPN.

Certains VPN gratuits reposent sur un modèle freemium clair : une version limitée, financée par les abonnés payants. Ce n’est pas parfait, mais c’est compréhensible.

D’autres sont plus obscurs : peu d’informations, une politique de confidentialité vague, et parfois un modèle économique qu’on découvre trop tard.

La limite est souvent un bon signe. Un VPN non-payant sérieux assume généralement ses contraintes : moins de pays, moins de serveurs, moins d’appareils, parfois un quota mensuel. C’est frustrant, mais cohérent.

Le vrai signal inquiétant, c’est plutôt le service qui promet un VPN illimité, ultra-rapide, sans logs, sans publicité, sans inscription, sans frais, sans limite et sans modèle économique identifiable.

Quand un service promet tout gratuitement, sans limite claire ni modèle économique compréhensible, il faut se poser des questions.

VPN gratuit, essai gratuit et garantie de remboursement : ce n’est pas la même chose

Il faut distinguer trois cas.

Le vrai VPN gratuit

C’est une offre gratuite durable. Elle peut être limitée en données, en pays, en vitesse ou en nombre d’appareils. C’est le modèle le plus intéressant pour un usage ponctuel ou modéré, à condition que le fournisseur soit sérieux.

L’essai gratuit

C’est une période courte pour tester un service premium. Elle peut être utile, mais elle n’est pas conçue comme une solution permanente.

La garantie de remboursement

Ce n’est pas vraiment gratuit. Vous payez d’abord, puis vous pouvez demander un remboursement dans un délai donné. C’est parfois intéressant pour tester un meilleur VPN, mais il ne faut pas le présenter comme une offre gratuite classique.

Cette distinction compte, parce que beaucoup de comparatifs mélangent volontairement ces trois catégories pour gonfler leurs listes de VPN gratuits.

Les signaux d’alerte à prendre au sérieux

Certains indices doivent immédiatement faire baisser le niveau de confiance.

1. Le fournisseur est difficile à identifier

Si vous ne trouvez pas clairement qui édite le service, où l’entreprise est enregistrée, quelle est sa politique de confidentialité ou comment contacter le support, c’est un mauvais signe.

Une application VPN n’est pas un petit jeu mobile. Elle touche à votre trafic réseau. L’éditeur doit être identifiable.

2. Trop beau pour être vrai

Un VPN gratuit, illimité, rapide, sans logs, sans publicité, sans inscription, sans ralentissement et sans offre payante claire pose une question simple : comment tient-il économiquement ?

En l’absence de modèle économique clair, passez votre chemin.

3. La politique de confidentialité est floue

Les phrases générales ne suffisent pas. Il faut des informations concrètes sur les données collectées, les durées de conservation, les tiers éventuels, les données techniques, les logs de connexion et les finalités.

Une politique de confidentialité vague est souvent plus révélatrice qu’une longue page marketing.

4. L’application vient d’une source douteuse

Un VPN téléchargé via un APK inconnu, une imitation d’application populaire ou un site miroir peu fiable peut être plus dangereux que l’absence de VPN.

Il faut privilégier le site officiel du fournisseur ou les boutiques d’applications reconnues, tout en gardant en tête que la présence dans un store ne garantit pas à elle seule la qualité du service.

5. Le service se présente comme un VPN complet alors qu’il s’agit d’un proxy

Certaines extensions de navigateur utilisent le vocabulaire VPN alors qu’elles ne protègent que le trafic du navigateur. Ce n’est pas forcément inutile, mais ce n’est pas équivalent à une application VPN qui protège tout l’appareil.

Cela fait une grosse différence pour l’utilisateur.

Pourquoi un VPN gratuit doit quand même être financé

Un VPN coûte cher à faire tourner.

Il faut maintenir des serveurs, payer de la bande passante, développer des applications, corriger des failles, gérer le support, tenir une infrastructure stable et, dans les meilleurs cas, financer des audits ou publier du code vérifiable.

Si vous ne payez pas directement, quelqu’un paie autrement.

Cela ne veut pas dire que tous les VPN gratuits sont douteux. Certains fournisseurs utilisent une version gratuite comme porte d’entrée vers leur offre payante. C’est le cas des modèles freemium : le service gratuit est limité, mais il sert aussi de démonstration du produit.

Proton VPN affirme par exemple que son offre gratuite n’a ni limite de données ni publicité, et qu’elle est financée par les utilisateurs payants. C’est un modèle cohérent, même s’il faut toujours distinguer ce que le fournisseur déclare de ce qui est vérifiable indépendamment.

PrivadoVPN annonce de son côté une offre gratuite avec 10 Go de données par mois, 13 emplacements de serveurs et aucune carte bancaire requise. Là encore, le point important n’est pas seulement la gratuité, mais le fait que la limite soit explicitement posée.

Hide.me met en avant une offre free de VPN sans inscription obligatoire, sans publicité, sans trackers et sans logs, avec des limitations côté emplacements serveurs et connexions simultanées. Le service indique notamment que les utilisateurs gratuits peuvent choisir parmi 8 emplacements et connecter un seul appareil à la fois. 

Windscribe annonce aussi une offre gratuite structurée : 10 Go avec email confirmé, 2 Go sans email, des serveurs dans 10 pays et des connexions illimitées sur les appareils personnels.

Ces exemples montrent une chose simple : un VPN gratuit défendable n’est pas un VPN sans limite. C’est souvent un VPN dont les limites sont visibles.

Ce qu’un VPN peut voir réellement

Un réseau privé virtuel ne voit pas “toute votre vie numérique”. Mais il occupe une position sensible.

Selon la configuration du service, il peut potentiellement voir ou traiter certaines informations comme :

• votre adresse IP d’origine ;
• l’adresse IP du serveur VPN utilisé ;
• l’heure et la durée de connexion ;
• le volume de données transféré ;
• les requêtes DNS si elles passent par ses serveurs ;
• certaines métadonnées réseau liées aux destinations contactées.

En revanche, un VPN ne peut normalement pas lire le contenu chiffré d’une connexion HTTPS classique. HTTPS chiffre les échanges entre le navigateur et le site consulté, ce qui protège notamment le contenu transmis. Mozilla rappelle aussi qu’HTTPS empêche un fournisseur d’accès de voir les pages précises consultées au-delà du domaine principal, même s’il peut encore voir certaines informations de connexion.

Dire qu’un VPN gratuit “voit tout” est techniquement trop large. Dire qu’il ne voit rien est faux. La vérité est entre les deux : un VPN peut accéder à des métadonnées sensibles, et ces métadonnées suffisent parfois à dresser un profil d’usage.

C’est pour cela que le fournisseur ne doit pas être choisi au hasard.

Le vrai sujet : les logs

Le mot “no-log” est devenu tellement utilisé qu’il a perdu une partie de sa valeur.

Un fournisseur peut écrire “no-log” partout sur son site. Cela ne suffit pas.

Ce qu’il faut regarder, c’est le détail :

• conserve-t-il l’adresse IP d’origine ?
• conserve-t-il l’heure de connexion ?
• conserve-t-il la durée de session ?
• conserve-t-il le volume transféré ?
• conserve-t-il les serveurs utilisés ?
• conserve-t-il des identifiants d’appareil ?
• conserve-t-il des logs DNS ?
• explique-t-il clairement ce qui est supprimé, agrégé ou anonymisé ?

Un bon fournisseur doit être précis. Un mauvais fournisseur se cache derrière des phrases vagues du type “nous respectons votre vie privée” sans expliquer ce que cela signifie techniquement.

Le terme VPN sans log doit donc être traité comme une hypothèse à vérifier, pas comme une promesse à croire.

Notre position

Oui, on peut faire confiance à certains VPN gratuits. Mais pas parce qu’ils sont gratuits, pas parce qu’ils promettent la confidentialité, pas parce qu’ils apparaissent en haut d’un store, et certainement pas parce qu’un comparateur les place dans un top 10.

On peut envisager un VPN gratuit quand son modèle est compréhensible, ses limites sont assumées, son éditeur est identifiable, sa politique de confidentialité est lisible et ses fonctions de sécurité sont cohérentes avec un usage réel.

Un VPN gratuit de confiance a toujours des contraintes. Il ressemble plutôt à un service limité, mais clair. Et c’est souvent cette limite qui le rend crédible.