Votre VPN gratuit n'est pas gratuit : la plus grande enquête indépendante sur les VPN Android gratuits et ce qu'elle a révélé

En juin 2024, le laboratoire indépendant Top10VPN a publié la plus vaste enquête publique à ce jour sur les applications VPN gratuites sur Android : 100 des applications VPN gratuites les plus populaires du Google Play Store, représentant un parc installé cumulé d'environ 2,5 milliards d'appareils. Les résultats étaient suffisamment alarmants pour que le rapport devienne un document de référence pour toute discussion ultérieure sur la sécurité des VPN grand public, et les schémas qu'il a mis au jour continuent de faire l'actualité en 2026. Quatre-vingt-trois des cent applications présentaient des fuites de requêtes DNS, ce qui signifie que les sites visités par un utilisateur restaient visibles par son fournisseur d'accès ou par l'administrateur du réseau, même lorsque le VPN était censé être actif. Dix-neuf pour cent des applications ont été signalées comme malwares par VirusTotal. Quatre-vingt-quatre pour cent contenaient des SDK de traqueurs tiers, ce qui signifie que ces applications ne se contentaient pas de protéger l'utilisateur, mais exploitaient activement ses données comportementales au profit de l'industrie publicitaire. Et quatre-vingt-treize pour cent des applications affichaient des fiches de sécurité des données du Play Store qui ne correspondaient pas à leur comportement réel. Le fait le plus marquant concernant un VPN gratuit en 2026 est que le produit que vous croyez obtenir n'est pas le produit que l'éditeur vend réellement.

Ce qui a été testé

L'équipe de Top10VPN a installé chacune des 100 applications sur un appareil Android vierge, les a soumises à une batterie de tests automatisés incluant la détection de fuites DNS, la détection de fuites IPv4 et IPv6, la détection de fuites WebRTC, l'analyse de la force du chiffrement, l'identification des SDK tiers et l'analyse de malwares via VirusTotal, puis a rapproché les résultats des fiches de sécurité des données du Play Store. L'ensemble des données par application a été publié sous forme de feuille de calcul Google publique, accessible via un lien figurant dans le rapport. Les chiffres globaux sont spectaculaires en eux-mêmes, mais c'est au niveau de chaque application que se trouve l'enseignement concret.

Les applications fautives les plus installées étaient Turbo VPN avec 335 millions d'installations (fuite DNS, SDK de traqueurs publicitaires), SuperVPN avec 250 millions d'installations (fuite DNS), Secure VPN avec 166 millions d'installations (fuite DNS), Psiphon Pro avec 141 millions d'installations (fuite DNS), et Kaspersky VPN avec 117 millions d'installations (suivi de localisation en arrière-plan via les SDK Facebook et Huawei). WiFi Map VPN, avec 116 millions d'installations, présentait des fuites DNS, transmettait des données personnelles en clair dans des réponses HTTP vers ip-api.com, et exposait sa chaîne user agent en clair dans sa télémétrie. VPN Proxy Master, avec 84 millions d'installations, présentait à la fois des fuites DNS et IPv6, transmettait des données personnelles à un domaine sans rapport avec l'application, et embarquait des SDK publicitaires de Bytedance, Yandex, ainsi que des régies indiennes et singapouriennes.

Défaillances de chiffrement

Onze des applications ont échoué au niveau le plus élémentaire du travail d'un VPN. Une application, VPN Satoshi, transmettait l'intégralité du trafic en clair, sans aucun chiffrement : chaque URL, chaque page HTML, chaque requête API était visible par n'importe quel acteur sur le réseau. Plusieurs autres utilisaient des chiffrements obsolètes SSLv2 ou TLSv1, tous deux considérés comme cassés selon les standards actuels. Thunder VPN, malgré plus de 91 millions d'installations, utilisait SSLv2 pour ses connexions auxiliaires. Tomato VPN, Urban VPN, VPN Ukraine, VPN Monster et « VPN — fast secure vpn proxy » utilisaient toutes le même chiffrement obsolète. Phone Guardian, en dépit de son positionnement marketing comme application de confidentialité, ne chiffrait pas du tout le trafic et se contentait de couvrir le HTTP sur les WiFi non sécurisés.

Les défaillances de chiffrement sont particulièrement dommageables parce qu'elles sont silencieuses. Un utilisateur qui installe un VPN gratuit et voit l'indicateur « connecté » n'a aucun moyen de savoir si la connexion sous-jacente est chiffrée, faiblement chiffrée, ou pas chiffrée du tout. Le seul signal indiquant qu'un problème existe serait un avertissement de certificat dans le navigateur, c'est-à-dire exactement le type d'avertissement que la plupart des utilisateurs ont appris à ignorer.

Fuites DNS et IP

Les fuites DNS constituent le mode de défaillance le plus courant des VPN gratuits, et elles anéantissent toute la finalité de leur usage. Lorsqu'un VPN présente une fuite DNS, les sites que vous consultez restent visibles par le résolveur de votre fournisseur d'accès, même si le reste de votre trafic est chiffré. L'équipe de Top10VPN a détecté des fuites DNS dans 83 des 100 applications testées, la plupart des requêtes泄露ées aboutissant chez les résolveurs de Google ou de Cloudflare. Les cinq applications fuiteuses de DNS les plus installées étaient Turbo VPN, SuperVPN, Secure VPN, Psiphon Pro et Kaspersky VPN. Trois applications présentaient simultanément des fuites d'adresses IPv4 et IPv6 : Tomato VPN, Phone Guardian et Ultimate VPN. Concrètement, un utilisateur qui installe l'une de ces applications pour « protéger sa vie privée sur le WiFi d'un hôtel » n'est en réalité pas mieux protégé qu'un utilisateur qui n'aurait rien installé du tout.

Plusieurs applications transmettaient également des données personnelles en clair dans des réponses HTTP. Turbo VPN Lite, Speedy Quark VPN, VPN Proxy Master et WiFi Map VPN transmettaient chacune l'adresse IP réelle et les informations de l'appareil de l'utilisateur à ip-api.com en HTTP simple. VPN Proxy Speed envoyait une charge utile similaire vers un domaine sans rapport avec la fonctionnalité annoncée de l'application. La conséquence est que ces applications ne se contentent pas de ne pas protéger l'utilisateur, mais transmettent activement son identité réelle à des courtiers en données tiers, chaque fois qu'il se connecte.

SDK de traqueurs et partage de données

Quatre-vingt-quatre pour cent des applications testées contenaient des SDK de traqueurs tiers. Vingt-trois applications transmettaient l'adresse IP réelle de l'utilisateur à des traqueurs tiers : Mouse VPN transmettait des données IP à Google, ClearVPN transmettait des données IP à OneSignal, Super VPN partageait l'IP avec IronSource et Unity Ads, et NotVPN partageait l'IP avec IronSource. Soixante et une applications partageaient l'identifiant publicitaire Google de l'utilisateur avec des tiers — Turbo VPN, par exemple, transmettait son identifiant publicitaire à InMobi. Cinq applications transmettaient l'identifiant publicitaire Google à leurs propres serveurs, dont Speedify avec 12,5 millions d'installations et Zoog VPN avec 600 000 installations. Trente-sept applications partageaient des données d'empreinte de l'appareil incluant la marque, le modèle, la version du système, la taille d'écran, l'état de la batterie, la connexion USB, l'état du casque, le fournisseur d'accès, le pays SIM, la langue et le numéro de build. La combinaison de l'empreinte, du partage de l'identifiant publicitaire et de la fuite de l'IP réelle est l'équivalent, en technologies de surveillance, d'une porte d'entrée grande ouverte avec un écriteau sur la pelouse.

Sept applications embarquaient le SDK publicitaire russe myTarget, dont Planet VPN, Free VPN Super, Lantern VPN, TLS Tunnel et Wolf VPN. myTarget est exploité par Mail.ru et a fait l'objet de discussions sur d'éventuelles sanctions américaines. La présence d'un SDK sanctionné au sein d'un VPN grand public n'est pas un risque hypothétique : c'est un signal concret concernant celui qui finance l'application et les données auxquelles il a accès.

Signalements de malwares

Dix-neuf applications ont été signalées comme malwares par VirusTotal. La désignation la plus fréquente était Win32.Troj.Admob.a, un cheval de Troie qui exploite l'infrastructure publicitaire de Google pour générer des revenus frauduleux. Le signalement le plus grave était Dropper.Shedun.Android.239430, qui installe des charges utiles malveillantes supplémentaires sur l'appareil après l'installation. Thunder VPN, avec 91 millions d'installations, a été signalée. VPN – Super Unlimited Proxy, avec 93 millions d'installations, a été signalée. ClearVPN, le VPN grand public de MacPaw, a été signalée. Bitdefender VPN a été signalée. HTTP Injector a été signalée. L'interprétation la plus prudente est que toute application figurant sur la liste des malwares n'a pas sa place sur votre téléphone.

Fiches de sécurité des données du Play Store

Quatre-vingt-treize des cent applications affichaient des fiches de sécurité des données du Play Store qui ne correspondaient pas à leur comportement réel. Soixante-quinze d'entre elles présentaient des informations trompeuses sur la collecte de données. Soixante-quatre présentaient des informations trompeuses sur le partage de données. Soixante-cinq applications affirmaient « aucun partage de données » alors que leurs politiques de confidentialité décrivaient un tel partage. Trente-deux applications affirmaient « aucune collecte de données » alors que leurs politiques de confidentialité décrivaient une telle collecte. Cinq applications seulement présentaient des fiches en parfaite conformité avec leur politique de confidentialité. Betternet, avec 80 millions d'installations, était un contrevenant notable : sa fiche n'indiquait que « identifiants d'appareil ou autres », tandis que sa politique mentionnait des informations de compte, de facturation, des données d'usage, de diagnostic et de connexion VPN. Le régime de sécurité des données de Google Play, en pratique, n'est pas appliqué aux applications VPN.

Quelles alternatives utiliser

La réponse la plus simple est de payer pour un VPN grand public réputé. Les cinq fournisseurs que nous recommandons dans notre article Meilleur VPN 2026 — NordVPN, Surfshark, Proton VPN, ExpressVPN et PIA — publient tous des audits indépendants de non-conservation des logs réalisés par des cabinets nommément identifiés, exploitent tous des serveurs dédiés dans des datacenters commerciaux plutôt que d'emprunter la bande passante de réseaux de proxy résidentiels, et facturent tous un tarif suffisant pour que l'abonnement de l'utilisateur constitue le produit, et non ses données comportementales. La différence de prix entre un VPN gratuit et un VPN payant est de l'ordre de deux à quatre dollars par mois. C'est le coût total pour éviter que vos requêtes DNS soient journalisées, que votre identifiant publicitaire soit vendu, ou que votre appareil soit enrolé dans un botnet.

Si vous ne pouvez vraiment pas vous offrir un VPN payant, l'offre gratuite de Proton VPN est la seule option gratuite que nous pouvons recommander sans détour. Elle est financée par l'offre payante du même produit, a fait l'objet d'audits indépendants et ne contient pas les SDK de traqueurs tiers ni les comportements de partage de données qui caractérisent toutes les autres options gratuites. Le compromis est que l'offre gratuite de Proton impose des restrictions en termes de débit, de choix de localisation et de connexions simultanées, ce qui est la manière honnête de concevoir une offre gratuite. Tous les autres VPN gratuits que nous avons observés en 2026, ou bien dissimulent le coût dans leur politique de confidentialité, ou bien le dissimulent dans leurs SDK publicitaires. Dans les deux cas, le coût est trop élevé.