Votre appli VPN n'est pas le tunnel : l'étude de Proton en 2026

20 septembre 20267 min de lecture

Le tunnel peut être parfait et l'appli peut quand même parler

Un VPN est généralement jugé sur son tunnel : le protocole, le chiffrement, la promesse de non-conservation des journaux, le test de fuite. Cela ne représente que la moitié du produit. L'autre moitié est une appli installée sur votre téléphone, avec ses propres autorisations, ses propres requêtes réseau et sa propre liste de bibliothèques tierces intégrées.

Le chiffrement protège le contenu de votre trafic vis-à-vis du réseau situé entre vous et le serveur VPN. Il ne fait rien contre le fait que l'appli installée sur votre propre appareil décide de rapporter à un tiers ce qu'elle sait de vous. Les deux peuvent échouer indépendamment : un fournisseur peut exploiter un tunnel bien audité et livrer malgré tout une appli dont les bibliothèques d'analyse et de publicité collectent des données d'appareil et de localisation. Juger l'appli à la réputation du tunnel est l'erreur que décrit cet article.

Ce que rapporte l'étude de Proton AG

Dans une recherche publiée le 27 août 2026, Proton AG s'est intéressée aux traqueurs présents dans les applis VPN mobiles. Chaque chiffre ci-dessous est le résultat de l'étude tel que publié par Proton ; il ne s'agit pas d'une vérification indépendante.

85% des applis VPN mobiles téléchargées aux États-Unis contenaient au moins un traqueur.
64 applis collectaient activement les données de localisation physique des utilisateurs.
Les traqueurs collectaient des identifiants d'appareil, des modèles d'appareil, des types de réseau et les noms des opérateurs mobiles, et certaines applis suivaient la localisation GPS.
64 de ces applis appartenaient à des entreprises chinoises, et 31 d'entre elles utilisaient des sociétés écrans enregistrées à Singapour, à Hong Kong et au Royaume-Uni pour dissimuler leur propriété.
Les applis citées dans les articles consacrés à l'étude incluent VPN Proxy Master, VPN-Fast VPN Super et X-VPN.

Il faut le dire clairement : Proton AG vend un VPN, il s'agit donc de la recherche d'un fournisseur. Cela ne rend pas les résultats faux, mais cela signifie qu'il faut les lire comme les résultats rapportés par l'étude et chercher des confirmations, plutôt que de les traiter comme un audit indépendant et définitif.

Ce qu'un traqueur intégré à une appli VPN collecte réellement

Pris séparément, ces éléments semblent inoffensifs. Un identifiant d'appareil est une chaîne de caractères, le nom d'un opérateur est une information publique, et le fait d'être en Wi-Fi ou en réseau mobile est banal. Combinés, ils se comportent différemment. Un identifiant d'appareil est stable d'une session à l'autre et survit à un changement d'IP, c'est-à-dire précisément à ce qu'un VPN est censé changer. Ajoutez l'opérateur, le modèle de l'appareil et une position, et vous obtenez une signature qui décrit un seul téléphone plutôt qu'une foule.

C'est ce que signifie concrètement la désanonymisation par corrélation. Masquer votre IP supprime l'étiquette la plus facile du réseau, mais un identifiant d'appareil stable, assorti d'un opérateur et d'une position, peut être relié à la même personne à travers des services, des jeux de données et le temps. Si le même identifiant apparaît dans les registres d'une régie publicitaire et dans les fichiers d'un courtier en données, le VPN a masqué d'où vous vous connectez pendant que l'appli expliquait qui vous êtes.

Un second effet est plus facile à négliger : un VPN est souvent utilisé précisément par des personnes qui ne veulent pas être associées à une position ou à un réseau. Un traqueur qui enregistre l'opérateur et la position GPS de cet utilisateur contrecarre l'objectif plus directement que n'importe quelle fuite d'IP, car il ne s'agit pas d'une erreur dans le tunnel. C'est une fonctionnalité de l'appli.

Pourquoi l'opacité de la propriété est une question légitime

Un traqueur est un fait technique ; qui contrôle les données derrière lui est une question juridique. L'étude rapporte qu'une grande partie des applis remontaient à des entreprises chinoises, et que 31 d'entre elles utilisaient des sociétés écrans enregistrées à Singapour, à Hong Kong et au Royaume-Uni. Le point pertinent n'est pas la nationalité en soi. C'est ce qu'une structure d'entreprise dit de qui peut être contraint de remettre des données. La loi chinoise permet aux autorités d'exiger des entreprises relevant de sa juridiction qu'elles communiquent des données, et une société écran enregistrée ailleurs rend le véritable propriétaire plus difficile à identifier avant même d'installer quoi que ce soit.

Pour un lecteur, le test pratique est simple : si vous ne parvenez pas à déterminer qui possède l'appli à partir de sa fiche sur la boutique et de sa politique de confidentialité, c'est une question sans réponse disponible, et une appli que vous ne pouvez pas attribuer est une mauvaise base pour la vie privée.

Vérifier son propre téléphone

Vous n'avez rien à décompiler. Android et iOS en disent tous les deux assez pour vous donner une réponse utile en un après-midi.

Auditez les autorisations. Sur Android, ouvrez Paramètres, puis Applications, puis l'appli VPN, puis Autorisations. Sur iOS, ouvrez Réglages, puis Confidentialité et sécurité, puis Service de localisation, et lisez la fiche de l'appli. Une appli VPN a besoin d'un accès réseau et d'un emplacement VPN. Elle n'a pas besoin de la localisation, des contacts, du téléphone, des SMS ni de l'accès à tous les fichiers.
Lisez le tableau de bord de confidentialité. Le tableau de bord de confidentialité d'Android indique quelles applis ont utilisé la localisation au cours des dernières 24 heures. Le rapport de confidentialité des apps d'iOS montre ce à quoi les applis ont accédé et quels domaines elles ont contactés. Laissez-le tourner pendant une journée d'usage normal, puis regardez.
Retirez la localisation et observez ce qui se passe. Réglez l'autorisation de localisation de l'appli VPN sur Refusé et utilisez-la normalement. Si le tunnel se connecte et fonctionne, l'appli n'avait pas besoin de la localisation, et toute demande en ce sens relevait des données plutôt que de la fonction.
Surveillez le réseau avec un DNS filtrant. Sur Android, configurez un fournisseur de DNS privé qui bloque les domaines de traqueurs et de publicité connus. Sur iOS, installez un profil de blocage de contenu au niveau DNS. Utilisez ensuite l'appli VPN un moment et lisez le journal de blocage : une appli VPN qui déclenche des requêtes vers des domaines d'analyse et de publicité vous dit ce qu'elle envoie.
Lisez la section sur la sécurité des données de la fiche boutique. Vérifiez si elle déclare collecter la localisation, les identifiants d'appareil ou l'activité dans l'appli, et si elle indique que ces données sont partagées avec des tiers. Comparez cette déclaration avec ce que vous avez réellement observé aux étapes précédentes.
Découvrez à qui appartient l'appli. Regardez le nom du développeur sur la fiche, l'adresse de contact de la politique de confidentialité et toute société mère nommée. Si la piste s'arrête à un siège social sans société d'exploitation derrière, considérez cela comme votre réponse.

Que faire des résultats

La plupart de ces vérifications ne se traduisent pas par un succès ou un échec. Une seule bibliothèque d'analyse dans une appli n'est pas la même chose qu'une collecte continue de localisation, et une autorisation que vous avez refusée est une donnée que l'appli ne peut pas prendre. Ce que ces vérifications vous apportent, c'est une comparaison : vous voyez la différence entre une appli qui ne demande rien dont elle n'a pas besoin et une autre dont la liste de requêtes n'a rien à voir avec le transport de paquets.

Si une appli VPN demande la localisation, conserve un identifiant d'appareil stable et envoie des requêtes vers des domaines publicitaires, la qualité du tunnel cesse d'être le facteur décisif. Le chiffrement peut être parfait, et l'appli décrit quand même un téléphone précis et un lieu précis à une chaîne d'entreprises dont vous n'avez jamais entendu parler. Si la propriété du fournisseur est en plus floue, vous n'avez aucun moyen pratique de savoir ce qu'il advient ensuite de cette description.

Le standard raisonnable n'est pas la perfection. C'est un fournisseur dont l'appli a besoin de ce que l'appli fait, dont l'activité est lisible, et dont la politique de confidentialité correspond à ce que votre téléphone vous montre.

En résumé : le tunnel n'est pas tout le produit

Un VPN peut protéger votre trafic et rester capable de vous décrire. L'étude de Proton AG rappelle que la confidentialité que vous achetez est livrée par deux choses à la fois, le tunnel et l'appli, et qu'un tunnel solide ne protège pas contre une télémétrie qui tourne à côté. Vérifiez les autorisations, surveillez les requêtes et demandez qui est derrière l'appli. Ces trois questions vous en apprendront plus que n'importe quel titre sur le chiffrement.

Comment vérifier si votre appli VPN vous suit à la trace

Un audit d'une appli VPN depuis le téléphone : ce qu'elle demande comme autorisations, ce qu'elle contacte sur le réseau, et qui la publie.

Auditez les autorisations de l'appliSur Android, ouvrez Paramètres, puis Applications, puis l'appli VPN, puis Autorisations. Sur iOS, ouvrez Réglages, puis Confidentialité et sécurité, puis Service de localisation, et ouvrez la fiche de l'appli. Un VPN a besoin d'un accès réseau ; notez tout le reste, en particulier la localisation, les contacts ou les fichiers.
Retirez les autorisations dont elle n'a pas besoinRéglez la localisation sur Refusé et continuez d'utiliser l'appli. Si elle se connecte toujours normalement, l'autorisation n'était pas nécessaire au tunnel, ce qui vous dit pourquoi elle avait été demandée.
Lisez le rapport de confidentialité du systèmeSur Android, utilisez le tableau de bord de confidentialité pour voir quelles applis ont accédé à la localisation au cours des dernières 24 heures. Sur iOS, activez le rapport de confidentialité des apps, qui liste l'activité des applis et les domaines contactés. Consultez-le après une journée d'usage normal.
Faites passer le DNS par un résolveur qui bloque les traqueursSur Android, définissez un nom d'hôte DNS privé qui bloque les domaines de traqueurs et de publicité connus. Sur iOS, installez un profil de blocage de contenu au niveau DNS. Les deux vous permettent de voir ou de bloquer les domaines que l'appli tente de joindre.
Utilisez l'appli VPN et lisez le journalConnectez le VPN, naviguez normalement un moment, puis ouvrez le journal du bloqueur. Les requêtes vers des domaines d'analyse, d'attribution ou de publicité venant de l'appli VPN elle-même sont le signe le plus clair d'un suivi au niveau de l'appli.
Comparez avec la section sécurité des données de la fiche boutiqueVérifiez ce que la fiche déclare collecter et si elle indique partager des données avec des tiers, puis comparez cette déclaration avec ce que votre audit des autorisations et votre journal DNS ont réellement montré.
Identifiez l'éditeurLisez le nom du développeur, l'adresse de contact de la politique de confidentialité et toute société mère. Si la piste ne mène qu'à un siège social sans société d'exploitation, considérez cela comme une question de propriété sans réponse et intégrez-la à votre choix.

Questions fréquentes

Le suivi dans une appli VPN signifie-t-il que le chiffrement est cassé ?

Non. Le tunnel et l'appli sont deux choses distinctes. Le chiffrement protège votre trafic en transit, tandis que le suivi se produit à l'intérieur de l'appli, sur votre propre appareil. Vous pouvez avoir un tunnel techniquement solide et une appli qui collecte quand même des données d'appareil et de localisation.

Qu'a révélé l'étude de Proton AG ?

Proton AG a rapporté que 85% des applis VPN mobiles téléchargées aux États-Unis contenaient au moins un traqueur, que 64 applis collectaient activement des données de localisation physique, et que les traqueurs collectaient des identifiants d'appareil, des modèles, des types de réseau et des noms d'opérateurs, certaines applis suivant le GPS. L'étude indique aussi que 64 de ces applis appartenaient à des entreprises chinoises et que 31 d'entre elles utilisaient des sociétés écrans enregistrées à Singapour, à Hong Kong et au Royaume-Uni. Ce sont les résultats de l'étude tels que publiés par Proton, et non une vérification indépendante.

Les traqueurs peuvent-ils m'identifier si mon adresse IP est masquée ?

Oui, par corrélation. Un identifiant d'appareil est stable d'une session à l'autre et ne change pas quand vous changez de serveur. Combiné à l'opérateur, au modèle de l'appareil et à une position, il forme une signature propre à un seul téléphone, qui peut être reliée à travers différents services et jeux de données, indépendamment de l'adresse IP que le VPN masque.

Quelles applis ont été citées dans les articles ?

Les articles consacrés à l'étude citaient VPN Proxy Master, VPN-Fast VPN Super et X-VPN parmi les applis examinées. Une mention dans les résultats de l'étude ne prouve pas en soi un comportement illégal, et il convient de lire la recherche originale avant de tirer des conclusions sur une appli en particulier.

Pourquoi l'opacité de la propriété d'un VPN est-elle importante ?

Parce que la propriété détermine qui peut être légalement contraint de communiquer des données. L'étude rapporte que certaines applis utilisaient des sociétés écrans à Singapour, à Hong Kong et au Royaume-Uni, ce qui rend le véritable propriétaire plus difficile à identifier. Si vous ne pouvez pas dire qui possède l'appli, vous ne pouvez pas évaluer à quelle pression juridique les données derrière elle peuvent être exposées.

Comment vérifier si ma propre appli VPN me suit à la trace ?

Auditez ses autorisations, en particulier la localisation, et refusez tout ce dont un VPN n'a pas besoin. Consultez le tableau de bord de confidentialité d'Android ou le rapport de confidentialité des apps d'iOS après une journée d'utilisation. Utilisez un DNS bloqueur de traqueurs et vérifiez dans le journal les requêtes vers des domaines d'analyse et de publicité. Comparez ensuite vos observations avec la section sur la sécurité des données de la fiche boutique et la politique de confidentialité de l'appli.

Étiquettes#VPN #Privacy #Malware #Free VPN