Un VPN change le trajet et l’observateur du réseau ; le chiffrement de bout en bout protège le contenu des échanges selon une autre frontière.
Un VPN ou un proxy ne voit généralement que le trafic qui le traverse réellement. Si le contenu des discussions est protégé par un chiffrement de bout en bout correctement mis en œuvre et des clés valides, l’observation du trajet réseau ne révèle pas, à elle seule, le texte des messages. Cela ne signifie toutefois ni anonymat complet ni innocuité de toutes les applications VPN.
Pour choisir et utiliser ces outils en connaissance de cause, distinguez trois couches : le tunnel VPN, la connexion HTTPS/TLS et le chiffrement de bout en bout de la messagerie elle-même.
Jusqu’où va chaque couche ?
| Couche | Extrémités habituelles de la protection | Qui voit encore une partie des informations ? |
|---|---|---|
| VPN | Appareil et serveur VPN | Le fournisseur de VPN dispose des informations de connexion du trafic qui le traverse |
| HTTPS/TLS | Application ou navigateur et service destinataire | Le service destinataire voit les données qui lui sont envoyées |
| E2EE | Appareils des participants | Les destinataires accèdent au contenu lisible ; des métadonnées peuvent subsister |
Ces couches peuvent coexister, mais partager le nom de « chiffrement » ne signifie pas partager les mêmes frontières. Le guide du chiffrement de l’EFF explique cette distinction.
Que peut observer un VPN ?
Le fournisseur de VPN peut observer l’adresse IP source, les horaires, le volume et les destinations réseau du trafic qui le traverse. La quantité d’informations sur les noms de domaine dépend du DNS et des technologies de connexion. Voir l’IP du serveur de messagerie ne révèle pas nécessairement le nom du contact ou l’identifiant du destinataire dans l’application ; ces informations peuvent se trouver dans une couche chiffrée.
Un VPN présente généralement une autre IP de sortie au service destinataire, mais ne masque pas votre IP au fournisseur de VPN lui-même. Votre compte, les cookies, l’identifiant de l’appareil ou vos habitudes d’utilisation peuvent aussi continuer à vous rendre identifiable. Voir le guide de l’EFF pour choisir un VPN.
Un proxy propre à une application, une extension de navigateur et un VPN à l’échelle du système n’ont pas non plus le même périmètre. Des fonctions comme le split tunneling peuvent acheminer une partie du trafic hors du tunnel. Ne parlez de « tout le trafic » qu’après avoir vérifié les paramètres.
Quand le texte des messages ou les mots de passe sont-ils menacés ?
- Si les données sont envoyées sans protection adaptée, un intermédiaire réseau peut les lire ou les modifier.
- Si l’utilisateur ignore un avertissement de certificat ou si un certificat malveillant est considéré comme fiable, la frontière de TLS peut changer.
- Si l’application VPN est elle-même un logiciel malveillant et obtient des autorisations supplémentaires sur l’appareil, le danger ne se limite pas au trajet réseau.
- Si la page de connexion est fausse, le code web altéré ou l’appareil infecté, les informations peuvent être capturées avant l’exécution du chiffrement.
À l’inverse, la seule présence d’un VPN sur le trajet ne signifie pas que HTTPS ou E2EE a été cassé. Affirmer que le contenu est exposé exige un mécanisme précis et des preuves.
Gratuit ou payant : que vérifier ?
La gratuité ne prouve pas de façon certaine la vente d’informations, et un abonnement payant ne garantit pas non plus la confiance. Examinez la politique de journalisation, la propriété, le financement, l’historique des mises à jour et le périmètre des audits. Une formule comme « sans journaux » ne suffit pas sans définition des types de données et de leur durée de conservation.
Pour une application VPN inconnue, examinez séparément les demandes d’accès aux fonctions d’accessibilité, aux contacts ou d’installation de certificats. Ces autorisations ne sont pas forcément nécessaires à la création d’un tunnel ordinaire. Ne confondez pas la seule explication du développeur avec une preuve technique.
Discussions privées et canaux publics dans Livara
La page de sécurité de Livara distingue la protection des messages directs et des groupes privés compatibles des métadonnées d’acheminement et des canaux publics. Cette même page indique qu’un ancien groupe incompatible reste explicitement hors E2EE et qu’un nouveau groupe n’est pas créé avec une étiquette de chiffrement tant que tous ses membres ne sont pas prêts. Vérifiez donc l’état de la conversation concernée et la version de l’application. Il s’agit d’affirmations sur la conception du produit ; cet article n’est ni un test d’intrusion ni une garantie de résistance à tous les attaquants.
Le caractère public d’un canal signifie que son audience et le service peuvent en voir le contenu. Cela ne signifie pas que chaque intermédiaire réseau lit directement ce texte dans les paquets qui passent lorsque HTTPS fonctionne correctement. « Public pour le lecteur » et « sans chiffrement du transport » ne sont pas synonymes.
Courte liste avant une conversation sensible
Utilisez l’application officielle à jour ; n’ignorez pas les avertissements de certificat ; examinez les autorisations supplémentaires ; connaissez le type réel de conversation et les paramètres de sauvegarde ; et, dans une situation sensible, vérifiez la clé du contact par une voie indépendante.
Choisissez un VPN pour le problème qu’il résout réellement. Changer le trajet réseau peut être utile, mais ne remplace ni un appareil sain, ni l’authenticité des clés, ni la confiance dans le destinataire.
