Le prix dissimulé des VPN gratuits pour Android : le suivi, les fuites et d'autres risques
Les VPN gratuits promettent une offre irrésistible : la confidentialité sans avoir à débourser un sou. SplitVPN a formulé cette promesse de manière particulièrement catégorique. Sa page d’accueil affirme : « Un VPN qui vous fait oublier les problèmes de confidentialité ! » Quelques lignes plus bas,on vous promet un trafic illimité, des serveurs rapides — et « aucune conservation des logs ».
Pour être précis, SplitVPN n’est pas entièrement gratuit. Il propose à la fois des formules gratuites et payantes, tandis que sa fiche Google Play indique que l’application contient des publicités et des achats intégrés. Mais la version gratuite continue de mettre en avant cette idée séduisante de confidentialité sans frais. Pour ces utilisateurs, le prix apparaît plus clairement dans les mentions légales.
La politique de confidentialité accessible depuis la fiche Google Play actuelle précise que des services publicitaires tiers peuvent collecter des informations telles que les identifiants publicitaires, les adresses IP, les détails de l’appareil, l’utilisation de l’application et la localisation approximative. Elle reconnaît également que, selon la définition de la loi californienne sur la protection de la vie privée, certaines versions de son produit financées par la publicité peuvent « vendre » certaines données à des partenaires publicitaires. La politique précise explicitement que cela n’inclut pas l’activité de navigation des utilisateurs via le VPN ; elle ne contredit donc pas en soi la promesse de SplitVPN de ne conserver aucun journal. Mais cela complique la promesse d’une confidentialité sans frais : les utilisateurs gratuits ne paient peut-être pas de frais d’abonnement, mais leur attention et d’autres données peuvent tout de même avoir une valeur commerciale.
Fin juillet, l’idée selon laquelle les données des utilisateurs peuvent avoir une valeur commerciale a pris une tournure plus inquiétante. Des messages publiés sur des forums de piratage affirmaient qu’une base de données volée à SplitVPN, anciennement commercialisée sous le nom de NotVPN, avait été mise en vente. Le vendeur affirmait qu’elle contenait des données sur des millions d’utilisateurs, notamment des adresses e-mail, des adresses IP, des informations sur les appareils et les abonnements, ainsi que des historiques de paiement. Elle aurait également inclus près de 58 millions de journaux de connexion — une allégation particulièrement préjudiciable pour un service fondé sur la promesse de ne conserver aucun journal.
SplitVPN/NotVPN a confirmé la violation mais a contesté l’allégation selon laquelle des journaux de connexion auraient été divulgués. La société a déclaré qu’une personne avait accédé à sa base de données d’abonnements le 21 juillet et a reconnu que les adresses e-mail des utilisateurs, leurs pays, le statut de leur abonnement, les noms de leurs appareils et certaines informations de paiement avaient été exposés. Elle a toutefois insisté sur le fait qu’elle n’enregistrait pas les sites web consultés par les utilisateurs, affirmant que les pirates avaient inventé le tableau des journaux de connexion afin de donner plus de valeur à la fuite de données.
Ce n'était pas la première fois que NotVPN faisait parler de lui dans le cadre de la protection de la vie privée. Une récente étude universitaire sur les VPN Android a révélé que les paquets liés à l’application envoyaient certaines données générées par celle-ci via des connexions non chiffrées et étaient faciles à identifier comme du trafic VPN. Il est important de noter que les chercheurs n’ont pas accusé NotVPN de divulguer le trafic de navigation ni de conserver des journaux d’activité ou de connexion.
Mais NotVPN n’était qu’un élément d’une tendance bien plus vaste et inquiétante.
De nombreux VPN gratuits sont de véritables bombes à retardement en matière de confidentialité et de sécurité. Les serveurs, la bande passante, le développement et la maintenance ont tous un coût. Si les utilisateurs ne paient pas pour le service, le fournisseur peut très bien générer des revenus par le biais de la publicité, du suivi ou de la collecte de données. Et comme un VPN dispose d’un accès privilégié à leur connexion Internet, le prix à payer est bien plus élevé qu’avec une application gratuite ordinaire.
Au total, les applications problématiques identifiées dans l’étude avaient été installées plus de 2,4 milliards de fois. Voici les principales conclusions.
Les VPN gratuits : objet de l’étude
Cette étude a été menée par des chercheurs de l’université du Michigan, de l’université de New Mexico et de l’IIT Delhi, puis présentée lors du Network and Distributed System Security Symposium (NDSS) en février 2026.
L'équipe a constitué son ensemble de données en novembre 2024 en effectuant des recherches sur Google Play à partir de 40 termes populaires associés aux VPN, notamment « VPN », « VPN gratuit », « meilleur VPN gratuit », « VPN sécurisé », « VPN sans journaux », « VPN pour la confidentialité », « VPN pour le streaming » et « VPN pour les jeux », etc. Google Play a renvoyé jusqu’à 30 applications pour chaque terme de recherche, générant ainsi jusqu’à 1 200 résultats par pays avant suppression des doublons. L’échantillon final comprenait 281 applications VPN gratuites.
L’équipe les a ensuite testées sur un appareil physique fonctionnant sous Android 14 à l’aide de MVPNalyzer, un framework développé pour le projet. Les applications ont été analysées afin de détecter :
des communications non chiffrées entre l’application et ses propres serveurs ;
le trafic DNS ou de navigation s’échappant du tunnel VPN ;
l’envoi d’identifiants publicitaires et d’autres données de l’appareil vers des traceurs ;
des configurations VPN faibles ou obsolètes ;
un trafic VPN pouvant être facilement identifié et bloqué.
Fuites de trafic et de DNS, suivi et empreinte numérique : les dangers des VPN gratuits
Le premier problème allait à l’encontre de l’objectif même de l’utilisation d’un VPN : 61 applications envoyaient leurs propres données vers des serveurs sans cryptage. Il s’agissait d’un trafic généré par les applications, et non du trafic de navigation des utilisateurs, mais il pouvait tout de même être vu ou modifié par le fournisseur d’accès Internet de l’utilisateur, l’opérateur d’un réseau Wi-Fi public ou un pirate surveillant la connexion. Dans 5 cas, des applications ont même téléchargé leurs fichiers de configuration VPN de cette manière. Un pirate aurait pu remplacer le fichier et rediriger la connexion soi-disant protégée vers un serveur qu’il contrôlait — tandis que l’application continuait d’indiquer que le VPN était « connecté ».
29 autres applications laissaient le trafic s’échapper du tunnel. Ce trafic pouvait certes être chiffré par un site web via HTTPS, mais il contournait la protection et la confidentialité supplémentaires que le VPN était censé fournir. Parmi celles-ci figuraient des applications laissant échapper des requêtes DNS, divulguant le trafic du navigateur et créant des tunnels transportant des données sans ajouter aucun chiffrement VPN. Chacune de ces failles, prise isolément, va à l’encontre d’une raison fondamentale d’utiliser un VPN. Une fuite DNS, par exemple, peut révéler quels sites web ou services une personne tente d’accéder, même si les pages elles-mêmes restent chiffrées.
L'ampleur du suivi était encore plus frappante. Plus de 80 % des applications testées ont contacté des domaines publicitaires ou de suivi. Les chercheurs les ont identifiés à l'aide d'EasyList, d'EasyPrivacy, de Disconnect et du filtre AdGuard Mobile Ads.
Soixante-seize applications ont transmis l’identifiant publicitaire Android, tandis que d’autres ont partagé des adresses IP, des modèles d’appareils, des versions de système d’exploitation, la langue ou des informations de localisation. Une application a même transmis des coordonnées précises. La plupart de ces informations peuvent sembler inoffensives. Combinées, elles peuvent toutefois constituer un profil d’appareil persistant, relier l’activité entre les applications et les sessions, et potentiellement la relier à un réseau ou à un emplacement réel. Au lieu de supprimer une couche de surveillance, un VPN gratuit peut simplement en ajouter une nouvelle.
Les configurations dissimulées derrière le bouton « Connect » n’étaient guère plus rassurantes. Sur les 108 configurations OpenVPN obtenues par les chercheurs, 107 ont échoué à au moins un contrôle de sécurité. Beaucoup reposaient sur une authentification faible, des paramètres obsolètes ou ne disposaient pas des protections élémentaires contre les attaques connues.
OpenVPN est une technologie largement utilisée pour établir une connexion chiffrée entre votre appareil et un serveur VPN. Sa configuration indique à l’application comment établir et sécuriser cette connexion.
Pour les utilisateurs qui comptent sur les VPN pour contourner la censure, il y avait un autre hic. Les chercheurs ont pu facilement identifier 169 applications comme étant des VPN grâce à des ports standard, des protocoles courants ou des noms de domaine évidents. Dans 101 cas, les applications contactaient des domaines contenant le mot « vpn ». Dès qu'un censeur est capable de reconnaître une connexion VPN, il devient beaucoup plus facile de la bloquer.
Les chercheurs avaient pour objectif d’étudier les applications VPN Android les plus populaires ; si vous pensez qu’il s’agissait de services obscurs ne comptant que quelques milliers d’utilisateurs, ce n’est malheureusement pas le cas. Les chiffres actuels de Google Play montrent que plusieurs des VPN mentionnés dans le rapport ont dépassé les 100 millions de téléchargements :
Instabridge — 100 millions+ de téléchargements — a été signalé pour son trafic non chiffré, le suivi, sa détection aisée et des problèmes de configuration.
VPN Proxy Master — 100 millions+ de téléchargements — a été associé au trafic non chiffré, au suivi et à une détection facile.
Super VPN — 100 millions+ de téléchargements — Il s'est avéré qu'il transmettait certaines données sans les crypter.
Thunder VPN — 100 millions+ de téléchargements — figurait parmi les applications qui transmettaient des identifiants publicitaires.
Au contraire, le nombre de téléchargements rend ces conclusions encore plus inquiétantes. Ces applications ne se cachaient pas dans les recoins obscurs d’Internet : les utilisateurs les ont trouvées sur Google Play, accompagnées de notes, de chiffres de téléchargement, de mentions relatives à la confidentialité et de coches qui donnaient l’impression qu’elles avaient été vérifiées.
Les mesures de sécurité de Google ne suffisent pas
Google Play impose effectivement des exigences aux applications VPN. Pour rester dans la boutique, celles-ci doivent déclarer qu’elles utilisent le service VPN d’Android et chiffrer les données entre l’appareil et le point de terminaison VPN, respecter les [règles de Google concernant les données utilisateur](https://support.google.com/ googleplay/android-developer/answer/10144311) et relatives aux logiciels malveillants de Google, publier une politique de confidentialité et remplir le formulaire de sécurité des données . Google précise également qu’il vérifie la conformité des applications à ses règles. Du point de vue de l’utilisateur, cela donne naturellement l’impression que Google a vérifié que l’application est sûre.
Le problème, c’est que ces contrôles sont bien moins exhaustifs que ne le laissent entendre les mentions. La section « Sécurité des données » repose en grande partie sur une déclaration volontaire remplie par le développeur — et non sur le résultat d’un examen indépendant mené par Google portant sur toutes les données transmises par l’application. La documentation de Google elle-même précise : « Vous êtes seul responsable de la véracité et de l’exhaustivité des déclarations figurant dans la fiche de votre application sur Google Play ». Google peut intervenir s’il constate une incohérence, mais il ne prétend pas vérifier chaque déclaration avant que les utilisateurs n’y aient accès. Ainsi, ce qui peut ressembler à un label de qualité de Google n’est en réalité guère plus que la parole d’un développeur. Pire encore, au lieu d’apporter de la transparence, ces déclarations peuvent donner un faux sentiment de sécurité.
Par exemple, la page actuelle de Google Play consacrée à la sécurité des données pour VPN Proxy Master indique que les données sont chiffrées en transit et affiche une coche « Examen de sécurité indépendant ». Pourtant, la version examinée par les chercheurs de MVPNalyzer a été signalée pour du trafic non chiffré, du suivi et un trafic VPN facile à identifier.
La page « Sécurité des données » actuelle de Google Play pour VPN Proxy Master, capturée le 30 juillet 2026.
Les chercheurs ont testé l’application en novembre 2024, tandis que la fiche de l’application a été mise à jour en juillet 2026 ; la version actuelle peut donc différer.
Le badge « Vérifié » de Google est plus significatif. Pour l'obtenir, un fournisseur de VPN doit se soumettre à une évaluation de la sécurité des applications mobiles de niveau 2, ou MASA niveau 2. Il s’agit du plus élevé des deux niveaux d’assurance du programme : au lieu de se fier principalement aux réponses du développeur, un laboratoire agréé par Google teste manuellement l’application selon une norme internationale de sécurité mobile. AdGuard VPN a également passé cette évaluation avec succès. C’est certes plus rassurant qu’une simple déclaration de l’éditeur, mais cela ne concerne qu’une version spécifique à un moment donné — et non chaque requête serveur ou mise à jour future.
Vient ensuite l’indicateur peut-être le plus convaincant de tous : le nombre d’installations. Un VPN comptant 100 millions de téléchargements donne l’impression d’avoir fait ses preuves. Mais même lorsque ce chiffre est authentique, il ne garantit pas que l’application fonctionne correctement ou qu’elle tienne ses promesses en matière de confidentialité. Et ce chiffre peut lui-même être largement gonflé. Comme l’a montré l’étude, la popularité indique à quel point un VPN s’est répandu — et non dans quelle mesure il vous protège.
Si le produit est gratuit, c’est sans doute vous qui êtes le produit
Les VPN gratuits ne fonctionnent pas uniquement grâce à de bonnes intentions. Les serveurs, la bande passante, le développement et la maintenance ont tous un coût ; ainsi, si les utilisateurs ne paient pas la facture, quelqu’un d’autre doit le faire, et, le plus souvent, il s’agit d’annonceurs ou d’entreprises intéressées par les données des utilisateurs.
Cela ne signifie pas pour autant que tous les VPN gratuits sont dangereux. Certains fournisseurs proposent une version gratuite limitée, financée par des abonnements. L'offre gratuite d'AdGuard VPN, par exemple, comprend 3 Go de trafic mensuel, quatre emplacements de serveurs et la prise en charge de deux appareils, tandis que les utilisateurs payants bénéficient d'un trafic illimité et d'un plus grand nombre d'emplacements.
Alors, comment différencier un forfait gratuit raisonnable d’un piège à la vie privée ? Voici un petit guide pratique pour choisir un VPN :
Recherchez son nom sur Google. Recherchez le VPN et son propriétaire en les associant à des mots tels que « faille », « fuite », « vie privée » ou « arnaque ».
Renseignez-vous sur son exploitant. Une véritable entreprise doit disposer d’un site web digne de ce nom, de coordonnées claires et d’un historique. Un développeur proposant des dizaines de VPN quasi identiques sous des noms génériques est un signal d’alerte.
Vérifiez comment la version gratuite génère des revenus. Le fournisseur doit préciser s’il repose sur des abonnements, de la publicité ou autre chose. Sa politique de confidentialité doit également indiquer clairement quelles données il collecte.
Ne vous fiez pas uniquement aux notes et au nombre de téléchargements. Lisez les avis récents, en particulier les négatifs, mais gardez à l’esprit que même des millions d’installations et une note élevée ne suffisent pas à garantir la sécurité d’un VPN.
Vérifiez ses autorisations. Si un VPN demande l’accès à vos contacts, à vos photos, à votre microphone ou à votre position exacte sans raison valable, choisissez-en un autre.
Aucune de ces vérifications ne prend beaucoup de temps, mais ensemble, elles peuvent vous en apprendre bien plus qu’un simple nombre de téléchargements ou un badge clinquant. Avant de confier à un VPN les clés de votre connexion Internet, il vaut mieux savoir qui se cache derrière. Un VPN devrait vous enlever un souci, et non en ajouter un autre à la liste.
