VPN et anonymat : vérification factuelle de l’article publié par CrowdBunker
Ce que l’article explique correctement, ce qui doit être nuancé et ce qui a évolué depuis sa publication
Un article de CrowdBunker consacré aux VPN présente plusieurs informations utiles sur la confidentialité en ligne et les limites de l’anonymat. Certaines affirmations sont toutefois trop absolues, imprécises ou devenues obsolètes. Cette vérification reprend uniquement les points qui méritent d’être corrigés ou nuancés, sans remettre en cause le sérieux général du travail publié.
Article examiné :
Comment contourner la surveillance (partie 1) : la vérité sur les VPN
Matthieu — 17 mai 2026
Lire l’article original
Ce que l’article explique correctement
Un VPN chiffre le trafic entre l’appareil de l’utilisateur et le serveur VPN. Il remplace également l’adresse IP publique visible par les sites consultés par celle du serveur VPN.
Le fournisseur d’accès ne voit alors généralement plus les sites visités, à condition que le trafic et les requêtes DNS passent bien par le tunnel. Il voit néanmoins que l’utilisateur se connecte à un VPN, l’adresse du serveur utilisé, les horaires de connexion et le volume de données échangées.
L’article a également raison sur un point central : utiliser un VPN revient à déplacer la confiance. Le fournisseur d’accès perd une partie de sa visibilité, mais l’utilisateur doit alors faire confiance au fournisseur VPN, à son infrastructure et à sa politique de conservation des données.
Un VPN ne constitue donc pas, à lui seul, un outil d’anonymat. Les comptes connectés, les cookies, les pixels publicitaires, l’empreinte du navigateur, le téléphone, le moyen de paiement ou les habitudes de connexion peuvent toujours permettre d’identifier ou de corréler un utilisateur. L’Electronic Frontier Foundation recommande d’ailleurs Tor plutôt qu’un VPN lorsque l’objectif principal est l’anonymat.
Un navigateur ouvert n’« annule » pas automatiquement le VPN
L’article affirme que l’utilisation de son navigateur habituel, même avec un simple onglet ouvert en arrière-plan, annulerait « dans 95 % des cas » tout l’intérêt du VPN pour l’anonymat.
Ce chiffre n’est accompagné d’aucune source identifiable.
Un navigateur connecté à Google, Facebook, Microsoft ou à un autre compte personnel peut effectivement permettre d’associer l’adresse du VPN à un utilisateur déjà connu. Les cookies, les identifiants de connexion et l’empreinte du navigateur peuvent également relier plusieurs sessions.
Cela ne signifie toutefois pas que le navigateur désactive le tunnel VPN ou qu’il révèle automatiquement l’adresse IP réelle de l’utilisateur.
Il faut distinguer deux situations :
la fuite de l’adresse IP réelle en raison d’un défaut technique ;
l’association de l’adresse IP du VPN à une identité déjà connue.
Dans le second cas, le VPN fonctionne toujours correctement. C’est la séparation entre les identités numériques qui a échoué.
De même, la présence d’un service Google sur un site ne signifie pas que Google connaît systématiquement et immédiatement l’identité civile de chaque visiteur. Cette association dépend des cookies disponibles, du compte connecté, du navigateur, des protections contre le pistage et des informations déjà détenues par Google.
Kape Technologies n’est plus cotée à Londres
L’article présente Kape Technologies comme un groupe coté à la Bourse de Londres.
Cette information n’est plus exacte. Kape a été retirée du marché AIM le 31 mai 2023 après son rachat par Unikmind, la société contrôlée par Teddy Sagi.
L’historique de CrossRider, ancien nom de Kape, soulève néanmoins des questions légitimes. Sa technologie a notamment été utilisée pour diffuser des logiciels publicitaires et des programmes potentiellement indésirables.
Il est toutefois plus précis de dire que CrossRider fournissait un environnement technique utilisé par des éditeurs d’adwares et parfois détourné par des acteurs malveillants, plutôt que d’affirmer directement que l’entreprise diffusait elle-même des malwares.
Le fait que Kape possède plusieurs VPN — notamment ExpressVPN, CyberGhost et Private Internet Access — ainsi que des sites de comparaison constitue également un conflit d’intérêts potentiel qu’il est légitime de signaler. Cela ne démontre pas, en revanche, que ces VPN espionnent actuellement leurs utilisateurs.
NordVPN : la formule « no-log sauf si un tribunal l’ordonne » est trompeuse
L’article explique que NordVPN ne conserverait aucun journal, « sauf si un tribunal l’ordonne de manière légale et appropriée ».
Cette formulation laisse entendre que NordVPN disposerait d’une clause permettant d’activer ou de remettre rétroactivement des journaux de navigation dès qu’une décision judiciaire est présentée.
Ce n’est pas ce que montrent ses documents publics.
NordVPN affirme ne pas enregistrer l’activité en ligne, l’historique de navigation ou les données permettant de reconstituer le trafic d’un utilisateur. Son service indique conserver principalement les informations nécessaires au compte et à la facturation.
En octobre 2024, NordVPN a reçu une ordonnance contraignante du parquet panaméen. L’entreprise a remis les informations de paiement qu’elle possédait et confirmé l’existence d’un compte lié à une adresse électronique. Elle affirme n’avoir fourni aucun journal de trafic ou de connexion, puisqu’elle n’en conservait pas.
Une décision judiciaire pourrait théoriquement imposer une coopération future ou une mesure de surveillance ciblée, selon la juridiction et les possibilités techniques. Cela reste différent de la remise de journaux rétroactifs déjà conservés.
L’article confond donc deux questions :
les données déjà enregistrées par le fournisseur ;
les mesures qui pourraient éventuellement lui être imposées à l’avenir.
Proton VPN n’est pas nécessairement la seule exception gratuite sérieuse
L’article présente Proton VPN comme la seule offre gratuite réellement crédible.
Proton VPN dispose effectivement d’une offre gratuite solide, financée par les abonnements payants, ainsi que d’un historique d’audits et d’une transparence particulièrement documentés.
Mais il n’est pas nécessairement le seul fournisseur à proposer une offre gratuite défendable.
hide.me propose également une formule gratuite sans inscription obligatoire, sans publicité et avec une politique sans journaux revendiquée comme vérifiée indépendamment.
Cela ne place pas automatiquement hide.me au même niveau de confiance ou de transparence que Proton. Cela suffit néanmoins à rendre trop absolue l’affirmation selon laquelle Proton serait l’unique exception sérieuse.
Windscribe n’est volontairement pas cité ici, car son offre gratuite n’a pas été vérifiée indépendamment dans le cadre de cette analyse.
Mullvad : paiement anonyme ne signifie pas connexion invisible
Mullvad ne demande effectivement ni nom, ni adresse électronique, ni mot de passe lors de l’ouverture d’un compte. Le service génère un numéro de compte aléatoire et accepte notamment les paiements en espèces ou en Monero.
Ces méthodes peuvent réduire fortement le lien entre le paiement et l’identité.
Elles ne permettent cependant pas d’affirmer que « personne ne sait d’où vous venez ».
Le serveur VPN doit techniquement recevoir l’adresse IP d’entrée de l’utilisateur au moment de la connexion. La politique no-log signifie que Mullvad affirme ne pas conserver cette information durablement. Elle ne signifie pas que le serveur est incapable de la voir pendant la connexion.
La perquisition menée dans les locaux de Mullvad en avril 2023 constitue néanmoins un test concret important de cette politique. Les policiers suédois cherchaient des ordinateurs contenant des données clients. Ils sont repartis sans matériel ni information après que Mullvad leur a expliqué que les données recherchées n’existaient pas.
Le multihop ne protège pas toujours contre le fournisseur lui-même
Le multihop fait passer une connexion par plusieurs serveurs VPN successifs. Cela peut réduire les conséquences de la compromission d’un serveur et compliquer certaines formes de corrélation.
Il ne protège cependant pas automatiquement contre le fournisseur VPN lorsque tous les serveurs appartiennent à la même entreprise.
Si le même opérateur contrôle le serveur d’entrée et le serveur de sortie, il peut théoriquement observer les deux extrémités de la connexion.
Le bénéfice est plus important lorsque les différents serveurs sont exploités par des entités réellement indépendantes ou lorsque l’architecture introduit des mécanismes supplémentaires destinés à masquer les correspondances temporelles.
Les fuites DNS, IPv6 et WebRTC ne sont pas automatiques
Les fuites DNS et IPv6 sont des risques réels. Elles dépendent cependant du fournisseur, du système d’exploitation, du réseau et de la configuration utilisée.
WebRTC peut également exposer certaines informations réseau. Mais affirmer qu’il révèle l’adresse IP réelle « à n’importe quel site » est trop général.
Les navigateurs modernes ont introduit différentes protections. Firefox utilise notamment le mécanisme mDNS dans certaines situations afin de remplacer l’adresse IP locale par un identifiant temporaire lors des communications WebRTC.
Tester régulièrement sa connexion reste une bonne pratique. Cela ne signifie pas que toutes les connexions VPN présentent systématiquement ces fuites.
Les failles mobiles ne constituent pas un défaut permanent d’Android et d’iOS
L’article affirme qu’une faille présente sur Android et iOS pourrait permettre à certaines applications de contourner le VPN local.
Des vulnérabilités de ce type ont effectivement existé. Apple a notamment corrigé en septembre 2024 la faille CVE-2024-44165, qui pouvait permettre à du trafic réseau de sortir d’un tunnel VPN.
Cette vulnérabilité précise a été corrigée sur les systèmes concernés. Elle ne permet pas de conclure que toutes les versions actuelles d’Android et d’iOS comportent un défaut structurel permanent autorisant les applications à contourner les VPN.
Installer un VPN au niveau du routeur peut réduire certains risques de contournement local. Cela ne rend pas les appareils anonymes : les comptes, les cookies, les identifiants publicitaires et les applications peuvent toujours permettre une identification.
NymVPN ne fonctionne pas selon une architecture unique
L’article présente NymVPN comme un réseau dans lequel il faudrait que le nœud d’entrée et le nœud de sortie enregistrent les connexions et coopèrent pour relier l’utilisateur à sa destination.
Cette explication est incomplète, car NymVPN propose deux modes distincts :
un mode rapide décentralisé utilisant deux sauts WireGuard ;
un mode anonyme utilisant un mixnet à cinq sauts, avec mélange des paquets, délais et trafic de couverture.
Le mode à cinq sauts est précisément conçu pour compliquer les analyses fondées sur la taille et le moment des communications.
Cette architecture reste jeune, complexe et moins éprouvée en pratique que celle des principaux VPN traditionnels. Les affirmations commerciales de Nym sur son niveau d’anonymat ne doivent donc pas être transformées en garanties absolues.
Un VPN personnel sur un VPS n’est pas invisible
L’article affirme qu’un VPN installé sur un VPS ne serait pas reconnu comme un VPN par les outils de détection et apparaîtrait simplement comme une adresse de centre de données.
Cette formulation est trop absolue.
Un VPN personnel peut échapper aux listes d’adresses appartenant aux grands fournisseurs commerciaux. Son adresse IP reste toutefois généralement identifiable comme appartenant à un hébergeur ou à un centre de données.
Les protocoles peuvent aussi être détectés par l’analyse de leurs caractéristiques réseau. Des chercheurs ont notamment montré qu’OpenVPN pouvait être identifié par inspection du trafic, y compris dans certaines configurations utilisant des mécanismes d’obscurcissement.
Cette détection avancée est surtout documentée dans les recherches consacrées aux régimes de censure lourde, notamment en Chine. Elle ne correspond pas actuellement à un dispositif général de détection des VPN déployé par l’Union européenne.
Un VPS personnel reste par ailleurs généralement mauvais pour l’anonymat :
son adresse IP est souvent fixe ;
l’hébergeur connaît généralement l’identité du client ;
les connexions entrantes peuvent être enregistrées ;
toutes les activités sortent par une adresse associée à un nombre très limité d’utilisateurs.
Il peut être utile pour contourner certains blocages simples, mais il ne doit pas être présenté comme un outil d’anonymat.
Le droit européen ne s’arrête pas automatiquement aux frontières de l’Union
L’article affirme que la juridiction de l’Union européenne resterait limitée à la zone européenne.
Cette affirmation est juridiquement inexacte dans son principe.
Le Digital Services Act s’applique à des fournisseurs situés hors de l’Union dès lors qu’ils proposent des services à des utilisateurs établis ou situés dans l’Union européenne.
Cette portée extraterritoriale vise cependant principalement les entreprises qui fournissent des services à des tiers. Elle ne s’applique pas nécessairement de la même manière à une personne utilisant un VPS exclusivement pour ses besoins privés.
Louer un VPS hors de l’Union ne garantit toutefois pas qu’aucune règle européenne, coopération judiciaire ou obligation imposée à l’hébergeur ne puisse intervenir.
L’Union européenne ne prépare pas actuellement une interdiction générale des VPN
L’article affirme que l’Union européenne discuterait déjà de la possibilité de réguler ou de limiter les VPN.
La question des VPN est effectivement entrée dans le débat sur la vérification de l’âge. Une publication du service de recherche du Parlement européen examine leur utilisation pour contourner ces contrôles et mentionne que certains acteurs proposent de réserver leur accès aux personnes ayant dépassé un âge numérique minimal.
Mais ce document n’est pas une proposition législative. Il présente un débat et différentes options.
À la date du 13 juillet 2026, aucune proposition formelle de la Commission européenne visant à interdire ou à limiter globalement les VPN n’a été identifiée.
Dire qu’une future réglementation serait « trivialement » ou « massivement » contournable reste également spéculatif. La difficulté dépendrait du texte adopté, des obligations imposées aux fournisseurs, des moyens de paiement, des capacités de détection et de la coopération des hébergeurs.
Le constat général reste juste
L’article de CrowdBunker présente une idée centrale correcte : un VPN protège une connexion, mais il ne crée pas à lui seul une identité anonyme.
Son efficacité dépend :
du modèle de menace ;
du fournisseur choisi ;
du système d’exploitation ;
du navigateur ;
des comptes utilisés ;
du moyen de paiement ;
de la séparation des identités ;
des pratiques de l’utilisateur.
Le principal problème de l’article n’est donc pas son orientation générale, mais sa tendance à présenter certains risques comme automatiques, certaines hypothèses comme établies et certaines protections comme des garanties.
Dans un domaine aussi sensible que la surveillance numérique, une formulation trop absolue peut conduire les lecteurs à surestimer une protection ou, au contraire, à croire qu’elle ne sert plus à rien.
Mise à jour importante sur Chat Control
Chat Control ne donne pas directement aux autorités un accès général aux conversations privées.
Le dispositif repose sur la détection de contenus pédocriminels par les fournisseurs de services, puis sur leur suppression et leur signalement aux autorités. Cela soulève néanmoins un problème réel pour la confidentialité des communications et pour la compatibilité avec le chiffrement de bout en bout.
La situation de Chat Control 1.0 a évolué le 9 juillet 2026.
Lors d’un premier vote, 314 députés européens ont demandé le rejet de la position du Conseil, contre 276, avec 17 abstentions. Une majorité simple des votants s’est donc prononcée pour le rejet.
Mais, en deuxième lecture, le rejet ou la modification de la position du Conseil exigeait la majorité absolue des 720 membres du Parlement, soit 360 voix. Le seuil n’a pas été atteint.
Le Parlement a ensuite adopté une position amendée. Lors du vote final sur son rejet, 276 députés ont voté pour, 286 contre et 30 se sont abstenus. La deuxième lecture a donc été close et le texte amendé doit désormais être examiné par le Conseil.
Dire que Chat Control a été adopté par une majorité politique clairement favorable serait donc trompeur. La majorité des députés ayant participé au premier scrutin souhaitait rejeter le texte, mais elle n’a pas atteint le seuil juridique exigé.
La proposition française d’adapter les interceptions judiciaires aux messageries chiffrées n’est pas encore un dispositif appliqué. Il s’agit d’une orientation défendue par certains services et responsables, et non d’un accès déjà généralisé aux conversations privées.
Points volontairement non repris
Je n’ai volontairement pas développé ici les autres observations issues de la vérification, car elles dépassent le sujet principal de l’article consacré aux VPN.
Elles concernent :
le caractère volontaire du portefeuille européen d’identité numérique ;
la distinction entre vérification d’âge et identification civile complète ;
la confusion entre le Digital Services Act et le dispositif italien Piracy Shield ;
l’existence de recours contre les décisions prises dans le cadre de Piracy Shield ;
la présentation de GrapheneOS comme un simple Android « dégooglisé » ;
l’affirmation selon laquelle Tails ne laisserait absolument aucune trace ;
l’idée selon laquelle toute distribution Linux serait nécessairement plus confidentielle que Windows ou macOS ;
le conseil partiellement dépassé de ne jamais redimensionner Tor Browser ;
la suppression automatique des métadonnées par Signal ;
les limites de la fonction « Imprimer vers PDF » pour nettoyer un document ;
ce que le protocole Encrypted Client Hello, ou ECH, cache réellement au fournisseur d’accès.
Ces questions mériteraient une vérification séparée afin de ne pas mélanger l’analyse des VPN avec celle de l’ensemble des technologies et réglementations évoquées dans l’article.
Sources
Article de CrowdBunker examiné — 17 mai 2026
Electronic Frontier Foundation — choisir un VPN et comprendre ses limites
https://ssd.eff.org/module/choosing-vpn-thats-right-you
Kape Technologies — retrait du marché AIM annoncé pour le 31 mai 2023
https://www.lse.co.uk/rns/notice-of-offer-closure-and-delisting-from-aim-muh1etfs12t0swt.html
Malwarebytes — historique de CrossRider et des logiciels publicitaires
https://www.malwarebytes.com/blog/detections/adware-crossrider
NordVPN — informations conservées par le fournisseur
https://support.nordvpn.com/hc/en-us/articles/19744151372945-What-information-does-NordVPN-store
NordVPN — rapports de transparence et ordonnance reçue en octobre 2024
https://nordvpn.com/blog/nordvpn-introduces-transparency-reports/
hide.me — caractéristiques de l’offre gratuite
https://hide.me/en/blog/why-need-free-vpn-unlimited-data/
hide.me — audits indépendants de la politique sans journaux
https://hide.me/en/blog/the-importance-of-independent-vpn-audits/
Mullvad — politique de conservation des données
https://mullvad.net/en/help/no-logging-data-policy
Mullvad — perquisition d’avril 2023
https://mullvad.net/en/blog/mullvad-vpn-was-subject-to-a-search-warrant-customer-data-not-compromised
NymVPN — différences entre le mode rapide et le mode anonyme
https://support.nym.com/hc/en-us/articles/24326365096721-What-s-the-difference-between-NymVPN-Fast-Anonymous-mode
ArXiv — recherche sur la détection d’OpenVPN par inspection du trafic
https://arxiv.org/abs/2403.03998
Apple — faille CVE-2024-44165 corrigée dans iOS 17.7 et iPadOS 17.7
https://support.apple.com/fr-fr/121246
DSA Observatory — portée extraterritoriale du Digital Services Act
https://dsa-observatory.eu/2023/11/01/the-extraterritorial-implications-of-the-digital-services-act/
Parlement européen — VPN et protection des enfants en ligne
https://www.europarl.europa.eu/thinktank/en/document/EPRS_ATA%282026%29782618
Euronews — vérification de l’existence d’un projet européen de restriction des VPN
https://fr.euronews.com/my-europe/2026/05/15/verification-des-faits-lue-est-elle-sur-le-point-de-restreindre-lutilisation-des-vpn
Parlement européen — procédure et résultats du vote du 9 juillet 2026 sur Chat Control
https://www.europarl.europa.eu/news/en/press-room/20260706IPR46318/combating-child-sexual-abuse-support-for-a-more-limited-eprivacy-derogation
Next.ink — analyse du vote du 9 juillet 2026
https://next.ink/246899/chat-control-le-parlement-europeen-retablit-la-surveillance-volontaire-des-messageries/
GrapheneOS — Google Play installé dans un environnement isolé
https://grapheneos.org/features
Cloudflare — fonctionnement et limites d’Encrypted Client Hello
https://developers.cloudflare.com/ssl/edge-certificates/ech/