Les comparateurs affiliés classent les VPN sur des critères qui servent surtout leur modèle de rémunération - c'est pour cela qu'un même fournisseur peut arriver premier sur un site et absent du classement d'un autre, sans qu'aucun changement technique ne le justifie. Voici, à l'inverse, les points qu'un indépendant ou une TPE devrait vérifier personnellement avant de s'engager, avec pour chacun la raison concrète pour laquelle il compte et le signal d'alerte à repérer.
Une politique « no-logs » affichée sur un site n'engage que celui qui l'écrit. Un audit mené par un cabinet de sécurité tiers, avec un rapport public ou consultable, est une garantie d'un tout autre niveau : l'auditeur examine la configuration réelle des serveurs, le code source de l'application le cas échéant, et documente précisément ce qui est collecté ou non.
Ces audits vérifient une configuration à un instant T ; ils ne garantissent pas qu'elle sera maintenue indéfiniment après la publication du rapport. C'est pourquoi la fréquence de l'audit compte autant que son existence : un rapport unique datant de plusieurs années a beaucoup moins de valeur qu'un cycle d'audits réguliers rendus publics. Signal d'alerte : un fournisseur qui promet le « no-logs » sans jamais mentionner d'audit tiers, ou qui refuse d'en communiquer les conclusions même partiellement.
« Chiffrement AES-256 » est devenu un argument marketing quasi universel, y compris chez des fournisseurs peu fiables, parce que l'algorithme de chiffrement en lui-même n'est presque jamais le maillon faible. Ce qui distingue réellement une offre, c'est le protocole de tunnel qui achemine ce chiffrement : WireGuard et IKEv2/IPsec pour la continuité de connexion en mobilité, OpenVPN pour la compatibilité avec les réseaux filtrants. Le détail est développé dans notre comparatif des protocoles.
Signal d'alerte : un fournisseur qui ne propose encore que PPTP ou L2TP seul (sans IPsec), deux protocoles aux faiblesses documentées, ou qui ne précise nulle part quels protocoles sont réellement disponibles derrière un simple bouton « se connecter ».
Le pays où est enregistré l'éditeur détermine le cadre légal auquel il peut être contraint de se soumettre - y compris des obligations de conservation ou de transmission de données qui contrediraient sa propre politique de confidentialité. Un éditeur enregistré dans un pays membre d'une alliance de partage de renseignement (les accords dits « Five Eyes », « Nine Eyes » ou « Fourteen Eyes » sont les plus documentés publiquement) peut se voir demander de coopérer avec des autorités étrangères sans que cela transparaisse nécessairement dans ses conditions d'utilisation.
Ce n'est pas un critère de confort, c'est un critère juridique : il détermine quelles lois s'appliquent réellement à vos données, indépendamment de ce que promet la page marketing du fournisseur.
Une TPE de trois personnes n'a pas les mêmes besoins qu'un utilisateur individuel : gestion centralisée des comptes plutôt que des abonnements séparés à réconcilier manuellement, nombre de connexions simultanées suffisant pour couvrir ordinateur, téléphone professionnel et éventuellement un routeur de bureau, et facturation professionnelle (facture au nom de la structure, pas un simple reçu de paiement personnel). Vérifiez ces points avant de souscrire, pas après avoir constaté qu'ils manquent au moment d'ajouter un deuxième salarié.
Si votre activité traite des données de clients ou de prospects, votre fournisseur VPN peut être considéré comme un sous-traitant au sens de l'article 28 du RGPD. Cela implique un contrat spécifique (Data Processing Agreement), pas seulement des conditions générales d'utilisation. Détail dans notre page dédiée aux obligations RGPD.
Un fournisseur sérieux permet de tester son service en conditions réelles sans engagement long - dans votre contexte professionnel réel (vos outils, votre connexion, vos horaires de travail), pas seulement lors d'un essai ponctuel du soir. L'absence de période d'essai ou de remboursement simple est, en soi, un signal à prendre en compte : cela signale souvent un fournisseur qui compte sur l'inertie de la résiliation plutôt que sur la qualité du service.
Pour un usage professionnel, une panne de connexion VPN peut bloquer l'accès à un outil de facturation ou à une messagerie professionnelle en pleine journée de travail. Un support disponible uniquement par formulaire de contact avec un délai de réponse de plusieurs jours n'est pas adapté à cet usage. Vérifiez, avant de souscrire, les canaux de support disponibles (chat en direct, email, téléphone) et les horaires de couverture annoncés - et si possible, testez-les pendant la période d'essai plutôt que de vous fier à la promesse affichée.
Une politique de confidentialité complète précise ce qu'il advient de vos informations de compte et de facturation après la résiliation : suppression sous quel délai, conservation minimale imposée par une obligation légale (comptabilité, par exemple), et procédure pour en demander la suppression anticipée. L'absence de cette information dans les conditions contractuelles est un vide qu'il vaut mieux identifier avant de signer que par une réclamation après coup.
Si vous utilisez déjà un routeur professionnel, un pare-feu, ou des outils de travail sensibles à la configuration réseau (VoIP, visioconférence, accès distant à un serveur), vérifiez que le VPN envisagé documente clairement sa compatibilité avec une configuration au niveau du routeur, et pas seulement via une application mobile ou de bureau. C'est également le moment de vérifier si une adresse IP dédiée est nécessaire pour vos outils spécifiques.
Dans l'ordre : lisez la politique de confidentialité en entier (pas seulement le résumé marketing), cherchez le rapport d'audit le plus récent et sa date, vérifiez la juridiction du siège social, testez le support technique avec une vraie question pendant la période d'essai, et ne signez un engagement long qu'après avoir validé ces quatre points. Un fournisseur qui rend cette vérification difficile - documentation éparpillée, politique de confidentialité vague, audit introuvable - se disqualifie déjà par cette opacité, indépendamment de son prix ou de ses fonctionnalités affichées.