Faire fonctionner des serveurs VPN dans le monde entier a un coût réel - bande passante, matériel, maintenance, support. Un service structurellement gratuit doit financer ce coût autrement. Comprendre comment est la question à se poser avant tout usage professionnel.
En 2016, une équipe de chercheurs de CSIRO's Data61, de l'Université de Nouvelle-Galles du Sud et de l'université de Californie à Berkeley a publié la première analyse à grande échelle des applications utilisant la permission VPN d'Android, présentée à l'Internet Measurement Conference (IMC) de l'ACM. Sur 283 applications VPN gratuites analysées, 38 % contenaient du code identifié comme malveillant ou publicitaire abusif par au moins un moteur antivirus, et plusieurs présentaient des fuites de trafic IPv6 ou DNS malgré une promesse de chiffrement intégral.
Source : Ikram, Vallina-Rodriguez, Seneviratne, Kaafar, Paxson, « An Analysis of the Privacy and Security Risks of Android VPN Permission-enabled Apps », ACM IMC 2016.
Si votre activité implique d'échanger des documents ou des informations concernant des clients, les trois premiers modèles ci-dessus posent un problème direct : vous ne pouvez pas garantir la confidentialité de ces échanges à un tiers dont le fournisseur VPN lui-même ne garantit pas la confidentialité de son propre trafic. C'est un risque contractuel autant que technique.
Une offre gratuite limitée (données, vitesse, nombre de serveurs) proposée par un fournisseur payant établi, avec la même politique de confidentialité que sa version premium, reste structurellement différente d'une application « 100 % gratuite » sans offre payante correspondante. Dans ce second cas, il faut toujours se demander comment le service se finance - l'infrastructure, elle, n'est jamais gratuite pour son opérateur.
Il n'est pas nécessaire de tout lire mot à mot : une recherche de mots-clés suffit à révéler l'essentiel du modèle économique. Cherchez explicitement les expressions « partenaires publicitaires », « partage avec des tiers », « données agrégées » ou « à des fins commerciales ». Leur présence est un aveu direct - une politique qui ne les mentionne jamais n'est pas nécessairement irréprochable, mais leur présence, elle, est un signal fiable et rapide à repérer.
Vérifiez également la date de dernière mise à jour du document : une politique de confidentialité qui n'a pas changé depuis plusieurs années, alors que le service a évolué entre-temps (nouvelles fonctionnalités, nouveaux partenaires techniques), mérite un examen plus attentif.
Un tarif professionnel ne rémunère pas seulement l'accès au réseau de serveurs. Il couvre, en principe, l'entretien continu de l'infrastructure, les audits de sécurité indépendants réguliers, un support technique dédié, et pour les offres réellement pensées pour un usage professionnel, une facturation adaptée et une gestion centralisée des comptes. Aucun de ces éléments n'est automatique au-delà d'un certain prix : c'est à vérifier fournisseur par fournisseur, pas à supposer parce que le tarif est élevé.
À l'inverse, un tarif bas n'est pas en lui-même disqualifiant : certains fournisseurs pratiquent des prix serrés simplement parce qu'ils ont une base d'abonnés large qui amortit les coûts fixes. Le prix seul ne remplace jamais la vérification des critères listés dans notre page sur le choix d'un VPN pour TPE.