Quel protocole VPN devriez-vous utiliser ?
Cinq questions, puis une réponse directe – notamment « vous n’avez pas besoin de la furtive ».
Utilisez
tool.proto.p.wireguard.name
Le choix moderne par défaut. Une base de code réduite et auditée, une cryptographie moderne figée, et une rapidité telle qu’il devient rarement le goulot d’étranglement.
- Rien sur votre réseau ne bloque le trafic VPN : aucune raison, donc, de payer le prix de l’obfuscation. WireGuard est le choix moderne par défaut et ne sera généralement pas votre goulot d’étranglement.
Deuxième choix · tool.proto.p.openvpn.name
Gardez OpenVPN sur TCP/443 en réserve pour les réseaux d’hôtels et de congrès qui n’autorisent que le trafic web. Il est plus lent, et sur ces réseaux c’est souvent la seule chose qui parvienne à se connecter.
Chez JaguarVPN
Umbra est l’option par défaut de JaguarVPN et la bonne réponse ici — calibré pour le plein débit de la ligne, avec des clés renouvelées à chaque session et un coupe-circuit qui se ferme en cas de défaillance. MIRAGE, l’option furtive, est rapide lui aussi, mais sur un réseau qui ne vous filtre pas, le chemin direct est le plus court, et déguiser une connexion que personne n’inspecte résout un problème que vous n’avez pas.
Comment fonctionne Umbra →Les comparer tous côte à côte
tool.proto.p.wireguard.name
Le choix moderne par défaut. Une base de code réduite et auditée, une cryptographie moderne figée, et une rapidité telle qu’il devient rarement le goulot d’étranglement.
- Systématiquement l’option grand public la plus rapide, et prompte à se reconnecter après une coupure
- Environ 4000 lignes de code, assez peu pour avoir été relu sérieusement
- Excellent comportement sur la batterie des téléphones — il est au repos quand vous l’êtes
- Trivialement reconnaissable pour l’inspection profonde de paquets : sa poignée de main est caractéristique et il n’a aucune couverture
- UDP uniquement : un réseau qui n’autorise que TCP/443 le bloque purement et simplement
- Attribue à chaque client une adresse interne stable, ce que les fournisseurs doivent intégrer à leur conception plutôt qu’ignorer
Passez votre chemin quand le réseau sur lequel vous êtes recherche activement le trafic VPN et le bloque.
tool.proto.p.openvpn.name
Le vétéran installé depuis vingt ans. Plus lent et plus lourd que WireGuard, mais il fonctionne sur TCP, et c’est parfois la seule chose qui compte.
- Fonctionne sur pratiquement toutes les plateformes, tous les micrologiciels de routeur et tous les équipements existants
- Sur le port TCP 443, il traverse des réseaux qui n’autorisent que le trafic web
- Largement audité, et connu de tous les administrateurs réseau
- Nettement plus lent que WireGuard, en particulier sur du matériel modeste
- Le mode TCP s’effondre : un protocole fiable à l’intérieur d’un autre protocole fiable retransmet en double, et le débit s’écroule sur une liaison à pertes
- Reste identifiable à l’inspection — tourner sur le port 443 n’est pas la même chose que ressembler à du HTTPS
Passez votre chemin quand vous disposez d’un client compatible WireGuard et que rien ne bloque l’UDP.
tool.proto.p.ikev2.name
Le spécialiste de la mobilité. Sa caractéristique déterminante : survivre à un changement de réseau sans lâcher le tunnel.
- MOBIKE maintient la session en vie quand vous passez du Wi-Fi aux données mobiles
- Intégré à iOS, macOS et Windows : aucun client tiers n’est nécessaire
- Rapide, et se reconnecte presque instantanément après une interruption du tunnel
- Utilise des ports UDP fixes et bien connus (500 et 4500), les premiers que bloquent les réseaux restrictifs
- Aucune forme d’obfuscation
- La qualité des implémentations varie énormément d’un fournisseur à l’autre
Passez votre chemin quand vous devez franchir un réseau qui filtre par port.
tool.proto.p.stealth.name
Plutôt une catégorie qu’un protocole : des conceptions dont le but est que l’analyse de trafic ne trouve rien qui vaille la peine d’être bloqué. C’est ce qu’il vous faut là où ce sont les VPN eux-mêmes que l’on filtre.
- Passe les réseaux qui détectent et rejettent le trafic VPN classique
- Les meilleures conceptions survivent aussi au sondage actif, quand un censeur se connecte lui-même à un serveur suspect pour voir comment il répond
- C’est en général la seule chose qui fonctionne sous un filtrage à l’échelle d’un pays
- Historiquement plus lent, parfois nettement : les anciennes conceptions paient le camouflage en allers-retours et en surcoût, même si les meilleures d’aujourd’hui ont comblé l’essentiel de cet écart
- Davantage de pièces en mouvement, donc davantage de choses qui peuvent mal tourner
- Inutile sur tout réseau qui ne filtre pas, où il n’est qu’un coût supplémentaire
Passez votre chemin quand rien sur votre réseau ne bloque les VPN — toute cette mécanique ne vous apporte alors rien.
tool.proto.p.legacy.name
Obsolète. Il figure ici pour que la réponse à « dois-je utiliser PPTP ? » ne laisse aucun doute.
- Présent sur du matériel très ancien
- Le chiffrement de PPTP est cassable en pratique depuis 2012 et n’offre aucune protection digne de ce nom
- L2TP/IPsec est lent, doublement encapsulé, et bloqué à peu près partout
- Les deux sont largement désactivés ou supprimés dans les systèmes d’exploitation actuels
Passez votre chemin quand toujours, sauf si un appareil ancien ne vous laisse pas le choix — et considérez alors que le trafic est lisible.
La question derrière la question
Presque tous les articles sur « le meilleur protocole VPN » alignent quatre protocoles dans un tableau et désignent un vainqueur. Ce cadrage est faux d’une manière précise : les protocoles ne s’affrontent pas sur un seul axe. WireGuard est plus rapide qu’OpenVPN et le restera. OpenVPN passe le réseau d’un hôtel qui bloque l’UDP, et WireGuard non. Aucun de ces faits ne l’emporte sur l’autre, car ils répondent à des questions différentes.
Le recommandeur ci-dessus part donc du réseau sur lequel vous êtes et traite tout le reste comme un ajustement. En pratique, une distinction tranche l’essentiel : quelque chose bloque-t-il activement le trafic VPN là où vous êtes ? Si non, prenez le rapide et n’y pensez plus. Si oui, aucune vitesse n’y fera rien, car la connexion ne s’établira pas.
À quoi servent réellement les quatre options
WireGuard — le choix par défaut pour la plupart des gens
Petit, moderne et rapide. Environ 4 000 lignes de code contre les centaines de milliers d’OpenVPN, ce qui compte, car c’est une base de code qu’une personne peut réellement auditer. Il ne négocie pas de suite cryptographique : il emploie un jeu de primitives modernes et n’offre aucune voie de rétrogradation, ce qui supprime toute une catégorie d’attaques.
Sa faiblesse, c’est qu’il est reconnaissable entre tous. Sa poignée de main a une structure fixe et aucune couverture : un réseau qui pratique l’inspection profonde des paquets l’identifie immédiatement. WireGuard n’a jamais cherché à être invisible — il cherchait à être rapide et correct, et il l’est.
OpenVPN — celui qui passe encore
Plus lent, plus ancien, et infiniment plus largement déployé. La raison de le garder sous la main, c’est le mode TCP sur le port 443, qui lui permet de traverser des réseaux n’autorisant que le trafic web — les Wi-Fi d’hôtels et de congrès, pour l’essentiel.
Il vaut la peine de comprendre pourquoi ce mode est un dernier recours et non une valeur par défaut. TCP garantit la livraison en retransmettant les paquets perdus. Faites tourner du TCP dans du TCP et les deux couches retransmettent la même perte, chacune dégradant le contrôle de congestion de l’autre. Sur une liaison propre, on le remarque à peine ; sur une liaison à pertes, le débit s’effondre. Cela s’appelle le TCP meltdown, et c’est pourquoi l’UDP est le bon choix chaque fois qu’il est disponible.
IKEv2/IPsec — celui des téléphones
Sa caractéristique distinctive, c’est MOBIKE, qui permet à un tunnel de survivre au changement d’adresse réseau du client. Vous sortez d’un bâtiment, vous quittez le Wi-Fi pour les données mobiles, et la session continue au lieu de tomber puis de se reconstruire. Sur iOS, il est en outre natif : rien de tiers ne s’interpose.
Il emploie des ports fixes et bien connus — UDP 500 et 4500 — qui sont parmi les premiers qu’un réseau restrictif bloque. Excellent là où il fonctionne ; d’aucun secours là où il ne fonctionne pas.
Les protocoles obfusqués — ceux des réseaux filtrés
Une catégorie, pas un produit. Ce que ces conceptions ont en commun, c’est un objectif : que l’analyse de trafic ne trouve rien qui mérite une action. Les meilleures survivent en outre au sondage actif, où un censeur se connecte à un serveur qu’il soupçonne et observe sa réponse — un serveur qui répond bizarrement sous sondage est identifié, quelle que soit l’allure de son trafic.
Il importe d’être clair : il ne s’agit pas d’un chiffrement plus fort. La confidentialité est la même. Ce que l’obfuscation achète, c’est que la connexion ne s’annonce pas. La catégorie a une réputation méritée de payer cela en vitesse, mais c’est une propriété de conceptions particulières et non une loi — la question à poser à l’une d’elles en particulier, c’est si elle transporte encore un appel vidéo et un gros téléchargement en même temps sans que l’un ou l’autre s’effondre.
Ce que le choix du protocole ne règle pas
Trois choses que l’on attend d’une décision de protocole et qu’aucune décision de protocole ne fournit :
- Ce que votre fournisseur peut voir. Tous ces protocoles se terminent sur le serveur du fournisseur. C’est une question de politique de journalisation et d’audits de l’entreprise, pas de cryptographie.
- Votre empreinte de navigateur. Aucun d’eux ne la change : elle vient de votre appareil, pas de votre connexion. Voyez à quoi ressemble la vôtre.
- Une fuite DNS à côté du tunnel. C’est un défaut de configuration, pas une propriété du protocole, et cela arrive avec tous. Mieux vaut tester que supposer.
Le réglage qui compte réellement plus que le choix du protocole, et dont on parle bien moins, c’est le coupe-circuit. Sans lui, un tunnel qui tombe vous replace sur le réseau nu en pleine session, en silence, précisément au moment où vous avez le moins de chances d’aller vérifier.
Les questions que l’on se pose vraiment sur les protocoles
Quel protocole VPN est le plus rapide ?
WireGuard, dans pratiquement toutes les comparaisons publiées et sur pratiquement toutes les classes d'appareils. Il utilise une cryptographie moderne fixe plutôt que de négocier une suite, s'exécute dans l'espace du noyau là où la plate-forme le permet et entraîne beaucoup moins de surcharge par paquet qu'OpenVPN. Sur une connexion rapide, la différence est l’écart entre un VPN que vous remarquez et un autre que vous ne remarquez pas. La mise en garde est que la vitesse brute du protocole cesse d’être le facteur limitant une fois que votre serveur est éloigné – à ce stade, la distance est votre goulot d’étranglement, pas le protocole.
WireGuard est-il moins privé qu’OpenVPN ?
Les critiques sont réelles mais limitées et concernent le déploiement plutôt que le protocole. WireGuard attribue à chaque client une adresse IP interne fixe et la conserve pour la session, qu'un fournisseur pourrait utiliser pour lier l'activité à un compte d'une manière dont l'attribution dynamique d'OpenVPN ne le fait pas. C'est un problème résolu – les fournisseurs le traitent avec un double NAT ou par rotation des affectations – mais il convient de savoir qu'il doit être résolu plutôt que supposé. Sur le plan cryptographique, WireGuard est le plus moderne et le plus révisable des deux.
Ai-je besoin d’un protocole obscurci ou furtif ?
Probablement pas, et cela vaut la peine d’être clair à ce sujet car c’est l’option la plus souvent survendue. L'obscurcissement existe pour résoudre un problème : un réseau qui identifie le trafic VPN et le bloque. Si votre connexion fonctionne, vous n'avez pas ce problème, et sur un réseau qui ne vous inspecte pas, la route directe est simplement la plus courte. Là où vous en avez besoin – un filtrage national, un lieu de travail ou un campus qui creuse activement des tunnels – rien d’autre ne fonctionne de manière fiable, car le problème n’est pas que les protocoles conventionnels sont faibles mais qu’ils sont reconnaissables. La vieille hypothèse selon laquelle cela doit vous coûter de la vitesse vaut la peine d'être testée plutôt que d'être acceptée : elle est vraie pour certaines conceptions et pas pour d'autres.
Dois-je un jour utiliser PPTP ?
Non. Son cryptage est pratiquement cassable depuis 2012, et l’attaque est un service que vous pouvez louer plutôt qu’un résultat de recherche. Les versions modernes de Windows, macOS et iOS l'ont supprimé ou désactivé. Si un équipement ne vous offre rien d'autre, considérez cette connexion comme non cryptée et planifiez en conséquence.
Le protocole modifie-t-il ce que mon fournisseur VPN peut voir ?
Pas de manière significative. Chaque protocole ici termine le tunnel sur le serveur du fournisseur, ce qui signifie que le fournisseur est en mesure de voir votre trafic à sa sortie, quel que soit celui que vous avez choisi. Ce qui détermine votre exposition, c'est la politique de journalisation du fournisseur et le fait qu'elle ait été auditée de manière indépendante – une question concernant l'entreprise et non la cryptographie. Le choix du protocole détermine ce que les réseaux entre vous et le serveur peuvent dire, ce qui est une autre question.
Pourquoi mon application VPN ne me permet-elle pas de choisir un protocole ?
Souvent parce qu’il n’y en a qu’une qui vaut la peine d’être proposée, et parfois parce que l’application change automatiquement en fonction de ce que le réseau permet. La sélection automatique est généralement la bonne solution par défaut : elle passera d'un protocole rapide à un protocole qui survit à un réseau restrictif sans que vous ayez à diagnostiquer la panne. Cela vaut la peine de pouvoir le remplacer, cependant, dans le cas où vous connaissez vos filtres réseau et préférez commencer avec l'option qui fonctionne plutôt que d'attendre deux échecs d'abord.
Both answers exist in the same app.
Umbra is the fast default and what the recommender picks for most people. MIRAGE is the option for networks that filter — it leaves nothing on the wire that reads as a VPN, and it carries games, calls and 4K at the speed of your line rather than asking you to trade one for the other. You do not choose once and live with it: switch in the app when a network stops cooperating, and switch back when it does.
Dernière vérification . Vous avez repéré quelque chose de dépassé ? Dites-le-nous.