Un VPN, c'est trois lettres que tout le monde a déjà croisées, mais dont le fonctionnement exact reste flou pour beaucoup. Derrière le bouton « Connexion » de l'application se cache un mécanisme en plusieurs étapes, conçu pour rendre votre trafic à la fois invisible et chiffré. Voici comment tout cela s'articule, étape par étape.
Le concept du tunnel
Sur Internet, vos données voyagent sous forme de paquets. Sans protection, ces paquets peuvent être interceptés et lus par quiconque se trouve sur le chemin : votre fournisseur d'accès, le propriétaire du Wi-Fi public, ou un acteur malveillant sur le même réseau. Rien ne les empêche de voir quels sites vous visitez et, pour les connexions non chiffrées, le contenu même de vos échanges.
Un VPN construit ce qu'on appelle un tunnel : une connexion sécurisée entre votre appareil et un serveur VPN. À l'intérieur de ce tunnel, vos paquets sont encapsulés : emballés dans une nouvelle couche : puis chiffrés. Résultat : ce qui traverse le tunnel est indéchiffrable pour quiconque l'observe de l'extérieur. On voit qu'un flux circule vers un serveur VPN, mais on ignore ce qu'il contient.
Le chiffrement : rendre vos données illisibles
Le chiffrement est au cœur du VPN. Il transforme vos données en clair (le texte lisible) en une série de caractères apparemment aléatoires (le texte chiffré), inexploitable sans la clé de déchiffrement. Cette clé est négociée au moment où vous vous connectez, grâce à un échange cryptographique qui garantit que seuls votre appareil et le serveur VPN la connaissent.
Les protocoles modernes emploient des primitives publiques et analysées, par exemple ChaCha20-Poly1305 dans WireGuard. Leur sécurité dépend aussi de l'implémentation, de la gestion des clés, du système hôte et de la configuration réseau.
Les protocoles VPN
Le protocole définit la manière dont le tunnel est établi, chiffré et maintenu. Trois protocoles dominent aujourd'hui le marché.
WireGuard
WireGuard a été conçu autour d'une base de code compacte et d'une suite cryptographique imposée. Il utilise notamment ChaCha20-Poly1305 et Curve25519. Les performances réelles dépendent du matériel, du réseau, du système et de la distance au nœud ; c'est le protocole retenu par BloomVPN.
OpenVPN
OpenVPN, lancé en 2001, est open source et très configurable. Il peut utiliser UDP ou TCP, ce qui offre davantage d'options sur certains réseaux restrictifs sans garantir le contournement de tous les filtrages.
IPSec
IPSec est moins un protocole unique qu'une suite de standards intégrés au cœur même d'Internet. Il est massivement utilisé en entreprise pour relier des réseaux entre eux (site-à-site). Sa configuration est notoirement complexe et il souffre d'une fragmentation historique entre implémentations. Pour un usage individuel, WireGuard et OpenVPN restent plus simples et plus souples.
Le parcours de vos données
Concrètement, quand vous activez votre VPN, voici le chemin que suit une requête vers un site web : votre appareil chiffre la requête, l'encapsule dans le tunnel, et l'envoie au serveur VPN. Le serveur VPN déchiffre la requête, la transmet au site web en utilisant sa propre adresse IP, reçoit la réponse, la chiffre à nouveau et vous la renvoie. Votre appareil déchiffre enfin la réponse et l'affiche.
À aucun moment le site web ne voit votre adresse IP réelle : il ne voit que celle du serveur VPN. Et à aucun moment votre FAI ne voit le contenu de vos requêtes : il ne voit qu'un flux chiffré à destination du serveur VPN.
Ce que voit votre FAI, ce que voit le VPN
C'est la question qui fâche, et il faut y répondre honnêtement. Quand vous utilisez un VPN, deux acteurs peuvent théoriquement observer votre trafic : votre FAI et le fournisseur du VPN. Le VPN déplace la confiance du premier vers le second.
Votre FAI voit notamment une connexion vers le nœud VPN, mais des fuites ou métadonnées annexes peuvent encore révéler des informations. Le nœud VPN voit les adresses réseau nécessaires au routage ; le contenu HTTPS reste chiffré de bout en bout avec le site. Utiliser un VPN déplace donc une partie de la confiance vers son opérateur.
C'est là qu'intervient la politique de confidentialité. Une promesse « zéro log » ne suffit pas : sa portée doit être définie, puis confirmée par des contrôles indépendants. BloomVPN utilise un accès par clé et publie une politique de minimisation, mais aucun audit indépendant de l'infrastructure n'est encore publié.
La résolution DNS à travers le VPN
Il existe un piège subtil que beaucoup de VPN gèrent mal : le DNS. Quand vous tapez un nom de site, votre appareil doit le traduire en adresse IP via un serveur DNS. Si cette requête DNS contourne le tunnel : c'est ce qu'on appelle une fuite DNS : votre FAI peut voir quels sites vous visitez même si le trafic lui-même est chiffré.
Un client VPN peut configurer le DNS pour le faire passer dans le tunnel, mais ce comportement doit être testé sur chaque plateforme. BloomVPN ne fournit actuellement ni bloqueur DNS, ni garantie publique de filtrage des publicités, trackers ou domaines malveillants.
Kill switch et split tunneling
Un kill switch cherche à bloquer les sorties directes lorsque le tunnel tombe. Son efficacité dépend du système et doit être testée : Windows utilise actuellement le profil full-tunnel, tandis qu'Android exige les réglages système « VPN permanent » et « Bloquer les connexions sans VPN ».
Le split tunneling permet en théorie de choisir quelles applications passent par le VPN. Cette fonction n'est pas disponible dans les clients BloomVPN actuels et n'est incluse dans aucune offre.
Un VPN n'est pas une boîte noire magique. C'est un assemblage de mécanismes : tunnel, chiffrement, protocole, gestion du DNS, coupe-circuit : dont chacun répond à un problème précis. Comprendre ces briques, c'est savoir ce que votre VPN fait pour vous, et surtout ce qu'il ne fait pas. La promesse « vie privée » ne vaut que si l'architecture derrière la tient.
Prêt à protéger votre vie privée ?
Une clé d'accès, un tunnel WireGuard® et des limites publiées clairement.