Comparer

VPN ou proxy : lequel choisir selon l'usage

La question « VPN ou proxy ? » n'a pas de réponse générale, seulement des réponses par usage. Les deux outils remplacent votre adresse IP par celle d'un intermédiaire ; ils diffèrent par le périmètre couvert, une application ou tout l'appareil, par le chiffrement, et par la confiance que l'on peut accorder à celui qui les exploite. Une fois posées les différences de fond entre VPN et proxy, il reste à les confronter aux situations réelles, une par une.

Usage par usage

Sur un Wi-Fi public : le VPN

Sur le réseau d'une gare, d'un hôtel ou d'un café, ce qu'on cherche à protéger, c'est la totalité de ce que l'appareil émet : le navigateur, mais aussi la messagerie, la synchronisation des photos, les applications bancaires et celles qui communiquent sans chiffrement. Seul un VPN capte tout cela d'un coup et le chiffre jusqu'à son serveur. Un proxy HTTP n'apporte rien face au réseau local, puisqu'il ne chiffre rien ; un proxy HTTPS ne protège que le navigateur. Sur ce cas, le VPN n'a pas de concurrent sérieux.

Pour regarder un service de vidéo d'un autre pays : plutôt le VPN, sans garantie

Les deux outils peuvent donner une adresse IP étrangère, et une extension de navigateur suffit techniquement pour un service consulté dans le navigateur. Mais les grandes plateformes tiennent des listes d'adresses de centres de données et bloquent une partie de celles des VPN comme des proxys. Les applications VPN s'en sortent généralement mieux, parce qu'elles renouvellent leurs adresses et gardent la résolution DNS cohérente avec le pays affiché. Aucun outil ne garantit l'accès, et les conditions d'utilisation de ces services encadrent souvent cette pratique : c'est une question contractuelle avant d'être technique.

Pour le pair-à-pair : le VPN avec kill switch

Un client BitTorrent sait utiliser un proxy SOCKS5, et ce réglage masque l'adresse vue par les autres pairs pour les connexions qui passent par lui. Il laisse cependant plusieurs trous : aucun chiffrement, un support inégal du trafic UDP utilisé par la table de hachage distribuée, et des requêtes vers les trackers ou des résolutions de noms qui peuvent sortir en direct. Un VPN couvre l'ensemble du client, et son kill switch évite qu'une coupure du tunnel ne renvoie le trafic sur la connexion normale. Rappel utile : le protocole est légal, le partage d'œuvres protégées sans autorisation ne l'est pas, quel que soit l'outil.

Pour le télétravail : le VPN de l'employeur, pas un VPN grand public

Accéder aux serveurs internes de son entreprise est l'usage d'origine du VPN, mais il s'agit alors du VPN fourni et géré par l'employeur, qui authentifie le salarié et ouvre l'accès au réseau interne. Un VPN grand public ne donne aucun accès à ce réseau ; il ne fait que changer votre point de sortie vers Internet. De plus en plus d'organisations remplacent d'ailleurs l'accès réseau global par un accès application par application, une évolution analysée dans le dossier sur l'avenir du VPN d'entreprise.

Pour la collecte automatisée de données : le proxy

Interroger un grand nombre de pages, vérifier des prix ou contrôler l'affichage de publicités demande de répartir les requêtes sur de nombreuses adresses et d'en changer à volonté. C'est exactement ce que permettent les pools de proxys HTTP ou SOCKS5, configurables requête par requête. Un VPN, avec une adresse de sortie à la fois pour tout l'appareil, est mal adapté. Le cadre reste à respecter : conditions d'utilisation des sites visés, charge imposée à leurs serveurs, et RGPD dès que des données personnelles sont collectées.

Pour vérifier l'affichage d'un site depuis un autre pays : le proxy, ou le VPN

Pour un référenceur, un annonceur ou un développeur, il s'agit souvent de voir une page comme la voit un internaute allemand ou canadien. Un proxy réglé dans un profil de navigateur dédié est la solution la plus souple : le reste de l'ordinateur n'est pas concerné, et l'on peut garder plusieurs profils pour plusieurs pays. Un VPN fait l'affaire pour une vérification ponctuelle.

Pour le jeu en ligne : en général, ni l'un ni l'autre

Tout intermédiaire allonge le trajet des paquets, donc la latence, ce qui est exactement ce que l'on cherche à éviter en jeu. Il existe deux exceptions. La première : quand le routage de votre fournisseur d'accès vers les serveurs du jeu est mauvais, passer par un serveur VPN bien placé peut, rarement, raccourcir le chemin. La seconde : un joueur qui diffuse ses parties en direct peut vouloir masquer son adresse pour éviter les attaques par saturation. Dans les deux cas, une mesure avec ping, avec et sans l'intermédiaire, tranche mieux que n'importe quelle promesse commerciale.

Pour échapper à la censure : le VPN, ou Tor

Dans les pays qui filtrent l'accès à l'information, les proxys publics sont les premiers bloqués, et leur trafic non chiffré expose ceux qui les utilisent. Les VPN dotés de modes d'obfuscation, qui maquillent le tunnel en trafic web ordinaire, résistent mieux, et Tor dispose de ponts conçus pour ces situations. Sur un réseau d'entreprise ou d'établissement, en revanche, contourner le filtrage n'a rien d'anodin : la charte informatique s'applique, et l'enfreindre peut constituer une faute.

Pour ne plus être observé par son fournisseur d'accès : le VPN, en connaissance de cause

Le VPN retire à votre fournisseur d'accès la vue sur les services que vous contactez, mais il donne cette vue au fournisseur du VPN. C'est un transfert de confiance, pas une disparition de l'observation. Si seul le DNS vous préoccupe, le DNS chiffré, proposé par les navigateurs et les systèmes récents, réduit déjà ce que voit le fournisseur d'accès, sans intermédiaire supplémentaire, même s'il laisse visibles les adresses IP contactées.

Pour filtrer la navigation des enfants : ni VPN ni proxy grand public

Le filtrage domestique relève d'un résolveur DNS filtrant, des outils de contrôle parental du système ou de la box. Un proxy filtrant est possible, mais un enfant un peu curieux le désactive vite s'il est réglé dans le navigateur. Un VPN, lui, servirait plutôt à contourner le filtrage qu'à l'appliquer.

Le récapitulatif

Les erreurs de choix les plus fréquentes

• Croire qu'une extension de navigateur protège l'appareil. Une extension dite « VPN » est le plus souvent un proxy HTTPS : les autres applications continuent de sortir en direct.
• Empiler les intermédiaires. Un proxy derrière un VPN ajoute de la latence et un acteur de plus à qui faire confiance, rarement de la protection.
• Oublier les fuites. Le meilleur outil perd son intérêt si les requêtes DNS, WebRTC ou IPv6 le contournent. Les tests sont décrits dans le dossier sur les fuites.
• Confondre masquer et anonymiser. Pour ne dépendre d'aucun intermédiaire unique, l'architecture est différente : c'est celle de Tor, comparée dans VPN, proxy et Tor.

Dans le doute, revenez à la première question : contre qui voulez-vous vous protéger ? La réponse désigne presque toujours l'outil, et elle évite surtout d'en attendre plus qu'il ne peut donner.