Sur mon smartphone, quelles données sont vraiment protégées par un VPN ?

« Pour protéger vos données personnelles, prenez un VPN ! » Très bien, mais de quelles données parle-t-on au juste ?

Si l’on s’accorde à dire qu’un réseau privé virtuel peut sécuriser votre trafic, masquer votre adresse IP et empêcher les tiers d’accéder à vos communications et activités en ligne, il est certaines informations qu’il ne peut techniquement pas protéger. Il est donc temps de déconstruire le mythe selon lequel un VPN agit comme un totem d’immunité sur le web.

VPN et smartphone : un duo gagnant…

Le VPN est souvent présenté comme un outil incontournable pour protéger sa vie privée numérique. Mais avant de parler des données qu’il sécurise, commençons par la manière dont il fonctionne : une fois activé sur votre appareil, le dispositif chiffre votre trafic, l’isole des connexions HTTPS et remplace votre IP par celle du serveur VPN auquel vous êtes connectés.

Partant de ce principe plus personne – ou presque – ne peut relier vos activités en ligne à votre identité numérique. Les sites web que vous consultez n’ont plus accès à votre véritable IP mais à celle du VPN, possiblement utilisée par des centaines d’autres internautes, votre FAI ne peut déterminer quelles pages vous consultez, à quelle heure et combien de temps, et les tiers cherchant à surveiller votre trafic ne peuvent plus l’intercepter, ni le déchiffrer. En bref, sur le papier, vous avez tout à gagner à utiliser un VPN.

Sur les appareils mobiles, son intérêt est évident. Aujourd’hui, votre smartphone centralise le gros de vos activités en ligne, plus encore que votre PC : vous l’utilisez pour naviguer, streamer, acheter en ligne, passer des appels VoIP, consulter vos réseaux sociaux ou gérer vos finances.

Mais il est aussi bien plus exposé qu’un ordinateur. Vous lui confiez sûrement davantage d’informations personnelles qu’à votre bon vieux PC fixe, et il passe régulièrement de votre réseau domestique à la 4G/5G, en passant par des hotspots publics. Et c’est précisément dans ces contextes de concentration des données privées et d’itinérance que le VPN doit pouvoir garantir une confidentialité renforcée.

Première chose : en théorie, le VPN sécurise absolument tout ce qui transite par Internet. Navigation web, téléchargements, mails, appels VoIP, identifiants, données transmises par les applications… Rien ne passe sans être chiffré.

On l’a vu, il masque aussi votre adresse IP vis-à-vis des sites consultés, tout comme l’adresse IP des services en ligne vis-à-vis de votre FAI. En clair, il rompt le lien d’identification et de géolocalisation existant entre vous, internaute X ou Y, et vos activités en ligne.

Autre point souvent sous-estimé : le VPN protège aussi certaines métadonnées, comme vos requêtes DNS. Pour rappel, il s’agit de requêtes que votre appareil envoie en arrière-plan à des serveurs DNS pour traduire une URL – clubic.com par exemple – en une adresse IP compréhensible par les serveurs web.

Indispensables pour accéder à Internet, elles constituent pourtant une faille majeure pour la confidentialité. Par défaut, ces requêtes ne sont pas chiffrées, même si le site que vous visitez est sécurisé en HTTPS. Résultat : elles peuvent être observées par votre fournisseur d’accès Internet, des administrateurs réseau ou même des tiers malveillants connectés au même Wi-Fi que vous. Un VPN utilisant généralement ses propres serveurs DNS, il vient pallier ce problème de sécurité.

… mais des données toujours vulnérables

Alors, formidable outil d’anonymat passe-partout, le VPN ? Eh bien, pas tout à fait. Bien qu’il offre une protection précieuse, le réseau privé virtuel n’est pas une baguette magique. Certaines données échappent à son champ d’action en raison de ses limites techniques ou de nos propres usages.

Pour commencer, le VPN n’a aucune emprise sur les données stockées localement sur votre smartphone. Vos photos, vidéos, documents ou messages enregistrés dans la mémoire de l’appareil ne sont pas concernés. Si votre téléphone est compromis par un malware ou que vous le perdez, ces données resteront vulnérables. Un VPN, aussi efficace soit-il, ne pourra rien faire pour les protéger.

Certaines de vos interactions avec des services en ligne ne bénéficient pas non plus automatiquement d’une sécurité renforcée. Si une application ou un site web collecte vos informations personnelles parce que vous avez accepté les cookies, ou parce que vous avez oublié de désactiver les options de télémétries, votre VPN ne pourra pas l'empêcher. Il chiffre la transmission des données, mais n'a en aucun cas la main sur leur utilisation ou leur exploitation par les plateformes concernées.

Même chose pour vos communications hors connexion. Les appels téléphoniques classiques et les SMS, qui transitent par le réseau de votre opérateur, ne passent pas par le VPN. Ces échanges restent donc exposés, à moins que vous n’utilisiez une application de messagerie ou d’appel chiffrée, comme Signal ou WhatsApp, associée au VPN pour une double couche de sécurité.

Enfin, rappelons-le : un VPN ne peut pas vous protéger de vos propres erreurs. Un lien de phishing, un mot de passe trop faible ou des identifiants partagés sur un site douteux restent autant de risques que même le meilleur VPN ne peut contrer.

Bien protégé, mais pas invincible : les bons réflexes à adopter

Vous l’aurez donc compris, un VPN peut sécuriser vos connexions et dissimuler vos activités en ligne, mais il ne fait pas tout, tout seul. Pour protéger vos données personnelles au mieux, il faut continuer d’adopter de bonnes pratiques associées et s’appuyer sur les bons outils.

Premièrement, ne comptez pas uniquement sur votre VPN. Combinez-le avec un antivirus pour bloquer les logiciels malveillants et les tentatives de phishing, un gestionnaire de mots de passe pour créer et stocker des identifiants solides, et des réglages de confidentialité renforcés sur vos applications et votre système.

Gardez un œil critique sur vos applications. Prenez le temps de vérifier les permissions qu’elles demandent et désactivez celles qui semblent excessives ou inutiles. Certaines applications collectent plus d’informations que ce dont elles ont réellement besoin, souvent à des fins publicitaires. Privilégiez celles qui respectent votre vie privée, et n’hésitez pas à explorer les alternatives aux géants du numérique, souvent très (trop) intrusives.

Dernier conseil, et pas des moindres : réfléchissez toujours à deux fois avant de communiquer vos données, aussi futiles vous semblent-elles. Pour vous y tenir, prenez l’habitude de vous poser systématiquement la question suivante : est-il vraiment nécessaire de partager cette information ? Bien souvent, la réponse est non. Et vous auriez tort de l'ignorer.