Les protocoles VPN expliqués : lequel est le meilleur ?

Votre choix de protocole VPN varie en fonction du VPN que vous utilisez.

Certains services VPN vous permettent de choisir parmi une large gamme de protocoles. D’autres VPN ne vous laissent pas le choix du tout.

Chaque protocole a ses avantages et ses inconvénients, et il est nécessaire de comprendre les différences entre eux afin de choisir le bon protocole pour votre activité sur Internet.

Voici les sept protocoles VPN les plus couramment utilisés et leurs avantages :

 

1. OpenVPN : le meilleur protocole VPN

Avantages	Inconvénients
Pris en charge de manière native par presque tous les services VPN	Consommation de bande passante élevée
Open-source	Ce n’est pas le protocole VPN le plus rapide
Testé minutieusement sur une longue période	Code source lourd
Aucune vulnérabilité connue
Les utilisateurs peuvent choisir entre les versions UDP et TCP
Compatible avec une gamme de chiffrements, dont l’AES-256
Supporte la confidentialité persistante parfaite
Le protocole VPN de référence depuis 2 décennies

Créé en 2001 par James Yonan, OpenVPN est considéré comme le protocole VPN le plus sûr qui soit.

Le logiciel est open-source et existe depuis plus de deux décennies, ce qui signifie que les chercheurs en sécurité ont eu beaucoup de temps pour le tester en quête de faiblesses et d’insécurités.

Actuellement, OpenVPN n’a aucune vulnérabilité connue, vous pouvez donc être sûr que votre connexion VPN est sûre et privée en utilisant OpenVPN.

Le protocole est compatible avec un large éventail de chiffrements, dont l’AES, le Blowfish et le ChaCha20.

OpenVPN est également un protocole hautement configurable. Presque toutes les applications VPN prennent en charge OpenVPN de manière native sur la plupart des principales plateformes, dont Microsoft Windows, Apple macOS, Android, Linux et iOS.

Pour les plateformes non prises en charge, vous pourrez généralement télécharger un fichier de configuration qui vous permettra de configurer manuellement une connexion OpenVPN.

OpenVPN peut fonctionner avec deux protocoles de communication différents : TCP et UDP. Ce sont des protocoles de la couche transport qui régissent la manière dont vos données sont transmises sur le réseau.

La principale différence entre eux est qu’OpenVPN UDP est plus rapide, mais OpenVPN TCP offre une connexion plus fiable car il est plus efficace pour contourner les pare-feu.

Notre conseil est de toujours essayer UDP pour votre connexion VPN. Si vous constatez qu’elle ne fonctionne pas, alors passez à TCP.

Le principal inconvénient d’OpenVPN est qu’il n’est pas aussi rapide, léger ou efficace que certains des autres protocoles VPN. Ses vitesses sont bonnes, mais pas aussi rapides que WireGuard ou IKEv2.

C’est aussi le protocole VPN qui nécessite le plus de bande passante. Comme le montrent nos tests d’utilisation des données VPN, OpenVPN consomme beaucoup plus de données que tout autre protocole VPN. Cela signifie que si vous utilisez votre VPN sur votre mobile, vous atteindrez la limite de données de votre contrat environ 20 % plus vite.

Quand utiliser OpenVPN :

• Si la confidentialité et la sécurité sont votre priorité absolue, alors vous devriez utiliser OpenVPN autant que possible.

Quand ne pas utiliser OpenVPN :

• Si la vitesse est cruciale pour votre activité (par exemple, le gaming).
• Si vous utilisez un VPN tout en étant connecté à des données cellulaires (par exemple, 3G/4G). Vous atteindrez plus rapidement votre allocation maximale et paierez davantage de frais d’itinérance à l’étranger.

2. WireGuard : le protocole VPN le plus rapide

WireGuard est un protocole de tunnelisation open-source relativement nouveau, conçu pour être plus rapide et plus efficace que le protocole OpenVPN, qui est plus populaire.

Lancé en 2019, WireGuard a fait forte impression sur l’industrie du VPN. De nombreux VPN se sont empressés d’intégrer WireGuard à leur service, et beaucoup en ont fait leur protocole par défaut.

WireGuard tient de nombreuses promesses de son créateur, Jason A. Donenfeld :

• Il est remarquablement rapide. Selon les tests internes de WireGuard, il est plus de 3 fois plus rapide qu’OpenVPN. Nous avons obtenu des résultats similaires lors de nos propres tests, surtout sur des connexions à longue distance.
• Le code source est d’une efficacité impressionnante. WireGuard ne compte que 4 000 lignes de code, soit environ 100 fois moins que des homologues comme OpenVPN et IKEv2. Non seulement c’est bon pour les performances, mais cela devrait aussi améliorer la sécurité. Un code plus petit rend le protocole plus facile à auditer et réduit la surface d’attaque pour les pirates.
• La consommation de données est minimale. Nos tests ont montré que WireGuard est de loin le protocole VPN qui consomme le moins de bande passante. Comparé aux 20 % d’OpenVPN, WireGuard n’ajoute que 4 % de consommation de données supplémentaires à votre activité normale.

La jeunesse de WireGuard est le principal facteur qui joue contre lui actuellement. Bien que ses performances soient excellentes et qu’il n’y ait pas encore de signes de vulnérabilités de sécurité, il faudra du temps pour établir une confiance réelle.

Cela s’applique également à son chiffrement. WireGuard n’est pas compatible avec des chiffrements éprouvés, tels que l’AES-256. À la place, il utilise le relativement nouveau ChaCha20. Tous les indicateurs suggèrent que ChaCha20 est très sécurisé et potentiellement même plus rapide que l’AES, mais les utilisateurs soucieux de leur vie privée prennent toujours du temps pour s’adapter aux nouvelles technologies de chiffrement.

La configuration par défaut de WireGuard pose également des problèmes de confidentialité. Les serveurs VPN doivent enregistrer temporairement votre adresse IP pour que le protocole fonctionne. Ce n’est pas le cas avec d’autres protocoles VPN, ce qui est préoccupant si l’on n’y remédie pas.

Heureusement, des mesures d’atténuation peuvent être mises en place pour surmonter ce problème. NordVPN, par exemple, intègre WireGuard à son système Double NAT propriétaire pour créer un protocole personnalisé plus sûr appelé NordLynx. De même, Mullvad supprime votre adresse IP après dix minutes d’inactivité.

Quand utiliser WireGuard :

• Tous les signes préliminaires suggèrent que WireGuard est aussi sûr et sécurisé que OpenVPN, et nettement plus rapide. Si vous êtes à l’aise avec l’idée de faire confiance à un protocole plus récent, nous recommandons d’utiliser
• WireGuard pour toute activité. WireGuard est particulièrement adapté pour les utilisateurs de VPN mobiles en raison de sa faible consommation de bande passante.

Quand ne pas utiliser WireGuard :

• Si vous êtes particulièrement prudent en matière de confidentialité et de sécurité en ligne, vous préférerez peut-être donner plus de temps à WireGuard pour faire ses preuves. Vous devez également être méfiant à l’égard des services VPN qui ne prennent pas de mesures pour surmonter l’exigence de journalisation des adresses IP du protocole.
• WireGuard n’est pas aussi bon pour contourner les pare-feu que les autres protocoles VPN car il n’est compatible qu’avec l’UDP. Si vous cherchez à contourner la censure, vous aurez peut-être plus de succès ailleurs.

3. IKEv2/IPSec : un excellent protocole pour les utilisateurs mobiles

Internet Key Exchange version 2 (IKEv2) est un protocole VPN particulièrement populaire parmi les utilisateurs mobiles.

Il offre des vitesses de connexion très rapides et utilise un protocole MOBIKE pour gérer sans problème le changement de réseau. Cela rend l’IKEv2 idéal pour les utilisateurs de VPN mobiles, qui passent fréquemment entre les réseaux de données cellulaires et les réseaux Wi-Fi.

L’IKEv2 a été développé en collaboration entre Microsoft et Cisco, et est le successeur de l’IKEv1 original.

L’IKEv2/IPSec est pris en charge par la plupart des services VPN, mais malheureusement son code source est fermé.

Le protocole semble sécurisé de l’extérieur, mais sans la transparence du code source ouvert, il est impossible de vérifier que Microsoft n’a pas intégré de portes dérobées ou d’autres vulnérabilités.

Des chercheurs en sécurité comme Edward Snowden ont également suggéré que l’IPSec a été volontairement affaibli lors de sa création. Bien que cela ne soit pas confirmé, il est largement suspecté que tout protocole VPN basé sur IPSec puisse être compromis par la NSA.

Rien n’indique qu’IKEv2/IPSec soit vulnérable face à des adversaires moins sophistiqués, tels que des pirates ou des fournisseurs d’accès à Internet. Il s’agit d’un protocole VPN rapide, flexible et généralement sûr qui fonctionne bien sur votre téléphone portable.

IKEv2 fonctionne uniquement sur le port UDP 500. C’est un port facile pour les pare-feu et les administrateurs WiFi à bloquer, ce qui signifie que IKEv2/IPSec n’est pas un protocole VPN efficace pour le contournement de la censure dans des pays comme la Chine ou la Russie.

Quand utiliser IKEv2/IPSec :

• Si vous utilisez un VPN sur votre mobile et que vous basculez régulièrement entre le WiFi et les données cellulaires (par exemple 3G/4G).

Quand ne pas utiliser IKEv2/IPSec :

• Si vous essayez de contourner les pare-feu sur le réseau local de votre école ou de votre lieu de travail, ou de contourner la censure dans un pays sous dictature.
• Si vous êtes particulièrement préoccupé par votre vie privée et votre anonymat. Le fait que IKEv2 soit un logiciel fermé et l’association possible d’IPSec avec la NSA sont suffisants pour jeter le doute sur la confidentialité de IKEv2/IPSec.

4. SoftEther : bon pour le contournement de la censure

SoftEther est un protocole VPN open-source initialement développé dans le cadre d’une thèse de master à l’Université de Tsukuba.

Sorti en 2014, SoftEther est l’un des protocoles VPN les plus récents disponibles. Les premiers signes indiquent qu’il offre une bonne sécurité sans compromettre la vitesse.

SoftEther supporte des chiffrements puissants, y compris l’AES-256 et le RSA-4096. Il offre également des vitesses qui seraient 13 fois plus rapides que celles d’OpenVPN.

Il est également bien conçu pour contourner les lourdes censures du web. SoftEther base ses protocoles de chiffrement et d’authentification sur OpenSSL. Comme SSTP et OpenVPN, cela signifie qu’il peut utiliser le port TCP 433, qui est très difficile à bloquer par les pare-feu et les systèmes de censure.

En 2018, SoftEther a subi un audit de sécurité de 80 heures qui a révélé 11 vulnérabilités de sécurité. Celles-ci ont été corrigées lors d’une mise à jour ultérieure, mais des chercheurs de l’Université d’Aalto ont récemment découvert que SoftEther est parfois vulnérable aux attaques de l’homme du milieu.

Cela est dû au fait que la configuration par défaut est de ne pas vérifier le certificat du serveur côté client. Les attaquants peuvent donc se faire passer pour un serveur VPN et avoir accès aux informations d’identification de l’utilisateur et à son activité en ligne.

Lors de l’utilisation de SoftEther, assurez-vous de cocher la case « Toujours vérifier le certificat du serveur » dans les paramètres de la nouvelle connexion VPN.

SoftEther n’est nativement pris en charge sur aucun système d’exploitation et très peu de fournisseurs de VPN prennent actuellement en charge son utilisation. Parmi ceux que nous avons testés, seuls Hide.me et CactusVPN prennent en charge le protocole SoftEther.

Quand utiliser SoftEther :

• Si votre service VPN le prend en charge, SoftEther peut être utilisé pour une navigation rapide et sécurisée.
• Il est particulièrement efficace pour surmonter les pare-feu et contourner la censure.

Quand ne pas utiliser SoftEther :

• N’utilisez pas SoftEther avant d’avoir activé « Toujours vérifier le certificat du serveur ».

5. L2TP/IPSec : lent et pas recommandé

Créé en 1999 en tant que successeur de PPTP, L2TP (Layer 2 Tunneling Protocol) est un protocole facile à utiliser qui est pris en charge nativement par la plupart des services VPN, sur la plupart des appareils.

Comme IKEv2, L2TP se combine avec IPSec pour former un protocole VPN hybride L2TP/IPSec. Malheureusement, cela signifie qu’il est susceptible aux mêmes préoccupations de confidentialité – mises en avant par Edward Snowden – que l’IPSec a été compromis par la NSA.

Il existe également un défaut de sécurité distinct avec L2TP. Ce problème survient lorsqu’il est utilisé avec un service VPN qui utilise des clés pré-partagées.

Si les clés de chiffrement du VPN sont disponibles en téléchargement en ligne, cela ouvre la possibilité pour les attaquants de falsifier les justificatifs d’authentification, d’usurper l’identité de votre serveur VPN et d’écouter votre connexion. C’est ce qu’on appelle une attaque de l’homme du milieu.

L2TP offre une fonction de double encapsulation, qui enveloppe vos données dans deux couches de protection. Bien que cela améliore la sécurité du protocole, cela le ralentit considérablement.

Des protocoles plus anciens comme L2TP peuvent également être incompatibles avec le NAT, ce qui peut causer des problèmes de connectivité. Dans ce cas, il faudra utiliser une fonction VPN passthrough sur votre routeur pour se connecter à un VPN utilisant L2TP.

L2TP/IPSec est le protocole VPN le plus lent de cette liste.

Quand utiliser L2TP/IPSec :

• Nous ne recommandons pas du tout l’utilisation de L2TP/IPSec.

Quand ne pas utiliser L2TP/IPSec :

• N’utilisez pas L2TP si vous révélez des informations personnelles, si vous êtes préoccupé par la surveillance de la NSA, ou si vous utilisez un VPN qui partage publiquement ses clés de chiffrement en ligne.

6. SSTP : closed-source avec risques potentiels

Le protocole SSTP (Secure Socket Tunnelling Protocol) est un protocole propriétaire détenu et exploité par Microsoft. Comme il s’agit d’un logiciel closed-source, les détails de sa mise en œuvre ne sont pas clairs.

Nous savons que le SSTP est basé sur les normes de cryptage SSL/TLS.

C’est une bonne chose, car cela permet au SSTP d’utiliser le port TCP 443. C’est le port par lequel tout le trafic HTTPS régulier circule, ce qui rend très difficile son blocage par les pare-feu.

En conséquence, le SSTP est un protocole VPN efficace à utiliser si l’on essaie de contourner la censure, comme le Grand Pare-feu de Chine.

D’autre part, le SSL 3.0 est vulnérable à une certaine attaque de l’homme du milieu connue sous le nom de POODLE. Il n’a pas été confirmé que le SSTP est également touché par cette vulnérabilité, mais à notre avis, cela ne vaut pas le risque.

Il y a aussi la question des coopérations antérieures de Microsoft avec la NSA. Comme il s’agit d’un protocole closed-source produit par Microsoft, il est possible que la NSA y ait intégré une porte dérobée.

Quand utiliser le SSTP :

• Si l’on essaie de contourner les pare-feu d’une école, d’un lieu de travail ou du gouvernement, et qu’il n’y a pas de meilleur protocole disponible.

Quand ne pas utiliser le SSTP :

• Étant donné la possibilité d’une attaque POODLE et/ou d’une surveillance de la NSA, n’utilisez pas le SSTP pour toute activité où votre confidentialité, votre sécurité ou votre anonymat est d’une importance capitale.

7. PPTP : dépassé et peu sécurisé

Le protocole PPTP (Protocole de tunnel point-à-point) est le premier protocole VPN. Développé par Gurdeep Singh-Pall, ingénieur chez Microsoft, en 1996, il a marqué la naissance de la technologie VPN.

Aujourd’hui, le PPTP est dépassé et son utilisation par les consommateurs n’est pas du tout sûre.

Nous ne recommandons pas l’utilisation du PPTP à moins que cela soit absolument nécessaire. Il est obsolète en tant qu’outil de confidentialité et de sécurité.

Le PPTP offre des débits rapides, mais cela est en partie dû au fait que la clé de chiffrement la plus forte qu’il peut utiliser est de 128 bits. Il n’est pas compatible avec le chiffrement AES-256 de niveau militaire que les VPN les plus sécurisés utilisent.

Le protocole privilégie la vitesse à la sécurité, ce qui le laisse avec plusieurs vulnérabilités connues. Par exemple, il a été démontré qu’un attaquant compétent peut pirater une connexion VPN chiffrée en PPTP en quelques minutes seulement.

La NSA aurait également exploité les insécurités du PPTP pour collecter d’énormes quantités de données provenant des utilisateurs de VPN.

Bien qu’il soit encore parfois utilisé au sein des réseaux VPN professionnels, vous devriez absolument éviter d’utiliser le PPTP pour votre VPN personnel. Certains fournisseurs de VPN ont même choisi de cesser complètement de supporter le PPTP en raison de ses vulnérabilités.

Quand utiliser PPTP :

• Nous ne recommandons jamais l’utilisation du PPTP. La seule exception pourrait être si vous recherchez uniquement des vitesses élevées et que vous ne vous souciez pas de la confidentialité ou de la sécurité.

Quand ne pas utiliser PPTP :

• Il est particulièrement important que vous n’utilisiez jamais le PPTP pour une activité impliquant des informations sensibles, telles que les détails bancaires ou les mots de passe.

Protocoles VPN propriétaires

Un certain nombre de services VPN ne se contentent pas de proposer les protocoles énumérés ci-dessus, mais créent également leurs propres protocoles. On parle alors de protocoles VPN propriétaires.

L’utilisation d’un protocole VPN propriétaire présente à la fois des avantages et des inconvénients. Le principal avantage est qu’il est probablement plus rapide que les autres options proposées.

Après avoir consacré du temps et de l’argent à la création d’un nouveau protocole, il est tout à fait naturel qu’un service VPN consacre ses meilleurs serveurs et infrastructures à le rendre aussi rapide que possible. Les fournisseurs affirment souvent qu’il est également plus sûr.

En revanche, ces protocoles sont généralement presque entièrement obscurs.

Les protocoles open-source comme OpenVPN ont été étudiés par des milliers de personnes pour s’assurer qu’ils sont sûrs, sécurisés et qu’ils remplissent exactement leurs promesses. Les protocoles VPN propriétaires ont tendance à être fermés, il est donc très difficile de dire exactement ce qui se trame en coulisses.

Le meilleur protocole VPN à utiliser dépend de la raison pour laquelle vous avez besoin d’un VPN et des qualités que vous appréciez le plus.

Voici un tableau récapitulant comment les différents protocoles se comparent :

Protocole	Chiffrement	Vitesse	Fiabilité	Faiblesses
OpenVPN TCP	256-bit	Modérée	Très élevée	Aucune connue
OpenVPN UDP	256-bit	Rapide	Élevée	Aucune connue
PPTP	128-bit	Très rapide	Modérée	Connue
L2TP/IPSec	256-bit	Modérée	Modérée	Suspectée
SSTP	256-bit	Rapide	Très élevée	Suspectée
SoftEther	256-bit	Très rapide	Très élevée	Nécessite réparation
IKEv2/IPSec	256-bit	Très rapide	Élevée	Suspectée
WireGuard	256-bit	Très rapide	Élevée	Aucune connue

OpenVPN est le protocole VPN le plus sûr qui soit. C’est le meilleur à utiliser lorsque la confidentialité et la sécurité sont cruciales, et que vous êtes prêt à accepter une certaine réduction de vitesse et de flexibilité.

Vous devriez utiliser OpenVPN pour accéder à Internet libre dans les pays où la censure est élevée, ou lorsque vous diffusez des torrents, par exemple.

Si OpenVPN n’est pas accessible, SoftEther est une autre bonne option pour contourner la censure.

WireGuard est le protocole VPN le plus rapide que nous ayons vu. Il semble également extrêmement sûr et sécurisé, bien que sa jeunesse nous incite à préférer OpenVPN pour les tâches hautement sensibles. Utilisez WireGuard pour toute activité où la vitesse est essentielle, telle que le gaming ou le streaming.

WireGuard est également le protocole VPN le plus efficient en termes de données. Si vous utilisez un VPN sur votre téléphone portable et que vous vous inquiétez de la consommation de données, utilisez WireGuard. Il maintiendra votre utilisation de données au minimum.

IKEv2 est un autre bon protocole pour les utilisateurs de VPN mobiles. Son protocole MOBIKE en fait le meilleur pour gérer les changements de réseau fréquents et soudains (par exemple, entre le Wi-Fi et les données cellulaires).

L’utilisation des données par IKEv2 n’est pas aussi faible que celle de WireGuard, mais elle est toujours beaucoup plus efficace que celle des autres protocoles VPN comme OpenVPN.

La plupart des services VPN vous permettent de modifier le protocole VPN à partir du menu des paramètres de l’application VPN.

Dans ce cas, ouvrez simplement le menu des paramètres et sélectionnez le protocole VPN que vous souhaitez utiliser.

Si l’application personnalisée n’offre pas l’option de sélectionner un protocole, il se peut qu’il soit possible d’installer des protocoles alternatifs en utilisant une configuration manuelle.

NordVPN est un exemple de service VPN qui fonctionne sur OpenVPN mais qui permet l’installation manuelle de IKEv2.

Si le service VPN prend en charge la configuration de protocoles alternatifs, veillez à suivre attentivement les instructions fournies sur son site web.

N’oubliez pas que même un VPN utilisant les protocoles et les chiffrements les plus sécurisés du marché peut mettre vos données personnelles en danger d’une autre manière.

Pour en savoir plus, consultez notre guide sur les politiques de journalisation des VP.