Le chiffrement VPN expliqué : comment il protège vraiment vos données
Dès que vous appuyez sur connecter dans l’application VPN, votre téléphone et un serveur situé ailleurs se mettent d’accord, en bien moins d’une seconde, sur une clé secrète qu’aucun des deux ne prononce jamais à voix haute. Cette négociation est le fondement même de la confiance dans le chiffrement VPN, et elle a lieu avant qu’un seul octet de votre trafic réel ne quitte l’appareil. Comprendre ce qui se passe pendant cette seconde fait la différence entre faire confiance à un VPN parce qu’une page marketing annonce un “chiffrement militaire”, et lui faire confiance parce qu’on sait ce que ces mots signifient réellement.
Ce que le chiffrement fait réellement à votre trafic
Le chiffrement prend des données lisibles — un formulaire de connexion, un flux vidéo, une requête DNS — et les transforme en texte chiffré : un bloc de nombres qui ressemble à du bruit pour quiconque n’a pas la clé. Le principe mathématique est symétrique : la même clé qui brouille les données sur votre appareil les débrouille sur le serveur, et inversement au retour.
Ce qu’un tunnel correctement chiffré cache à quiconque se trouve sur le même réseau :
- Le contenu de chaque requête et réponse — pages consultées, messages envoyés, fichiers téléchargés
- Les identifiants de connexion et jetons de session échangés entre applications et sites
- Les ressources précises que vous consultez auprès d’un service, au-delà du simple fait d’être connecté à un serveur VPN
L’AES-256, le chiffrement sur lequel s’appuient la plupart des VPN, n’est pas un terme marketing — c’est la norme FIPS 197, publiée par le NIST en 2001. La Commercial National Security Algorithm Suite 2.0 de la NSA (publiée en 2022) approuve l’AES-256 pour protéger des données gouvernementales américaines jusqu’au niveau Top Secret. C’est ce niveau d’exigence réel dont s’inspire l’expression “chiffrement militaire”.
AES-256 contre ChaCha20 : les deux chiffrements qui font le gros du travail
Les protocoles VPN modernes choisissent entre deux algorithmes bien étudiés, et le bon choix dépend davantage du matériel que d’une préférence de principe.
| AES-256-GCM | ChaCha20-Poly1305 | |
|---|---|---|
| Type | Chiffrement par bloc | Chiffrement de flux |
| Optimal sur | Appareils avec accélération matérielle AES (la plupart des puces haut de gamme récentes) | Téléphones d’entrée de gamme/anciens, appareils peu puissants sans accélération cryptographique |
| Débit (ARM, sans accélération matérielle) | ~100 Mo/s | ~160 Mo/s |
| Utilisé dans | TLS, IPsec, la famille de protocoles WireGuard, les systèmes gouvernementaux | La famille de protocoles WireGuard, les VPN pensés d’abord pour le mobile |
| Statut de sécurité | Aucune attaque pratique connue ; approuvé par la NSA pour le niveau Top Secret | Aucune attaque pratique connue ; utilisé dans l’infrastructure de Google et Cloudflare |
Aucun des deux chiffrements n’est “plus fort” d’une manière qui compte au quotidien — les deux ont résisté à deux décennies de cryptanalyse publique sans faille pratique. La vraie question est de savoir lequel votre appareil peut exécuter le plus rapidement sans épuiser la batterie — c’est pourquoi les protocoles VPN pensés pour le mobile privilégient de plus en plus ChaCha20 par défaut.
La négociation de clé : s’accorder sur un secret sans le prononcer
Avant qu’une quelconque donnée ne soit chiffrée, votre appareil et le serveur VPN doivent s’entendre sur un secret partagé — sur un réseau qu’un attaquant observe peut-être déjà. Cela se résout par un échange de clés de type Diffie-Hellman, généralement sur la courbe Curve25519, enveloppé dans un cadre de négociation appelé Noise (le même que celui utilisé par la famille de protocoles WireGuard).
Le processus, simplifié en étapes :
- Votre appareil génère une paire de clés temporaire et envoie sa partie publique au serveur.
- Le serveur fait de même et répond avec sa propre clé publique, déjà en mesure de calculer un secret partagé de son côté.
- Les deux parties dérivent indépendamment la même clé symétrique à partir de cet échange — sans jamais transmettre la clé elle-même.
- Tout le trafic à partir de ce moment est chiffré avec cette clé de session, généralement renouvelée bien avant qu’elle ne puisse réalistement être cassée par force brute.
À retenir : la sécurité de tout le système repose sur la négociation de clé, pas seulement sur le chiffrement. Un chiffrement solide enveloppant une négociation faible reste un système faible — c’est pourquoi le choix du cadre d’échange de clés compte autant que le choix entre AES et ChaCha20.
Pourquoi cela compte sur le Wi-Fi public, pas seulement en théorie
Ce n’est pas un modèle de menace abstrait. Les études sur le comportement des utilisateurs de Wi-Fi public montrent qu’une part importante d’entre eux — souvent estimée autour de 60 % — consultent leurs e-mails personnels sur des réseaux publics non sécurisés, et l’Internet Crime Complaint Center du FBI a recensé plus de 21 000 plaintes liées à un accès réseau compromis sur une année récente, pour plus de 180 millions de dollars de pertes déclarées. Deux des techniques les plus courantes ne nécessitent même pas de casser le chiffrement :
- Le reniflage de paquets (packet sniffing) sur les réseaux ouverts, qui capture tout ce qui est envoyé sans protection au niveau du transport
- Les points d’accès “evil twin”, de faux réseaux Wi-Fi qui interceptent une connexion avant même qu’un chiffrement quelconque — VPN ou autre — ne commence
Le tunnel chiffré d’un VPN ferme ces deux failles au niveau du réseau : tout ce qui sort de l’appareil est déjà enveloppé avant que le réseau local — de confiance ou non — ne le voie jamais en clair.
Ce que le chiffrement ne couvre pas — et pourquoi le reste de l’architecture compte
Le chiffrement protège le contenu de votre trafic en transit. À lui seul, il ne garantit pas que le fournisseur VPN n’observe pas ce qui transite par ses propres serveurs — c’est une question de politique, pas de mathématiques. Une politique de non-conservation des journaux (no-logs) est ce qui ferme cette seconde faille : le fournisseur s’engage à ne pas enregistrer les sites que vous visitez ni ce que vous envoyez une fois votre trafic déchiffré de son côté pour être réacheminé.
RunVPN s’appuie en coulisses sur deux protocoles chiffrés — AmneziaWG (basé sur WireGuard, utilisé par défaut) et VLESS-Reality avec XTLS-Vision sur le moteur Xray — réglés pour une connexion rapide et stable, résistants au type d’inspection profonde des paquets qui dégrade le débit sur des réseaux encombrés ou bruités. Vous n’avez ni à choisir ni à configurer l’un ou l’autre : connectez-vous avec Google, un e-mail ou Telegram, appuyez sur connecter, et l’application récupère automatiquement sa configuration. Pas de configuration manuelle, pas de fichier à importer, pas de code QR à scanner.
À noter : RunVPN applique une politique de non-conservation des journaux et prend en charge jusqu’à 5 appareils par compte. Android est disponible dès maintenant ; iOS et le bureau arrivent bientôt.
Questions fréquentes
Le chiffrement VPN est-il incassable ? Rien n’est mathématiquement “incassable” pour toujours, mais l’AES-256 et ChaCha20 n’ont aucune attaque pratique connue après environ deux décennies d’examen public. Le risque réel se situe ailleurs — négociation de clé faible, journalisation par le fournisseur, ou l’appareil lui-même — pas dans le fait de casser le chiffrement par force brute.
Le chiffrement ralentit-il ma connexion ? Les chiffrements modernes sont assez rapides pour que l’étape de chiffrement soit rarement le goulot d’étranglement ; la lenteur perçue vient surtout de la distance de routage vers le serveur ou de la congestion du réseau, pas de la cryptographie.
Mon fournisseur peut-il voir ce que je fais si j’utilise RunVPN ? Le trafic entre votre appareil et le serveur RunVPN est chiffré de bout en bout sur ce tronçon, et RunVPN applique une politique de non-conservation des journaux côté serveur — les sites que vous visitez ne sont pas enregistrés.
Dois-je me soucier de savoir si mon VPN utilise l’AES-256 ou ChaCha20 ? Pas vraiment au quotidien. Les deux sont sûrs ; la différence pratique se joue sur la batterie et la vitesse de votre appareil précis — c’est exactement pourquoi RunVPN fait ce choix à votre place au lieu de vous demander de le configurer.
Prêt à voir le tunnel chiffré à l’œuvre ? Téléchargez RunVPN — en savoir plus sur les protocoles sur les pages AmneziaWG et VLESS-Reality, ou consultez les engagements de confidentialité de RunVPN.