Qu'est-ce qu'AmneziaWG ? Le fork de WireGuard conçu pour une connexion stable
Une poignée de main WireGuard classique a une forme très précise : un paquet d’initiation de 148 octets suivi d’une réponse de 92 octets, transmis via UDP avec quelques valeurs d’en-tête prévisibles. C’est cette régularité qui rend WireGuard rapide — et c’est exactement ce qui le rend facile à repérer pour les filtres réseau automatisés. AmneziaWG existe pour résoudre cette seconde partie du problème sans toucher à la première.
Ce qu’est réellement AmneziaWG
AmneziaWG est un fork de l’implémentation WireGuard-Go, développé par l’équipe derrière le projet Amnezia VPN. Il conserve intact le cœur cryptographique de WireGuard — Curve25519 pour l’échange de clés, ChaCha20-Poly1305 pour le chiffrement, la même logique de poignée de main — de sorte que les garanties de sécurité que vous attendez de WireGuard restent en place. Ce qui change, c’est la couche de transport : la partie de la connexion qu’un observateur du réseau voit réellement.
En résumé, AmneziaWG est WireGuard dont la « forme » reconnaissable a été brouillée, si bien qu’une connexion ressemble moins à un modèle figé et davantage à du bruit de fond ordinaire.
Pourquoi WireGuard classique peine sur certains réseaux
Le filtrage réseau est devenu plus sophistiqué. Selon des recherches sur les techniques de détection du Grand Pare-feu, le trafic WireGuard non modifié peut être identifié en à peine 30 secondes grâce à la reconnaissance de la signature de la poignée de main. Les systèmes modernes de DPI (inspection profonde des paquets) s’appuient de plus en plus sur des modèles d’apprentissage automatique qui classent un flux selon le rythme des paquets et les schémas d’entropie observés dans les cent premiers paquets environ — sans même avoir besoin de lire le contenu. Certains régimes de filtrage régionaux documentés en 2026 ciblent explicitement WireGuard et IKEv2, y compris sur des ports non standard.
Rien de tout cela n’est un défaut de la cryptographie de WireGuard — le chiffrement lui-même n’est pas compromis. Le problème relève purement des métadonnées : des tailles de paquets fixes et un rythme prévisible suffisent à un classificateur pour deviner « c’est du WireGuard » sans déchiffrer le moindre octet.
Comment AmneziaWG modifie la signature du trafic
AmneziaWG superpose plusieurs techniques d’obfuscation au transport WireGuard standard :
- Paquets de leurre — des paquets factices configurables envoyés avant la vraie poignée de main, ce qui casse l’hypothèse « le premier paquet fait toujours X octets ».
- Randomisation des en-têtes — les en-têtes de type de message fixes que WireGuard utilise habituellement sont remplacés par des valeurs aléatoires.
- Remplissage de taille variable — les longueurs de paquets ne se situent plus à des tailles fixes, faciles à reconnaître.
- Mimétisme de protocole — la forme du trafic est ajustée pour ne pas présenter un modèle uniforme à un classificateur.
Le résultat est une connexion qui transporte le même protocole WireGuard sous-jacent, mais qui ne livre pas au filtre réseau la signature nette et répétable qu’il recherche.
AmneziaWG face à WireGuard classique
| WireGuard | AmneziaWG | |
|---|---|---|
| Chiffrement | Curve25519 / ChaCha20-Poly1305 | Identique — inchangé |
| Taille de la poignée de main | Fixe (148 / 92 octets) | Randomisée avec paquets de leurre |
| En-têtes des paquets | Valeurs fixes et prévisibles | Randomisées |
| Détectabilité par DPI | Élevée — identifiable en quelques secondes | Nettement réduite |
| Surcoût de vitesse vs WireGuard | Référence | Minimal — même cœur léger |
La mise en place : ce qui se passe réellement
- Vous installez l’application RunVPN et vous connectez — via Google, e-mail ou Telegram.
- L’application récupère sa configuration automatiquement. Il n’y a pas d’échange de clés manuel, pas de fichier de configuration, pas de QR code à scanner — les paramètres d’AmneziaWG sont provisionnés pour vous dès que vous vous connectez.
- Vous appuyez sur connecter. L’application négocie la poignée de main obfusquée en arrière-plan et établit le tunnel.
Voilà l’ensemble du parcours — il n’y a ni sélecteur de protocole ni écran de réglages à configurer, ce qui compte car les paramètres d’obfuscation d’AmneziaWG (nombre de paquets de leurre, valeurs des en-têtes) doivent être cohérents entre le client et le serveur pour fonctionner correctement.
Ce que cela signifie au quotidien
- Wi-Fi public dans un café ou un aéroport — votre trafic est chiffré et ne présente pas de signature VPN évidente à la surveillance de ce réseau partagé.
- Réseaux mobiles au façonnage de trafic agressif — une connexion qui n’est pas étiquetée « VPN » a moins de risques d’être ralentie par des règles de façonnage basées sur les signatures.
- Confidentialité au quotidien — la politique sans journalisation signifie que ce que vous faites à l’intérieur du tunnel n’est pas conservé du côté de RunVPN.
Questions fréquentes
AmneziaWG est-il plus lent que WireGuard ? Non. La couche d’obfuscation ajoute un surcoût minimal — le protocole de base et le chiffrement sont identiques à ceux de WireGuard, déjà l’un des protocoles VPN les plus rapides qui existent.
Dois-je configurer AmneziaWG manuellement ? Non. Dans l’application RunVPN, la configuration se fait automatiquement après votre connexion — il n’y a rien à importer ni à paramétrer à la main.
AmneziaWG est-il moins sûr que WireGuard parce qu’il est modifié ? Non. L’obfuscation opère entièrement au niveau de la couche de transport. La poignée de main cryptographique et le chiffrement (Curve25519, ChaCha20-Poly1305) sont inchangés par rapport à WireGuard d’origine.
RunVPN n’utilise-t-il qu’AmneziaWG ? AmneziaWG est le protocole par défaut. RunVPN fait aussi tourner VLESS-Reality (XTLS-Vision) en interne pour plus de robustesse — vous n’avez pas à choisir entre les deux manuellement.
Rapide, chiffré et difficile à identifier — c’est tout l’intérêt d’AmneziaWG. Téléchargez RunVPN et connectez-vous en quelques secondes, ou découvrez VLESS-Reality, l’autre protocole qui tourne en interne.