Mullvad VPN, le seul que nous recommandons, et ses limites

L'industrie du VPN est l'un des secteurs technologiques où le marketing est le plus malhonnête. Des vidéos sponsorisées promettent un chiffrement de niveau militaire et un anonymat total ; des sites de comparaison qui semblent indépendants appartiennent aux entreprises qu'ils classent. Presque rien de tout cela n'est vrai, et y croire est activement dangereux lorsque votre sécurité dépend de bien faire les choses.

01Ce qu'un VPN fait réellement

Un VPN établit un tunnel chiffré entre votre appareil et un serveur exploité par la société VPN. Votre trafic sort depuis ce serveur au lieu de votre propre connexion.

Ce qu'il masque

À votre FAI, votre employeur, le wifi du café et quiconque surveille le réseau local : les sites que vous consultez. Ils voient seulement que vous êtes connecté à un VPN.
Aux sites que vous consultez : votre véritable adresse IP, et donc votre localisation approximative et l'identité de votre FAI.
À un censeur : il peut vous faire passer au-delà d'un blocage national ou au niveau du réseau.

Ce qu'il ne masque pas

À la société VPN : tout ce que votre FAI voyait auparavant. Vous avez déplacé la confiance, vous ne l'avez pas supprimée.
Aux sites sur lesquels vous vous connectez : votre identité. Vous la leur avez donnée.
Aux traqueurs : l'empreinte de votre navigateur — voir Mullvad Browser.
À votre opérateur téléphonique : votre position physique, via les antennes-relais.
Contre les malwares déjà présents sur votre appareil.

La phrase à retenir

Un VPN ne vous rend pas anonyme. Il change qui peut vous surveiller. Choisissez un fournisseur qui ne peut pas être contraint de remettre quoi que ce soit d'utile, et vous avez fait une réelle amélioration. Choisissez-en un mauvais et vous avez remis un journal complet de votre vie à une entreprise avec un budget marketing et, dans plusieurs cas documentés, des propriétaires non divulgués.

02Pourquoi Mullvad, précisément

Tous les VPN affirment ne pas conserver de journaux. Cette affirmation est infalsifiable dans l'abstrait, donc la question utile est différente : que pourrait remettre cette entreprise si elle y était contrainte ? La réponse de Mullvad est inhabituellement convaincante, et elle repose sur l'architecture plutôt que sur des promesses.

Pas de compte, pas d'identité

Vous ne créez pas de compte. Il n'y a pas d'adresse e-mail, pas de nom d'utilisateur, pas de mot de passe, pas de nom. Vous cliquez sur un bouton et recevez un numéro aléatoire à 16 chiffres. Ce numéro est toute votre identité pour eux. Si vous le perdez, ils ne peuvent pas vous aider, car ils ne savent rien d'autre sur vous.

C'est le point structurel crucial. Une assignation à comparaître adressée à un fournisseur VPN normal permet d'obtenir une adresse e-mail, un moyen de paiement et une adresse de facturation. Une assignation adressée à Mullvad permet d'obtenir un numéro, et ils n'ont aucun moyen de relier ce numéro à une personne.

Un paiement qui n'a pas besoin de vous identifier

Carte, PayPal, virement bancaire, Monero, Bitcoin, ou du liquide dans une enveloppe avec votre numéro de compte écrit sur un bout de papier, envoyé à leur bureau en Suède. Cette dernière option n'est pas un gadget ; c'est une décision de conception délibérée pour rendre possible le fait d'être client sans aucune trace financière. Il n'y a pas de niveaux ni de réductions à envisager : 5 € par mois, pour tout, quelle que soit la durée de votre abonnement.

Prouvé, pas promis

Leurs serveurs ont été perquisitionnés. La police suédoise s'est présentée aux bureaux de Mullvad avec un mandat pour obtenir des données clients. Ils sont repartis les mains vides, car il n'y avait rien à prendre, et Mullvad a publié un compte rendu de la visite.
Audits de sécurité indépendants des applications et de l'infrastructure, commandés par Mullvad et publiés dans leur intégralité, y compris les conclusions peu flatteuses.
Serveurs sans disque, uniquement en RAM. Toute la flotte fonctionne depuis la mémoire. Saisir physiquement un serveur ne permet d'obtenir aucune donnée stockée, car un serveur éteint a tout oublié.
Ils ont supprimé les fonctionnalités qui ne pouvaient pas être sécurisées. La redirection de port était une fonctionnalité populaire ; ils l'ont abandonnée lorsqu'elle était exploitée de manière à mettre en danger l'ensemble des utilisateurs. Une entreprise qui optimise uniquement ses abonnements ne fait pas cela.
Applications open source. Les clients sont publics et auditables.

Pourquoi nous ne nommons pas les grandes marques

Les VPN fortement médiatisés partagent des problèmes qui les disqualifient pour ce public : une grande partie de marques apparemment indépendantes appartiennent à une poignée de sociétés mères, parfois non divulguées ; plusieurs ont été prises à enregistrer des journaux alors qu'elles affirment ne pas le faire ; les sites d'avis « indépendants » qui les classent appartiennent souvent aux mêmes groupes ; et un VPN gratuit, par définition, monétise quelque chose, et ce quelque chose, c'est vous. Si vous utilisez un VPN parce que votre sécurité en dépend, les 5 € ne sont pas la partie coûteuse de votre installation.

03Configuration

Allez sur le vrai site et obtenez un numéro de compte
Tapez mullvad.net à la main. Cliquez pour générer un compte, un numéro à 16 chiffres vous sera immédiatement affiché, sans rien à remplir.

Notez-le maintenant
Ce numéro est la seule chose qui vous sépare de la perte du compte. Il n'y a pas de réinitialisation de mot de passe, pas d'e-mail de récupération, pas de ticket d'assistance qui puisse le restaurer, car ils ne détiennent aucune autre information sur vous. Mettez-le dans un gestionnaire de mots de passe, et mettez une copie sur papier dans un endroit sûr. Les gens perdent constamment l'accès à des comptes Mullvad payants de cette façon.
Ajoutez du temps au compte
Choisissez un moyen de paiement adapté à votre modèle de menace. Carte et PayPal conviennent si votre préoccupation concerne les annonceurs et votre FAI plutôt qu'un État ; Monero ou espèces envoyées par courrier si la trace du paiement elle-même est un risque. Vous achetez du temps sur le compte, pas un abonnement, rien ne se renouvelle automatiquement sauf si vous le configurez ainsi.
Installer l'application officielle
Windows, macOS, Linux, Android, iOS. Téléchargez-la sur mullvad.net, ou depuis F-Droid ou la boutique d'applications sur mobile. Connectez-vous avec le numéro de compte.
Activer le kill switch et le mode verrouillage
Non négociable. Un VPN qui se coupe pendant quatre secondes alors que vous êtes en pleine mise en ligne a exposé votre adresse réelle au pire moment. Dans l'application Mullvad, activez à la fois le kill switch et le mode verrouillage, qui bloque tout le trafic lorsque le tunnel n'est pas actif, y compris au démarrage, avant que l'application ne soit lancée.
Activer la connexion automatique et le lancement au démarrage
Une protection que vous devez penser à activer est une protection que vous oublierez. Configurez-la pour qu'elle se connecte automatiquement, toujours.
Ne touchez pas aux paramètres DNS et WireGuard
L'application achemine le DNS via le tunnel par défaut et utilise WireGuard, qui est le bon choix moderne — rapide, léger et bien plus facile à auditer que les alternatives. À moins de savoir précisément pourquoi vous modifiez ces paramètres, ne le faites pas.
Vérifier qu'il n'y a pas de fuites
Connectez-vous, puis chargez mullvad.net/check. Vous voulez une confirmation verte, l'emplacement du serveur que vous avez sélectionné, et aucun avertissement de fuite WebRTC ou DNS. Ensuite, faites le test honnête : déconnectez votre wifi pendant dix secondes en étant connecté, puis reconnectez-le. Avec le mode verrouillage activé, rien ne devrait atteindre internet pendant l'interruption.

04Bien l'utiliser

Choisir un serveur

Le plus proche est plus rapide. La distance coûte de la latence. Choisissez un pays voisin si la vitesse compte.
La juridiction compte moins qu'on ne le pense pour un fournisseur qui ne stocke rien, mais évitez de sortir dans un pays hostile à votre travail si les sites que vous utilisez pourraient l'interpréter comme un signal.
La constance a un coût et un bénéfice. Changer constamment de serveur paraît inhabituel et déclenche des captchas ; ne jamais changer signifie que votre trafic est systématiquement associé à une seule adresse de sortie. Choisissez quelques serveurs et alternez entre eux.
Les bridges et l'obfuscation sont disponibles si votre réseau bloque les VPN purement et simplement. L'application peut déguiser le trafic pour qu'il ne ressemble pas à une connexion VPN.

Quand un VPN ne suffit pas

Un VPN vous donne un seul saut, et une seule entreprise qui pourrait en principe surveiller les deux extrémités. Tor vous donne trois sauts gérés par trois bénévoles sans lien entre eux, dont aucun ne peut voir à la fois qui vous êtes et ce que vous faites. C'est plus lent et c'est le prix de la garantie.

Situation	Utilisez
Navigation quotidienne, lecture, recherche	Mullvad VPN + Mullvad Browser
Wifi public ou non fiable	Mullvad VPN, toujours activé
Contourner la censure	Mullvad VPN avec obfuscation, ou des ponts Tor
Soumettre du matériel à cette archive	Navigateur Tor
Tout ce qui ne doit jamais pouvoir être retracé jusqu'à vous	Navigateur Tor
Enquêter sur une cible hostile	Tor, depuis un appareil qui n'est pas votre appareil quotidien

Mullvad propose aussi un chemin compatible avec Tor

Mullvad propose une option groupée qui achemine votre trafic VPN via le réseau Tor, ce qui est utile lorsque vous voulez la commodité d'un VPN avec la garantie de Tor. Ce n'est pas un remplacement du Navigateur Tor : la valeur du Navigateur Tor réside autant dans ses défenses contre le fingerprinting que dans son routage, et utiliser un navigateur ordinaire via Tor vous laisse toujours identifiable par le navigateur lui-même.

Sur votre téléphone

L'application fonctionne comme un VPN toujours actif sur Android et iOS, qu'il vaut la peine d'activer dans les paramètres système pour que rien ne s'échappe avant le démarrage de l'application. Deux mises en garde qui comptent davantage sur mobile :

Un VPN ne fait rien contre la localisation par antenne-relais. Votre opérateur sait où vous êtes dès que le téléphone a du signal, avec ou sans VPN. Seul le mode avion ou le fait de laisser le téléphone derrière vous change cela.
Sur GrapheneOS, vous pouvez combiner le VPN toujours actif avec la permission réseau par application, afin que les applications qui n'ont rien à faire en ligne ne puissent pas y accéder même si le tunnel tombe.

05Ce contre quoi il ne vous protège pas

Tout ce à quoi vous vous connectez. Le compte est l'identifiant, pas l'adresse IP.
L'empreinte numérique du navigateur. Problème différent, outil différent.
Un appareil compromis. Un logiciel malveillant lit votre écran avant que le chiffrement ne s'opère.
La corrélation de trafic par un observateur mondial. Un adversaire capable de surveiller à la fois votre connexion et la sortie du VPN peut aligner les horaires. C'est une limitation réelle de tout VPN à saut unique, et c'est pourquoi Tor existe.
Vos propres habitudes. Se connecter aux mêmes comptes, aux mêmes heures, en écrivant de la même manière, depuis une adresse IP « différente » vous identifie quand même.
La surveillance physique, les informateurs, ou un téléphone qui a été physiquement altéré.

06Les questions que les gens posent vraiment

Un VPN gratuit est-il parfois acceptable ?

Exploiter un réseau VPN coûte de l'argent réel, donc un service gratuit est payé d'une autre manière : vente de données de navigation, injection de publicités, ou dans des cas documentés, location des propres connexions des utilisateurs comme nœuds de sortie pour le trafic d'autrui. Il existe de rares exceptions — le réseau Tor est gratuit et digne de confiance parce qu'il est géré par des bénévoles et ne peut structurellement pas vous profiler, et des organisations comme Proton proposent des offres gratuites limitées en tant que bien public. Un VPN commercial gratuit qui fait de la publicité sur les réseaux sociaux ne fait pas partie des exceptions.

Utiliser un VPN me fera-t-il paraître suspect ?

Les VPN sont courants — le télétravail en entreprise repose sur eux et des centaines de millions de personnes en utilisent un. L'exception est un réseau qui bloque les VPN d'emblée, où la connexion elle-même est visible ; utilisez alors l'obfuscation ou des ponts. Dans quelques pays, l'usage d'un VPN est restreint ou criminalisé, et là la réponse dépend entièrement de la loi locale et du risque local.

Mullvad peut-il être contraint de commencer à journaliser ?

En principe, tout fournisseur, où qu'il soit, peut recevoir l'ordre de commencer à collecter des données à l'avenir. Ce qu'aucune ordonnance ne peut faire, c'est produire des enregistrements qui n'ont jamais été conservés, et c'est pourquoi la conception sans compte importe plus que le marketing. Le risque résiduel réaliste est une collecte ciblée future, et non une divulgation rétrospective, et ce risque s'applique à tous les VPN qui ont jamais existé. Si votre modèle de menace inclut un État qui vous cible spécifiquement, la réponse est Tor, pas un meilleur VPN.

Devrais-je utiliser un VPN et Tor ensemble ?

Pour la plupart des gens, non, cela ajoute de la complexité et peut vous rendre plus distinctif plutôt que moins. Le seul cas utile est celui où se connecter à Tor est dangereux ou bloqué sur votre réseau : un VPN cache à votre FAI que vous utilisez Tor. Si c'est votre situation, les ponts Tor sont conçus exactement pour cela et sont généralement la meilleure réponse.

Combien d'appareils puis-je utiliser ?

Cinq à la fois sur un seul compte, au même tarif fixe de 5 €. Suffisant pour un téléphone, un ordinateur portable et un appareil de secours. Ne partagez pas un compte avec des personnes extérieures à votre foyer, leur trafic et le vôtre partagent un identifiant.

Et le VPN intégré à mon navigateur ou à mon antivirus ?

Les « VPN » de navigateur sont généralement des proxys couvrant uniquement le trafic de ce navigateur, laissant tout le reste de votre machine exposé. Les VPN fournis avec des antivirus proviennent d'entreprises ayant un mauvais historique sur cette question précise, un grand éditeur d'antivirus a été pris en flagrant délit de vente des données de navigation de ses utilisateurs via une filiale. Utilisez un VPN autonome d'une entreprise dont le seul produit est le VPN.

07Sources et lectures complémentaires

Mullvad VPN — site officiel mullvad.net
Blog de Mullvad, incluant leur récit de la visite de la police et du retrait du transfert de port mullvad.net/en/blog
Audits de sécurité indépendants publiés mullvad.net/en/blog/tag/audits
Vérification de connexion — fuites VPN, DNS et WebRTC mullvad.net/check
Le Projet Tor, quand un VPN ne suffit pas torproject.org
Autodéfense numérique de l'EFF — choisir un VPN ssd.eff.org

Dernière révision : 25 septembre 2026

Mullvad VPN : le seul que nous recommandons