Un proxy web, une extension de navigateur et un client VPN installé ne reposent pas sur le même mécanisme et ne couvrent pas le même périmètre. Voici lequel fait quoi.
Le mot « VPN » est employé pour désigner des outils très différents. Cette page décrit les trois formes de ce que l'on appelle un VPN en ligne — proxy web, extension de navigateur, client installé — et compare ce que chacune protège réellement. L'objectif est de savoir, avant de choisir, ce que l'on obtient et ce que l'on n'obtient pas.
Un proxy web est une page hébergée sur un serveur. On y saisit l'adresse d'un site ; le serveur va chercher ce site pour vous, réécrit son code pour que les liens et les images continuent de passer par lui, et vous réaffiche le résultat. Le site consulté voit l'adresse IP du serveur proxy, pas la vôtre.
Ce qu'un proxy web ne fait pas :
La réécriture des pages « à la volée » casse par ailleurs de nombreux sites modernes : connexions, lecteurs vidéo, applications web fonctionnent mal ou pas du tout derrière un proxy web. Et parce que la page passe par un serveur unique très partagé, les sites qui surveillent les connexions suspectes multiplient les vérifications anti-robot dès qu'on arrive par un proxy web connu.
Une extension présentée comme « VPN » établit généralement un tunnel chiffré vers un serveur, mais ce tunnel ne transporte que le trafic du navigateur, et souvent seulement le trafic web. Techniquement, c'est un proxy HTTPS, pas un VPN. Elle est plus complète qu'un proxy web ouvert dans un onglet — elle couvre tous les onglets et le DNS du navigateur — mais elle laisse sortir directement tout ce qui est hors du navigateur.
Deux points de vigilance. À l'installation, une extension de ce type demande l'autorisation de « lire et modifier toutes vos données sur tous les sites » : c'est nécessaire à sa fonction, mais cela lui donne une visibilité totale sur la navigation. Et certaines extensions ne bloquent pas les fuites WebRTC, ou insèrent leurs propres scripts dans les pages.
Un client VPN installé crée une interface réseau virtuelle au niveau du système d'exploitation. Le système y route tout le trafic de l'appareil : navigateurs, applications, mises à jour, résolution DNS. Chaque paquet est chiffré et encapsulé vers le serveur VPN. C'est la seule des trois formes qui applique une politique à la machine entière, et non à un onglet ou à un navigateur.
La contrepartie est l'installation : le client obtient un accès privilégié au réseau, ce qui suppose de faire confiance à son éditeur, et l'activation demande une autorisation système explicite. C'est aussi cette forme qui permet un coupe-circuit — couper l'accès réseau si le tunnel tombe — puisqu'elle agit au niveau du système ; un proxy web ou une extension ne peuvent pas offrir cette garantie.
« Proxy » recouvre lui aussi plusieurs choses. Le proxy web décrit ci-dessus est une page qui relaie un site. Un proxy HTTP configuré dans les réglages du navigateur ou du système intercepte les requêtes web sans page intermédiaire ; c'est ce qu'utilisent la plupart des extensions. Un proxy SOCKS relaie n'importe quel type de connexion, pas seulement le web, mais sans chiffrement en lui-même. Aucun de ces proxys ne chiffre le trafic par principe : le chiffrement, quand il existe, vient du protocole du site (HTTPS) ou d'une couche ajoutée par l'outil. Un VPN, lui, chiffre toujours le transport entre l'appareil et le serveur, quel que soit le protocole applicatif.
On classe aussi les proxys selon ce qu'ils révèlent : un proxy transparent transmet votre adresse réelle dans les en-têtes, un proxy anonyme la masque mais signale qu'un proxy est utilisé, un proxy dit « elite » masque les deux. Un service qui ne précise pas dans quelle catégorie il se situe est à tester avant de s'y fier.
Le proxy web est le plus lent des trois : il télécharge la page, la réécrit entière, puis vous la renvoie, et recommence à chaque clic. Les sites qui chargent leur contenu par petits morceaux via des scripts se comportent mal. L'extension est plus rapide car elle ne réécrit rien, mais elle dépend de la charge du serveur choisi et ne couvre que le navigateur. Le client installé a le meilleur rapport vitesse/couverture pour un usage soutenu, au prix de l'installation. Ces écarts se creusent sur une connexion déjà lente ou instable.
| Proxy web | Extension | Client installé | |
|---|---|---|---|
| Périmètre | Un onglet | Le navigateur | Tout le système |
| Chiffrement du trafic | Non (hors HTTPS des sites) | Oui, vers le serveur | Oui, vers le serveur |
| DNS dans le tunnel | Rarement | Souvent | Oui si bien configuré |
| Fuite WebRTC | Possible | Possible | Non si tout est routé |
| Sites complexes | Souvent cassés | OK | OK |
| Installation | Aucune | Extension | Application + autorisation |
| Ce que voit l'opérateur | Contenu des pages consultées | Domaines, métadonnées | Domaines, métadonnées |
Contre le site que vous consultez : les trois masquent votre adresse IP, à condition qu'aucune fuite ne la révèle par un autre canal.
Contre un observateur sur le réseau local (un Wi-Fi public) : le proxy web ne protège que la page consultée par son biais ; l'extension protège le navigateur ; seul le client installé protège l'ensemble.
Contre votre fournisseur d'accès : le proxy web ne lui cache que ce qui passe par sa page ; l'extension lui cache le trafic du navigateur ; le client installé lui cache tout, mais transfère cette visibilité à l'opérateur du VPN.
Dans les trois cas, la protection dépend aussi de l'absence de fuite : une requête DNS ou WebRTC qui sort du périmètre annule le masquage de l'adresse, quelle que soit la forme choisie.
Appeler une extension « VPN » est un choix commercial, pas une description technique. Un VPN agit au niveau du système ; une extension au niveau du navigateur. La confusion pousse à croire qu'on est protégé partout alors qu'on ne l'est que dans une fenêtre.
Les fuites qui trahissent l'adresse réelle malgré l'un de ces outils, et la façon de les tester, sont traitées dans la page sur l'usage sûr d'un VPN en ligne. Le choix entre solution légère et client installé selon l'usage est détaillé dans la page sur le moment où un VPN en ligne suffit.