Un VPN chiffre le trafic réseau entre l'ordinateur et un serveur intermédiaire. Il ne chiffre pas les fichiers stockés sur le disque dur, ne modifie pas les données que Windows lui-même collecte au niveau du système, et ne protège pas contre un logiciel malveillant déjà installé sur la machine. Cette distinction, rarement expliquée sur les services VPN gratuits, détermine pourtant ce qu'un utilisateur peut raisonnablement attendre de sa protection.
Un VPN chiffre les données en transit entre l'ordinateur et le serveur VPN, ce qui empêche un tiers présent sur le même réseau local (un point d'accès Wi-Fi public non sécurisé, par exemple) d'intercepter le contenu des échanges. Il masque également l'adresse IP réelle vis-à-vis des sites visités, ce qui limite la capacité de ces sites à associer une session de navigation à une localisation précise. Ces deux protections sont réelles et vérifiables, mais elles concernent exclusivement le trajet des données sur le réseau.
Un VPN actif ne modifie rien à la télémétrie que Windows envoie à Microsoft par défaut : diagnostics d'utilisation, informations sur les applications installées, données de performance système. Ces données ne transitent pas nécessairement par une source facilement identifiable comme malveillante, ce qui explique pourquoi un utilisateur peut se croire protégé alors que la collecte se poursuit normalement, chiffrée par le VPN mais bien reçue par sa destination prévue. Réduire cette collecte passe par les paramètres de confidentialité de Windows (Paramètres > Confidentialité et sécurité > Diagnostics et commentaires), indépendamment de toute solution VPN.
De nombreux utilisateurs Windows activent par défaut la synchronisation OneDrive de leurs documents, ou celle de leur historique de recherche et de leurs mots de passe via un compte Microsoft. Un VPN chiffre le trafic vers les serveurs de synchronisation, mais les fichiers eux-mêmes restent stockés en clair (ou chiffrés selon les seules conditions du fournisseur cloud) une fois arrivés à destination. La sécurité de ces données dépend alors entièrement de la politique du service cloud utilisé, un facteur totalement indépendant du VPN installé sur l'ordinateur.
Si un ordinateur portable est perdu ou volé, un VPN n'apporte aucune protection : il ne fonctionne que lorsque l'appareil est allumé et connecté à Internet. La protection des données au repos relève d'un mécanisme différent, le chiffrement de disque (BitLocker sur les éditions Windows qui le proposent, ou des solutions tierces sur les autres). Considérer le VPN et le chiffrement de disque comme deux protections complémentaires, plutôt que redondantes, évite une fausse impression de sécurité globale.
Faire fonctionner un VPN a un coût réel d'infrastructure. Un logiciel gratuit se finance nécessairement autrement : par une version payante du même éditeur qui subventionne la version gratuite, par de la publicité intégrée, ou par la revente de données de navigation à des tiers. Ce dernier modèle est particulièrement problématique dans le contexte de cet article : un VPN censé protéger des données personnelles qui, en réalité, les collecte et les revend, inverse complètement l'objectif recherché. Vérifier la politique de confidentialité d'un logiciel avant installation reste la seule manière fiable d'écarter ce risque.
Un compte Microsoft relie potentiellement l'e-mail, l'agenda, les fichiers OneDrive, l'historique d'achats du Store et les paramètres synchronisés d'un même utilisateur à travers plusieurs appareils Windows. Cette centralisation est pratique, mais elle signifie aussi qu'une compromission de ce seul compte donne accès à un ensemble de données bien plus large qu'une simple session de navigation protégée par VPN. Activer l'authentification à deux facteurs sur le compte Microsoft lui-même reste une mesure indépendante du VPN, mais souvent plus déterminante pour la sécurité globale des données.
Un audit consiste à faire examiner par un cabinet de sécurité tiers le code d'une application et, pour les politiques de non-conservation des logs, l'infrastructure serveur elle-même, afin de vérifier qu'aucun mécanisme de journalisation persistante n'existe réellement. Ce type d'audit a un coût significatif, ce qui explique pourquoi il reste plus fréquent chez les éditeurs disposant d'un revenu régulier pour le financer. Un audit publié et daté constitue une preuve nettement plus solide qu'une simple déclaration marketing sur le respect de la vie privée.
Même avec un VPN actif et un chiffrement correctement configuré, le navigateur utilisé pour naviguer peut révéler une empreinte suffisamment précise pour identifier un ordinateur d'une session à l'autre, indépendamment de l'adresse IP masquée. Les extensions installées, la liste des polices disponibles sur le système, la résolution d'écran exacte et la version de Windows forment une combinaison souvent unique, exploitable par des techniques de fingerprinting sans recourir à un cookie traditionnel. Un VPN protège l'adresse IP et le contenu du trafic, mais ne modifie en rien cette empreinte de navigateur, ce qui explique pourquoi certains sites parviennent à reconnaître un visiteur récurrent malgré un changement d'adresse IP entre deux sessions.
Windows conserve localement, dans l'Observateur d'événements, un historique détaillé des connexions réseau, des applications lancées et des erreurs système. Cette trace reste stockée sur l'ordinateur lui-même, en dehors du trafic chiffré par le VPN, et peut être consultée par quiconque a accès physique ou administratif à la machine. Un utilisateur partageant un ordinateur familial ou professionnel devrait considérer cette trace locale comme un vecteur d'exposition distinct de la navigation en ligne, sur lequel le VPN n'a strictement aucune influence.
Un test d'adresse IP en ligne, effectué avant et après activation du VPN, confirme le changement d'adresse apparente. Un test de fuite DNS confirme que les requêtes de résolution de noms de domaine passent bien par le tunnel chiffré plutôt que par le résolveur habituel du fournisseur d'accès. Ces vérifications, réalisables en quelques minutes, portent uniquement sur la protection réseau : elles ne renseignent en rien sur la télémétrie système, la synchronisation cloud ou le chiffrement du disque, qui restent des sujets à traiter séparément.
ConclusionLa sécurité des données sur Windows ne se résume pas à l'installation d'un VPN. Le chiffrement du trafic réseau, la maîtrise de la télémétrie système, la politique du service de synchronisation cloud utilisé et le chiffrement du disque constituent quatre couches de protection distinctes, chacune répondant à un risque différent. Un VPN gratuit correctement choisi couvre la première ; les trois autres nécessitent des réglages et des outils séparés.