38 % n'est pas un chiffre marketing, mais le résultat d'une étude scientifique publiée dans une conférence académique reconnue. Le guide général sur le VPN gratuit cite ce chiffre en une phrase ; cette page en détaille la méthodologie et les enseignements concrets.
En 2016, une équipe de chercheurs — Kaafar, Ikram, Vallina-Rodriguez, Seneviratne et Paxson — a publié « An Analysis of the Privacy and Security Risks of Android VPN Permission-enabled Apps » lors de l'Internet Measurement Conference de l'ACM, l'une des conférences de référence en mesure de réseaux. L'étude a analysé plus de 280 applications VPN disponibles sur le Google Play Store, en examinant leur code, leur trafic réseau réel et les permissions demandées. Il ne s'agit pas d'une enquête marketing commanditée par un acteur du marché, mais d'une recherche indépendante soumise à relecture par les pairs avant publication.
Le résultat le plus cité de cette étude est que 38 % des applications analysées contenaient du code identifié comme malveillant par au moins un moteur d'analyse antivirus parmi ceux utilisés par la plateforme VirusTotal. L'étude a également documenté que 18 % des applications testées n'implémentaient aucun chiffrement du trafic utilisateur, se comportant en réalité comme de simples proxys, malgré une présentation marketing les qualifiant de VPN. Une proportion significative demandait par ailleurs des permissions Android sans rapport avec une fonction VPN, notamment l'accès aux SMS et à la localisation précise.
Même lorsqu'une application chiffre correctement le trafic principal, les requêtes DNS peuvent continuer d'être envoyées au résolveur DNS habituel du réseau si l'application ne force pas explicitement leur passage par le tunnel chiffré. Cette fuite révèle les noms de domaine visités à l'opérateur ou au fournisseur d'accès, contournant une partie substantielle de la protection apportée par le VPN. Un test de fuite DNS, réalisable en quelques secondes via un outil en ligne dédié, permet de vérifier ce point précis après l'installation de n'importe quelle application, indépendamment des promesses affichées sur sa page de téléchargement.
Une part croissante des réseaux, y compris mobiles, fournissent une connectivité IPv6 native en plus de l'IPv4 traditionnel. Un client VPN qui ne crée un tunnel que pour le trafic IPv4, sans gérer l'IPv6, laisse ce dernier continuer à circuler en dehors du tunnel chiffré. Concrètement, un service accessible en IPv6 verra alors l'adresse réelle de l'appareil plutôt que celle du serveur VPN, ce qui annule une partie de la protection recherchée sans que l'utilisateur en ait conscience, puisque le test d'adresse IP classique en IPv4 continue de montrer un résultat correct.
Faire fonctionner un service VPN a un coût réel d'infrastructure. Un service gratuit qui ne facture jamais rien et ne fait pas de publicité visible finance nécessairement son activité autrement, et la revente de données de navigation à des tiers reste l'option la plus rentable pour un éditeur peu scrupuleux. Ce modèle est par nature difficile à détecter de l'extérieur, puisqu'il ne se manifeste par aucun symptôme technique visible (le VPN peut fonctionner parfaitement du point de vue de l'utilisateur) : seule la lecture attentive de la politique de confidentialité, lorsqu'elle existe et qu'elle est suffisamment précise, permet de l'identifier.
Plusieurs éléments, vérifiables en quelques minutes avant toute installation, permettent d'écarter les services les plus problématiques : une politique de journalisation absente ou formulée de façon vague ; des permissions demandées sans rapport avec la fonction VPN ; l'absence de toute mention d'audit de sécurité indépendant ; un volume de publicités intégrées disproportionné par rapport à un modèle freemium classique ; et le retrait passé de l'application d'un store officiel pour des raisons de sécurité, information généralement recherchable en ligne avant l'installation.
L'étude ACM IMC 2016 a établi qu'une partie des applications examinées n'implémentait aucun chiffrement réel du trafic, se comportant en pratique comme un simple proxy qui relaie les requêtes sans les protéger, tout en affichant une interface et un vocabulaire marketing identiques à ceux d'un véritable VPN chiffré. La différence n'est pas perceptible à l'usage courant : la navigation fonctionne, l'adresse IP apparente change, mais le contenu du trafic reste lisible par quiconque intercepte la connexion, annulant l'essentiel de la protection recherchée. Seule une analyse technique du trafic réseau généré par l'application — ou, plus simplement, la vérification de la présence explicite d'un protocole de chiffrement documenté (OpenVPN, IKEv2, WireGuard) dans sa description — permet de distinguer les deux catégories avant l'installation.
Au-delà de la revente de données, certaines applications gratuites analysées par des chercheurs en sécurité ont été trouvées en train d'exécuter, à l'insu de l'utilisateur, du code de minage de cryptomonnaie en arrière-plan, exploitant la puissance de calcul de l'appareil pour générer un revenu direct pour l'éditeur. Ce type de comportement, plus fréquent sur les applications Android que sur les clients Windows en raison d'un contrôle historiquement moins strict des stores mobiles, se traduit concrètement par une surchauffe de l'appareil, une consommation de batterie anormale et un ralentissement général, y compris lorsque le VPN lui-même semble fonctionner normalement.
Plusieurs applications VPN gratuites ont été retirées a posteriori de Google Play ou de l'App Store après la découverte de pratiques problématiques — collecte de données non déclarée, présence de code malveillant, ou non-respect des règles de la plateforme sur la publicité. Cette information reste généralement recherchable après coup via une recherche du nom de l'application associée aux termes « retrait » ou « banned » dans un moteur de recherche, même lorsque l'application continue de circuler sous forme de fichier d'installation partagé en dehors du store officiel. Une application dont le fichier d'installation ne peut être obtenu que hors des stores officiels, sans que l'éditeur n'explique cette absence, mérite une vérification supplémentaire avant toute installation.
Les risques documentés par la recherche académique ne concernent pas l'ensemble des VPN gratuits de façon uniforme, mais une proportion suffisamment significative pour justifier une vérification systématique avant installation. Politique de logs explicite, permissions cohérentes, absence de fuite DNS et IPv6 vérifiée : ces critères, et non la popularité d'une application sur un store, restent la meilleure protection disponible.