Une application qui fonctionne bien sur ordinateur peut se révéler mal optimisée, voire risquée, une fois installée sur smartphone. Le guide général sur le VPN gratuit évoque cette différence en une phrase ; voici le détail concret pour Android.
Android n'expose pas d'accès bas niveau au réseau comme le fait un système de bureau. Toute application VPN doit passer par l'API système VpnService, qui crée une interface réseau virtuelle et route le trafic à travers elle. L'activation déclenche systématiquement une boîte de dialogue système demandant explicitement l'autorisation de créer une connexion VPN — un garde-fou qui empêche une application d'établir un tunnel à l'insu de l'utilisateur, quel que soit l'éditeur.
Une application VPN n'a techniquement besoin d'aucune permission liée aux contacts, aux SMS, à la localisation précise ou au microphone pour remplir sa fonction de base. Lorsqu'une application gratuite demande ce type d'accès sans justification claire dans sa description, cela mérite d'être vérifié avant l'installation plutôt qu'accepté par réflexe lors de la première ouverture. La fiche de l'application sur le Google Play Store liste l'ensemble des permissions demandées avant même le téléchargement, ce qui permet ce tri en amont.
Le chiffrement en continu du trafic sollicite le processeur en permanence tant que la connexion reste active, et le modem doit rester éveillé pour maintenir le tunnel ouvert, ce qui empêche l'appareil de passer dans ses modes de veille les plus économes. L'ampleur de cet impact dépend fortement du protocole utilisé : WireGuard, avec sa base de code réduite et ses primitives cryptographiques modernes (Curve25519, ChaCha20-Poly1305), consomme sensiblement moins qu'OpenVPN à débit équivalent. Une application qui apparaît en tête de la liste de consommation batterie du système (Paramètres > Batterie > Utilisation par application) alors que l'usage réel est resté stable indique généralement une implémentation qui gère mal les cycles de veille plutôt qu'un coût inhérent au chiffrement.
Certaines offres gratuites se présentent sous forme d'extension pour navigateur mobile plutôt que d'application système complète. Une extension fonctionne comme un proxy chiffré limité au trafic du navigateur : elle ne crée pas d'interface VPN au niveau du système, contrairement à une application s'appuyant sur VpnService. Concrètement, les autres applications installées (messagerie, réseaux sociaux, applications bancaires) continuent de se connecter sans aucune protection lorsque seule une extension de navigateur est active.
De nombreuses applications VPN gratuites pour Android exposent une liste d'exclusion par application, permettant de laisser certaines applications se connecter directement tout en protégeant le reste du trafic. Cette fonction réduit la charge de chiffrement globale (bénéfique pour la batterie) et évite les conflits avec des applications sensibles aux changements d'adresse IP, comme certaines applications bancaires dont les systèmes anti-fraude peuvent réagir à un changement de localisation apparente.
L'étude de référence sur le sujet, publiée à l'ACM Internet Measurement Conference en 2016 par Ikram, Vallina-Rodriguez, Seneviratne, Kaafar et Paxson, portait spécifiquement sur plus de 280 applications VPN pour Android disponibles sur le Google Play Store. Elle a établi que 38 % d'entre elles contenaient du code identifié comme malveillant par au moins un moteur d'analyse antivirus, et qu'une proportion significative présentait des fuites de trafic ou des permissions disproportionnées par rapport à leur fonction déclarée. Le détail complet de cette étude et des signaux d'alerte à en tirer est développé dans notre page sur les risques du VPN gratuit.
Après avoir installé et activé une application, un test d'adresse IP confirme le changement de localisation apparente, et un test de fuite DNS confirme que les requêtes de résolution de noms de domaine passent bien par le tunnel plutôt que par le résolveur assigné par l'opérateur mobile. Il est également utile de revérifier périodiquement, dans les paramètres Android (Paramètres > Applications > [nom de l'application] > Autorisations), que les permissions accordées correspondent toujours à ce qui a été initialement validé, une application pouvant demander des permissions supplémentaires lors d'une mise à jour.
Avant même d'examiner les permissions en détail, la source de téléchargement d'une application constitue un premier filtre utile. Une application distribuée uniquement sous forme de fichier APK à installer manuellement, en dehors du Google Play Store, échappe au processus de vérification automatisée (Google Play Protect) qui analyse les applications soumises au store à la recherche de comportements malveillants connus. Cela ne garantit pas qu'une application présente sur le Play Store soit sans risque — l'étude citée plus bas a précisément analysé des applications qui y étaient disponibles — mais l'installation via APK externe supprime une couche de filtrage automatisé sans qu'aucune alternative équivalente ne la remplace.
Depuis Android 7.0 (Nougat), le système propose un réglage Toujours activé (Always-on VPN), accessible dans les paramètres réseau, qui relance automatiquement la connexion après un redémarrage ou une perte de réseau. Ce réglage peut être combiné avec le mode VPN verrouillé (VPN lockdown), qui bloque tout trafic hors VPN au niveau du système d'exploitation lui-même dès qu'il est activé — une garantie nettement plus robuste qu'un kill switch géré uniquement par l'application elle-même, puisqu'elle agit indépendamment de la fiabilité du code de l'application VPN.
Une application VPN reste un logiciel comme un autre, exposé à des vulnérabilités découvertes après sa mise en ligne. La fiche de l'application sur le Google Play Store affiche la date de sa dernière mise à jour ; une application gratuite qui n'a pas été mise à jour depuis plusieurs mois, en particulier si son modèle économique n'est pas clairement identifié, constitue un signal d'alerte à ajouter à celui des permissions excessives. Les commentaires récents laissés par d'autres utilisateurs, en particulier ceux signalant des plantages ou des comportements inattendus après une mise à jour du système Android, apportent également une information utile que la description de l'application elle-même ne fournit pas.
Un VPN gratuit fiable sur Android se distingue par des permissions cohérentes avec sa fonction, une consommation de batterie proportionnée à l'usage réel, et l'absence de fuite DNS ou IP vérifiable après installation. Ces critères restent valables indépendamment du nom de l'application ou de sa note sur le Play Store.