Installer un client VPN sur Windows prend deux minutes ; savoir s'il protège réellement quelque chose en prend un peu plus. Notre guide général sur le VPN gratuit évoque brièvement le sujet ; cette page détaille les points techniques concrets à vérifier avant, pendant et après l'installation d'un client Windows.
Le protocole utilisé conditionne à la fois la vitesse, la stabilité et le niveau de sécurité réel d'un client VPN. OpenVPN reste la référence historique : son code source ouvert a été audité de nombreuses fois depuis sa création en 2001, ce qui en fait un choix éprouvé, au prix d'un débit légèrement inférieur aux protocoles plus récents en raison de sa charge de calcul plus élevée. IKEv2, souvent couplé à IPSec, se reconnecte plus rapidement après une coupure réseau et convainc par sa stabilité sur les connexions instables, mais son implémentation Windows dépend davantage de la qualité du pilote fourni par l'éditeur du client.
WireGuard, plus récent, repose sur une base de code d'environ 4 000 lignes contre plusieurs dizaines de milliers pour OpenVPN, et sur des primitives cryptographiques modernes (Curve25519, ChaCha20-Poly1305). Cette légèreté se traduit par une charge processeur réduite et une négociation de connexion quasi instantanée. Un client Windows qui ne propose que d'anciens protocoles comme PPTP — dont l'authentification MS-CHAPv2 présente des faiblesses cryptographiques documentées depuis plus d'une décennie — devrait être écarté sans hésitation.
Un client VPN fonctionnel installe sur Windows un adaptateur réseau virtuel, généralement basé sur le pilote TAP (couche 2, réseau Ethernet virtuel) ou TUN (couche 3, réseau IP virtuel). Cet adaptateur apparaît dans le Gestionnaire de périphériques et dans la liste des connexions réseau du Panneau de configuration. Sa présence après désinstallation d'un client — un pilote TAP orphelin qui reste actif — est un signe de désinstallation incomplète qui peut, dans de rares cas, laisser une interface réseau ouverte sans qu'aucune application ne l'utilise activement. Vérifier la liste des adaptateurs réseau après avoir désinstallé un client VPN gratuit fait partie des bonnes pratiques d'hygiène système.
Le pare-feu intégré à Windows peut, selon sa configuration, bloquer certains ports utilisés par un protocole VPN spécifique — OpenVPN utilise par défaut le port UDP 1194, WireGuard un port UDP configurable souvent proche de 51820. Un client VPN correctement conçu configure automatiquement les règles de pare-feu nécessaires lors de l'installation ; en leur absence, une connexion qui échoue systématiquement sur un réseau donné (en particulier un réseau d'entreprise ou d'établissement scolaire filtrant les ports non standard) peut nécessiter une vérification manuelle des règles entrantes et sortantes dans le pare-feu Windows Defender.
Sur les clients qui le proposent, le kill switch se trouve généralement dans un onglet de paramètres avancés, parfois désactivé par défaut. Il coupe l'accès réseau complet de l'ordinateur si la connexion au serveur VPN est perdue de façon inattendue, évitant qu'une partie du trafic ne transite en clair le temps d'une reconnexion automatique. Pour le tester concrètement, il suffit de couper manuellement la connexion réseau (câble Ethernet débranché, ou WiFi désactivé puis réactivé) pendant qu'une navigation est en cours avec le VPN actif, et d'observer si l'accès Internet reste bloqué jusqu'au rétablissement du tunnel plutôt que de basculer silencieusement sur la connexion non protégée.
De nombreux clients Windows proposent une option de lancement automatique au démarrage du système, parfois activée par défaut lors de l'installation. Ce réglage garantit qu'aucune session de navigation ne démarre sans protection, mais il maintient également une connexion permanente au serveur du fournisseur, ce qui a un coût en ressources système et en visibilité pour l'éditeur du service sur les habitudes de connexion de l'utilisateur. Sur un usage occasionnel, désactiver ce réglage et activer le VPN manuellement au moment voulu reste une option légitime, à condition de ne pas oublier de le faire avant une navigation sensible.
Une fois le client installé et connecté, deux vérifications rapides confirment son bon fonctionnement. Un test d'adresse IP en ligne, effectué avant puis après activation du VPN, doit montrer un changement d'adresse et de localisation apparente. Un test de fuite DNS dédié confirme que les requêtes de résolution de noms de domaine passent bien par le serveur VPN plutôt que par le résolveur DNS assigné par défaut par le fournisseur d'accès Internet — une fuite DNS reste l'un des défauts de configuration les plus fréquents sur les clients VPN gratuits mal implémentés, y compris lorsque le trafic principal est correctement chiffré.
Moins connu qu'OpenVPN ou WireGuard, le protocole SSTP (Secure Socket Tunneling Protocol) a été développé par Microsoft et intégré nativement à Windows depuis Vista. Il encapsule le trafic VPN dans une connexion HTTPS classique sur le port TCP 443, ce qui lui permet de traverser presque tous les pare-feu d'entreprise sans configuration particulière, puisqu'il emprunte le même port que la navigation Web sécurisée standard. Son inconvénient principal est son absence de support natif en dehors de l'écosystème Windows, ce qui limite son intérêt pour un usage multi-plateforme, et son implémentation fermée rend son audit indépendant plus difficile que celui d'un protocole open source comme OpenVPN ou WireGuard.
Il n'est pas rare que Windows Defender ou un autre antivirus tiers signale un composant d'un client VPN gratuit comme potentiellement indésirable, en particulier le pilote de l'adaptateur réseau virtuel qui modifie le comportement du trafic système — un comportement techniquement similaire à celui de certains logiciels malveillants. Cette alerte ne signifie pas automatiquement que le logiciel est dangereux, mais elle justifie de vérifier la source de téléchargement (site officiel de l'éditeur plutôt qu'un site tiers de regroupement de logiciels) et, en cas de doute persistant, de soumettre le fichier d'installation à une analyse multi-moteurs via un service comme VirusTotal avant de l'exécuter.
Un client VPN gratuit pour Windows mérite d'être jugé sur des éléments vérifiables : le protocole proposé, la présence et le fonctionnement réel d'un kill switch, l'absence de fuite DNS après installation, et la transparence de l'éditeur sur ces points. Ces critères permettent d'évaluer n'importe quel logiciel, indépendamment de sa popularité ou de son ancienneté sur le marché.