Deux téléphones peuvent faire tourner exactement la même application VPN avec des niveaux de protection radicalement différents, selon quelques réglages système souvent ignorés : kill switch, résolution DNS, mode toujours actif. Le guide général sur le meilleur VPN pour mobile recommande de bien configurer son VPN sans entrer dans le détail ; voici les réglages précis à vérifier sur Android et iOS.
Deux façons d'installer un VPN sur mobile
La première, la plus courante, consiste à installer une application dédiée qui s'appuie sur l'API VpnService d'Android ou sur le framework NetworkExtension d'iOS pour créer et gérer le tunnel chiffré. La seconde consiste à configurer manuellement un profil VPN dans les réglages système du téléphone (généralement IKEv2 ou WireGuard), sans passer par une application tierce. Cette seconde méthode offre moins de fonctionnalités de confort (changement rapide de serveur, kill switch intégré) mais réduit la surface d'attaque en évitant d'installer une application supplémentaire avec ses propres permissions.
Le kill switch : un réglage à activer explicitement
Le kill switch coupe automatiquement l'accès à Internet si la connexion VPN est interrompue de manière inattendue, évitant qu'une partie du trafic ne transite en clair le temps d'une reconnexion. Sur mobile, cette fonction est très souvent désactivée par défaut, y compris sur des applications qui la proposent. Sur Android, la fonction équivalente native s'appelle le mode VPN verrouillé (VPN lockdown), accessible depuis les paramètres réseau du système, et qui bloque tout trafic hors VPN au niveau du système d'exploitation lui-même — une garantie plus robuste qu'un kill switch géré uniquement par une application tierce.
Le DNS : une fuite fréquente et rarement vérifiée
Même lorsque le trafic principal passe correctement par le tunnel VPN, les requêtes DNS peuvent continuer à être envoyées au résolveur DNS de l'opérateur mobile si l'application ou le profil VPN ne force pas explicitement leur passage par le tunnel. Cette fuite révèle les noms de domaine visités à l'opérateur, contournant une partie de la protection apportée par le VPN. Une configuration correcte doit rediriger les requêtes DNS vers un résolveur passant par le tunnel chiffré, et non vers celui assigné automatiquement par le réseau cellulaire ou WiFi.
La connexion automatique et le mode toujours actif
Android propose depuis la version 7.0 (Nougat) un réglage Toujours activé (Always-on VPN), accessible dans les paramètres VPN du système, qui relance automatiquement la connexion après un redémarrage ou une perte de réseau, et peut être combiné avec le mode verrouillé mentionné plus haut. Sur iOS, l'équivalent fonctionnel passe par la configuration Se connecter à la demande (Connect On Demand) au sein du profil géré par NEVPNManager, qui déclenche automatiquement la connexion VPN selon des règles définies (par exemple, uniquement hors du réseau WiFi domestique). Activer ces réglages évite les fenêtres de vulnérabilité qui surviennent lorsqu'un utilisateur oublie de relancer le VPN manuellement après une coupure.
Le split tunneling : une option à connaître
Le split tunneling permet de choisir quelles applications passent par le tunnel VPN et lesquelles se connectent directement. Il est particulièrement utile pour deux cas concrets : éviter qu'une application bancaire ne déclenche une alerte de fraude à cause d'un changement d'adresse IP, et conserver l'accès aux appareils du réseau local (imprimante, objets connectés, partage de fichiers) qui deviennent injoignables lorsque tout le trafic est redirigé vers un serveur distant. Sur Android, cette fonction est généralement accessible dans les paramètres de l'application VPN elle-même, sous forme d'une liste d'applications à exclure du tunnel. Sur iOS, le support du split tunneling au niveau consommateur reste limité : la plupart des applications grand public appliquent un tunnel complet, cette granularité étant surtout réservée aux profils VPN déployés par un système de gestion d'appareils mobiles (MDM) en entreprise.
IPv6 : la fuite qu'on oublie souvent de vérifier
Une large partie des réseaux mobiles fournissent désormais une connectivité IPv6 native, en plus de l'IPv4 traditionnel. Un client VPN qui ne crée un tunnel que pour le trafic IPv4, sans gérer l'IPv6, laisse ce dernier continuer à circuler en dehors du tunnel chiffré. Concrètement, tout service accessible en IPv6 verra alors l'adresse IPv6 réelle de l'appareil plutôt que celle du serveur VPN, ce qui annule une partie de la protection recherchée. La vérification passe par un test de fuite IPv6 dédié, disponible via différents outils en ligne ; si l'application VPN ne prend pas en charge l'IPv6 de façon fiable, désactiver l'IPv6 dans les paramètres réseau de l'appareil reste la solution la plus simple pour éliminer ce vecteur de fuite.
Vérifier le protocole réellement négocié
Une application peut annoncer la prise en charge de WireGuard tout en négociant par défaut un autre protocole selon les conditions réseau, sans toujours l'indiquer clairement à l'utilisateur. La plupart des applications sérieuses affichent le protocole actif dans leur écran de statut de connexion ; en son absence, il est possible de le déduire indirectement en observant le port et le comportement de la connexion (WireGuard utilise typiquement UDP sur un port configurable, souvent 51820 par défaut, avec une négociation quasi instantanée, contrairement à OpenVPN dont l'établissement de session est perceptiblement plus lent). Vérifier ce point évite de croire bénéficier des avantages énergétiques et de sécurité de WireGuard alors que l'application est repliée sur un protocole plus ancien pour des raisons de compatibilité réseau.
Les extensions de navigateur ne remplacent pas un VPN système
De nombreux navigateurs mobiles proposent une extension ou une fonction intégrée présentée comme un VPN. Techniquement, ces outils fonctionnent comme un proxy chiffré limité au trafic du navigateur : ils ne créent pas d'interface réseau virtuelle au niveau du système d'exploitation, contrairement à une application s'appuyant sur VpnService ou NetworkExtension. Concrètement, les autres applications installées sur l'appareil (messagerie, réseaux sociaux, applications bancaires) continuent de se connecter sans aucune protection, et les requêtes DNS effectuées en dehors du navigateur ne sont pas concernées. Confondre les deux catégories d'outils est une source fréquente de fausse impression de sécurité sur mobile.
Vérifier que la configuration fonctionne réellement
Une fois la configuration effectuée, il est recommandé de vérifier concrètement l'absence de fuite : consulter l'adresse IP affichée par un service de vérification en ligne avant et après activation du VPN pour confirmer le changement, puis effectuer un test de fuite DNS pour s'assurer que les requêtes passent bien par le tunnel. L'icône de statut VPN affichée dans la barre système d'Android ou iOS confirme qu'une connexion est active, mais ne garantit pas à elle seule l'absence de fuite DNS ou IPv6 si ces protocoles ne sont pas correctement pris en charge par la configuration.