Protocoles VPN : lequel choisir ?
Dans les réglages d’une application VPN, un menu propose souvent plusieurs « protocoles ». Le choix a des conséquences sur la sécurité, la vitesse et la stabilité. Voici comment s’y retrouver.
Si vous débutez, il peut être utile de relire d’abord ce qu’est un VPN et à quoi il sert. Cette page part d’une question simple : quand votre application vous demande de choisir entre WireGuard, OpenVPN ou IKEv2, que choisir, et pourquoi ?
À quoi sert un protocole
Un protocole VPN est l’ensemble des règles qui permettent à votre appareil et au serveur VPN de se reconnaître, de se mettre d’accord sur des clés secrètes, puis de s’échanger des données chiffrées. Deux protocoles peuvent utiliser le même algorithme de chiffrement et pourtant différer beaucoup en vitesse, en stabilité sur mobile ou en résistance aux attaques.
Trois critères comptent pour un utilisateur : la sécurité, qui dépend de la conception et de l’âge du protocole ; la vitesse, qui dépend de sa légèreté ; et la compatibilité, avec votre appareil et avec les réseaux que vous fréquentez, certains bloquant des protocoles précis.
WireGuard, le plus récent
WireGuard a été présenté en 2017 et intégré au noyau Linux en 2020. Il a été conçu pour être simple : son code initial tenait en quelques milliers de lignes, contre des centaines de milliers pour les protocoles plus anciens et leurs bibliothèques. Moins de code, c’est moins d’endroits où une faille peut se cacher, et une relecture plus facile.
Il utilise une cryptographie moderne et fixe, sans négociation possible vers des algorithmes plus faibles. En pratique, il est rapide, consomme peu de batterie sur téléphone et se reconnecte presque instantanément quand vous passez du Wi-Fi à la 4G. La plupart des services sérieux le proposent aujourd’hui, souvent par défaut.
Sa conception d’origine garde en mémoire l’adresse IP des utilisateurs sur le serveur pendant la connexion. Les fournisseurs grand public ont ajouté leurs propres mécanismes pour limiter cette conservation : c’est un point à vérifier dans leur documentation.
OpenVPN, la référence éprouvée
OpenVPN existe depuis 2001. C’est un logiciel libre, dont le code est public, et qui a fait l’objet de plusieurs audits de sécurité. Il s’appuie sur TLS, la même technologie qui sécurise les sites en HTTPS.
Son atout principal est sa souplesse. Il peut fonctionner en UDP, rapide, ou en TCP sur le port 443, ce qui le rend difficile à distinguer d’une connexion web et lui permet de passer sur des réseaux restrictifs, comme ceux de certaines entreprises ou de certains hôtels. Il est en revanche plus lent et plus gourmand que WireGuard, surtout sur les appareils peu puissants comme les routeurs.
IKEv2/IPsec, le choix du mobile
IKEv2 est un protocole normalisé par l’IETF, l’organisme qui définit les standards d’Internet, et décrit aujourd’hui par la RFC 7296. Il sert à négocier les clés ; le chiffrement des données est assuré par IPsec, d’où le nom IKEv2/IPsec. Microsoft et Cisco ont participé à son développement, mais ce n’est pas un protocole propriétaire.
Il est intégré nativement à Windows, macOS, iOS et Android, ce qui permet de l’utiliser sans application. Il gère très bien les changements de réseau grâce à une extension appelée MOBIKE, ce qui en fait un bon choix sur téléphone. Il utilise des ports précis, 500 et 4500 en UDP, que certains réseaux bloquent.
L2TP/IPsec, à éviter quand mieux est possible
L2TP est né à la fin des années 1990 de la fusion de deux protocoles, PPTP de Microsoft et L2F de Cisco. Il ne chiffre rien lui-même : il est toujours associé à IPsec pour la sécurité. Le chiffrement peut donc être solide, mais l’ensemble est lourd, plus lent, et souvent bloqué par les pare-feu.
Un point mérite l’attention : certains services configurent L2TP/IPsec avec une clé partagée publiée sur leur site, identique pour tous les utilisateurs. Quelqu’un qui connaît cette clé peut, dans certaines conditions, se faire passer pour le serveur. Si un protocole moderne est disponible, préférez-le.
SSTP, le protocole de Windows
SSTP a été conçu par Microsoft et fait passer le VPN dans une connexion TLS sur le port 443, comme un site web. Il traverse donc facilement les pare-feu. Son principal défaut est qu’il est fermé et surtout lié à Windows : on le trouve peu ailleurs, et son code ne peut pas être examiné librement.
PPTP, à ne plus utiliser
PPTP est le plus ancien des protocoles VPN grand public, publié en 1999. Sa méthode d’authentification, MS-CHAPv2, a été cassée de manière pratique : en 2012, des chercheurs ont montré qu’on pouvait la ramener à la difficulté d’une seule clé DES, à la portée d’un service en ligne. PPTP ne doit plus être utilisé, et un service qui ne propose que lui n’est pas sérieux. Apple l’a d’ailleurs retiré de ses systèmes en 2016.
Le chiffrement : AES et ChaCha20
Derrière les protocoles, deux algorithmes de chiffrement dominent. AES, utilisé avec des clés de 128 ou 256 bits, est accéléré par la plupart des processeurs d’ordinateur. ChaCha20, utilisé par WireGuard, est très rapide même sans accélération matérielle, ce qui le rend efficace sur les téléphones et les petits appareils.
Les deux sont considérés comme sûrs. Un service qui met en avant « AES-256 » ne fait que décrire le minimum attendu : ce n’est pas un argument décisif pour le choisir.
Récapitulatif
| Protocole | Sécurité | Vitesse | Point fort | Point faible |
|---|---|---|---|---|
| WireGuard | très bonne | très rapide | simple, léger, idéal sur mobile | se repère facilement sur les réseaux filtrés |
| OpenVPN | très bonne | correcte | passe presque partout en TCP 443 | plus lourd |
| IKEv2/IPsec | très bonne | rapide | intégré aux systèmes, stable sur mobile | ports souvent bloqués |
| L2TP/IPsec | correcte | moyenne | disponible partout | lourd, clés partagées parfois publiques |
| SSTP | bonne | moyenne | traverse les pare-feu | fermé, lié à Windows |
| PPTP | insuffisante | rapide | aucun aujourd’hui | cassé, à proscrire |
Les protocoles maison des fournisseurs
Certains fournisseurs mettent en avant un protocole portant leur propre nom. Dans la plupart des cas, il s’agit d’une adaptation de WireGuard, à laquelle le fournisseur a ajouté sa gestion des adresses ou de la confidentialité. D’autres sont des protocoles conçus pour se faire passer pour du trafic web ordinaire, afin de traverser les réseaux qui bloquent les VPN.
Ces protocoles peuvent être excellents, mais ils sont moins examinés que les standards publics. Avant de leur faire confiance, vérifiez si leur code est publié et s’ils ont fait l’objet d’un audit indépendant. À défaut, les protocoles standards restent le choix le plus sûr.
Changer de protocole dans l’application
Dans la plupart des applications, le choix se trouve dans les réglages, souvent sous le nom « Protocole » ou « Connexion ». L’option « Automatique » laisse l’application choisir, en général WireGuard ou sa variante maison, et basculer sur un autre protocole si le réseau bloque le premier. C’est un bon réglage par défaut. Changez manuellement seulement si la connexion échoue sur un réseau précis, ou si vous constatez des coupures répétées.
Lequel choisir ?
- Par défaut : WireGuard, ou la variante que votre fournisseur a construite autour de lui.
- Sur un réseau qui bloque le VPN, au travail, à l’hôtel ou à l’étranger : OpenVPN en TCP sur le port 443.
- Sans application, avec le client intégré au système : IKEv2.
- Jamais : PPTP.
Le protocole ne fait pas tout : un excellent protocole ne protège pas d’une fuite de requêtes DNS ni d’une coupure sans coupe-circuit, deux points détaillés dans notre page sur les fuites et le kill switch. Et pour comprendre ce qui se passe à l’intérieur du tunnel, voyez notre page sur le fonctionnement d’un VPN. Si vous configurez un routeur, le choix du protocole a un effet direct sur le débit, comme l’explique notre page sur le VPN sur routeur.