Le coût d'un VPN ne disparaît pas parce que l'application est gratuite
Faire fonctionner un service VPN suppose des dépenses continues et non compressibles. Le poste principal est le transit et le peering : un opérateur VPN achète de la capacité réseau facturée au 95e centile, c'est-à-dire sur les pics d'usage, pas sur la moyenne. S'y ajoutent la location ou l'achat de serveurs dans des dizaines de pays, l'ingénierie qui maintient les applications Android, iOS, Windows et les clients routeur à jour, la réponse aux incidents, et — pour les services sérieux — le coût récurrent d'audits externes dont le rapport est publié.
Un utilisateur gratuit qui consomme plusieurs dizaines de gigaoctets par mois coûte donc de l'argent réel à l'opérateur. Aucune entreprise ne supporte cette charge sans contrepartie. Les contreparties possibles sont connues : le palier gratuit sert de produit d'appel et c'est l'abonnement payant qui l'absorbe ; l'application affiche de la publicité et intègre les régies correspondantes ; ou le service monétise ce qui transite — historique des domaines résolus, métadonnées de connexion, voire bande passante résidentielle revendue à des tiers. Ces modèles n'ont pas le même profil de risque, et ils se distinguent à des signaux précis décrits dans la page consacrée au modèle économique d'un VPN gratuit : politique de confidentialité, propriétaire réel de l'entreprise, présence de traceurs dans l'APK, rapport de transparence.
Ce n'est pas une inquiétude théorique. Une analyse académique de 283 applications VPN Android publiée en 2016 a montré que 38 % d'entre elles étaient signalées par au moins un moteur antivirus, que 75 % embarquaient des bibliothèques de suivi tierces, que 18 % ne chiffraient pas le trafic malgré leur fonction annoncée, et qu'une minorité réacheminait le trafic des utilisateurs à travers les appareils d'autres utilisateurs. Les proportions varient d'une étude à l'autre, mais la conclusion est stable : sur le marché des VPN gratuits pour Android, une part significative des applications fait exactement ce contre quoi un VPN est censé protéger. D'où la nécessité d'une évaluation, et non d'une simple confiance dans le classement d'un magasin d'applications.
Un VPN déplace la confiance : votre fournisseur d'accès ne voit plus votre trafic, mais l'opérateur du VPN, lui, le voit. Choisir un VPN gratuit, c'est décider à qui l'on transfère cette visibilité. La question n'est donc jamais « ce VPN est-il gratuit ? » mais « qui est l'opérateur, comment gagne-t-il de l'argent, et qu'est-ce qui le prouve ? ».
Android élargit la surface d'exposition
Un VPN sur ordinateur fixe fonctionne dans un environnement stable. Sur Android, l'appareil est connecté en permanence, change de réseau plusieurs fois par heure — Wi-Fi domestique, Wi-Fi de transport, données mobiles — sans intervention, et exécute des dizaines d'applications qui ouvrent des connexions en arrière-plan. Chaque bascule de réseau et chaque sortie de veille est une occasion de fuite si le client gère mal la transition.
La mécanique Android elle-même mérite d'être comprise. Une application VPN s'appuie sur l'API VpnService et la permission BIND_VPN_SERVICE : elle crée une interface réseau virtuelle par laquelle passe tout le trafic IP de l'appareil. L'application voit alors les adresses source et destination, les requêtes DNS si elle gère le résolveur, le nom de domaine demandé en clair dans la négociation TLS, ainsi que la taille et le rythme des paquets. Elle ne lit pas le contenu chiffré, mais elle a une vue complète des métadonnées. Ce que cette permission autorise réellement, les permissions annexes à surveiller et la méthode d'audit sont détaillés dans la page sur les permissions Android d'une application VPN.
Le tunnel n'est pas étanche par défaut
Activer un VPN ne garantit pas que 100 % du trafic passe par le tunnel. Plusieurs chemins de fuite existent sur Android. Le kill switch applicatif — le client coupe le réseau s'il détecte une déconnexion — dépend de l'application qui tourne et réagit à temps ; sur un palier gratuit, il est souvent absent ou désactivé par défaut. Le kill switch au niveau du système d'exploitation, lui, est fiable : « VPN permanent » associé à « Bloquer les connexions sans VPN » fait bloquer par le noyau tout trafic hors tunnel, y compris pendant le démarrage, une reconnexion ou un plantage de l'application.
À cela s'ajoutent les fuites DNS lorsque les requêtes de résolution ne sont pas forcées dans le tunnel, les fuites IPv6 quand le service ne route que l'IPv4 alors que le réseau mobile fournit de l'IPv6, et la fenêtre de reconnexion pendant laquelle l'adresse réelle est visible quelques secondes à chaque changement de réseau. La page sur le kill switch et les fuites sur Android explique comment configurer le blocage système et comment tester une connexion en cinq minutes, sur Wi-Fi puis sur données mobiles.
Ce qu'un palier gratuit ne peut pas faire
Certaines limites d'un VPN gratuit ne sont pas des choix commerciaux arbitraires mais des conséquences directes du coût de la bande passante. Le quota mensuel de données — de 500 Mo à une dizaine de gigaoctets selon les services — exclut mécaniquement le streaming vidéo (environ 3 Go par heure en haute définition), les sauvegardes cloud et les mises à jour d'applications volumineuses. Les utilisateurs gratuits sont dirigés vers un sous-ensemble de serveurs souvent saturés aux heures de pointe, avec un débit qui s'effondre. Le pair-à-pair est généralement désactivé sur ces serveurs, le choix de pays est réduit à quelques emplacements, et le déblocage des plateformes de streaming n'est pas maintenu.
La congestion mérite une précision, car elle est mal comprise. Un opérateur dimensionne sa capacité pour ses clients payants ; les utilisateurs gratuits sont servis sur la capacité résiduelle, souvent via des serveurs dédiés au palier gratuit. Aux heures de forte affluence, ces serveurs atteignent leur limite et le débit par utilisateur chute — non pas par malveillance, mais par arithmétique. Certains services ajoutent un bridage explicite, en annonçant des « vitesses moyennes » pour le gratuit afin d'inciter au passage à l'offre payante. Dans les deux cas, la vitesse observée lors d'un test rapide en journée ne préjuge pas de la vitesse un vendredi soir.
Un palier gratuit reste utile pour ce qu'il sait faire : chiffrer une session courte sur un Wi-Fi public hostile, masquer une adresse IP pour une consultation ponctuelle, dépanner. C'est un outil d'appoint. Le détail de ces contraintes et l'arbitrage entre usage ponctuel et usage régulier sont traités dans la page sur les limites structurelles d'un VPN gratuit.
Sur mobile, le protocole décide de l'autonomie et des coupures
Le choix du protocole a plus de conséquences sur Android que sur ordinateur. WireGuard, dont la pile cryptographique est figée et sans négociation possible, est sans état au niveau du transport : après un changement de réseau, le premier paquet chiffré reçu suffit à reprendre la session, ce qui rend la reconnexion quasi instantanée. Son implémentation proche du noyau réduit les réveils du processeur et améliore l'autonomie.
IKEv2 avec l'extension MOBIKE maintient l'association de sécurité lors d'un changement d'adresse IP sans renégocier — un atout pour les bascules Wi-Fi/données. OpenVPN, à l'inverse, s'exécute en espace utilisateur sur Android, ce qui coûte plus de processeur et de batterie, et impose une renégociation complète à chaque reconnexion ; son intérêt est de pouvoir se faire passer pour du trafic HTTPS sur le port 443 quand un réseau filtre le reste. Le rôle des instructions AES matérielles du processeur, la question du MTU et le comportement comparé lors des transitions réseau sont développés dans la page sur les protocoles VPN sur Android.
Le tunnel qui tombe en arrière-plan
Le symptôme est fréquent : l'adresse IP est correcte quand on regarde l'écran, mais des requêtes partent en clair quand le téléphone est dans la poche. La cause est presque toujours la même — l'application VPN a été suspendue par le système et aucun blocage n'a pris le relais. Android met en veille l'accès réseau des applications via le mode Doze et les paliers d'App Standby ; une application VPN correctement écrite tourne comme service de premier plan avec notification persistante et y échappe, mais une application bâclée est suspendue et le tunnel tombe.
Les surcouches des constructeurs aggravent le problème avec leurs propres gestionnaires de mémoire qui ferment des applications pourtant protégées. Les correctifs — VPN permanent au niveau système, exclusion de l'optimisation de batterie, ajout aux applications protégées de la surcouche — sont décrits dans la page sur le comportement d'un VPN en arrière-plan sur Android.
Évaluer un service : huit critères vérifiables
Aucun classement de marques ne remplace une méthode que l'on peut appliquer soi-même. Huit critères permettent de noter un VPN gratuit pour Android sur des faits, pas sur des promesses : le modèle de financement divulgué et le propriétaire réel de l'entreprise ; l'existence d'un audit indépendant récent au rapport public ; un client Android open source ; un rapport de transparence assorti d'une politique de journalisation explicite ; une empreinte de permissions et de traceurs minimale, vérifiable sur un analyseur d'APK ; une gestion technique correcte des fuites DNS et IPv6 avec prise en charge du VPN permanent ; des protocoles modernes ; et des limites annoncées honnêtement avant l'installation.
Chacun de ces points renvoie à un test concret. La grille d'évaluation d'un VPN gratuit pour Android rassemble les huit critères, la marche à suivre pour les appliquer en une demi-heure, et le moment où le calcul coût/bénéfice cesse de pencher en faveur du gratuit.
Ce qu'il faut retenir
Un VPN gratuit pour Android est un compromis dont il faut connaître les termes. Le modèle économique détermine le risque, la mécanique Android détermine l'étanchéité réelle, et le coût de la bande passante détermine ce que le service peut techniquement offrir. Un palier gratuit issu d'un éditeur transparent, financé par son offre payante, audité et sobre en permissions, convient à un usage d'appoint sur réseau public. Dès que l'usage devient régulier ou que la confidentialité est un enjeu réel plutôt qu'un confort, les critères de gouvernance pèsent davantage et orientent presque toujours vers un service payant vérifié. La suite de ce site détaille chacun de ces mécanismes pour permettre une décision informée.