Quel VPN choisir sur PC ou Windows ? La méthode qui évite les faux bons choix
Le meilleur VPN dépend de ce que vous voulez protéger. Pour un Wi-Fi public, un service VPN peut protéger le trajet jusqu’à son serveur ; pour relier vos propres machines, regardez WireGuard ou OpenVPN ; pour l’anonymat, comparez plutôt Tor et Tails. Sur Windows, vérifiez le client, le fournisseur et la sortie possible, pas seulement le nombre de pays.
Sommaire
Le meilleur VPN dépend de ce que vous voulez protéger
Un VPN n’est pas un produit unique. Le même mot désigne un abonnement de sortie vers Internet, un réseau privé d’entreprise ou un tunnel entre deux machines que vous administrez. Ces solutions peuvent employer des protocoles proches, mais elles ne donnent ni la même responsabilité ni le même résultat.
La question utile tient en une phrase : quel trajet voulez-vous protéger, contre qui, et jusqu’à quel point devez-vous garder la main ? Si vous ne pouvez pas répondre, commencez par décrire la situation plutôt que par comparer des applications Windows. Cette phrase évite d’acheter un abonnement quand il faudrait seulement une configuration d’accès distant, ou de chercher l’anonymat dans un outil qui ne fait que déplacer le point de sortie.
Ce qu’un VPN protège réellement
Un VPN crée une interface ou une liaison logique entre un client et un serveur. Les paquets passent dans ce tunnel jusqu’au serveur qui les relaie vers le réseau voulu. La documentation de WireGuard décrit l’encapsulation de paquets IP sur UDP et l’échange de clés entre pairs ; la documentation OpenVPN 2.x décrit une extension réseau fondée sur SSL/TLS, utilisable en couche 2 ou 3.
Le tunnel protège donc une partie du chemin entre votre appareil et le serveur VPN. Il ne transforme pas automatiquement la suite de la connexion en espace de confiance : le site visité, votre navigateur, vos comptes et le serveur de sortie restent des éléments distincts. Une connexion HTTPS conserve son intérêt après le tunnel, car elle protège la relation entre le navigateur et le site final.
La limite à retenir est simple : un VPN protège un trajet, pas l’ordinateur ni l’identité entière. Il ne nettoie pas un poste infecté, ne reconnaît pas un faux site à votre place et n’efface pas les identifiants qui permettent à un service de vous reconnaître. La promesse correcte porte sur un réseau et un serveur, jamais sur une invisibilité générale.
Quatre situations, quatre décisions
Le critère technique à isoler avant le tableau est le routage. Si vous devez régler les routes, les DNS ou AllowedIPs, cette partie demande une compétence de configuration ; ne la mélangez pas avec le prix ou la simplicité de l’application.
| Situation | Solution à examiner | Vérification avant de choisir |
|---|---|---|
| Vous utilisez un Wi-Fi public | Le partage de connexion mobile d’abord ; un VPN si le besoin de réseau le justifie | Éviter une opération sensible si le contexte reste incertain et vérifier le serveur auquel le client se connecte |
| Vous voulez joindre vos propres machines | Un tunnel WireGuard ou OpenVPN entre des appareils que vous pouvez administrer | Qui possède les deux extrémités, quelles routes passent dans le tunnel et comment révoquer une clé |
| Vous travaillez dans une organisation | Le client et la configuration fournis par l’organisation | Le nom du serveur, le support prévu et la procédure officielle en cas de perte du poste |
| Vous cherchez surtout l’anonymat | Une comparaison avec Tor et Tails plutôt qu’un simple changement de serveur de sortie | Ce que votre adversaire peut encore voir et quelles identités vous ne devez pas mélanger |
L’ANSSI conseille d’éviter les réseaux Wi-Fi publics, de préférer le partage de connexion quand c’est possible et de ne pas y réaliser d’opération sensible si vous n’avez pas d’autre choix. Le VPN apparaît dans cette recommandation comme une mesure possible, pas comme une raison de traiter un réseau inconnu comme votre réseau domestique.
WireGuard ou OpenVPN sur un PC Windows ?
WireGuard et OpenVPN sont des protocoles ou des logiciels de tunnel ; aucun des deux ne choisit à votre place le fournisseur, le serveur, les routes ou la conservation des données. La comparaison utile porte sur la configuration dont vous disposez déjà, le matériel que vous administrez et le niveau de détail que vous devez contrôler.
| Point à regarder | WireGuard | OpenVPN |
|---|---|---|
| Modèle de configuration | Une interface, une clé privée, des pairs avec clés publiques et des réseaux autorisés | Un client ou serveur avec certificats, paramètres SSL/TLS, routage et fichiers de configuration |
| Documentation officielle | Quick Start WireGuard pour les clés, l’interface et le maintien de session | Community How-To OpenVPN pour les certificats, le routage et les scénarios client/serveur |
| Choix raisonnable | À examiner si vous contrôlez les pairs et voulez une configuration courte à distribuer | À examiner si vous reprenez une infrastructure ou une configuration OpenVPN existante |
La page d’installation WireGuard publie un client Windows et un lien vers l’installeur officiel. Son guide de démarrage précise aussi que PersistentKeepalive = 25 est un intervalle raisonnable lorsqu’un pair derrière un NAT ou un pare-feu doit rester joignable après une période sans trafic. Ce réglage ne doit pas être ajouté par réflexe : par défaut, WireGuard reste silencieux quand aucun pair n’a de paquet à envoyer.
Le choix ne se résume donc pas à la vitesse annoncée. Vérifiez la configuration que vous devrez maintenir, la façon dont les clés sont distribuées et l’endroit où les journaux de connexion sont produits. Un tunnel simple à installer peut rester mal routé ; un client connu peut rester relié au mauvais serveur.
Le client Windows n’est pas le fournisseur VPN
Une application installée sur Windows est seulement le client. Le fournisseur ou l’administrateur du serveur détermine le point de sortie, les comptes nécessaires, les conditions de conservation et le support. Pour comparer ces éléments sans recopier une promesse publicitaire, utilisez la grille pour choisir un logiciel et posez les questions qui ferment réellement votre décision. Pour examiner les quotas et la portée d’une offre gratuite, les offres VPN gratuites et leurs limites complètent cette vérification.
- Qui exploite le serveur ? Identifiez l’organisation responsable et la juridiction indiquée dans ses conditions.
- Quelles données sont nécessaires ? Séparez les informations du compte, les données de paiement et les journaux annoncés pour le service.
- Quel est le coût total ? Lisez la période promotionnelle, le renouvellement, la TVA éventuelle, les limites et la procédure d’annulation.
- Quel client et quel protocole utilisez-vous ? Contrôlez la version Windows proposée, la source de téléchargement et la possibilité de récupérer la configuration.
- Que se passe-t-il quand vous partez ? Vérifiez la suppression du compte, la révocation des clés ou certificats et la façon de retirer le client du poste.
Une politique lisible ne prouve pas à elle seule le comportement de chaque serveur, mais une promesse introuvable ne permet pas de comparer. Ne confondez pas non plus un VPN auto-hébergé avec un service commercial : dans le premier cas, vous portez la maintenance du serveur et la gestion des clés ; dans le second, vous déléguez ces décisions à l’opérateur.
Vérifier un téléchargement avant l’installation
Le nom du logiciel ne suffit pas à identifier un fichier. Ouvrez la page d’installation officielle, relevez l’artefact précis et contrôlez sa taille et son empreinte avant de l’exécuter. Cette vérification ne prouve pas le comportement futur du programme ; elle confirme que le fichier contrôlé correspond à celui que vous avez conservé.
Un installeur Windows WireGuard téléchargé depuis le répertoire officiel le 17 septembre 2026 a été mesuré à 3 227 648 octets. La commande file l’a reconnu comme une base MSI Windows x64 et sha256sum a renvoyé l’empreinte suivante :
6daa5d37a9e2950dfb8c48b95ab8e562cb2bad1c785d020f38f97bea4c6a5566Sur Windows, le contrôle équivalent est :
Get-FileHash .\wireguard-amd64-1.1.msi -Algorithm SHA256Comparez le résultat au fichier et à la version exacts que vous avez téléchargés, puis utilisez la page d’installation WireGuard pour confirmer la source. Cette empreinte est celle de cet artefact daté ; elle ne vaut pas pour une version future ou pour un autre nom de fichier.
Quand un VPN est le mauvais outil
Un VPN ne réparera pas une route absente, un DNS qui ne répond pas, un poste compromis ou une authentification mal protégée. Avant de changer le client, utilisez lire la route avant de modifier un VPN pour distinguer interface, adresse, route, DNS et service. La connexion au serveur VPN doit elle-même partir d’un réseau fonctionnel.
Si le besoin est de protéger un compte, travaillez aussi sur l’authentification et la récupération : la procédure d’authentification forte traite une autre partie du problème. Si le besoin principal est de limiter les traces d’une session et de séparer des identités, consultez l’approche Tails pour l’anonymat ; elle ne se choisit pas avec les mêmes critères qu’un tunnel VPN.
Le bon choix est celui dont vous connaissez les deux extrémités, les données confiées, le coût total et la marche arrière. Sur Windows, commencez par le trajet à protéger, vérifiez la provenance du client, puis seulement comparez les fonctions qui changent votre décision.