Pouvoir lire le code de son VPN : ce que l'open source garantit, et pas
Ou : la différence entre publier la recette et prouver que c’est elle qui est dans l’assiette.
La réponse courte : un client VPN open source est une application dont le code est publié, de sorte que n’importe qui peut vérifier ce qu’elle fait sur votre appareil. Comment elle résout les noms de domaine, ce qu’elle envoie au fournisseur, comment elle réagit quand le tunnel tombe. Proton VPN a ouvert le code de toutes ses applications en janvier 2020, IVPN l’a fait la même année sous licence GPLv3, et Mullvad publie les siennes sous la même licence pour Windows, macOS, Linux, Android et iOS. C’est la seule partie de la chaîne que vous pouvez contrôler vous-même, et elle complète utilement ce que le droit du pays et les audits disent du fournisseur. Ce qu’elle ne couvre pas, en revanche, ce sont les serveurs : le code publié est celui de l’application, pas celui de l’infrastructure à laquelle elle se connecte.
Il reste une question que le mot « open source » laisse en suspens : l’application que vous téléchargez est-elle bien compilée à partir du code publié ? Pour le prouver, il faut des compilations dites reproductibles, qui permettent à un tiers de reconstruire le fichier et d’obtenir exactement le même, octet pour octet. Mullvad le propose pour son application Android depuis mai 2025. C’est moins spectaculaire qu’une annonce d’ouverture du code, et c’est pourtant la pièce qui transforme une promesse en vérification.
VPN open source : l’application, le protocole et la part qui reste fermée
Le degré d’ouverture varie beaucoup d’un fournisseur à l’autre, et les pages d’accueil ne font pas toujours la distinction. NordVPN a publié son client Linux en ligne de commande sous GPLv3 en mars 2023, puis son interface graphique Linux en octobre 2025 ; les applications des autres systèmes et l’infrastructure restent fermées. Windscribe a publié ses applications progressivement, la version iOS arrivant en dernier en juin 2024. Le magasin d’applications libres F-Droid, qui recompile lui-même les applications à partir de leurs sources, distribue Proton VPN depuis mai 2020 et Mullvad depuis juin 2020, avec un détail révélateur : il signale pour Proton VPN des « anti-fonctionnalités », dont un serveur propriétaire et des rapports d’usage et de plantage activés par défaut, qu’on peut désactiver. Rien d’inquiétant, mais c’est exactement le genre d’information que seule la publication du code permet d’obtenir.
| Fournisseur | Applications ouvertes | Licence | Compilation reproductible |
|---|---|---|---|
| Proton VPN | Toutes, depuis janvier 2020 | GPLv3 | Non annoncée |
| Mullvad | Toutes | GPLv3 | Android, depuis mai 2025 |
| IVPN | Toutes, depuis février 2020 | GPLv3 | Non annoncée |
| Windscribe | Toutes, iOS depuis juin 2024 | GPL | Non annoncée |
| NordVPN | Linux uniquement (2023, puis 2025) | GPLv3 | Non annoncée |
Il faut aussi distinguer l’application du protocole qu’elle utilise. WireGuard, conçu par Jason A. Donenfeld, a été écrit à l’origine en moins de 4 000 lignes de code pour sa version Linux, hors primitives cryptographiques, ce qui le rend lisible par une seule personne. Il est intégré au noyau Linux depuis la version 5.6, sortie en mars 2020. OpenVPN, son prédécesseur, est lui aussi publié sous licence libre. Qu’un fournisseur utilise un protocole ouvert ne dit donc rien de son application : presque tout le marché repose sur l’un de ces deux protocoles, y compris des services dont aucune ligne de code applicatif n’est publique.
Reste une limite qu’il serait malhonnête de passer sous silence. Du code publié n’est pas du code lu. L’intérêt de l’open source tient à la possibilité d’un examen, pas à sa réalisation automatique, et un dépôt que personne n’audite protège surtout contre les mensonges grossiers. C’est déjà beaucoup, et c’est la raison pour laquelle un fournisseur qui publie son code s’expose davantage qu’un fournisseur qui publie un argumentaire.
Le côté serveur, que le code publié ne montre pas
Une application peut être parfaitement irréprochable et se connecter à des serveurs qui journalisent tout. Ce que des auditeurs extérieurs peuvent constater sur ces machines, et à quelle date, est détaillé dans la valeur réelle d’un audit indépendant.
Ce que les serveurs gardent, ou ne peuvent pas garder
Faute de pouvoir lire le code des serveurs, certains fournisseurs ont choisi de les faire tourner sans disque, pour que rien ne survive à un redémarrage. L’approche, ses limites et le désaccord qu’elle suscite sont exposés dans l’architecture des serveurs sans stockage.
Qui signe l’application que vous installez
Au bout de la chaîne, un binaire est signé par une société, et cette société a des actionnaires, un siège et parfois un nouveau propriétaire. La cartographie des groupes qui contrôlent les principales marques est faite dans les véritables propriétaires des marques VPN.