HTTPS partout, VPN encore utile ? Ce que le cadenas laisse voir
Ou : le cadenas protège la lettre, pas l’enveloppe.
La réponse courte : HTTPS et VPN ne font pas double emploi, parce qu’ils ne cachent pas la même chose. HTTPS chiffre le contenu d’une page et son adresse exacte, et il est devenu la norme : mi-septembre 2026, environ 95 % des pages chargées dans Chrome sous Windows l’étaient en HTTPS, 99 % sous Android et plus de 95 % en France, selon le rapport de transparence de Google. Ce qu’il laisse visible au réseau et à votre fournisseur d’accès, c’est l’enveloppe : l’adresse IP du serveur contacté, le nom de domaine du site, souvent vos requêtes DNS, et le volume et les horaires de vos échanges. Un VPN cache cette enveloppe au réseau local et au fournisseur d’accès, en la confiant à quelqu’un d’autre. C’est l’une des nuances qui séparent ce qu’un VPN apporte réellement de ce qu’on lui prête.
Concrètement, sur le Wi-Fi d’un café en 2026, le scénario qui fait peur dans les publicités (quelqu’un qui lit votre mot de passe bancaire au passage) est déjà bloqué par HTTPS. Ce qu’un réseau malveillant peut encore apprendre, c’est la liste des sites que vous visitez et à quelle heure. C’est moins spectaculaire, et pour certains usages c’est exactement ce qu’on veut protéger.
VPN et HTTPS : ce que chacun chiffre, et ce qui reste visible
Le détail tient dans une poignée de mécanismes. Lors de l’ouverture d’une connexion HTTPS, le navigateur annonce en clair le nom du site qu’il veut joindre, dans un champ appelé SNI. La norme qui corrige ce défaut, Encrypted Client Hello, a été publiée par l’IETF en mars 2026 sous le numéro RFC 9849, dont l’introduction qualifie ce champ en clair de peut-être l’information la plus sensible encore laissée non chiffrée. Elle était déjà déployée avant sa publication : chez Cloudflare depuis septembre 2023, dans Chrome depuis la version 117 et dans Firefox, par défaut, depuis la version 119. Mais elle ne protège que les sites dont l’hébergeur la prend en charge.
Les requêtes DNS, qui traduisent un nom de domaine en adresse IP, partent elles aussi en clair par défaut vers le résolveur de votre fournisseur d’accès. Le DNS chiffré existe (DNS over HTTPS et DNS over TLS), et Chrome l’active depuis 2020 lorsque le résolveur configuré le prend en charge, mais Firefox ne l’active par défaut ni en France ni en Belgique. Reste l’adresse IP de destination, qu’aucun réglage du navigateur ne peut masquer, puisque c’est elle qui achemine les paquets.
| Information | HTTPS seul | HTTPS avec DNS chiffré et ECH | Avec un VPN, vu par le FAI | Avec un VPN, vu par le fournisseur VPN |
|---|---|---|---|---|
| Contenu des pages | Chiffré | Chiffré | Chiffré | Chiffré (HTTPS) |
| Nom de domaine | Visible | Masqué si le site gère ECH | Masqué | Visible |
| Requêtes DNS | Visibles | Masquées | Masquées | Visibles s’il fait la résolution |
| Adresse IP de destination | Visible | Visible | Masquée | Visible |
| Applications hors navigateur | Selon l’application | Selon l’application | Masquées | Visibles |
La dernière colonne résume l’arbitrage. Un VPN ne fait pas disparaître ces informations, il les déplace : votre fournisseur d’accès ne les voit plus, votre fournisseur VPN les voit à sa place. Il ajoute aussi une protection pour le trafic que HTTPS ne couvre pas, les quelques pour cent de pages encore servies en clair et les applications qui communiquent hors du navigateur. Sur un réseau que vous ne contrôlez pas, c’est un vrai complément. Sur votre connexion domestique, la question devient : à qui préférez-vous confier la liste de vos destinations ?
Masquer ses destinations n’est pas devenir anonyme
Cacher les noms de domaine à votre fournisseur d’accès ne vous rend pas inconnu des sites que vous consultez : votre compte, vos cookies et votre navigateur vous identifient toujours. La différence entre confidentialité et anonymat est développée dans pourquoi le VPN ne suffit pas à rester anonyme.
Le coût du chiffrement supplémentaire
Un VPN ajoute une couche de chiffrement à une connexion déjà chiffrée, ce qui fait craindre une perte de débit. Le chiffrement pèse en réalité beaucoup moins que la distance jusqu’au serveur, comme l’explique l’effet d’un VPN sur la vitesse de connexion.
Le pirate du café, dix ans après
Une bonne partie de la publicité pour les VPN repose encore sur un Wi-Fi public tel qu’il existait avant la généralisation de HTTPS. Ce que ces messages exagèrent, et ce qu’ils disent de juste, est démonté dans le marketing de la peur autour des VPN.