Que voit mon fournisseur d'accès quand le VPN est activé ? Ce qui reste caché et ce qui ne l'est pas (2026)

En bref : ce qui circule dans le VPN, votre fournisseur d'accès ne peut pas le lire. Il voit en revanche qu'un VPN existe, à quelle adresse il est relié, quand il était actif et combien de données y sont passées. Il en va de même pour l'opérateur mobile et pour le gérant du Wi-Fi du café. Un VPN réduit nettement ce qui est visible de vous, sans le ramener à zéro — et presque toute la confusion se loge dans cet écart.

Ce qui est visible sans VPN

Sans tunnel, votre fournisseur se trouve sur le trajet de chaque paquet. Il voit l'adresse de chaque serveur contacté avec l'heure, les requêtes DNS si c'est son propre résolveur qui répond, et le nom du site au début de presque chaque connexion HTTPS (le champ SNI) — même quand le DNS est chiffré. Encrypted Client Hello change la donne, mais il est encore loin d'être partout. Les pages, formulaires et messages d'un site en HTTPS, eux, lui restent invisibles.

Ce qui reste visible malgré le VPN : serveur, horaires, volume

Avec un VPN, tous les paquets partent vers un seul serveur : la longue liste d'adresses devient un flux unique. Mais l'adresse de ce serveur reste visible, et elle dit quelque chose : les réseaux de centres de données ne ressemblent pas aux accès des particuliers. Une longue connexion d'une ligne fixe vers une seule machine en centre de données est déjà un motif reconnaissable.

Le chiffrement protège le contenu, pas l'enveloppe. Le fournisseur voit toujours quand la connexion s'ouvre et se ferme, combien d'octets partent dans chaque sens et par quelles rafales. Un flux régulier dans les deux sens pendant une demi-heure ressemble à un appel, plusieurs gigaoctets dans un seul sens à un téléchargement. Le site ouvert n'en ressort pas, vos habitudes horaires si. La formule honnête : un VPN cache ce qui passe par lui, pas le fait que vous l'utilisez.

La poignée de main du tunnel lui-même

Les poignées de main des sites que vous ouvrez voyagent dans le tunnel. Celle du tunnel, elle, est à l'extérieur, et ce qu'on y lit dépend du protocole :

• VLESS Reality dirige la poignée de main vers un vrai site tiers et porte son nom : pas de domaine à vous à journaliser. Le point faible est ailleurs : la connexion aboutit à une adresse à laquelle ce nom n'appartient pas, et la comparaison est possible.
• Hysteria2 et les autres protocoles sur QUIC : le premier paquet QUIC est protégé par des clés dérivées d'une valeur publiée dans la RFC 9001. N'importe qui sur le trajet peut le déchiffrer et lire le nom. QUIC seul ne cache pas le nom.
• VLESS ou Trojan sur TLS classique avec votre propre domaine : le domaine figure en clair dans la poignée de main — une étiquette permanente sur votre trafic.
• WireGuard n'a pas de TLS, donc pas de nom. Il n'est pas invisible pour autant : sa poignée de main se compose de messages de 148 et 92 octets au premier octet fixe, et une simple règle de longueur les reconnaît.

Où le trafic passe à côté du tunnel

• Le DNS hors du tunnel. Si le client ne prend pas la résolution des noms en charge, les requêtes partent vers le résolveur du fournisseur — c'est-à-dire presque toute la liste des sites que le VPN devait cacher.
• IPv6. Si le tunnel ne transporte que l'IPv4 alors que votre ligne a de l'IPv6, les sites en IPv6 sont joints directement. En France, la plupart des lignes fixes sont en double pile : voyez IPv6 et CGNAT chez les FAI français.
• Les exceptions. Les sites et applications que vous avez envoyés à côté du VPN, le fournisseur les voit comme sans VPN.
• Allumage et reconnexion. Tant que le tunnel se monte — à l'allumage et après chaque changement de réseau —, le trafic prend le chemin normal. Sans blocage en cas de coupure, ces secondes sont visibles. Dans un train ou un hôtel, le portail captif s'en mêle : pourquoi le tunnel ne monte pas derrière un portail captif.

Comment notre application s'y prend

• Où vous êtes. L'écran « Where are you? » propose deux modes. « I am abroad » : tout le trafic passe par nous, sites russes compris. « I am in Russia » : les sites russes s'ouvrent directement, et votre fournisseur les voit comme sans VPN. Hors de Russie, choisissez « I am abroad ». L'application n'existe pour l'instant qu'en anglais et en russe.
• DNS sur iPhone et iPad. Les noms sont résolus par Cloudflare en DNS-over-HTTPS, via le serveur VPN. Ceux des sites ouverts directement le sont par le DNS public de Yandex, hors VPN.
• DNS sur ordinateur. Les noms sont résolus par Cloudflare et Google, les requêtes passent par le serveur VPN ; l'application envoie l'IPv6 dans le tunnel avec l'IPv4.
• L'adresse du serveur, l'application la demande au DNS de votre réseau avant de se connecter — sinon elle n'aurait rien à quoi se connecter. Cette requête-là, votre fournisseur la voit.
• La coupure. Sur iPhone et iPad, l'interrupteur « Block the internet if the VPN drops » fait que, tant que le VPN est activé, rien ne passe à côté.

L'observateur ne disparaît pas, il déménage

Tout ce que votre fournisseur ne voit plus, quelqu'un d'autre le voit : votre trafic sort sur internet depuis le serveur VPN, et son exploitant occupe désormais la place du fournisseur. La question « que voit mon FAI ? » va donc toujours avec « que voit le service VPN ? ». Ce que voit un réseau Wi-Fi partagé est détaillé dans hotspots d'opérateur et Wi-Fi partagé.

Ce que votre fournisseur doit conserver, c'est la loi qui le dit. En France, l'article L34-1 du code des postes et des communications électroniques oblige les opérateurs à garder pendant un an les données qui permettent d'identifier la source d'une connexion, dont l'adresse IP attribuée. Avec un VPN, ces données décrivent une connexion au serveur VPN, pas les sites visités.

Vérifier votre connexion

1. 1Activez le VPN et ouvrez notre test de fuites : il montre l'adresse et le pays que voient les sites, une fuite WebRTC et le fuseau horaire. Il ne teste pas encore le DNS.
2. 2Testez l'IPv6 sur ordinateur avec curl -6 https://ifconfig.co. Si votre adresse personnelle apparaît, l'IPv6 contourne le tunnel ; une erreur de connexion signifie qu'il n'y a pas d'IPv6 du tout — c'est correct aussi.
3. 3Testez la reconnexion : coupez puis rallumez le Wi-Fi et rouvrez aussitôt le test. C'est dans ces secondes qu'on voit si un blocage en cas de coupure fonctionne.
4. 4Refaites la vérification après un changement de client, une mise à jour du système ou un changement de ligne — pas chaque semaine.

Questions fréquentes