Protocoles VPN : ce qu’il faut en retenir, et ce qu’on peut ignorer

31/08/2026

Dernière mise à jour : 05/09/2026

Le protocole décide comment le tunnel est établi et maintenu. C’est le réglage sur lequel le secteur écrit le plus, et l’un de ceux qui changent le moins votre expérience. Voici la version utile.

Les trois qui comptent

• WireGuard. Le plus récent et le plus rapide, avec une base de code très réduite — un avantage de sécurité en soi, parce qu’il y a moins de surface à auditer. C’est devenu le choix par défaut à peu près partout.
• OpenVPN. L’ancien standard, plus lent, mais éprouvé depuis deux décennies et capable de passer pour du trafic web ordinaire, ce qui reste précieux sur les réseaux qui filtrent. Toujours pertinent, plus par défaut.
• IKEv2/IPsec. Rapide, très bon pour reprendre une connexion après un changement de réseau, donc souvent préféré sur mobile.

Les protocoles plus anciens — PPTP, L2TP seul — n’ont plus de raison d’être proposés. Si une application vous les met en avant, c’est un mauvais signe sur le reste.

Les noms maison

NordLynx chez NordVPN, Lightway chez ExpressVPN : ce sont des implémentations propres à un fournisseur, dérivées de WireGuard pour la première, écrite sur mesure pour la seconde. Le marketing les présente comme des technologies distinctes ; en pratique, considérez-les comme des variantes de la même génération. Nos fiches fournisseurs indiquent lequel utilise quoi.

Ce que le choix change réellement

Sur une connexion française ordinaire, avec un serveur proche, la différence de débit entre WireGuard et OpenVPN est perceptible sur un test de vitesse et rarement dans l’usage. Le protocole devient un vrai sujet dans deux cas seulement : quand le réseau bloque activement les VPN — voir VPN en Chine — et quand vous changez souvent de réseau en mobilité.

Notre conseil tient en une ligne : laissez le réglage automatique, et ne touchez au protocole que si quelque chose ne marche pas. C’est moins impressionnant qu’un tableau comparatif, et plus utile.

Nous ne publions pas de mesures de débit par protocole : nous ne les réalisons pas nous-mêmes, et des chiffres dépendant du serveur, de l’heure et de la ligne ne se transposent pas à votre situation.

UDP ou TCP : le réglage caché sous le protocole

Beaucoup d’applications proposent ce choix sans l’expliquer, et il change davantage l’expérience que le nom du protocole lui-même.

• UDP envoie les paquets sans accusé de réception. C’est plus rapide et c’est le bon choix par défaut : vidéo, jeu, navigation. WireGuard ne fonctionne qu’en UDP.
• TCP vérifie que chaque paquet est arrivé. Plus fiable sur une connexion instable ou filtrée, mais plus lent — et sujet à un effet désagréable : votre trafic est déjà en TCP à l’intérieur du tunnel, et empiler deux contrôles de retransmission peut faire s’effondrer le débit au lieu de le stabiliser.

La règle pratique : restez en UDP. Passez en TCP uniquement si la connexion ne s’établit pas du tout, et repassez en UDP ensuite.

Quand le réseau bloque le VPN

C’est le seul cas où le choix du protocole devient vraiment décisif plutôt que marginal. Certains réseaux — entreprises, établissements scolaires, quelques hôtels, certains pays — ne bloquent pas « le VPN » en général : ils bloquent les ports et les signatures que les protocoles courants laissent voir.

Trois contournements, du plus simple au plus spécialisé :

1. OpenVPN en TCP sur le port 443. C’est le port de tout le web chiffré : un filtre qui le bloquerait bloquerait aussi HTTPS. Le trafic ne devient pas indétectable pour autant, mais il devient coûteux à distinguer.
2. Un protocole d’obfuscation maison. Plusieurs éditeurs en proposent un, sous des noms différents, dont le principe commun est de faire ressembler le tunnel à du trafic TLS ordinaire. Leur dérivation technique est rarement documentée en détail — c’est une limite dont il faut avoir conscience.
3. Un rebond par proxy — SOCKS5 ou Shadowsocks — proposé par certaines applications de bureau, qui ajoute une couche avant le tunnel.

Conséquence concrète pour le choix d’un service : si vous vous connectez régulièrement depuis un réseau filtré, le nombre de protocoles disponibles compte plus que le nombre de serveurs. Un service qui n’en propose que deux vous laisse deux tentatives.

Les deux protocoles à ne plus utiliser

Ils apparaissent encore dans les réglages réseau de Windows, de macOS et d’iOS, ce qui leur donne une légitimité qu’ils n’ont plus.

• PPTP — son mécanisme d’authentification est cassé depuis longtemps et le chiffrement qui en découle se casse avec lui. Ce n’est pas « moins sûr », c’est à considérer comme non chiffré. À éviter sans exception.
• L2TP/IPsec — pas cassé, mais sans intérêt aujourd’hui : plus lent que WireGuard, sans obfuscation, et il utilise des ports fixes et connus, donc il est le premier bloqué sur un réseau filtré.

C’est aussi la limite du client VPN intégré aux systèmes d’exploitation, qui ne gère souvent que ces protocoles anciens et IKEv2 — voir ce que le client Windows fait et ne fait pas.

Sur mobile, le protocole décide de la reconnexion

Un téléphone change de réseau en permanence : Wi-Fi vers 4G, une cellule vers la suivante, une adresse IP vers une autre. Les protocoles ne réagissent pas de la même façon.

WireGuard n’entretient pas de session au sens classique : il identifie le pair par sa clé, pas par son adresse. Le tunnel survit donc à un changement de réseau sans renégociation, ce qui se traduit par moins de coupures et une consommation d’énergie plus faible. IKEv2 gère aussi bien ce cas, par un mécanisme prévu pour la mobilité, et il est pris en charge nativement par iOS et Windows. OpenVPN est le moins à l’aise : il rétablit la session, ce qui prend quelques secondes.

Ces quelques secondes sont exactement la fenêtre pendant laquelle votre trafic peut repartir en clair si rien ne le bloque — c’est le rôle du coupe-circuit. Sur Android, il existe au niveau du système et fonctionne avec n’importe quelle application : où le trouver. Sur iPhone, il dépend entièrement de l’application : ce qu’il faut vérifier.

Où changer de protocole, concrètement

Le réglage se trouve dans les paramètres de l’application du service, généralement sous « Protocole », « Connexion » ou « VPN ». La valeur par défaut est le plus souvent Automatique.

Ce que fait réellement « Automatique » : l’application essaie les protocoles dans un ordre défini par l’éditeur et garde le premier qui s’établit. C’est le bon réglage dans la quasi-totalité des cas, et cela explique aussi pourquoi vous pouvez être connecté en OpenVPN sans l’avoir demandé, sur un réseau où WireGuard ne passe pas.

Deux raisons légitimes de forcer un protocole : la connexion ne s’établit pas et vous cherchez celui qui passe ; ou le débit vous paraît anormalement bas et vous voulez vérifier si vous êtes tombé sur un repli en TCP. Dans les deux cas, remettez Automatique une fois le diagnostic fait.

Questions fréquentes

Quel protocole choisir si je ne veux pas y penser ?

Le mode automatique. Les applications sérieuses choisissent WireGuard ou leur variante et basculent seules si le réseau le refuse.

WireGuard est-il moins sûr parce qu’il est récent ?

C’est l’inquiétude habituelle et elle a été largement levée : sa taille réduite est précisément ce qui facilite l’audit, et il est aujourd’hui intégré au noyau Linux. Le reproche technique qui subsiste concerne la gestion des adresses attribuées, que les fournisseurs traitent chacun à leur façon.

Faut-il préférer OpenVPN pour la confidentialité ?

Non. La confidentialité dépend beaucoup plus de la politique de non-conservation et de la juridiction du fournisseur que du protocole.

Voir aussi : le kill switch et VPN, c’est quoi ?