Le chiffrement d'un VPN gratuit peut être parfaitement solide tout en étant livré par un installateur qui pose problème. C'est une distinction essentielle : la sécurité du tunnel VPN et la propreté de son processus d'installation sont deux choses différentes, et la seconde est bien plus souvent négligée que la première dans les comparatifs classiques.
Qu'est-ce que le bundleware, concrètement
Le bundleware désigne des logiciels tiers glissés dans le même paquet d'installation qu'un programme que vous avez volontairement téléchargé, sans que vous les ayez explicitement demandés. Sur Windows, ce mécanisme prend le plus souvent la forme de cases pré-cochées lors de l'installation, proposant d'ajouter une barre d'outils de navigateur, de changer votre moteur de recherche par défaut, ou d'installer un second utilitaire "d'optimisation système" sans rapport avec le VPN lui-même.
Ce n'est pas nécessairement un logiciel malveillant au sens strict : la plupart de ces ajouts sont légaux et déclarés quelque part dans les conditions d'utilisation. Le problème est qu'ils sont conçus pour être manqués par un utilisateur pressé, en cliquant sur "suivant" sans lire chaque écran d'installation en détail.
Pourquoi les VPN gratuits sont une cible privilégiée pour ce modèle
Un logiciel distribué gratuitement doit financer son développement d'une manière ou d'une autre. Le bundleware constitue une source de revenus indirecte pour certains éditeurs de logiciels gratuits, y compris de VPN : ils touchent une commission pour chaque installation du logiciel tiers embarqué, indépendamment de l'abonnement VPN lui-même. Cette réalité économique explique pourquoi ce risque se concentre statistiquement davantage sur les offres gratuites que sur les versions payantes du même fournisseur, ou sur les VPN distribués uniquement via des plateformes officielles comme le Microsoft Store.
Le risque augmente encore lorsque l'installateur n'est pas téléchargé depuis le site officiel du fournisseur, mais depuis un site tiers de téléchargement de logiciels qui reconditionne l'installateur original en y ajoutant ses propres offres groupées, sans rapport avec l'éditeur du VPN lui-même.
Vérifier la source avant de télécharger
La première vérification, la plus simple, consiste à confirmer que l'installateur provient bien du site officiel du fournisseur, identifiable par son nom de domaine exact, plutôt que d'un site agrégateur de téléchargements qui promet la même chose "en plus rapide" ou "sans inscription". Une recherche rapide du nom exact du fournisseur, suivie d'une vérification de l'URL affichée dans la barre d'adresse avant de cliquer sur télécharger, élimine l'essentiel de ce risque.
Vérifier que la page de téléchargement utilise une connexion HTTPS valide (cadenas dans la barre d'adresse, sans avertissement de certificat) est un second réflexe rapide, bien qu'il ne garantisse pas à lui seul l'absence de bundleware si le site lui-même est légitime mais que l'éditeur a choisi ce modèle économique.
Vérifier la signature numérique de l'exécutable sous Windows
Windows permet de vérifier qui a signé numériquement un fichier exécutable avant de l'exécuter, une information plus fiable que le simple nom du fichier. Faites un clic droit sur le fichier téléchargé, sélectionnez Propriétés, puis l'onglet Signatures numériques. Le nom de l'éditeur affiché doit correspondre exactement au nom de l'entreprise qui édite le VPN, pas à un intermédiaire de distribution générique. L'absence totale de signature numérique sur un exécutable destiné au grand public est en soi un signal d'alerte qui mérite de faire reconsidérer le téléchargement.
Cette vérification prend moins d'une minute et constitue la méthode la plus fiable pour confirmer l'origine réelle d'un fichier, plus fiable qu'un simple coup d'œil au nom du fichier ou à l'icône affichée, qui peuvent être falsifiés facilement.
Ralentir le clic sur "suivant"
Une fois la source vérifiée, la deuxième ligne de défense se joue pendant l'installation elle-même. Chaque écran de l'assistant d'installation mérite d'être lu, en particulier les cases à cocher déjà pré-remplies proposant d'installer un composant supplémentaire, de modifier votre page d'accueil de navigateur, ou d'ajouter une extension. Décocher systématiquement toute case dont vous ne comprenez pas précisément la fonction, plutôt que de suivre l'installation par défaut, évite la quasi-totalité des ajouts indésirables.
Une installation légitime et transparente d'un VPN ne devrait avoir besoin que d'un minimum d'écrans : accepter les conditions d'utilisation du VPN lui-même, choisir un dossier d'installation, et lancer l'installation. Un assistant d'installation particulièrement long, avec de multiples propositions de logiciels annexes, est en lui-même un signal à prendre au sérieux.
Que faire si un bundleware a déjà été installé
Si vous soupçonnez qu'un composant indésirable a été installé en même temps que votre VPN, le Panneau de configuration Windows (Applications et fonctionnalités) permet de lister tous les programmes installés récemment, triés par date d'installation. Repérer et désinstaller individuellement tout programme installé à la même date que le VPN, dont le nom ne vous est pas familier, permet généralement de nettoyer la situation sans devoir réinstaller complètement le système.
Vérifier également les extensions actives dans votre navigateur, ainsi que le moteur de recherche et la page d'accueil par défaut, permet de repérer des modifications qui persistent parfois même après la désinstallation du programme principal qui les a introduites.
Le détournement de navigateur, une conséquence fréquente
Un des effets les plus visibles d'un bundleware mal identifié est le détournement de navigateur (browser hijacking) : la page d'accueil change sans explication, un nouveau moteur de recherche par défaut apparaît, ou des barres d'outils supplémentaires s'affichent dans l'interface. Ces modifications ne sont pas toujours malveillantes au sens strict, mais elles redirigent souvent votre trafic de recherche vers des pages qui génèrent des revenus publicitaires pour l'éditeur du logiciel groupé, sans rapport avec le service VPN que vous pensiez installer.
Restaurer manuellement la page d'accueil et le moteur de recherche par défaut de votre navigateur, dans les paramètres de ce dernier, résout généralement ce symptôme une fois le programme responsable désinstallé. Certains détournements plus persistants modifient également des raccourcis Windows du navigateur pour y ajouter des paramètres de lancement supplémentaires : un clic droit sur le raccourci, puis Propriétés, permet de vérifier que la ligne de commande de lancement ne contient pas d'adresse suspecte ajoutée après le chemin normal de l'exécutable.
Les permissions demandées à l'installation, un signal à lire
Sur Windows, un contrôle de compte utilisateur (UAC) demande une autorisation explicite avant qu'un programme puisse effectuer des modifications significatives au système. Un VPN a légitimement besoin de cette autorisation pour installer son pilote réseau virtuel, un composant technique nécessaire au fonctionnement du tunnel. En revanche, si l'installateur demande des permissions qui semblent disproportionnées par rapport à sa fonction annoncée, ou si plusieurs invites UAC distinctes apparaissent pour des composants dont le nom ne correspond pas au VPN lui-même, cela mérite d'interrompre l'installation et de vérifier ce qui est réellement en train de s'installer avant de continuer.
Lire le nom exact du programme affiché dans chaque fenêtre d'autorisation, plutôt que de cliquer par réflexe sur "Oui", permet de repérer ce type d'anomalie au moment où elle est encore facile à interrompre, plutôt qu'après coup.
Une vérification qui prend cinq minutes, une fois
L'ensemble de ces vérifications, source du téléchargement, signature numérique, lecture attentive de l'assistant d'installation, ne prend que quelques minutes et ne se refait qu'une fois par logiciel installé. C'est un temps négligeable comparé au temps qu'il faut ensuite pour identifier et supprimer un logiciel indésirable une fois qu'il est déjà installé et actif sur votre système, potentiellement pendant plusieurs semaines avant d'être remarqué.
Pour une vue d'ensemble des autres points à vérifier avant de choisir un VPN gratuit sur PC, retour à la page d'accueil, ou consultez notre page sur le pare-feu Windows et les pannes de connexion VPN, l'étape suivante une fois l'installation terminée proprement.