Proton VPN vaut-il le coup ? Test, vitesse et prix

Proton VPN dit avoir reçu 458 réquisitions de la justice suisse depuis 2017 sans jamais pouvoir transmettre la moindre donnée de connexion, faute d'en conserver. Le service, édité depuis Genève, compte près de 20 800 serveurs dans 149 pays. Cet essai détaille ce qu'il y a derrière cette promesse : chiffrement, protocoles, architecture des serveurs, gestion du DNS, relevés de vitesse, version gratuite et prix du forfait Plus.

Ce qu'il faut retenir

• Chiffrement moderne : AES-256 ou ChaCha20 suivant le protocole, une nouvelle clé à chaque connexion, et ni PPTP ni L2TP/IPsec proposés.
• Preuves publiques : politique sans journaux auditée cinq années de suite, applications open source, rapport de transparence chiffré et siège en Suisse.
• Vitesse correcte sur ordinateur : 6 à 16 % de débit perdu vers le Royaume-Uni, les États-Unis et le Japon, mais jusqu'à 42 % sur un mobile Android vers le Japon.
• Offre complète : Secure Core, Stealth, NetShield, redirection de ports et 10 connexions simultanées dès le forfait Plus, à partir d'environ 3 € par mois sur 24 mois.

Qui est derrière Proton VPN ?

Proton VPN appartient à Proton AG, société fondée en 2014 par des scientifiques rencontrés au CERN et connue aussi pour Proton Mail, Drive et Pass. Elle est détenue en majorité par la Fondation Proton, une organisation suisse à but non lucratif. Le VPN existe depuis 2017, et la version gratuite est financée par les abonnés payants, sans publicité ni suivi.

Le réseau compte près de 20 800 serveurs, répartis dans 149 pays et 196 emplacements. Ce total bouge d'un jour à l'autre, puisque l'annuaire des serveurs est tenu à jour en direct. Presque tous disposent d'une connexion de 10 Gb/s, à l'exception de ceux de Chypre et de Macédoine du Nord.

Comment le trafic est-il chiffré ?

Proton VPN chiffre l'ensemble du trafic avec AES-256 ou ChaCha20 : OpenVPN et IKEv2 emploient AES-256, WireGuard emploie ChaCha20. Les protocoles PPTP et L2TP/IPsec sont écartés, car ils ne répondent pas aux exigences de sécurité de l'éditeur. Chaque connexion génère une nouvelle clé de chiffrement : c'est le principe de la confidentialité persistante, qui empêche de déchiffrer d'anciennes sessions à partir d'une clé récupérée plus tard. Les serveurs eux-mêmes utilisent un chiffrement intégral du disque.

Le choix de WireGuard comme protocole par défaut tient à son code très court, donc plus facile à auditer, et à sa rapidité : sa connexion s'établit généralement en moins d'une seconde, avec une meilleure autonomie sur mobile qu'OpenVPN, comme le détaille Proton. OpenVPN reste utile sur les appareils dépourvus de WireGuard et dans les cas de forte censure. Les anciennes configurations OpenVPN manuelles ne fonctionnent plus : les nouvelles utilisent AES-256-GCM, des certificats de serveur plus robustes et tls-crypt, qui chiffre le paquet entier au lieu de seulement l'authentifier.

Les journaux de connexion sont-ils vraiment vides ?

La politique publiée par Proton exclut l'enregistrement des pages visitées, des adresses IP, de la durée des sessions et de la localisation. Les requêtes DNS sont résolues sur les serveurs de l'éditeur et ne sont pas journalisées. La loi suisse n'oblige pas Proton à conserver de journaux, et l'entreprise se trouve hors des alliances de renseignement Five, Nine et Fourteen Eyes.

Cette politique a été auditée par Securitum cinq années consécutives. Les experts passent plusieurs jours sur site pour examiner les configurations des serveurs, les procédures d'exploitation et le personnel, et le dernier rapport n'a relevé aucun enregistrement persistant qui permettrait d'associer un utilisateur précis à une activité. Le code des applications est ouvert, publié sur GitHub. Le rapport de transparence donne les chiffres : 458 ordonnances validées par la justice suisse depuis 2017, toutes destinées à identifier qui était connecté à un serveur à un instant précis. Aucune n'a abouti, puisque Proton ne conserve pas ces informations. Sur les six mois les plus récents, 47 demandes ont été reçues, et 47 ont été rejetées.

DNS, IPv6 : que deviennent les requêtes ?

Proton VPN exploite ses propres résolveurs : les requêtes DNS passent dans le tunnel chiffré et sont traitées dans le même centre de données que le serveur VPN, ce qui fait apparaître la localisation de ce serveur. Les applications posent des règles de pare-feu qui empêchent le DNS et le reste du trafic de quitter l'appareil hors du tunnel, et l'IPv6 est bloqué, sans effet visible sur la navigation.

La documentation sur les fuites DNS pose une règle claire : sans kill switch, une coupure du VPN peut envoyer les requêtes vers le résolveur du fournisseur d'accès, d'où la recommandation d'activer cette protection, présente dans toutes les applications. Elle déconseille aussi les DNS tiers (Google, Cloudflare, OpenNIC) ainsi que DNS over HTTPS et DNS over TLS, car ils contournent la protection intégrée et empêchent l'application de voir et de rediriger les requêtes.

Des contrôles de fuite menés sur un PC, un portable et un iPhone vont dans le même sens : l'adresse IP est bien masquée, aucune fuite DNS n'a été repérée et le kill switch réagit comme prévu.

Quelle rapidité attendre, du Royaume-Uni au Japon ?

Un VPN ne peut pas dépasser le débit de la ligne de base ; la distance, la charge du serveur, les incidents sur les câbles sous-marins et le bridage de certains fournisseurs d'accès jouent aussi. Les relevés de référence reposent sur un PC Windows 11 relié en Ethernet, avec WireGuard et VPN Accelerator activés, face à une ligne de référence de 190,36 Mb/s en réception. Le ping grimpe avec la distance : 49 ms vers le Royaume-Uni, 109 ms vers les États-Unis et 249 ms vers le Japon.

Sur ordinateur, la perte moyenne reste à 10,2 % et celle de l'envoi à 2,7 %. Sur Android, la ligne de référence n'était que de 54,7 Mb/s et la perte moyenne atteint 27 %, avec un net décrochage vers l'Asie. Plusieurs réglages agissent sur ces chiffres, comme le détaillent les conseils de Proton :

• Le protocole. WireGuard est généralement le plus rapide, et l'UDP l'emporte sur le TCP.
• Secure Core. Le détour par un serveur supplémentaire ajoute de la latence ; l'éditeur le déconseille à ceux qui n'en ont pas besoin.
• Le serveur. L'application affiche la charge de chacun, et les heures de pointe ralentissent les serveurs chargés.
• VPN Accelerator. Ce mécanisme est activé par défaut sur Windows, macOS, iOS et Android ; sur Linux, il se règle dans les paramètres de connexion ou avec protonvpn config set vpn-accelerator on. Proton lui attribue des gains supérieurs à 400 % dans certaines situations, sans décrire sa mécanique.
• Tor over VPN. Les serveurs Tor sont bien plus lents que le reste du réseau et ne servent qu'à ce besoin précis.

Netflix, Prime Video, Disney+ : ça passe ?

Le même banc d'essai a passé 14 accès en revue, soit 12 services dont Netflix testé avec trois catalogues, chacun dans une session de navigateur neuve, cookies et cache vidés. Dix accès se sont ouverts : Netflix (États-Unis, Canada et Japon), BBC iPlayer, Channel 4, Prime Video, HBO Max, Peacock, Now TV et JioHotstar. Quatre sont restés fermés : Hulu, Disney+, Pluto TV et ITVX.

Le résultat tranche avec l'argumentaire de Proton, qui annonce des serveurs de streaming pour Netflix, Disney+ et Prime Video sur les forfaits payants. Le déblocage dépend du service, du compte, de la région et du serveur : en cas d'échec, il suffit souvent de changer de serveur. Autre limite, Proton VPN n'offre pas de Smart DNS. Un téléviseur doit donc passer par une application compatible (Android TV, Apple TV ou Fire TV) ou par un routeur configuré.

WireGuard, Stealth, OpenVPN : quels protocoles ?

Proton a réécrit sa couche de connexion pour lancer les « protocoles Proton », construits sur WireGuard. Ils connectent plus vite et se laissent moins facilement bloquer, et ils équipent la plupart des applications, hors macOS. Sur Windows, ils sont sortis de la phase bêta après leur arrivée avec la version 5.1.5, comme l'indiquent les notes de version.

• Stealth. Ce protocole transporte WireGuard dans un tunnel TLS obfusqué sur TCP pour ressembler à du HTTPS ordinaire. Il vise l'inspection approfondie des paquets (DPI), que certains réseaux emploient pour repérer et bloquer WireGuard, OpenVPN ou IKEv2. Il est proposé sur toutes les offres, gratuite comprise. Sur l'interface Linux, il faut d'abord activer les protocoles Proton.
• Smart. Ce réglage, activé par défaut, démarre avec le protocole jugé le plus rapide et le plus stable, puis bascule automatiquement sur le suivant si le réseau le bloque. Chaque protocole dispose de son port et de ports de secours.
• OpenVPN. Il reste disponible sur Windows et Linux, mais il a disparu des applications iOS, iPadOS et macOS, et IKEv2 suit le même chemin, comme l'explique la page d'assistance dédiée. Sur un appareil Apple, OpenVPN passe par une configuration manuelle dans une application tierce.
• Alternative Routing. Quand l'accès aux serveurs de Proton est bloqué, le trafic peut emprunter des réseaux tiers comme AWS.

Où se trouvent les serveurs, et à qui appartiennent-ils ?

Proton n'emploie que des serveurs physiques dédiés (bare metal). Dans les pays à risque, il recourt à de l'infrastructure tierce pour éviter toute prétention juridictionnelle sur son matériel. Pour ces destinations, Secure Core sert de garde-fou :

• Le principe. Le trafic passe d'abord par un serveur d'entrée situé en Islande, en Suède ou en Suisse, puis rejoint le serveur de sortie. Celui qui surveille la sortie ne remonte pas jusqu'à votre adresse IP, ce qui déjoue les corrélations de trafic lancées depuis un serveur compromis.
• Le matériel. Les serveurs Secure Core sont achetés et configurés par Proton, puis expédiés directement depuis ses bureaux. Le centre de données suédois est souterrain, l'islandais occupe une ancienne base militaire.
• Le réseau. Ils communiquent par un réseau dédié, avec des adresses IP que Proton gère lui-même en tant que registre Internet local (LIR).
• La lecture sur Linux. Les serveurs sont nommés par deux codes pays : CH-LU#1 signifie entrée en Suisse, sortie au Luxembourg.

Une partie des emplacements repose sur le Smart Routing : dans certains pays où Proton n'a pas de serveur, l'emplacement est assuré par un serveur situé ailleurs (l'Afghanistan passe par Londres, le Bangladesh par Singapour, Cuba par Miami). L'utilisateur reçoit une adresse IP du pays choisi, sur du matériel Proton aux fonctions identiques, mais son trafic transite physiquement par un autre pays, ce qui pèse sur la latence. Certaines applications (Linux en ligne de commande, extension de navigateur, Apple TV, Android TV) ne signalent pas ces serveurs : il faut alors vérifier la liste des emplacements.

Le catalogue comprend aussi des serveurs P2P, des serveurs de streaming et des serveurs Tor, réservés aux forfaits payants. La version gratuite se limite à 10 pays tirés au hasard.

Quelles fonctions techniques complètent l'application ?

• NetShield. Ce filtre compare chaque nom de domaine demandé à une base de domaines de logiciels malveillants, de publicités et de traqueurs, puis bloque la résolution en cas de correspondance. Deux modes existent : malveillants seuls, ou malveillants, traqueurs et publicités (par défaut). Un panneau affiche les compteurs, sauf sur Linux. Le filtrage portant sur les noms de domaine, une publicité servie depuis le domaine du site lui-même passe à travers.
• Kill switch. Il coupe tout le trafic réseau quand la connexion VPN tombe, pour que la vraie adresse IP ne sorte pas. Un mode avancé est proposé.
• Tunnel fractionné. Réservé aux forfaits payants, il envoie certaines applications ou adresses hors du VPN. Il existe sur Windows, Android, Android TV, Linux (applications Ubuntu, Fedora et Arch) et dans les extensions de navigateur, où il s'applique par domaine. Il reste expérimental sur macOS, avec WireGuard et Stealth seulement, et iOS n'en dispose pas. Sur la plupart des plateformes, il ne se combine pas avec le kill switch ; Windows accepte les deux.
• Profils de connexion. Réservés aux forfaits payants, ils enregistrent un pays, un type de connexion (standard, Secure Core, P2P ou Tor) et un protocole, puis l'option « Connect and Go » ouvre un site ou une application à la connexion sur Windows et Android.
• Navigateurs. Des extensions Chrome et Firefox s'installent sans permission particulière.

La redirection de ports, étape par étape

La redirection de ports laisse entrer des connexions entrantes jusqu'à l'appareil, ce qui améliore surtout les clients BitTorrent. Elle est réservée aux forfaits payants et disponible sur Windows, macOS (accès anticipé) et Linux. Le serveur choisit le port, et celui-ci change généralement à chaque reconnexion.

• Se connecter à un serveur P2P (repérable par la mention P2P sur Linux et macOS).
• Activer la redirection : barre latérale de l'application Windows, bouton sur macOS, ou protonvpn config set port-forwarding on sur la ligne de commande Linux.
• Recopier le port actif dans les connexions entrantes du client torrent. Sur Linux, il est aussi écrit dans /run/user/$UID/Proton/VPN/forwarded_port.
• Désactiver UPnP et NAT-PMP dans le client torrent, qui peuvent entrer en conflit.

La fonction est incompatible avec le type de NAT 2 (NAT modéré). Ouvrir un port présente un petit risque : mieux vaut s'en tenir à des applications de confiance et à jour.

Que vaut la version gratuite ?

L'offre gratuite ne montre aucune publicité, ne plafonne pas les données et reprend la même politique sans journaux que le forfait payant. Ses limites sont nettes : un seul appareil, une vitesse moyenne, des serveurs dans 10 pays tirés au hasard, et ni streaming, ni P2P, ni NetShield. Le bouton « Changer de serveur » en tire un autre au hasard, avec un délai d'attente entre deux changements. Lors des mêmes relevés, la perte moyenne de débit atteint 19,3 %, avec 176,41 Mb/s vers les Pays-Bas et 131 Mb/s vers les États-Unis.

Un « mode invité » permet d'utiliser les serveurs gratuits sur mobile sans créer de compte. Pour sécuriser de temps en temps un Wi-Fi d'hôtel ou de gare, cette version suffit.

Combien coûte un abonnement ?

VPN Plus inclut les 10 connexions simultanées, le streaming, le P2P, NetShield, Secure Core, la redirection de ports et l'assistance par chat. Proton Unlimited y ajoute Mail, Drive (500 Go) et Pass. Le forfait de 24 mois représente 71,76 € facturés pour les deux premières années (47,88 € pour la formule d'un an). Le piège se situe au renouvellement : VPN Plus passe ensuite à 83,88 € par an, soit 6,99 € par mois, plus du double du tarif d'appel. Le remboursement est intégral pendant les 30 premiers jours.

Notre avis : Proton VPN s'adresse d'abord à ceux qui veulent pouvoir vérifier ce qu'on leur promet : politique sans journaux auditée chaque année, code ouvert, serveurs Secure Core possédés par l'éditeur et rapport de transparence chiffré. La vitesse reste solide sur ordinateur et décroche sur mobile vers l'Asie ; l'accès aux plateformes de streaming varie d'un service à l'autre, et le prix plus que double au renouvellement. Pour un usage tourné vers la confidentialité, le forfait Plus est cohérent. Pour regarder des catalogues étrangers au quotidien, la garantie de 30 jours permet de vérifier d'abord que les services visés s'ouvrent.

Questions fréquentes

Permet-il d'obtenir une adresse IP chinoise ?

Oui, avec un abonnement payant : tous les serveurs chinois sont des serveurs Plus, et ils reposent sur le Smart Routing. Aucun serveur ne se trouve en Chine : l'infrastructure est située à Hong Kong et l'adresse IP apparaît comme chinoise. Proton présente cet emplacement comme un moyen d'accéder aux services chinois depuis l'étranger. Stealth et Alternative Routing contournent efficacement la censure, mais Proton ne garantit pas un fonctionnement fiable en Chine continentale.

Le téléchargement par torrent est-il permis ?

Oui, avec un abonnement payant : le P2P est autorisé sur les serveurs P2P et la redirection de ports est incluse. La version gratuite n'autorise pas le P2P.

Quel nombre d'appareils peut-on brancher en même temps ?

Dix avec un forfait payant, un seul avec la version gratuite.

Peut-on se faire rembourser ?

Oui, intégralement, pendant les 30 jours qui suivent l'achat.

Le code des applications est-il public ?

Oui. Les clients Proton VPN sont open source et consultables sur GitHub, ce qui permet à des experts indépendants de les examiner.

Faut-il préférer Plus ou Unlimited ?

VPN Plus suffit pour un usage limité au VPN. Unlimited regroupe le VPN, la messagerie, 500 Go de stockage et le gestionnaire de mots de passe de Proton, pour un prix mensuel plus élevé.

Pourquoi éviter un DNS personnalisé ?

Un résolveur tiers, y compris en DNS over HTTPS ou over TLS, remplace la protection intégrée de l'application : les requêtes ne passent plus par les résolveurs de Proton et l'application ne peut plus les surveiller ni les rediriger. Proton recommande de conserver le DNS automatique.