Guides
Un protocole VPN définit comment votre appareil et le serveur construisent le tunnel chiffré. WireGuard est le plus rapide et le plus simple, OpenVPN le plus mûr et le plus flexible, IKEv2/IPsec le meilleur pour survivre aux changements de réseau sur mobile, et Xray/VLESS dans du TLS fait ressembler le trafic du tunnel à du HTTPS ordinaire. Chacun échange quelque chose contre son point fort.
Les quatre protocoles utilisent une cryptographie moderne, jamais cassée. Ils diffèrent par la vitesse, la taille du code, le comportement sur réseaux instables et la reconnaissabilité de leur trafic vu de l'extérieur — pas par la tenue du chiffrement.
WireGuard surpasse OpenVPN sur le même matériel parce qu'il tourne dans le noyau avec une poignée de main allégée. L'ancienneté offre à OpenVPN de la configurabilité et une couverture de plateformes, pas du débit brut.
WireGuard, OpenVPN et IKEv2 produisent chacun un trafic qu'un réseau peut classer comme tunnel VPN. Xray/VLESS dans du vrai TLS est conçu pour être indiscernable d'une session HTTPS ordinaire.
Un protocole, c'est l'accord entre votre application et le serveur : comment les clés sont échangées, comment les paquets sont chiffrés et encapsulés, comment une connexion tombée est reprise. Votre abonnement en inclut généralement plusieurs ; l'application en choisit un par connexion, et en changer est une option de menu, pas un engagement.
Le choix se manifeste à trois endroits. Le débit et la consommation de batterie diffèrent parce que les protocoles coûtent plus ou moins de CPU par paquet. La stabilité diffère quand vous changez de réseau ou que vous êtes derrière des pare-feux stricts. Et la visibilité diffère : certains tunnels sont triviaux à classer comme trafic VPN par les équipements réseau, d'autres sont conçus pour échapper à la classification. Aucun protocole ne gagne sur les trois tableaux — c'est bien pour ça que le menu existe.
WireGuard est la réponse par défaut en 2026. Environ quatre mille lignes de code noyau contre les centaines de milliers des piles plus anciennes, une seule suite cryptographique moderne (ChaCha20-Poly1305) au lieu d'une matrice de négociation, et une poignée de main bouclée en un seul aller-retour. En pratique : un débit proche de la capacité de la ligne sur du matériel ordinaire, des reconnexions rapides et une consommation de batterie modeste sur téléphone.
Il paie cela par deux traits de conception. D'abord, un serveur WireGuard standard attribue à chaque pair une adresse fixe à l'intérieur du tunnel : le fournisseur doit ajouter sa propre couche — rotation des adresses internes, purge de l'état du pair après déconnexion — pour éviter un identifiant stable par utilisateur ; que ce soit fait ou non relève du fournisseur, pas du protocole. Ensuite, WireGuard passe par UDP avec un motif de poignée de main reconnaissable : un équipement réseau qui veut identifier le trafic VPN le repère facilement, et les réseaux qui jettent l'UDP inconnu le cassent complètement.
OpenVPN est en production depuis le début des années 2000, et cet âge est son atout : deux décennies d'examen, un support sur pratiquement toutes les plateformes et tous les routeurs, et des options de configuration pour presque toutes les topologies. Il tourne en UDP pour la vitesse ou en TCP pour la joignabilité, et sur le port TCP 443 il utilise au moins le port que les pare-feux ferment rarement — même si sa poignée de main TLS diffère encore de celle d'un navigateur, donc la classification reste possible.
Le prix, c'est le poids. OpenVPN traite les paquets en espace utilisateur, en franchissant la frontière du noyau à chaque paquet : son débit sur le même matériel n'est typiquement qu'une fraction de celui de WireGuard, et les reconnexions se comptent en secondes plutôt qu'en instantané. Le code et sa dépendance à OpenSSL sont plus gros de plusieurs ordres de grandeur, donc la surface à auditer aussi. Il reste le bon outil sur les vieux routeurs, dans les configurations d'entreprise à certificats, et sur les réseaux où l'UDP est inutilisable.
Le trait distinctif d'IKEv2, c'est MOBIKE, une extension standard qui permet à un tunnel établi de survivre à un changement d'adresse réseau. Sortez de la couverture Wi-Fi vers la 4G et la session migre sans nouvelle poignée de main — exactement l'événement qui interrompt les autres protocoles en plein appel. Le support natif dans iOS et Android, avec un chiffrement pris en charge par la pile IPsec du système, garde la batterie basse et en fait un choix par défaut courant des applications mobiles.
Ses faiblesses tiennent à l'environnement. IKEv2 a besoin des ports UDP 500 et 4500, que les réseaux restrictifs — Wi-Fi d'hôtel, pare-feux d'entreprise — bloquent souvent, et il n'a pas de repli TCP en propre. La configuration est aussi moins transparente que celle de WireGuard : les paramètres IPsec se négocient, et un serveur mal configuré peut retomber sur des réglages plus faibles que prévu. Excellent choix sur mobile, fragile sur les réseaux hostiles.
VLESS est un protocole de transport léger issu du projet Xray : un cadrage minimal, aucun chiffrement intégré, conçu pour tourner à l'intérieur d'une vraie session TLS. Comme la couche de chiffrement est du TLS standard — le même protocole que tous les sites web — une connexion VLESS sur le port 443 présente une poignée de main de certificat ordinaire suivie d'un flux chiffré opaque : exactement l'allure de n'importe quelle session HTTPS vue de l'extérieur.
Cela compte sur les réseaux qui classent puis brident ou coupent les protocoles VPN reconnaissables. Là où la poignée de main de WireGuard ou les particularités TLS d'OpenVPN trahissent le tunnel, un point d'accès Xray bien configuré ne laisse à un classificateur aucun motif distinctif au-delà des statistiques. Les coûts : plus de pièces mobiles côté serveur, un débit borné par le traitement TLS plutôt que par le réseau noyau, et un écosystème de clients restreint par rapport aux protocoles grand public. Aurora fait tourner WireGuard pour la vitesse au quotidien et Xray/VLESS sur ses propres nœuds pour les réseaux où les tunnels standard sont peu fiables.
Commencez par WireGuard et n'en changez que quand quelque chose de précis casse. La correspondance pratique :
Un kill switch bloque tout le trafic internet dès que le tunnel VPN tombe, pour que les applications ne retombent pas en silence sur votre connexion habituelle. Sans lui, une coupure de deux secondes suffit à exposer votre vraie adresse IP. Et même tunnel actif, les requêtes DNS, WebRTC dans le navigateur et le trafic IPv6 peuvent fuir à côté. Chaque fuite a son test simple et son remède.
Mettre le tunnel VPN sur le routeur protège d'un coup tous les appareils du réseau — y compris les TV, consoles et enceintes connectées qui ne peuvent pas installer d'applications. Les contreparties sont réelles : le débit est limité par le processeur du routeur, toute la maison sort par un seul pays, et le dépannage se complique. Ce guide passe en revue les montages et comment trancher.
En déplacement, un VPN chiffre votre trafic sur le Wi-Fi des hôtels et des aéroports, fait que vos comptes semblent se connecter depuis un pays familier, et atteint les services qui se comportent différemment à l'étranger. Ce n'est pas un remède universel : les plateformes de streaming détectent les adresses des serveurs, et les règles locales varient selon les pays. La règle qui compte le plus — tout installer et tout tester avant de partir.
Garantie satisfait ou remboursé de 14 jours. Jusqu'à 7 appareils avec un seul abonnement.
Protéger mes appareils