L’Utah et le Congrès proposent d’encadrer l’usage des VPN : ce que votre VPN masque et les questions à poser à votre fournisseur

Si vous utilisez un VPN (un service qui fait passer votre trafic dans un tunnel chiffré via un serveur intermédiaire), vous avez probablement déjà rencontré un site qui vous demandait de « désactiver le VPN » ou qui ne se chargeait tout simplement pas. Ces dernières semaines, deux propositions visant à encadrer les VPN ont été publiées aux États-Unis. La première concerne les sites web, la seconde les fournisseurs de VPN eux-mêmes. Toutes deux permettent de mieux comprendre ce que fait un VPN et les autres points à vérifier.

Ce qui a été publié

Utah : les sites devront détecter les internautes qui masquent leur localisation. Le service de protection des consommateurs du département du Commerce de l’Utah a publié un projet de règlement (R152-78B) pour appliquer la loi SB 73. Ce texte porte sur la responsabilité des sites qui publient des contenus définis comme préjudiciables aux mineurs et prévoit une obligation de vérifier l’âge. Selon les observations officielles déposées par l’EFF, une organisation de défense des droits numériques, le projet impose à ces sites de mettre en place un « système commercialement raisonnable de détection de la dissimulation de localisation ». En pratique, ils devront tenter de repérer les internautes de l’Utah même lorsqu’ils se connectent via un VPN. Selon l’EFF, les indices mentionnés dans le projet comprennent le temps de réponse de la connexion (la latence, soit le temps nécessaire à un aller-retour des données), le fuseau horaire configuré sur l’appareil ou dans le navigateur et « d’autres données pertinentes » envoyées par l’appareil.

L’EFF estime qu’il est techniquement impossible de respecter cette exigence. Selon l’organisation, un site ne dispose d’aucun moyen fiable de savoir si une connexion VPN provient de Salt Lake City, de Seattle ou de Shanghai. Les sites pourraient donc n’avoir que deux possibilités : cesser leurs activités dans l’Utah ou bloquer tous les utilisateurs de VPN, où qu’ils se trouvent. L’organisation avertit aussi que les indices proposés ne sont pas fiables. Le temps de réponse, par exemple, varie selon la qualité du signal mobile ou la congestion du réseau. Elle prévient également que les sites devront recueillir des informations sur les appareils de tous leurs visiteurs et que les données collectées pour vérifier l’âge et la localisation pourraient être conservées longtemps. Selon l’EFF, la loi de l’Utah sur la protection de la vie privée à laquelle renvoie le règlement laisse aux entreprises 90 jours pour traiter une demande de suppression.

Congrès : le blocage par le fournisseur de VPN. Selon un article de l’EFF, le représentant Darrell Issa a déposé la proposition de loi American Copyright Protection Act (ACPA, H.R. 10364). Ce texte permettrait à un titulaire de droits d’auteur de demander à un tribunal de déclarer qu’un site étranger est un « site étranger de piratage ». Il pourrait ensuite demander des injonctions obligeant les fournisseurs d’accès à Internet, les fournisseurs de DNS (le service qui traduit le nom d’un site en adresse numérique) et, explicitement, les fournisseurs de VPN à prendre des « mesures commercialement raisonnables » pour empêcher les utilisateurs aux États-Unis d’accéder au site. L’EFF précise qu’une proposition similaire de l’année dernière exemptait les fournisseurs proposant uniquement des services VPN. Le nouveau texte supprime cette exemption. Selon l’organisation, il élargit aussi la définition d’un site de piratage. Un site pourrait être déclaré comme tel sans comparaître pour se défendre. L’EFF reconnaît que le texte prévoit plusieurs garanties, dont une notification aux fournisseurs, une caution financière et la possibilité de demander l’annulation de cette déclaration. Elle estime toutefois que ces garanties ne règlent pas le problème de fond.

Les articles de presse ont indiqué une date précise pour le dépôt de la proposition. L’article de l’EFF ne la mentionne pas ; nous ne la reprendrons donc pas ici.

Ce que cela signifie pour vous

Votre adresse est protégée, mais les autres informations comptent aussi. Une adresse IP est le numéro qui identifie votre connexion sur le réseau. Elle révèle généralement votre pays, votre région et votre fournisseur d’accès à Internet. Un VPN la remplace par l’adresse du serveur auquel vous êtes connecté. Les sites voient ainsi l’adresse du serveur plutôt que la vôtre. En plus de cette adresse, le navigateur et l’appareil envoient aux sites d’autres informations, comme les paramètres de langue et le type de navigateur. La combinaison de ces informations est parfois appelée « empreinte numérique ». Selon l’EFF, le projet de l’Utah énumère des indices de ce type, notamment le fuseau horaire et le temps de réponse de la connexion. Vous pouvez modifier bon nombre de ces paramètres. Il est donc utile de les connaître et de les vérifier de temps en temps.

Ces indices peuvent induire en erreur. Cela peut arriver, par exemple, lorsque vous naviguez dans un train où le signal est faible, lorsque vous êtes en vacances sans avoir réglé l’horloge ou lorsque vous utilisez un réseau saturé. Selon l’EFF, les sites incapables de distinguer un internaute de l’Utah d’un internaute de Tel-Aviv pourraient choisir la solution la plus simple et bloquer tous les utilisateurs de VPN. Un règlement dans un seul État américain pourrait donc aussi vous toucher. Les demandes de « désactiver le VPN » et les blocages par erreur risquent de se multiplier. Dans ces situations, des utilisateurs désactivent leur protection sur le réseau d’un hôtel ou d’un aéroport, simplement pour continuer à naviguer. Mieux vaut éviter de le faire.

La détection exige de recueillir des informations. Pour repérer les utilisateurs de VPN, un site doit examiner davantage d’informations sur chaque visiteur, et pas seulement sur ceux qui utilisent un VPN. L’EFF avertit que ces informations, ajoutées aux données de vérification de l’âge, pourraient s’accumuler et être exposées à des piratages et à des fuites. Avant de transmettre une pièce d’identité ou des informations personnelles à un site, il est utile de demander combien de temps elles seront conservées et ce qu’elles deviendront ensuite.

Le fournisseur lui-même pourrait filtrer les sites. La proposition fédérale suit une autre voie. Elle ne cherche pas à vous identifier, mais à obliger le fournisseur par lequel vous vous connectez à bloquer des sites sur injonction. Selon les données citées par l’EFF, des mécanismes de blocage similaires en Europe ont aussi touché des sites légitimes. En Italie, 510 sites sans lien avec les retransmissions ont été bloqués, dont le site d’un monastère et une plateforme de télémédecine. En Espagne, plus de 550 mille domaines ont été bloqués pendant des retransmissions de football. Au-delà de la question « le VPN me masque-t-il ? », il est donc utile de demander ce que le fournisseur filtre, en vertu de quelle autorité et s’il vous en informe.

Le point commun entre les deux propositions. Toutes deux considèrent le VPN comme un obstacle à contourner ou comme un service que l’on peut obliger à participer au blocage, plutôt que comme un outil de sécurité de base. Il n’y a pas lieu de s’alarmer : il s’agit d’un projet de règlement et d’une proposition de loi, et non d’obligations déjà en vigueur. Il est toutefois utile d’en comprendre les conséquences dès maintenant, avant qu’elles ne touchent les usages quotidiens. Pour les petites entreprises, cela concerne aussi le travail au jour le jour : un salarié connecté à distance via un VPN pourrait subir un blocage par erreur sur un service dont l’entreprise dépend.

Ce que vous pouvez faire dès maintenant

• Vérifiez ce que voient les sites. Consultez la page Quelle est mon adresse IP avec et sans VPN, puis vérifiez que l’adresse change bien.
• Familiarisez-vous avec les paramètres de votre appareil. Outre l’adresse, les sites peuvent examiner les informations envoyées par le navigateur et l’appareil. Consultez de temps en temps leurs paramètres de confidentialité pour savoir ce qu’ils partagent.
• Décidez à l’avance quoi faire en cas de blocage. Si un site exige de désactiver le VPN alors que vous utilisez un réseau public, mieux vaut attendre de vous connecter à un réseau auquel vous faites confiance. En attendant, laissez la protection active.
• Limitez les informations transmises pour vérifier votre âge. Avant d’envoyer une pièce d’identité, cherchez les indications du site sur la conservation et la suppression des données. S’il n’en fournit pas, réfléchissez bien avant de poursuivre.
• Posez des questions directes à votre fournisseur de VPN : le serveur et l’adresse sont-ils partagés ou dédiés ? Quelles données sont conservées, et pendant combien de temps ? Que bloque le fournisseur, et pouvez-vous consulter la liste des blocages ? Où l’entreprise est-elle immatriculée, et à qui appartient-elle ? Le fournisseur publie-t-il une déclaration sur les demandes de données émanant des autorités ?
• Pour les entreprises : vérifiez que les salariés disposent d’un autre moyen sécurisé d’accéder aux systèmes essentiels en cas de blocage par erreur.

Comment nuVPN vous aide

• Votre propre serveur et votre propre adresse IP. Chez nuVPN, chaque client d’une offre dédiée reçoit un serveur privé et une adresse IP fixe qu’il est seul à utiliser. Les sites voient l’adresse de votre serveur, tandis que votre véritable adresse reste masquée. L’adresse est propre et stable, et vous seul l’utilisez.
• Le DNS dans le tunnel. Toutes les requêtes DNS passent dans le tunnel chiffré. Votre fournisseur d’accès à Internet ne voit donc jamais quels sites vous consultez.
• Les données conservées, en détail. La page de transparence présente la liste exhaustive des données conservées par nuVPN : l’adresse e-mail et les informations du compte ; le volume total de trafic quotidien destiné à la facturation, supprimé automatiquement après 90 jours ; et le statut du paiement transmis par le prestataire de paiement. La politique No-logs est appliquée dans le code, et ne se limite pas à une déclaration. Votre historique de navigation, vos requêtes DNS et le contenu de votre trafic restent ainsi les vôtres.
• Un filtrage visible. La protection nuDefend, incluse dans chaque offre, bloque les sites connus de phishing, de logiciels malveillants et d’escroquerie, ainsi que les adresses d’attaquants connus. Les outils légitimes comme Google Analytics continuent de fonctionner normalement. Votre espace personnel affiche le nombre de menaces bloquées pour vous.
• Qui est derrière le service. nuVPN est exploité par une société privée israélienne, immatriculée depuis 2017. Elle appartient entièrement à son fondateur, un ingénieur en réseaux et sécurité. La page de transparence publie aussi un Warrant canary, vérifié pour la dernière fois le 19 août 2026. Cette déclaration indique qu’à cette date, aucune demande de données d’utilisateurs émanant des autorités n’avait été reçue. Si elle disparaît, il sera utile d’en demander la raison.

En résumé

Le projet de règlement de l’Utah cherche à vous identifier à partir des informations envoyées par votre appareil. La proposition de loi fédérale cherche à obliger votre fournisseur à filtrer les sites. Ces deux textes restent à l’état de propositions ; il n’y a pas lieu de s’alarmer. Un VPN protège votre adresse et chiffre votre trafic. Il est aussi utile de connaître les informations envoyées par votre appareil, de laisser la protection active sur un réseau public même en cas de blocage et de choisir un fournisseur qui explique précisément ce qu’il conserve et ce qu’il filtre.