La différence en une minute
Avec HTTPS, le navigateur authentifie le site grâce à un certificat et chiffre la session jusqu’à ce site. Le réseau local, le fournisseur d’accès et le serveur VPN ne lisent alors pas le contenu HTTPS, même s’ils peuvent observer des métadonnées nécessaires au routage.
Avec un VPN, le système chiffre le trafic prévu jusqu’au serveur VPN. À partir de ce serveur, le trafic continue vers sa destination. S’il est également en HTTPS, il reste chiffré jusqu’au site ; sinon, la portion après le serveur VPN n’obtient pas magiquement la protection HTTPS.
| Question | VPN | HTTPS |
|---|---|---|
| Début | Appareil ou application VPN | Navigateur ou application |
| Fin | Serveur VPN | Site ou service |
| Adresse IP vue par le site | Serveur de sortie | Ne la change pas |
| Protège des faux sites | Non | Le certificat aide, sans empêcher le phishing |
Sources et références
Qui peut voir quoi ?
Le réseau local voit principalement une connexion chiffrée vers le serveur VPN. Le fournisseur VPN voit les informations nécessaires pour relayer la connexion, mais HTTPS limite sa capacité à lire le contenu échangé avec le site.
Le site voit l’adresse IP de sortie du VPN et tout ce que vous lui communiquez : compte connecté, cookies, formulaire, identifiants du navigateur. HTTPS protège ces données pendant le transport, pas contre le destinataire lui-même.
Exemple sur le Wi-Fi d’un hôtel
Vous ouvrez votre banque en HTTPS avec le VPN actif. Le Wi-Fi de l’hôtel ne voit pas le contenu de la page ; il voit une connexion vers le VPN. Le serveur VPN relaie la connexion, mais le contenu bancaire reste chiffré jusqu’à la banque grâce à HTTPS.
Si une page affiche une alerte de certificat, n’ignorez pas l’alerte au motif que le VPN est actif. Le tunnel ne valide pas l’identité du site à la place du navigateur.
Confusions fréquentes
Le cadenas du navigateur ne signifie pas que le site est honnête : il signifie surtout que la connexion à ce domaine est chiffrée et authentifiée selon le certificat. Un site de phishing peut lui aussi utiliser HTTPS.
Inversement, HTTPS ne masque pas l’adresse IP de votre connexion au site. Le VPN peut changer l’adresse de sortie, mais les comptes et cookies restent visibles du site.
- Conserver HTTPS même avec un VPN.
- Ne jamais contourner une alerte de certificat sans comprendre sa cause.
- Vérifier la portée de l’application ou de l’extension VPN.
- Traiter le fournisseur VPN comme un intermédiaire de confiance.