Périmètre selon la plateforme
L’application Windows et l’application Android créent un tunnel VPN au niveau du système. Des extensions sont disponibles pour Chrome, Edge, Firefox et Brave, mais ne protègent que le navigateur concerné. Pour Chrome, le fonctionnement documenté utilise un proxy HTTPS authentifié ; les pages internes, l’API FuzeVPN et les sites volontairement exclus restent hors de ce proxy. Les réglages propres aux trois autres extensions ne sont pas déduits de Chrome.
La protection concerne le transport. Elle ne corrige pas un appareil compromis, un mot de passe divulgué, un site malveillant ou les données volontairement transmises à un service tiers.
Protocoles et chiffrement
Sur Chrome, la liaison au proxy est chiffrée par TLS sur TCP. Les sites HTTPS passent par un tunnel CONNECT et conservent leur chiffrement jusqu’au site ; un site HTTP n’offre pas de chiffrement de bout en bout. La version TLS et la suite cryptographique sont négociées : FuzeVPN ne promet pas systématiquement TLS 1.3 ou AES-256.
Sur Android, WireGuard utilise UDP/51820, Curve25519 et ChaCha20-Poly1305. OpenVPN utilise UDP/1194, des certificats, la vérification du serveur et tls-crypt-v2 ; le chiffrement négocié est AES-256-GCM, AES-128-GCM ou ChaCha20-Poly1305.
Sur Windows, WireGuardNT 1.1 utilise UDP, Curve25519, ChaCha20-Poly1305, BLAKE2s et HKDF ; les clés privées sont protégées localement par DPAPI. OpenVPN 3 Core avec DCO utilise UDP/IPv4 sur le port 1194, sans repli TCP, avec certificats et tls-crypt-v2. Son chiffrement est négocié depuis la liste fournie par le serveur et ne peut pas être présenté comme AES-256 systématique.
Compte et authentification
Les mots de passe sont conservés sous forme hachée. Les vérifications d’e-mail, réinitialisations et sessions utilisent des jetons limités et révocables.
Le cookie de session est HttpOnly, Secure et SameSite=Lax. Les opérations sensibles sont protégées contre les requêtes provenant d’une autre origine.
Appareils et identifiants techniques
FuzeVPN conserve le nom de l’appareil, une clé ou un certificat public, son adresse VPN interne et le serveur attribué pour préparer et révoquer l’accès.
Les clés privées restent sur l’appareil. La suppression ou la révocation d’un appareil rend ses identifiants inutilisables et libère sa place dans la limite de 5 appareils.
DNS
Sur Chrome, les noms des sites proxifiés sont résolus par le proxy. Le domaine du proxy, l’API, les sites exclus et certaines résolutions anticipées utilisent le DNS habituel de Chrome ou du système. L’extension n’impose ni résolveur, ni DNS-over-HTTPS, ni DNS-over-TLS et ne garantit donc pas l’absence totale de résolution locale.
Sur Android, les serveurs DNS viennent de la configuration VPN et leurs requêtes passent dans le tunnel. L’application n’ajoute pas de DoH ou DoT ; un navigateur utilisant son propre DNS sécurisé peut choisir un autre résolveur, tout en restant soumis au routage VPN.
Sur Windows, les DNS fournis par la configuration passent par le tunnel. OpenVPN active block-outside-dns et WFP bloque hors tunnel les DNS IPv4 sur les ports 53 et 853 ; IPv6 est couvert par son blocage dédié. Une exception DNS limitée existe avant connexion pour joindre l’API puis disparaît. Sans kill switch, une application utilisant du DoH sur le port 443 peut contourner le blocage DNS spécifique.
IPv6
Sur Chrome, les destinations Web IPv6 publiques passent par le proxy hors exceptions. IPv6 n’est pas désactivé sur l’ordinateur ; les adresses IPv6 locales, loopback ou link-local sont bloquées pendant la protection.
Sur Android et Windows, une configuration double pile dirige IPv4 et IPv6 dans le tunnel. En l’absence de configuration IPv6 VPN validée, IPv6 est bloqué pendant que le tunnel est actif : aucun repli silencieux vers l’interface physique n’est autorisé. Le transport vers le serveur VPN reste actuellement en IPv4.
WebRTC
Sur Chrome, l’option activée par défaut applique disable_non_proxied_udp afin d’empêcher l’UDP WebRTC de contourner le proxy. Ce réglage global peut dégrader certains appels, s’applique aussi aux sites exclus et ne couvre pas les pages privilégiées de Chrome ni le comportement d’autres extensions.
Sur Android, WebRTC suit le routage VPN mais n’est pas désactivé dans le navigateur et aucun filtre WebRTC propre n’est ajouté. Sur Windows, l’option bloque l’UDP non-loopback hors interface VPN ; avec le kill switch désactivé, TURN sur TCP ou TLS/443 peut encore fonctionner hors tunnel. Les candidats ICE locaux éventuellement affichés par un navigateur ne prouvent pas à eux seuls une fuite Internet.
Kill switch
Sur Chrome, le kill switch est activé par défaut et bloque les nouvelles requêtes Web jusqu’à vérification de la connexion. Les sites exclus et les requêtes internes nécessaires à l’API restent autorisés ; une déconnexion volontaire retire le blocage.
Sur Android, le coupe-circuit repose sur les fonctions système « VPN permanent » puis « Bloquer les connexions sans VPN », que l’utilisateur doit activer dans les réglages.
Sur Windows, le kill switch natif WFP couvre IPv4 et IPv6. Il installe le blocage avant l’appel de connexion, puis n’autorise que le service VPN et l’interface du tunnel. En cas d’échec, le trafic reste bloqué jusqu’à une déconnexion explicite. Les filtres persistent si l’interface graphique est fermée, mais disparaissent si un administrateur arrête le service privilégié.
Absence de journaux d’activité VPN
FuzeVPN ne conserve pas les sites visités, contenus, requêtes DNS, adresses IP sources liées aux sessions, heures, durées ou historique des serveurs VPN utilisés.
Les serveurs traitent le trafic en mémoire uniquement le temps nécessaire à son acheminement. Aucun journal applicatif de connexion n’est créé ou centralisé par FuzeVPN.
Journaux techniques et supervision
Les VPS sont autogérés et déployés depuis une configuration commune, vérifiée par l’éditeur à chaque déploiement ; aucun audit indépendant n’a été réalisé à ce jour. Ces vérifications confirment l’absence de journaux système persistants ; les éventuels événements en mémoire ne contiennent ni contenu du trafic, ni historique de navigation, ni association durable entre une personne et une session VPN.
Les prestataires conservent séparément certains journaux de plateforme décrits dans la Politique de confidentialité. La supervision FuzeVPN utilise uniquement des métriques d’infrastructure agrégées et non un historique individualisé de navigation.
Infrastructure et sauvegardes
Les comptes sont hébergés chez OVH SAS en France. Les sauvegardes sont chiffrées et la copie distante est limitée à la juridiction Union européenne de Cloudflare R2.
IONOS SARL, OVH SAS fournissent des serveurs privés virtuels hébergés dans des centres de données physiques associés à une région. La liste des emplacements est publiée sur la page d’accueil ; le pays indiqué pour chacun est celui de son adresse IP de sortie.
Disponibilité et intervention
Le service peut être interrompu pour maintenance, incident, mise à jour de sécurité ou défaillance d’un fournisseur. Aucun emplacement, débit ou accès à un service tiers n’est garanti en permanence.
En cas d’incident, les accès peuvent être révoqués, les services isolés et les sauvegardes restaurées. Les violations de données sont évaluées selon la procédure RGPD applicable.
Ce qui dépend de vous
Utilisez un mot de passe unique, maintenez vos appareils à jour, révoquez les appareils perdus et vérifiez que la connexion VPN est active avant une utilisation sensible.
Signalez rapidement toute activité inhabituelle à contact@fuzevpn.com. Un VPN ne remplace ni les mises à jour, ni l’authentification forte disponible sur les services utilisés, ni la vigilance face aux tentatives de fraude.