La vie privée en ligne se joue sur trois fronts distincts, rarement traités ensemble : ce que votre appareil révèle sur lui-même (empreinte du navigateur), ce que votre réseau révèle (adresse IP, requêtes DNS, fournisseur d'accès), et ce que vos comptes révèlent (profilage cross-site tant que vous restez connecté). La plupart des guides génériques ne couvrent qu'un seul de ces fronts - le plus souvent le réseau, via un VPN - en laissant les deux autres grands ouverts.
La consigne classique - « 8 caractères minimum, mélangez majuscules, chiffres et symboles » - est dépassée. Le référentiel de référence du NIST américain (NIST SP 800-63B) recommande depuis 2017 de privilégier la longueur plutôt que la complexité imposée, de ne plus forcer de changement périodique sans raison, et de vérifier les mots de passe choisis contre des listes de mots de passe déjà compromis plutôt que d'imposer des règles de caractères arbitraires qui poussent souvent à des schémas prévisibles (« Password1! »).
En pratique : une phrase de passe longue et unique par service, générée et stockée dans un gestionnaire de mots de passe, associée à une authentification à deux facteurs (2FA) partout où c'est proposé, protège mieux qu'un mot de passe court truffé de symboles.
Le chiffrement AES-256 (standardisé par le NIST, FIPS 197) est le chiffrement symétrique utilisé par la quasi-totalité des connexions VPN et des sites en HTTPS. Il rend les données illisibles sans la clé, y compris en cas d'interception réseau.
Ce qu'il ne protège pas : un appareil compromis par un logiciel malveillant, un mot de passe faible qui donne directement accès au compte déchiffré, ou un accès physique à un appareil déverrouillé. Le chiffrement protège les données en transit et au repos - pas contre un point d'accès légitime détourné.
Un VPN masque votre adresse IP et chiffre votre trafic jusqu'à son propre serveur - il ne rend pas votre activité invisible au fournisseur VPN lui-même. La seule garantie qui a une valeur réelle est un audit indépendant de la politique « no-log », pas une simple mention sur la page d'accueil du fournisseur. Nous détaillons ces critères, ainsi que les vraies différences entre VPN et proxy, sur notre page VPN ou Proxy, et les protocoles sous-jacents sur notre page protocoles VPN.
C'est le point que la quasi-totalité des contenus VPN grand public omettent : masquer son adresse IP ne masque pas l'empreinte unique que laisse votre navigateur (résolution d'écran, polices installées, rendu Canvas/WebGL, fuseau horaire, extensions actives...). Cette empreinte permet souvent de reconnaître un visiteur d'une session à l'autre même avec un VPN actif et les cookies désactivés.
L'Electronic Frontier Foundation propose un outil gratuit, Cover Your Tracks, qui mesure concrètement le caractère unique de votre empreinte de navigateur. C'est un bon complément pour vérifier ce qu'un VPN seul ne peut pas résoudre.
De plus, en protégeant l'adresse IP, vous pouvez contourner les restrictions régionales.
