Installer une app VPN sur Android ne prend que quelques clics, mais tirer parti des options de configuration avancées demande de comprendre ce que propose réellement le système, au-delà du simple bouton « Connecter ».
Au premier lancement d'une app VPN, Android affiche une boîte de dialogue système demandant l'autorisation de créer une interface réseau virtuelle, liée à l'API VpnService. Cette autorisation, une fois accordée, reste valable tant que l'app n'est pas désinstallée ou que la permission n'est pas explicitement révoquée. Contrairement à d'autres permissions Android, elle ne peut pas être partiellement limitée : soit l'app peut créer un tunnel VPN, soit elle ne le peut pas.
Depuis Android 7.0 (Nougat), le système propose une option native disponible dans Paramètres → Réseau et Internet → VPN → icône d'engrenage à côté du VPN choisi : « VPN permanent » (Always-on VPN). Une fois activée, cette option maintient le tunnel actif en permanence et propose une case à cocher supplémentaire, « Bloquer les connexions sans VPN », qui empêche tout trafic de sortir en clair si le tunnel venait à tomber. Cette combinaison constitue le kill switch le plus fiable disponible sur Android, car il est géré au niveau du système d'exploitation plutôt que par l'application elle-même.
Cette option n'est cependant pas automatiquement activée par défaut à l'installation d'une app VPN : elle doit être configurée manuellement dans les paramètres système, indépendamment de ce que propose l'interface de l'application.
Certaines apps VPN, ainsi que la fonctionnalité de profil de travail d'Android Enterprise, permettent de restreindre le tunnel VPN à une liste précise d'applications plutôt qu'à l'ensemble de l'appareil. Concrètement, cela permet par exemple de ne faire transiter que votre navigateur ou votre client de messagerie par le VPN, tout en laissant d'autres applications utiliser la connexion directe — utile pour préserver un quota de données gratuit limité, ou pour éviter qu'un jeu sensible à la latence ne subisse le détour réseau du tunnel.
Un kill switch géré par le système (via l'option « Bloquer les connexions sans VPN » évoquée plus haut) coupe l'accès réseau au niveau du système d'exploitation, indépendamment du comportement de l'application VPN elle-même. Un kill switch géré uniquement par l'application, en revanche, dépend de la capacité de cette dernière à détecter une coupure et à réagir avant qu'un paquet ne sorte en clair — un délai de réaction, même bref, peut suffire à exposer une requête. Pour un usage exigeant en confidentialité, privilégier l'option native d'Android reste le choix le plus robuste techniquement.
Android intègre un support natif pour IKEv2/IPsec via l'API VpnService, utilisable sans application tierce dans certains cas de VPN d'entreprise. Pour des protocoles plus modernes comme WireGuard (protocole open source audité, formalisé académiquement à la conférence NDSS 2017, reposant sur des primitives cryptographiques réduites et performantes), une application tierce reste nécessaire, Android ne l'intégrant pas nativement au niveau système à ce jour.
Le chiffrement et déchiffrement continus sollicitent le processeur davantage qu'une connexion directe, ce qui se traduit par une consommation de batterie plus élevée, particulièrement visible sur les appareils plus anciens ou lors d'un tunnel maintenu en permanence via l'option Always-on. Une app VPN doit également rester active en arrière-plan pour maintenir la connexion : vérifiez dans Paramètres → Batterie qu'elle ne demande pas une exemption d'optimisation disproportionnée par rapport à sa fonction réelle.
Une fois les options Always-on et blocage hors VPN activées, testez leur efficacité en désactivant temporairement le VPN dans les paramètres système (pas depuis l'app) et en vérifiant qu'aucune requête réseau ne passe avant que vous ne réactiviez manuellement le tunnel. Complétez par un test de fuite DNS et, si votre réseau le supporte, un test de fuite IPv6, pour confirmer que l'ensemble du trafic transite effectivement par le tunnel dans les conditions réelles d'usage.
Depuis Android 9 (Pie), le système propose un réglage DNS privé (Paramètres → Réseau et Internet → DNS privé), qui chiffre les requêtes DNS via le protocole DNS-over-TLS indépendamment de tout VPN. Ce réglage protège la confidentialité des noms de domaine consultés même sans tunnel VPN actif, mais ne masque pas votre adresse IP ni ne chiffre le reste de votre trafic : il s'agit d'une couche complémentaire, pas d'une alternative au VPN. Lorsqu'un VPN est actif, ses propres réglages DNS prennent généralement le dessus sur le DNS privé système ; il reste utile de vérifier, via un test de fuite DNS, lequel des deux mécanismes traite effectivement vos requêtes une fois le tunnel établi.
La fonctionnalité d'appels via Wi-Fi (VoWiFi), qui achemine les appels téléphoniques via une connexion Wi-Fi plutôt que le réseau cellulaire, utilise un tunnel chiffré propre à l'opérateur, distinct de tout VPN tiers. Sur certains appareils, l'activation simultanée d'un VPN Always-on peut interférer avec l'établissement de ce tunnel opérateur, provoquant l'échec silencieux des appels Wi-Fi sans message d'erreur explicite. Si vous rencontrez ce symptôme, tester la restriction du VPN par application (en excluant l'app Téléphone du tunnel, quand cette option est disponible) permet généralement de résoudre le conflit sans désactiver complètement le VPN.
La configuration par défaut d'une app VPN sur Android laisse souvent de côté des options natives pourtant plus robustes que ce que propose l'application elle-même : l'option Always-on associée au blocage des connexions hors VPN, disponible depuis Android 7.0, reste le mécanisme de kill switch le plus fiable car géré au niveau du système. Prendre le temps de l'activer manuellement, et de vérifier son fonctionnement réel plutôt que de faire confiance à l'indicateur de l'application, change concrètement le niveau de protection obtenu. Ces réglages restent accessibles à tout utilisateur via les paramètres système, sans nécessiter d'application tierce supplémentaire ni de compétence technique avancée. Revenir régulièrement vérifier ces paramètres après une mise à jour majeure d'Android reste une bonne pratique : certaines options de sécurité réseau peuvent voir leur emplacement ou leur libellé changer d'une version à l'autre du système, sans notification explicite de ce changement à l'utilisateur.