Une application VPN gratuite pour Android ne se juge pas à sa note sur le Play Store, mais à ce qu'elle demande réellement comme accès à votre appareil. Sur Android, le système de permissions constitue la première ligne de défense pour repérer une app problématique avant même de l'avoir utilisée.
Depuis Android 6.0 (Marshmallow), les permissions sensibles sont demandées à l'exécution plutôt qu'à l'installation, avec acceptation explicite de l'utilisateur pour chaque catégorie (localisation, contacts, stockage, etc.). Pour fonctionner, une app VPN doit obtenir l'autorisation du système via une boîte de dialogue spécifique liée à l'API VpnService, qui affiche explicitement le nom de l'app demandant à créer une interface réseau virtuelle. Cette autorisation est distincte des permissions Android classiques et constitue la seule chose techniquement nécessaire au fonctionnement d'un VPN.
Un VPN chiffre et achemine du trafic réseau : il n'a besoin d'aucun accès aux contacts, aux SMS, au journal d'appels, à la caméra, au microphone, ou à la localisation précise (GPS) pour remplir cette fonction. Si une app VPN gratuite demande l'une de ces permissions sans expliquer clairement pourquoi dans sa fiche Play Store ou sa politique de confidentialité, il s'agit d'un signal d'alerte sérieux — ces permissions n'ont structurellement rien à voir avec le tunnel réseau qu'un VPN est censé fournir.
Avant d'installer, la fiche de l'application sur le Play Store liste dans la section dédiée les permissions demandées. Après installation, Paramètres → Applications → [nom de l'app] → Autorisations permet de consulter et de révoquer individuellement chaque permission accordée, y compris celles activées par défaut. Une app VPN sérieuse continue de fonctionner normalement même après le retrait de permissions non essentielles ; si son fonctionnement se dégrade quand vous retirez l'accès aux contacts ou à la localisation, cela confirme qu'elle exploitait ces données au-delà de sa fonction annoncée.
Une étude présentée à l'ACM Internet Measurement Conference (IMC) 2016 par Ikram, Vallina-Rodriguez, Seneviratne, Kaafar et Paxson a analysé environ 280 applications VPN gratuites disponibles sur le Google Play Store. Les chercheurs ont constaté qu'une part significative de ces applications demandait des permissions sans rapport direct avec leur fonction VPN, et qu'environ 38 % contenaient du code identifié comme malveillant ou intrusif par plusieurs moteurs antivirus lors de l'analyse. Cette étude reste spécifique à l'écosystème Android et date de 2016 : elle ne permet pas de tirer de conclusion sur l'état actuel exact du marché, mais elle documente un risque structurel du secteur des VPN gratuits qui reste une base de vigilance pertinente aujourd'hui.
Un VPN correctement implémenté chiffre votre trafic réseau et masque votre adresse IP réelle vis-à-vis des sites visités et de votre opérateur mobile ou Wi-Fi. Sur un réseau public non chiffré, cela réduit significativement le risque d'interception par un tiers connecté au même réseau.
Un VPN n'a aucun effet sur le phishing (une fausse page qui vole vos identifiants), sur une autre application déjà installée qui collecte des données en arrière-plan, sur un mot de passe réutilisé sur plusieurs services, ou sur le tracking par identifiants publicitaires et empreinte d'appareil. Ces risques relèvent de couches complètement différentes de la sécurité mobile, indépendantes du tunnel réseau.
Une fois le VPN activé, comparez l'adresse IP publique affichée par un service de vérification avant et après activation : elle doit changer. Effectuez ensuite un test de fuite DNS pour confirmer que vos requêtes de résolution de noms de domaine transitent bien par le tunnel plutôt que par le DNS de votre opérateur. Si votre réseau mobile ou Wi-Fi supporte l'IPv6, un test de fuite IPv6 dédié reste recommandé, certaines apps VPN ne gérant correctement que l'IPv4 et laissant filtrer une partie du trafic hors du tunnel sans le signaler.
Android intègre nativement Google Play Protect, un service qui analyse en continu les applications installées, y compris celles provenant du Play Store, à la recherche de comportements malveillants connus. Ce mécanisme ne remplace pas une vérification manuelle des permissions : il détecte des signatures de menaces déjà identifiées, mais ne juge pas de la légitimité d'une permission excessive demandée par une app par ailleurs non classée comme malveillante. Vérifier que Play Protect est actif (Play Store → icône de profil → Play Protect) reste une couche de protection supplémentaire, pas un substitut à l'analyse des permissions elle-même.
Les avis affichés sur une fiche Play Store ne constituent pas une preuve fiable de sécurité : une note élevée peut résulter de faux avis générés en masse, une pratique documentée sur de nombreuses catégories d'applications gratuites. Un signal plus utile consiste à filtrer les avis par date récente et à rechercher spécifiquement des mentions de comportements suspects (publicité intrusive soudaine, ralentissement anormal, demande de permission inattendue après une mise à jour) plutôt que de se fier à la note globale affichée.
Les permissions demandées par une application VPN gratuite pour Android sont un indicateur technique concret, vérifiable en quelques minutes, bien plus fiable qu'une note d'App Store ou une promesse marketing. L'étude ACM IMC 2016 rappelle qu'une part significative de l'écosystème Android des VPN gratuits a historiquement contenu des applications problématiques : la vérification systématique des permissions, avant et après installation, reste le réflexe le plus simple pour limiter ce risque, indépendamment du nom de l'application choisie. Ce réflexe prend quelques minutes et ne demande aucune compétence technique particulière : il suffit de comparer ce que l'app promet de faire avec ce qu'elle demande réellement d'accéder sur votre appareil.