VPN gratuit pour PC Windows 11 : ce que le système fait déjà, ce qu'un VPN ajoute

Choisir un VPN gratuit pour Windows demande d'abord de savoir ce que le système gère seul. Windows 11 a intégré plusieurs briques réseau qui recoupent en partie ce qu'un VPN apporte ; comprendre ce chevauchement évite d'installer une application pour une fonction déjà présente, et éclaire ce qu'une application gratuite ajoute réellement.

Ce que Windows 11 apporte nativement

Windows 11 embarque un client VPN, accessible dans Paramètres puis Réseau et Internet puis VPN. Il établit un tunnel en IKEv2, L2TP/IPsec, SSTP ou PPTP à partir d'une configuration que vous renseignez : adresse du serveur, type de connexion, identifiants. Le système gère aussi le chiffrement des requêtes DNS — le DNS over HTTPS se configure par interface, dans les paramètres de la carte réseau, en désignant un résolveur qui le prend en charge. Enfin, le pare-feu Windows Defender filtre les connexions entrantes et sortantes. Ces trois éléments fonctionnent sans aucune application tierce.

Ce qu'une application VPN gratuite ajoute

Une application apporte ce que le client natif ne fait pas : l'automatisation de la connexion et le choix d'un serveur dans une liste, la prise en charge de WireGuard et d'OpenVPN — que Windows ne gère pas seul —, un interrupteur d'arrêt qui bloque le trafic si le tunnel tombe, une protection active contre les fuites DNS et IPv6, et le tunnel par application, qui permet de faire passer certains logiciels par le VPN et d'en exclure d'autres. En échange, elle installe un pilote et un service permanent, et vous demande de faire confiance à son éditeur.

Les fonctions natives à activer avant même un VPN

Avant d'installer quoi que ce soit, plusieurs réglages de Windows 11 améliorent déjà la confidentialité réseau. Activer le chiffrement DNS vers un résolveur de confiance dans les paramètres de la carte réseau empêche le fournisseur d'accès de lire les noms de domaine visités. Vérifier que le pare-feu est actif pour les trois profils de réseau. Sur les réseaux publics, s'assurer que le profil « Public » est bien sélectionné, ce qui restreint la découverte de la machine. Passer en revue les autorisations des applications, notamment la localisation et l'accès en arrière-plan. Ces gestes ne remplacent pas un VPN pour le masquage d'adresse IP, mais ils réduisent la surface d'exposition indépendamment de lui.

L'interrupteur d'arrêt sous Windows 11, en pratique

L'interrupteur d'arrêt d'une application VPN s'appuie sur la plateforme de filtrage de Windows : l'application inscrit des règles qui n'autorisent le trafic que par l'adaptateur du tunnel, et bloquent tout le reste tant que la connexion n'est pas rétablie. C'est efficace, mais cela suppose que l'application nettoie correctement ces règles quand on la ferme ou qu'on la désinstalle. Une application gratuite mal conçue peut laisser des règles orphelines qui coupent l'accès à Internet même après sa suppression ; c'est un motif de plus de privilégier un éditeur sérieux et de désinstaller proprement.

La compatibilité des adaptateurs

Windows 11 accepte les adaptateurs modernes utilisés par WireGuard et OpenVPN. Mais ses fonctions de sécurité renforcées — intégrité du code protégée par l'hyperviseur, isolation du noyau — peuvent bloquer l'installation de pilotes anciens ou mal signés. Une application VPN gratuite peu maintenue risque donc de ne pas s'installer proprement, ou d'exiger la désactivation d'une protection du système, ce qui est un mauvais compromis. Un service dont l'application est régulièrement mise à jour et dont le pilote est correctement signé est un bon signe en soi.

Le client des Paramètres ou l'application ?

La configuration manuelle par les Paramètres suffit quand vous vous connectez toujours au même serveur, pour un usage simple, et que IKEv2 vous convient — c'est le cas d'un accès à un serveur d'entreprise ou à un serveur que vous hébergez vous-même. L'application devient nécessaire dès que vous voulez un interrupteur d'arrêt, une protection anti-fuite active, le choix entre plusieurs pays, ou WireGuard pour ses performances. Beaucoup d'offres gratuites ne proposent que l'application, sans possibilité d'export de configuration.

Les fuites propres à Windows 11

Deux points méritent attention. L'IPv6 est actif par défaut : si le service VPN ne route pas aussi le trafic IPv6, votre adresse IPv6 réelle peut fuir alors que l'IPv4 est masquée ; une bonne application le gère, sinon il faut désactiver l'IPv6 sur la carte réseau. Les applications installées depuis le Microsoft Store fonctionnent dans un cadre d'isolation réseau qui, dans certaines configurations, peut ne pas suivre le tunnel comme une application classique — à vérifier avec un test de fuite depuis ces applications. Enfin, la télémétrie du système et les services liés au compte Microsoft ou à OneDrive continuent leurs échanges, VPN activé ou non ; le VPN change la route, pas le fait que ces échanges aient lieu.

L'articulation avec le DNS chiffré natif

Si Windows 11 fait déjà transiter vos requêtes DNS en DNS over HTTPS vers un résolveur de confiance, une partie du bénéfice « le fournisseur d'accès ne lit plus les noms de domaine visités » est déjà acquise sans VPN. Le VPN reste utile pour ce que le DNS chiffré ne fait pas : masquer l'adresse IP vis-à-vis des sites, et chiffrer l'ensemble du transport, pas seulement la résolution de noms.

Attention à un piège courant : quand un VPN est actif, c'est en principe lui qui doit gérer le DNS, dans le tunnel. Si Windows 11 conserve un résolveur DoH configuré manuellement sur la carte physique, on peut se retrouver avec des requêtes qui sortent hors du tunnel. Une bonne application VPN impose son propre DNS le temps de la connexion ; sinon, il faut vérifier par un test de fuite et, au besoin, désactiver temporairement le DNS manuel.

Split tunneling : ce qui passe, ce qui ne passe pas

Windows 11 ne propose pas de tunnel divisé natif ; cette fonction, quand elle existe, vient de l'application VPN. Elle est utile pour laisser hors du VPN un service de sauvegarde local, une imprimante réseau, ou un site bancaire qui refuse les adresses de VPN. Le revers est qu'elle crée des chemins non protégés : le trafic exclu sort avec l'adresse IP réelle. Sur une offre gratuite qui propose le tunnel divisé, vérifier qu'il fonctionne dans le bon sens — inclure uniquement certaines applications, plutôt qu'exclure — et qu'il ne laisse pas fuiter le DNS des applications exclues.

Éditions et matériel

Le client VPN natif et le pare-feu sont présents sur toutes les éditions de Windows 11, y compris Famille. Les fonctions d'isolation renforcée du noyau, qui peuvent bloquer un pilote VPN mal signé, dépendent surtout des réglages de sécurité et du matériel ; sur un PC récent avec démarrage sécurisé et module de sécurité activés, un pilote non conforme sera refusé. C'est une contrainte, mais elle joue en votre faveur : elle écarte les applications VPN négligées.

Ce qu'il faut retenir

Sur Windows 11, le système gère déjà un tunnel de base, le DNS chiffré et le pare-feu. Une application VPN gratuite se justifie par l'interrupteur d'arrêt, la protection anti-fuite, WireGuard et le choix de serveurs — à condition qu'elle soit à jour et correctement signée. Pour comprendre ce que cache un service « illimité », voir VPN gratuit illimité pour PC ; pour la différence avec une extension de navigateur, voir VPN gratuit pour Chrome.