Quand on s'intéresse aux VPN pour protéger sa connexion internet, on remarque rapidement que tous les fournisseurs de VPN promettent systématiquement monts et merveilles derrières des mentions souvent répétées comme « chiffrement militaire », « sécurité maximale ». Pourtant, impossible d'aller plus loin et vérifier ces affirmations.
Dans ce contexte, l'Union Européenne a décidé de mettre en place un cadre légal permettant aux VPN de rétablir des exigences communes et mesurables.
Une norme européenne spécialement conçue pour les VPN
L'Europe travaille actuellement sur le projet de norme EN 304 620. Encore en travaux, celui-ci concerne spécifiquement les VPN, depuis ceux qui sont installés sur les appareils jusqu'aux serveurs des fournisseurs de VPN en passant par les passerelles VPN. L'objectif de cette norme est de formaliser un ensemble d'exigences techniques communes qui permettront de mieux évaluer la sécurité réelle d'un VPN.
Parmi les domaines concernés par ce projet de norme, citons :
- Le chiffrement,
- L'authentification,
- La gestion des clés,
- La sécurité des connexions,
- Le traitement des vulnérabilités.
Ce projet de norme est mis au point par l'ETSI pour répondre aux exigences du Cyber Resilience Act (CRA), sa toute première version est datée du 12 août mais va désormais pouvoir être modifiée et améliorée.
AES-256 et WireGuard ne suffisent pas à dire qu'un VPN est sûr
Derrière ce projet de norme, on retrouve l'idée que les principales technologies proposées par les VPN sont excellentes, comme le chiffrement AES 256 bits, le protocole WireGuard ou le chiffrement de qualité militaire. Mais si elles sont excellentes, elles ne couvrent qu'une partie du problème de la sécurité en ligne.
Voici d'autres éléments qui sont très importants, mais rarement évoqués :
- Génération et gestion des clés,
- Authentification,
- Configuration du client,
- Protection des serveurs,
- Mises à jours,
- Correction des vulnérabilités.
C'est là le rôle de cette nouvelle norme : permettre d'évaluer l'ensemble de la chaîne de sécurité, et pas seulement la technologie de chiffrement utilisée. Pour mener à bien cette mission, les plusieurs grands acteurs du secteur y participent comme NordVPN ou Surfshark. D'autres grandes entreprises technologiques comme Cisco, Google ou Airbus sont également de la partie.
Un VPN sécurisé n'est pas forcément un VPN « no-log »
Pour autant, attention : sécurité et confidentialité sont deux éléments distincts, et pourtant essentiels à la sécurité en ligne. Si l'objectif de cette norme est de vérifier et prouver le niveau de sécurité d'un VPN, se renseigner sur la politique de confidentialité de ce dernier est également essentiel. De fait, un VPN extrêmement bien sécurisé pourrait conserver certaines données sur ses utilisateurs, et inversement.
À l'heure de choisir un VPN, il est toujours aussi important de vérifier sa politique de confidentialité, les audits indépendants qui ont été menés ou encore la transparence de l'entreprise.
Le premier changement arrive dès septembre
Si la norme EN 304 620 est encore à l'état de projet, certains changements arriveront dès le 11 septembre 2026. À cette date, les fournisseurs de VPN devront obligatoirement notifier les utilisateurs en cas de vulnérabilités activement exploitées, ou d'incidents graves.
Si ces premiers éléments sont prévus d'ici peu de temps, les principales obligations du Cyber Resilience Act (ACT) entreront en application le 11 décembre 2027.
Kevin Champeau
Rédacteur expert en sécurité
