Le cadenas, c'est une enveloppe opaque… avec l'adresse encore visible
La bonne image est celle du courrier. HTTPS revient à glisser votre message dans une enveloppe opaque : personne ne peut lire ce qu'il y a dedans. En revanche, tout le monde peut encore lire l'adresse écrite dessus. Sur Internet, cette adresse correspond au nom du site que vous consultez.
Concrètement, votre opérateur ne peut pas lire vos mots de passe, vos messages, vos paiements ni la page précise que vous ouvrez. Mais il voit passer le nom des sites.
| Votre opérateur peut voir | Votre opérateur ne peut pas voir |
|---|---|
| Les noms de sites visités (via le DNS notamment) | Le contenu des pages HTTPS |
| Les adresses des serveurs contactés | Vos mots de passe |
| L'heure et la durée des connexions | Vos paiements en ligne |
| Le volume de données échangées | Les formulaires envoyés |
| Le type d'activité déduit (streaming, jeu, visio...) | La page précise consultée (ex : quelle vidéo sur youtube) |
Comment votre opérateur connaît-il les sites visités ?
À chaque fois que vous ouvrez un site, votre appareil interroge d'abord le DNS, l'annuaire qui traduit un nom de site (comme degrouptest.com) en adresse technique. Cette requête part le plus souvent en clair : votre opérateur voit donc défiler les noms de domaine, même quand la suite est parfaitement chiffrée. C'est aujourd'hui le principal point de fuite.
Un second détail pouvait aussi vous trahir : le nom du site glissé au tout début de la connexion sécurisée. Mais les navigateurs récents commencent à le masquer, il devient donc moins déterminant. Aujourd'hui, le DNS reste la principale source d'information accessible à votre opérateur lorsqu'il n'est pas chiffré.
Conseil pratique : activez le DNS sécurisé (DNS over HTTPS ou DoH) dans Chrome, Firefox ou votre navigateur. Gratuit et simple à mettre en place, il empêche votre fournisseur d'accès de voir vos requêtes DNS si vous utilisiez ses serveurs. En revanche, il ne masque pas les sites auxquels vous vous connectez une fois la connexion HTTPS établie.
Ces métadonnées paraissent anodines, mais mises bout à bout elles dessinent un profil : rythme de connexion, services fréquentés, habitudes. Aux États-Unis, un rapport de la FTC (2021) a montré que les grands opérateurs les collectaient à grande échelle. En France, la loi impose d'ailleurs aux opérateurs de conserver certaines données de connexion pendant un an, consultables par les autorités dans un cadre légal.
La navigation privée n'y change rien
Beaucoup pensent que le mode navigation privée de Chrome, Firefox ou Edge les rend invisibles auprès de leur opérateur. C'est faux.
Ce mode agit seulement sur votre appareil : il évite d'enregistrer l'historique, les cookies et les formulaires une fois la fenêtre fermée. Votre trafic, lui, emprunte exactement le même chemin. La navigation privée vous protège des autres personnes qui utilisent votre ordinateur, pas de votre fournisseur d'accès.
Ce que change vraiment un VPN
Un VPN (Virtual Private Network) crée un tunnel chiffré entre votre appareil et un serveur intermédiaire. Tout votre trafic, requêtes DNS comprises, passe par ce tunnel avant de rejoindre les sites. Les protocoles modernes comme WireGuard, Nordlynx, et Dausos assurent ce chiffrement en limitant la perte de débit.
Pour votre opérateur, le point de visibilité se déplace. Il ne voit plus les sites que vous ouvrez, mais une seule connexion : celle qui mène au serveur VPN.
Le point de vigilance devient alors le fournisseur de VPN lui-même : vous lui confiez la visibilité que vous retiriez à l'opérateur. Le vrai critère à vérifier n'est pas une promesse commerciale mais une politique no-log auditée par un tiers indépendant (le service s'engage à ne conserver aucune trace de votre activité, et un audit externe l'a contrôlé). Certains services, comme Proton VPN, mettent en avant des audits indépendants de leur politique no-log.
Un VPN ne vous rend pas anonyme à 100%
Attention à ne pas surestimer ce que fait un VPN. Il masque votre adresse IP et empêche votre fournisseur d'accès d'observer votre navigation, mais il ne vous rend pas anonyme sur Internet. Si vous êtes connecté à votre compte Google, Facebook, Microsoft ou Amazon, ces services continuent de vous reconnaître. De même, les cookies enregistrés dans votre navigateur restent actifs, et les techniques de fingerprinting peuvent toujours servir à vous distinguer, même si votre véritable adresse IP est masquée.
Quant aux offres « gratuites », elles se financent souvent en revendant vos données ou en bridant le débit : un coût réel, détaillé dans notre guide des VPN gratuits et de leurs limites. En clair, un VPN seul protège contre la surveillance de votre opérateur et sur un Wi-Fi public, pas contre le suivi lié à vos comptes.
Le cadenas HTTPS reste indispensable : il protège le contenu de vos échanges, et c'est déjà beaucoup pour une navigation à domicile. Mais il ne cache pas la liste des sites que vous visitez. Le VPN ne le remplace pas, il le complète, en ajoutant une couche de confidentialité entre vous et votre opérateur.
Retrouvez la liste des meilleurs VPN du moment dans notre guide, et n'hésitez pas à vérifier quelle formule vous conviendra le mieux. Certaines se limitent à un VPN "pur et dur" (CyberGhost par exemple) tandis que d'autres incluront davantage de services tels qu'un gestionnaire de mot de passe ou un espace de stockage en ligne (ExpressVPN / NordVPN).
