Si vous pensez que télécharger un VPN directement depuis une boutique d’applications officielle suffit à garantir la confidentialité de vos données, il est temps de revoir cette certitude.
Une vaste analyse des normes de vérification appliquées par les boutiques d’applications vient de révéler de graves lacunes dans le contrôle qualité, aussi bien sur l’App Store d’iOS que sur Google Play.
L’étude a évalué la transparence des développeurs et les règles de vérification des boutiques. Elle a porté sur 3 392 applications VPN Android, comptant plus de 1 000 téléchargements, et sur 1 387 applications VPN iOS, disposant d’au moins un avis.
Google Play affiche des résultats nettement moins bons que l’App Store d’Apple sur presque tous les critères de transparence et de validité. Seulement 61,4 % des applications iOS, soit 851, ont réussi l’ensemble des principaux contrôles de validité. Android reste loin derrière, avec seulement 40,8 % des applications, soit 1 210, ayant passé les mêmes tests.
La présence d’un VPN sur une boutique officielle ne garantit donc pas sa légitimité. Voici ce que révèlent les données sur la sécurité des VPN mobiles.
Contrôle des boutiques et qualité des applications
Lorsqu’un utilisateur confie son trafic internet à un VPN, il s’attend à ce que le développeur soit une entreprise réelle et enregistrée. Pourtant, les données sur les contrôles effectués par les boutiques prouvent que des milliers de ces applications ne disposent même pas des infrastructures professionnelles les plus élémentaires.
En matière de site officiel valide, Apple arrive en tête. Les données montrent que 82,7 % des applications iOS, soit 1 147, disposent d’un site de développeur valide. À l’inverse, seulement 52,2 % de l’ensemble des applications Android, soit 1 774, en possèdent un. Cela représente 59,8 % des applications Android ayant pris la peine d’indiquer une adresse internet.
Mais le problème ne se limite pas aux liens cassés. Parmi les sites Android valides, 46,9 %, soit 832, reposent entièrement sur des domaines tiers gratuits comme Google Sites, GitHub ou Blogger. C’est également le cas de 47,5 % de l’ensemble des politiques de confidentialité Android, soit 1 612.
Au total, plus de 1 200 liens vers des sites de développeurs Android ou des politiques de confidentialité renvoyaient directement vers des pages Google gratuites. Apple obtient de meilleurs résultats, sans être totalement épargnée. Ainsi, 15,6 % des sites iOS, soit 179, et 18,3 % des politiques de confidentialité iOS, soit 217, dépendent encore de ces hébergeurs gratuits.
Pourquoi est-ce important ?
Le recours à des plateformes gratuites comme Blogger ou Google Sites révèle une absence totale d’infrastructure professionnelle dédiée et d’investissement financier. Lorsqu’un développeur refuse de dépenser quelques euros pour un nom de domaine personnalisé, difficile de lui faire confiance pour investir dans un chiffrement AES-256 sécurisé ou dans l’entretien de ses serveurs.
Pire encore, si ce compte gratuit est suspendu ou abandonné par l’hébergeur, le support du développeur et toute la documentation liée à la confidentialité disparaissent immédiatement.
Les différences entre les plateformes sont tout aussi marquées concernant les coordonnées des développeurs. Google Play impose l’affichage d’une adresse e-mail. Pourtant, 65,1 % des applications Android, soit 2 208, utilisent des services gratuits et publics comme Gmail ou Yahoo.
De son côté, iOS n’oblige pas les développeurs à afficher une adresse e-mail. Cette information n’apparaît que pour 16,2 % des VPN iOS, soit 225 applications.
Autoriser les développeurs à ne fournir aucune adresse de contact permet aux exploitants de rester totalement anonymes. Les utilisateurs ne peuvent alors plus exercer certains droits fondamentaux en matière de confidentialité, comme les demandes d’accès ou de suppression de données prévues par le RGPD.
Cette situation laisse fortement penser que la prétendue entreprise correspond en réalité à une personne seule ou à une structure éphémère, plutôt qu’à une société enregistrée. Dans ces conditions, toute responsabilité juridique ou application des règles de protection des données devient quasiment impossible.
Politiques de confidentialité trompeuses et réseaux de textes standardisés
La fiabilité d’un VPN dépend directement de sa politique de confidentialité. Des fournisseurs premium comme ExpressVPN et NordVPN font régulièrement contrôler leurs engagements de non-conservation des journaux par des organismes indépendants. À l’inverse, l’analyse a révélé que des centaines de VPN mobiles utilisent des textes génériques, copiés ou totalement dépourvus de sens pour se donner une apparence légitime.
Dans un cas, 13 applications iOS partageaient exactement le même texte standardisé, avec des champs de modèle laissés sans modification. Les développeurs n’avaient même pas pris la peine de relire leurs propres documents juridiques. Le texte indiquait encore : « Pour toute question concernant cette politique de confidentialité, contactez-nous à l’adresse support@example.com. » L’une de ces politiques identiques et non modifiées peut être consultée ici.
Ces modèles non corrigés ne contiennent aucun engagement juridiquement contraignant concernant les pratiques propres aux VPN. Rien n’est précisé sur l’enregistrement du trafic, le suivi des adresses IP ou la surveillance de la bande passante. Les utilisateurs pensent être protégés, alors qu’en réalité, aucune véritable politique juridique n’existe.
Une part considérable de ces applications dépend également de services automatisés de génération de politiques. Ces plateformes hébergent en masse des documents génériques sur la confidentialité. L’analyse a notamment identifié :
- 48 applications Android hébergeant leur politique sur projeto10.top
- 40 applications utilisant freeprivacypolicy.com
- 19 applications utilisant termsfeed.com
Les générateurs automatiques de politiques ajoutent souvent des clauses précisant qu’ils ne garantissent pas l’exactitude des documents. La plateforme d’hébergement peut également modifier ou supprimer la page à l’insu du développeur. Les utilisateurs se retrouvent alors sans conditions de confidentialité valides.
La découverte la plus absurde concerne peut-être Sigma VPN, une application Android téléchargée plus de 100 000 fois. Le lien présenté comme sa politique de confidentialité ne renvoie vers aucune politique. Il mène directement vers un article d’assistance Wix copié, expliquant comment créer une politique de confidentialité.
Même lorsqu’elles sont uniques, ces politiques sont souvent trop courtes pour avoir une réelle valeur. L’analyse a révélé que 2,3 % des politiques Android valides, soit 72, et 6,6 % des politiques iOS valides, soit 78, comptent 250 mots ou moins. Des textes aussi réduits ne contiennent pas les mentions juridiques nécessaires sur la journalisation, le partage de données avec des tiers, la juridiction applicable ou les durées de conservation.
Conseils aux utilisateurs et mesures concrètes
Comment utiliser les boutiques d’applications sans télécharger un service inefficace, voire un logiciel conçu pour collecter des données ? Voici une liste de vérifications à effectuer avant d’appuyer sur « Télécharger ».
- Vérification du domaine : il faut toujours vérifier que le fournisseur utilise un nom de domaine indépendant et personnalisé, correspondant au nom du produit. Un sous-domaine gratuit sur Blogger ou Google Sites doit éveiller la méfiance. Un fournisseur incapable de posséder son propre site ne devrait pas pouvoir accéder au trafic internet de ses utilisateurs.
- Vérification de la politique de confidentialité : la simple présence des mots « Politique de confidentialité » ne suffit pas. Il faut ouvrir le lien et rechercher les adresses e-mail génériques, comme support@example.com, les mentions laissées par un générateur ou les conditions générales sans rapport avec un VPN. La politique doit indiquer clairement qu’aucun journal de connexion ou d’activité n’est conservé.
- Test des moyens de contact : mieux vaut vérifier les canaux de communication du développeur avant de souscrire un abonnement. Un simple e-mail permet de confirmer que le service client répond réellement et qu’un mécanisme de suppression du compte existe.
Conclusion
La méthode de vérification des liens utilisée par Google Play permet à des centaines d’applications de fonctionner avec des blogs temporaires, des pages vides ou des sites de génération automatique. Apple contrôle mieux la validité des liens internet. Son principal défaut reste toutefois d’autoriser l’anonymat complet des développeurs, ce qui empêche les utilisateurs d’engager leur responsabilité juridique.
À la suite de cette enquête, Apple a refusé de faire un commentaire officiel et a renvoyé vers ses consignes de sécurité et ses procédures d’examen des applications. Un porte-parole de Google a déclaré : « Nous examinons actuellement la situation. Lorsqu’une application susceptible d’enfreindre nos règles nous est signalée, nous l’examinons et prenons les mesures appropriées. »
La principale leçon à retenir concerne le fonctionnement actuel de la cybersécurité. L’approbation d’une application par une boutique confirme uniquement le respect de formulaires et de critères de dépôt élémentaires. Elle ne garantit ni la légitimité du service, ni la protection de la vie privée. Des recherches restent donc indispensables avant de confier des données personnelles à un VPN mobile.
