C'est probablement le scénario le plus mal compris parmi les cinq traités dans notre guide des VPN gratuits : beaucoup de gens installent un VPN en pensant échapper au pistage publicitaire, alors qu'un VPN masque une seule information parmi la dizaine de signaux que les sites utilisent pour vous ré-identifier. Comprendre où s'arrête réellement sa protection évite une fausse impression de sécurité, qui peut paradoxalement pousser à baisser sa vigilance sur les autres fronts alors que le pistage continue sans interruption en arrière-plan.
Un VPN masque votre adresse IP réelle, ce qui empêche un site de vous géolocaliser précisément ou de relier plusieurs visites à un même fournisseur d'accès. C'est utile, mais c'est aussi la seule chose qu'il fait sur ce terrain précis. Il ne touche ni aux cookies déposés par votre navigateur, ni aux identifiants publicitaires stockés dans les applications mobiles, ni au fingerprinting du navigateur — trois mécanismes de suivi qui fonctionnent indépendamment de votre adresse IP et qui restent pleinement actifs derrière un VPN.
Le fingerprinting consiste à combiner plusieurs caractéristiques techniques de votre appareil pour créer une signature quasi unique : résolution d'écran, liste des polices installées, version exacte du navigateur et du système d'exploitation, fuseau horaire, et surtout le rendu graphique produit par votre carte vidéo via une technique appelée canvas fingerprinting, qui exploite le fait que deux configurations matérielles rendent rarement une image test de façon strictement identique au niveau du pixel. Une variante, l'audio fingerprinting, applique le même principe au traitement du son par votre carte audio.
Cette signature reste stable d'une session à l'autre, y compris si vous changez d'adresse IP en activant un VPN, videz vos cookies, ou passez en navigation privée. C'est précisément ce qui rend le fingerprinting plus difficile à contrer qu'un simple suivi par cookie : il n'y a rien à effacer, la signature se reconstruit à chaque visite à partir de caractéristiques de votre appareil que vous ne contrôlez pas facilement.
Les cookies tiers, déposés par un domaine différent de celui que vous visitez (souvent un réseau publicitaire), permettent de reconstituer un historique de navigation à travers plusieurs sites distincts. Les navigateurs modernes bloquent de plus en plus ces cookies tiers par défaut, ce qui a poussé l'industrie publicitaire vers des méthodes plus résistantes comme le fingerprinting décrit plus haut, ou vers un suivi côté serveur qui ne dépend plus du navigateur mais d'identifiants transmis directement entre plateformes partenaires lors d'une connexion à un compte. Un VPN n'a strictement aucune prise sur ce second mécanisme, puisqu'il repose sur une identification volontaire (connexion à un compte), pas sur l'adresse IP.
Sur smartphone, le pistage publicitaire repose en grande partie sur un identifiant propre à chaque appareil, fourni directement par le système d'exploitation (IDFA sur iOS, identifiant publicitaire Google sur Android). Cet identifiant est transmis par les applications aux réseaux publicitaires indépendamment de votre adresse IP, ce qui signifie qu'un VPN actif sur votre téléphone ne l'affecte absolument pas. Réinitialiser ou limiter cet identifiant se fait directement dans les réglages de confidentialité du système d'exploitation, pas via une application VPN, aussi performante soit-elle par ailleurs.
Là où un VPN reste pertinent, c'est pour limiter le profilage basé sur votre fournisseur d'accès et votre localisation réseau : certains sites ajustent les prix affichés, les publicités proposées, ou le contenu visible selon le pays ou même la région détectée via votre adresse IP, une pratique connue sous le nom de price discrimination géographique. Masquer son IP réelle limite ce type de profilage, même s'il ne fait rien contre le fingerprinting ou le suivi lié à un compte connecté.
Pour couvrir ce qu'un VPN ne fait pas, deux ajouts complémentaires sont nécessaires : un bloqueur de traqueurs au niveau du navigateur, qui empêche le chargement des scripts de fingerprinting et des cookies tiers avant même qu'ils ne s'exécutent, et une configuration du navigateur qui limite les informations exposées par défaut (désactivation de certaines API de rendu graphique exploitées par le canvas fingerprinting, uniformisation du fuseau horaire affiché). Aucun VPN, aussi complet soit-il, ne remplace ces réglages, parce qu'ils agissent à un niveau technique différent du sien.
Un dernier point mérite attention : votre fournisseur d'accès à Internet peut voir et, dans certains cas, monétiser l'historique de vos requêtes DNS — la liste des domaines que vous consultez, même sans en connaître le contenu exact. Un VPN qui achemine correctement ses propres requêtes DNS (sans fuite, un point vérifiable via un test dédié) déplace cette visibilité du fournisseur d'accès vers le fournisseur de VPN, ce qui n'élimine pas le risque mais le déplace vers un acteur dont la politique de confidentialité doit alors, elle aussi, être vérifiée avec la même rigueur.
En résumé, un VPN reste un outil parmi d'autres dans une stratégie de protection de la vie privée au quotidien, jamais une solution complète à lui seul face au pistage publicitaire moderne.
Concrètement, une protection cohérente au quotidien combine plusieurs briques : un VPN pour masquer votre adresse IP et limiter le profilage géographique, un bloqueur de traqueurs intégré au navigateur pour couper cookies tiers et scripts de fingerprinting avant leur exécution, une vérification périodique des identifiants publicitaires sur mobile dans les réglages système, et un test de fuite DNS pour s'assurer que vos requêtes de résolution de domaine transitent bien par un serveur DNS de confiance plutôt que par celui de votre fournisseur d'accès.
Aucune de ces briques prise isolément ne suffit, et c'est précisément le point que la plupart des pages consacrées aux VPN gratuits omettent de préciser : présenter un VPN comme une réponse universelle au pistage en ligne relève du raccourci marketing, pas de la description technique de ce qu'il fait réellement — une distinction qui mérite d'être répétée tant elle est absente de la plupart des argumentaires commerciaux du secteur.