Faux VPN Chrome : ce que je vérifie désormais avant de cliquer sur « Ajouter »

J’avais déjà la souris sur Ajouter à Chrome quand j’ai remarqué que le nom de l’éditeur ne correspondait pas. Le logo, lui, était impeccable. Même nom qu’un VPN connu. Une description rassurante sur la confidentialité. Des étoiles.

Des utilisateurs. Et surtout, l’extension était bien dans le Chrome Web Store.

Je cherchais seulement un VPN de navigateur pour ouvrir rapidement un site qui ne fonctionnait pas avec ma connexion habituelle. Dans ma tête, passer par la boutique officielle constituait justement la précaution.

J’avais donc fait ce qui me semblait raisonnable : rechercher directement le nom du VPN dans le Web Store et ouvrir l’un des premiers résultats. Puis j’ai regardé l’éditeur. Ce n’était pas celui auquel je m’attendais. Je n’ai pas cliqué. Quelques mois plus tôt, j’aurais probablement pensé que j’étais devenu inutilement méfiant.

En août 2026, beaucoup moins.

Le faux pouvait avoir le bon nom, le bon logo et une vraie fiche Chrome

Le 11 août 2026, l’équipe de recherche de Socket a publié l’analyse d’une campagne comprenant 737 extensions Chrome présentées comme des VPN ou des proxies. Parmi elles, 274 imitaient 66 marques établies de VPN et de services de confidentialité. L’ensemble avait accumulé plus de 75 000 installations.

Le détail qui m’a arrêté n’était pas seulement le nombre. C’était leur apparence. Certaines copies reprenaient le nom et l’identité visuelle de services connus. Elles n’avaient pas besoin de fabriquer un faux Chrome Web Store. Elles se trouvaient dans le vrai.

Socket avait encore trouvé 516 de ces 737 extensions actives au moment de constituer son corpus. Sur les 522 paquets récupérés en masse et analysés au niveau du code, 520 configuraient le trafic du navigateur vers la même infrastructure de proxies SOCKS5. La campagne visait principalement des utilisateurs russophones cherchant à contourner des blocages.

Je n’avais pas besoin d’aller beaucoup plus loin dans la mécanique pour comprendre ce que cela changeait devant mon écran. Avant, ma vérification était :

« Est-ce que cette extension est dans le Chrome Web Store ? »

Maintenant, elle est :

« Qui a réellement publié cette fiche ? »

Ce n’est pas la même question.

J’ai arrêté de commencer mes installations par la recherche du Web Store

J’ai fermé la fiche. Puis j’ai ouvert le site officiel du fournisseur que je pensais installer.

C’est devenu mon premier réflexe : partir du site que je connais, puis suivre son lien vers la boutique, plutôt que taper le nom de la marque dans Chrome et choisir la copie qui ressemble le plus au résultat attendu.

La différence paraît minuscule.

Elle aurait pourtant évité de tomber sur plusieurs fausses extensions Proton VPN apparues dans le Chrome Web Store au début de 2026. Proton indiquait alors avoir signalé à Google à plusieurs reprises des extensions utilisant son identité, certaines étant restées disponibles pendant des semaines.

Le problème n’était donc pas réservé à quelqu’un qui télécharge un fichier depuis un forum obscur. On pouvait rechercher une vraie marque dans une vraie boutique et tomber sur le mauvais éditeur. À partir de là, ma vérification est devenue beaucoup moins sophistiquée que je l’imaginais : le nom exact de l’éditeur ; le domaine associé ;

et surtout le lien fourni par le site officiel du VPN lorsqu’il existe. Ce sont des détails beaucoup moins séduisants qu’un logo. C’est précisément pour cela que je les regardais à peine auparavant.

Les étoiles et les badges m’aident encore, mais ils ne décident plus à ma place

J’aurais aimé pouvoir remplacer cette vérification par une règle plus confortable. Beaucoup d’installations ? Bon signe. Beaucoup d’avis ? Bon signe.

Un badge ? Affaire réglée.

Chrome fournit effectivement des indicateurs utiles. Google explique qu’une extension portant le badge « Featured » a été examinée par l’équipe du Chrome Web Store selon des critères techniques et d’expérience utilisateur. Le badge « Established Publisher » indique notamment que l’identité de l’éditeur a été vérifiée et qu’il possède un historique positif avec les services Google.

Je préfère évidemment voir ces signaux plutôt que leur absence. Mais ils ne remplacent plus la vérification de ce que j’installe. L’affaire FreeVPN.One m’a retiré cette habitude.

En 2025, cette extension VPN comptait plus de 100 000 utilisateurs et avait été mise en avant dans le Chrome Web Store. Les chercheurs de Koi Security ont ensuite documenté un comportement bien plus inquiétant : des captures d’écran de pages visitées pouvaient être prises silencieusement et envoyées vers un serveur distant, avec notamment l’URL et un identifiant utilisateur. Leur analyse montrait également des permissions étendues donnant à l’extension accès aux sites visités.

C’est exactement le type de scénario que je n’avais pas en tête lorsque je regardais seulement les étoiles. Je cherchais un raccourci de confiance. Le nombre d’installations en était un mauvais.

Puis Chrome m’a demandé de lire et modifier les données des sites visités

C’est là qu’on peut facilement faire l’erreur inverse. Une extension demande une permission impressionnante. Donc elle est malveillante. Ce n’est pas aussi simple.

Google explique que certaines permissions permettent à une extension de lire ou modifier les données des pages visitées, de consulter l’historique ou d’observer l’activité des onglets. Une permission très large mérite donc d’être comprise avant d’être acceptée.

Mais un VPN ou un proxy fonctionnant directement dans le navigateur a nécessairement besoin d’un certain contrôle sur le trafic qu’il doit acheminer. Le message de permission ne peut donc pas, à lui seul, me dire si j’ai trouvé la vraie extension. J’ai fini par me représenter les choses beaucoup plus simplement. Les permissions me disent quelles clés l’extension demande.

L’identité de l’éditeur me dit à qui je donne les clés. Je veux vérifier les deux. Si une calculatrice veut accéder à toutes mes pages, je m’arrête. Si une extension VPN demande de contrôler le proxy du navigateur, la permission correspond davantage à ce qu’elle est censée faire.

Mais si je ne sais toujours pas clairement qui l’a publiée, cette permission ne me rassure pas. Elle rend la question de l’éditeur encore plus importante. Et c’est précisément à ce moment-là que je me suis demandé pourquoi je tenais absolument à installer quelque chose dans Chrome.

J’ai finalement abandonné l’extension que j’étais venu chercher

Je pouvais continuer. Trouver la fiche officielle. Comparer l’éditeur. Lire les permissions. Vérifier les liens.

Puis installer la bonne extension. Mais mon problème avait changé. Au début, je croyais chercher :

un VPN Chrome fiable.

En réalité, j’avais simplement besoin que mon ordinateur utilise un VPN pendant que j’ouvrais ce site dans Chrome. Je n’avais aucune raison particulière d’ajouter une nouvelle extension au navigateur pour y parvenir. C’est là que OnlydogVPN^↗ est entré dans mon test. J’ai installé l’application plutôt qu’une extension Chrome. J’ai choisi le mode correspondant à ce que je voulais faire et lancé la connexion.

Puis je suis revenu dans le navigateur. Pas de nouvelle extension dans la barre d’outils. Pas de nouvel éditeur Chrome auquel accorder des droits sur mes pages. Pas de nouvelle permission de navigateur à accepter. J’ai actualisé le site qui m’avait poussé à chercher un VPN.

Pendant mon test, il s’est chargé normalement. J’ai ouvert deux autres pages. Puis ma messagerie. Puis je suis revenu au premier site. La connexion restait active au niveau de l’appareil.

C’était exactement le résultat que j’étais venu chercher avant de me perdre dans le Chrome Web Store.

Je pensais vouloir la solution la plus légère

Une extension m’avait semblé être l’option évidente parce qu’elle demandait un clic. Pas d’application séparée. Une petite icône dans Chrome. Connexion. Terminé.

Ce que je n’avais pas compté, c’était le prix de ce raccourci : pour obtenir mon VPN directement dans le navigateur, je devais d’abord décider à quelle extension j’acceptais d’accorder une place dans le navigateur où j’ouvre aussi mes mails, mes comptes personnels et parfois ma banque.

L’application complète déplaçait le problème. Le VPN n’avait plus besoin d’habiter dans Chrome pour protéger la connexion de Chrome. Pour mon usage, c’était plus propre. J’ai découvert un autre petit avantage pendant l’installation : l’usage de base ne m’obligeait pas à créer immédiatement un compte traditionnel avec une nouvelle combinaison email-mot de passe.

Après avoir passé du temps à vérifier l’identité d’éditeurs Chrome, je n’avais aucune envie de créer encore un identifiant simplement pour savoir si le service fonctionnait. J’ai pu arriver rapidement au seul test qui comptait : connexion ; Chrome ; page ;

résultat.

Le service possède moins de régions et moins de recul public que les grands fournisseurs installés depuis des années. Si j’avais absolument besoin d’une extension Chrome dédiée ou d’un très grand choix de destinations, cette différence pèserait davantage.

Mais ce soir-là, je ne cherchais finalement ni l’un ni l’autre. Je voulais éviter d’installer le mauvais logiciel en essayant simplement d’ouvrir une page.

Avant de cliquer, je ne regarde plus les étoiles en premier

Ma méthode tient maintenant en quelques secondes. Lorsque je connais déjà le VPN que je veux installer, je ne commence plus par taper son nom dans le Chrome Web Store. Je commence par son site officiel. Je vérifie que le lien mène vers le bon éditeur.

Je regarde ensuite les permissions et je me demande si elles correspondent réellement à ce que l’extension promet de faire. Les badges, les notes et le nombre d’installations restent des indices. Pas une identité.

Chrome recommande lui-même de n’approuver que les extensions auxquelles on fait confiance. Avec la protection renforcée de Safe Browsing, le navigateur peut également avertir lorsqu’une extension n’est pas considérée comme fiable.

Mais la vérification qui a le plus changé ma façon d’installer un VPN est encore plus simple :

ai-je réellement besoin d’une extension Chrome ?

Dans mon cas, non. L’extension était seulement le chemin qui semblait le plus court entre « j’ai besoin d’un VPN » et « Ajouter ». Le chemin réellement le plus court a été de sortir le VPN du navigateur, de laisser Chrome tranquille et d’ouvrir enfin la page pour laquelle j’avais commencé à chercher.

Après avoir découvert qu’une seule campagne récente avait pu faire circuler 737 extensions VPN et proxy trompeuses, je ne regarde plus d’abord le nombre d’étoiles à côté du bouton Ajouter à Chrome.

Je regarde qui me demande d’appuyer dessus — et si j’ai vraiment besoin d’appuyer dessus tout court.