Pourquoi une application voit encore votre vraie région avec un VPN : le voyant « connecté » ne suffit pas

Mon navigateur disait Paris. L’application disait Bruxelles. Et les deux semblaient parfaitement sûrs d’eux.

J’étais en Belgique pour quelques jours et je voulais ouvrir la version française d’une application que j’utilise habituellement en France. Le VPN était connecté à Paris. Une vérification rapide dans le navigateur confirmait une adresse IP française.

J’ai donc ouvert l’application.

Belgique.

Je l’ai fermée, relancée, puis j’ai changé de serveur français. Toujours Belgique.

Mon premier réflexe a été de conclure que le VPN ne fonctionnait pas dans l’application. Mais avant d’essayer un quatrième serveur, j’ai regardé quelque chose que j’avais complètement négligé : les autorisations Android.

Le premier indice n’était pas mon adresse IP

L’application avait accès à ma localisation précise.

Cela suffisait déjà à expliquer une partie du problème. Android peut fournir à une application autorisée une position calculée notamment à partir du GPS, du Wi-Fi et du réseau mobile.

Un VPN change la route de mon trafic et l’adresse IP présentée aux services en ligne. Il ne transporte pas physiquement mon téléphone de Bruxelles à Paris.

J’ai donc retiré l’autorisation de localisation, fermé complètement l’application et recommencé.

Cette fois, elle ne pouvait plus me proposer les services « autour de moi ».

Mais elle affichait encore la Belgique.

Ce résultat était utile : le GPS expliquait une partie de ce que l’application savait, mais pas tout. Il fallait donc regarder le chemin réseau qu’elle empruntait réellement.

Le navigateur était en France. L’application contournait le tunnel

En retournant dans les réglages de mon VPN principal, j’ai retrouvé une vieille configuration de tunneling fractionné.

Je l’avais créée plusieurs semaines auparavant, puis oubliée.

L’application se trouvait dans les exceptions.

Le voyant VPN n’avait donc jamais menti : le tunnel était bien actif. Mon navigateur l’utilisait. L’application, elle, continuait à sortir directement par la connexion belge.

Android permet aux applications VPN d’inclure ou d’exclure certains logiciels du tunnel. Une application exclue peut donc continuer à utiliser le réseau normal alors que le téléphone affiche toujours un VPN connecté.

Tout à coup, mes changements successifs de serveurs français paraissaient assez absurdes.

France 1 ou France 3, peu importait : l’application ne passait par aucun des deux.

C’est aussi la confusion que l’on retrouve dans des discussions d’utilisateurs Android confrontés à une application qui conserve leur région réelle malgré un VPN actif. Le détail intéressant n’est pas leur solution particulière, mais leur mauvaise première hypothèse : voir « connecté » ne prouve pas que chaque application suit exactement la même route.

J’avais cherché un meilleur serveur alors qu’il me fallait une route plus simple

À ce stade, je pouvais réparer mon ancienne configuration.

Retrouver la liste d’exceptions, retirer l’application, relancer le tunnel, vérifier le résultat.

Ce n’était pas particulièrement difficile.

Mais cela révélait ce qui m’avait réellement fait perdre du temps : mon VPN pouvait faire beaucoup de choses, et j’avais oublié l’une des choses que je lui avais demandé de faire.

J’ai donc essayé l’approche inverse avec le service plus petit.

J’ai choisi le scénario France disponible pendant le test et connecté le téléphone. Pas de vieille liste d’exceptions à interpréter, pas de détour par plusieurs écrans de configuration.

Puis j’ai fermé l’application cible et je l’ai rouverte. Cette fois, elle a chargé la région française. Le contenu que je cherchais est apparu.

C’était le résultat qui comptait : après avoir retiré le signal de localisation qui brouillait le diagnostic, l’application suivait maintenant la même sortie française que le reste de mon trafic.

La simplicité était devenue une fonction, pas seulement un confort

J’avais jusque-là tendance à considérer davantage de réglages comme un avantage automatique.

Pour certains utilisateurs, c’en est clairement un. Si je voulais faire passer cinq applications par le VPN, en exclure trois autres et gérer chaque comportement séparément, un fournisseur doté de contrôles plus détaillés serait probablement plus intéressant.

Mais ce n’était pas mon problème ce jour-là.

Je voulais ouvrir une application et savoir immédiatement par où elle sortait.

Le fonctionnement plus direct du service m’a évité de recréer exactement le genre de configuration que j’avais oublié sur mon ancien VPN. Son interface orientée vers des situations plutôt que vers une succession de choix techniques correspondait mieux à cette tâche.

Il possède moins de localisations et moins de recul public que les grands fournisseurs. En échange, je passais beaucoup moins de temps à me demander quel réglage ancien pouvait encore modifier le comportement d’une application.

Dans cette situation, c’était un échange que j’acceptais volontiers.

Puis j’ai réactivé la localisation précise

Je voulais vérifier une dernière chose.

J’ai rendu à l’application son accès à la localisation précise.

Elle a de nouveau reconnu que le téléphone se trouvait physiquement en Belgique.

Cette fois, je n’ai pas accusé le VPN.

Le tunnel faisait son travail ; l’application recevait simplement une autre information, directement depuis Android.

Cette distinction évite beaucoup de mauvais diagnostics. Si une application connaît votre position grâce au téléphone, changer dix fois de serveur ne résoudra pas ce signal-là. Si elle voit votre vraie région parce qu’elle contourne le tunnel, alors le routage du VPN devient au contraire le cœur du problème.

Je ne peux pas observer les règles internes utilisées par chaque application pour arbitrer entre GPS, IP, informations du compte, cache et autres signaux. Mais je peux vérifier séparément les deux éléments qui m’avaient piégé : ce que l’application est autorisée à savoir sur ma position et le réseau qu’elle utilise réellement.

À partir de là, le test devient beaucoup plus court.

Ce que je vérifie maintenant

Quand le navigateur affiche le pays choisi dans le VPN mais qu’une application reste dans ma vraie région, je ne commence plus par changer de serveur.

Je vérifie d’abord son autorisation de localisation. Ensuite, je regarde si elle est exclue du tunnel. Je ferme complètement l’application et je la relance seulement après avoir corrigé ces deux points.

Cette méthode distingue deux problèmes qui donnent presque la même impression à l’écran.

Dans le premier, l’application connaît ma position physique parce que le téléphone la lui communique.

Dans le second, l’application voit mon réseau physique parce que son trafic ne passe pas réellement dans le VPN.

OnlydogVPN^↗ ne remplace pas le GPS du téléphone, et ce n’est pas ce que je lui demande. Son intérêt est apparu après avoir éliminé ce faux problème : avec une configuration plus simple, j’ai obtenu la route française dont j’avais besoin sans conserver une exception oubliée qui envoyait précisément l’application importante hors du tunnel.

Mon ancien fournisseur avait davantage de réglages et davantage de serveurs. Le service plus petit m’a demandé moins de décisions et a accompli la tâche.

Pour cette application, savoir avec certitude quelle route elle empruntait valait davantage que disposer de dizaines de routes supplémentaires que je pouvais mal configurer.