Réglages Proxy de Windows : manuel, script PAC ou VPN ? Le vrai choix est de savoir quelle route vous voulez réellement changer

Le proxy fonctionnait.

C’est justement ce qui m’a induit en erreur.

J’étais sur un portable Windows 11, dans un espace de coworking, avec un accès proxy fourni pour un projet client. Dans Paramètres > Réseau et Internet > Proxy, j’avais activé la configuration manuelle, saisi l’adresse et le port, puis ouvert Edge.

Le site qui affiche mon adresse IP montrait bien celle du proxy.

Le portail du client s’ouvrait.

J’ai presque refermé les paramètres en me disant que Windows était désormais « derrière le proxy ».

Puis j’ai lancé depuis le terminal le même contrôle d’adresse IP avec curl.

Une autre adresse est apparue : celle de la connexion du coworking.

Ce n’était pas une panne spectaculaire. Rien n’avait cessé de fonctionner. C’était même plus trompeur que cela : tout fonctionnait, mais deux applications du même PC n’empruntaient pas la même sortie.

À ce moment-là, ma question n’était plus vraiment « proxy manuel ou script automatique ? ».

Elle était devenue beaucoup plus utile : est-ce que je veux donner une règle à certaines applications, ou est-ce que je veux changer la route réseau du PC ?

Le proxy manuel faisait exactement ce que je lui avais demandé

L’écran de Windows prête facilement à confusion parce que plusieurs choix se trouvent au même endroit : détection automatique, script d’installation et proxy manuel. Microsoft les présente comme différentes façons de configurer un serveur proxy pour une connexion Wi-Fi ou Ethernet.

Le mode manuel est le plus intuitif.

Une adresse.

Un port.

Éventuellement quelques exceptions.

Pour un environnement stable où l’on connaît déjà le proxy à utiliser, c’est difficile de faire plus simple. Les applications compatibles récupèrent cette configuration et envoient leur trafic vers l’intermédiaire indiqué.

Mon erreur avait été de transformer mentalement cette consigne en tunnel.

Le réglage ne disait pas : « toute communication produite par cette machine doit désormais passer ici ».

Il disait plutôt : « les applications qui utilisent cette configuration proxy disposent maintenant de cette route ».

Cette distinction semble assez théorique jusqu’au moment où une application ne suit pas la règle.

Microsoft indique d’ailleurs que les applications qui ne récupèrent pas les paramètres proxy Windows peuvent nécessiter leur propre configuration. Windows utilise aussi plusieurs mécanismes réseau : WinINet est historiquement lié aux applications qui exploitent les paramètres Internet de l’utilisateur, tandis que WinHTTP répond à d’autres usages, notamment ceux de certains services et applications.

Pas besoin de retenir tous ces noms pour comprendre le problème.

Le menu Proxy ressemble à un panneau installé à un carrefour : il indique une direction aux conducteurs qui le consultent. Il ne construit pas une barrière obligeant toutes les voitures à prendre cette route.

Mon curl n’avait donc pas découvert une fuite mystérieuse.

Il m’avait simplement montré la limite de l’outil que j’avais choisi.

Le script PAC était plus intelligent, mais pas plus profond

J’ai ensuite essayé le choix qui avait l’air plus sophistiqué : Utiliser le script d’installation.

Un fichier PAC ajoute de la logique. Avec sa fonction FindProxyForURL, il peut décider selon la destination si une requête doit passer par un proxy ou sortir directement.

Et ce n’est pas seulement un mécanisme hérité d’anciens environnements Windows.

Microsoft s’appuie encore sur les fichiers PAC dans des scénarios modernes de proxy explicite pour Microsoft Entra Internet Access. Une règle peut, par exemple, envoyer certaines destinations vers PROXY et laisser les autres en DIRECT.

Pour une entreprise, c’est extrêmement pratique.

Je pouvais raisonner ainsi :

le portail du client → PROXY ;

certaines ressources internes ou locales → DIRECT ;

le reste → selon la politique prévue.

Ce genre de besoin apparaît toujours dans les environnements réels. Dans une discussion r/sysadmin de juillet 2026, un administrateur cherchait justement à adapter automatiquement la configuration proxy de postes Windows selon le site auquel l’utilisateur était connecté ou la connexion VPN employée. Le recours à un PAC faisait partie des solutions proposées pour éviter de maintenir une configuration statique à la main.

J’ai donc testé cette logique.

Le portail professionnel continuait à prendre la route proxy. Les destinations déclarées DIRECT sortaient sans lui. Je n’avais plus besoin de modifier manuellement l’adresse chaque fois que le contexte changeait.

Le PAC avait clairement amélioré le proxy manuel.

Mais il n’avait pas changé la nature du problème.

Il décidait mieux quelles requêtes devaient prendre le proxy. Il ne transformait toujours pas l’ensemble du PC en tunnel.

Et c’est là que ma comparaison initiale s’est effondrée.

Je mettais sur la même ligne deux façons de piloter un proxy et une technologie qui travaille à un autre niveau.

Une application qui ignorait le proxy a fini par clarifier le problème

Une discussion publique sur Super User illustre presque exactement cette frontière. Un utilisateur de Windows 11 avait configuré un proxy HTTP/SOCKS local dans les paramètres système. Beaucoup de programmes l’utilisaient, mais certains l’ignoraient. Sa question finale était révélatrice : pouvait-il transformer ce proxy en quelque chose qui se comporte comme un VPN ?

C’était pratiquement le problème que j’avais devant moi.

Un proxy manuel est très bien si je veux un intermédiaire fixe pour du trafic compatible.

Un PAC est plus intéressant si je veux décider, destination par destination, quand utiliser cet intermédiaire et quand sortir directement.

Mais si mon besoin devient : je suis sur un Wi-Fi que je ne contrôle pas et je veux éviter de vérifier application après application qui respecte réellement le menu Proxy, alors je demande autre chose.

Je ne veux plus distribuer une consigne aux logiciels.

Je veux agir sur la route qu’ils empruntent.

Windows fait lui-même cette distinction pour les VPN. Selon la configuration, le système peut envoyer tout le trafic vers l’interface VPN ou ne lui confier que certaines routes en split tunneling.

C’était finalement beaucoup plus simple à comprendre ainsi :

le proxy donne une destination intermédiaire aux applications qui l’utilisent ;

le VPN intervient sur le chemin réseau.

À partir de là, je n’avais plus vraiment de raison de continuer à bricoler le fichier PAC pour résoudre un problème qu’il n’était pas censé résoudre.

C’est à ce moment-là que j’ai quitté le menu Proxy

J’ai ouvert OnlydogVPN sur le portable Windows utilisé pour le test.

Ce qui m’a intéressé n’était pas une liste de pays ou une page remplie de paramètres réseau.

C’était précisément ce que je n’avais plus envie de faire.

Je n’ai pas eu à retrouver l’adresse d’un proxy, copier un port, maintenir une liste d’exceptions ou décider si telle destination devait recevoir PROXY ou DIRECT.

J’ai choisi le mode correspondant à mon usage sur ce réseau public et lancé la connexion.

Puis j’ai repris le test qui avait cassé mon illusion au début.

Edge.

Adresse de sortie du VPN.

Ensuite curl.

Même sortie.

J’ai ouvert le client de synchronisation qui devait envoyer les fichiers du projet.

Le transfert a continué normalement.

Cette fois, je n’avais plus une application qui obéissait au proxy et une autre qui l’ignorait. Le navigateur et l’outil qui m’avait posé problème empruntaient la même route protégée.

C’était le résultat que je cherchais depuis le début.

Et c’est aussi là que le VPN a enfin trouvé sa place logique dans la comparaison.

Pas comme un PAC plus puissant.

Pas comme un remplacement automatique du proxy d’une entreprise.

Comme la réponse à une autre question.

Microsoft sépare d’ailleurs clairement les deux concepts dans Windows : une connexion VPN possède sa propre configuration réseau et peut même, dans certains environnements professionnels, utiliser encore un proxy une fois le tunnel établi.

Les deux couches peuvent donc parfaitement coexister.

Elles ne font simplement pas le même travail.

Le passage au partage de connexion a fini de me convaincre

Plus tard, le Wi-Fi du coworking a commencé à ralentir.

J’ai activé le partage de connexion de mon téléphone et basculé le portable dessus.

Avec un proxy manuel, cela peut ne rien changer si le serveur reste joignable. Avec un PAC, le changement de réseau peut même faire partie de la logique prévue — c’est précisément l’une de ses qualités.

Mais à ce moment-là, je ne voulais plus réfléchir au réseau.

Le petit VPN a récupéré la connexion sur le hotspot et le transfert a repris sans que je retourne dans Paramètres > Proxy.

C’était un bénéfice plus discret que le premier test, mais probablement celui qui ressemblait le plus à une vraie journée de travail : Wi-Fi partagé, connexion qui se dégrade, hotspot de secours, navigateur, terminal et applications de bureau ouverts en même temps.

Je n’avais pas besoin de savoir quelle application allait respecter quelle configuration après le changement de réseau.

Je continuais simplement à travailler.

Le service plus petit garde tout de même une limite réelle : son histoire publique est plus courte que celle de grands fournisseurs installés depuis de nombreuses années, avec moins de recul indépendant et moins de régions disponibles. Quelqu’un qui choisit avant tout son VPN sur la quantité d’audits publiés, l’ancienneté de l’entreprise ou l’étendue du réseau de serveurs aura de bonnes raisons d’intégrer cela à sa décision.

Mais ce n’était pas mon problème ce jour-là.

Mon problème était beaucoup plus banal : je voulais arrêter de me demander quelle application Windows avait effectivement lu mon réglage proxy.

Alors, proxy manuel, script PAC ou VPN ?

Depuis ce test, je ne les classe plus du « plus simple » au « plus avancé ».

Je les classe selon ce que j’essaie réellement de changer.

Le proxy manuel est celui que j’utiliserais quand j’ai une adresse fixe, un port connu et des applications qui doivent simplement passer par cet intermédiaire.

Le script PAC est celui que je choisirais quand cette décision doit devenir intelligente : telle destination par le proxy, telle autre en direct, avec des règles suffisamment souples pour évoluer avec l’environnement. Son usage dans les solutions Microsoft actuelles montre d’ailleurs qu’il reste très pertinent pour ce travail.

Mais lorsque mon objectif est de protéger la route du portable sur un réseau public, je ne veux pas commencer par vérifier si Edge, un service Windows, mon client de synchronisation et un outil en ligne de commande interprètent tous le même réglage de la même façon.

Je veux que cette décision se fasse au niveau de la connexion.

C’est pour cela que j’ai gardé le VPN.

Le proxy manuel avait correctement configuré mon navigateur.

Le PAC avait correctement automatisé mes règles.

Le tunnel a répondu à la question que je posais réellement : est-ce que les applications de ce PC empruntent la route protégée même lorsqu’elles n’ont jamais regardé les réglages Proxy de Windows ?

Depuis, quand j’ouvre cette page de paramètres, je ne me demande plus « manuel ou script ? ».

Je me demande : est-ce que je suis en train de régler certaines requêtes, ou la route de mon ordinateur ?

Si c’est la seconde, je ne reste plus dans ce menu.