Pourquoi certains VPN gratuits demandent-ils autant d’autorisations sur Android ? J’ai fini par séparer le tunnel de tout ce qu’on me demandait en plus

La première fenêtre ne m’a pas inquiété. Android m’avertissait que l’application voulait établir une connexion VPN et pouvait donc contrôler le trafic réseau. J’ai appuyé sur « Autoriser ». C’était précisément pour cela que j’avais installé un VPN gratuit.

Puis une deuxième demande est apparue. Localisation. Ensuite une autre. À ce moment-là, je me suis arrêté. Je voulais simplement protéger ma connexion pendant que j’utilisais un réseau Wi-Fi qui n’était pas le mien. Je n’avais pas besoin d’une carte, d’un service de rencontres ou d’une fonction permettant de trouver des gens autour de moi.

Alors pourquoi un VPN voulait-il savoir où se trouvait physiquement mon téléphone ? Mon premier réflexe a été de penser que tout cela faisait partie du fonctionnement normal. Après tout, un VPN voit passer beaucoup de trafic. Peut-être qu’Android avait besoin de toutes ces autorisations pour construire le tunnel.

C’est cette idée qui était fausse.

J’avais mis toutes les fenêtres Android dans le même sac

Android possède effectivement une autorisation particulière pour les VPN. Son API VpnService permet à une application de créer une interface virtuelle et de faire passer le trafic de l’appareil dans un tunnel. Android affiche volontairement une confirmation avant qu’une application puisse occuper cette place dans le réseau.

Cette demande-là ne me surprend plus. Si j’installe une application dont la fonction est réellement d’être un VPN, elle doit pouvoir créer le VPN. Mais Android traite séparément les autorisations donnant accès à des informations comme la localisation ou les contacts. Sa documentation les classe parmi les accès à des données privées ou sensibles qui nécessitent une permission spécifique de l’utilisateur.

Autrement dit, la fenêtre « cette application veut créer une connexion VPN » et la fenêtre « autoriser l’accès à votre position précise » ne racontent pas la même histoire. La première permet au produit de faire son travail. La seconde ouvre une autre porte dans mon téléphone.

Cette distinction paraît évidente une fois qu’on la connaît. Elle l’était beaucoup moins lorsque trois fenêtres apparaissaient à trente secondes d’intervalle.

L’actualité de la fin août m’a donné une raison de ne plus cliquer trop vite

Le 27 août 2026, Proton VPN a publié une étude portant sur plus de 7 000 applications VPN mobiles dans le monde.

Dans son analyse du marché américain, le fournisseur dit avoir trouvé des modules de suivi dans 85 % des VPN étudiés et identifié 64 applications accédant activement à la localisation physique par GPS ou d’autres mécanismes de géolocalisation. Proton explique avoir utilisé notamment les signatures de trackers recensées par Exodus Privacy.

Ce rapport venait d’un acteur du secteur, mais il a surtout attiré mon attention sur un mécanisme bien réel d’Android : une application peut embarquer des bibliothèques tierces pour les statistiques, la publicité ou le profilage. L’Electronic Frontier Foundation explique qu’un SDK intégré dans une application peut profiter des données auxquelles l’application elle-même a obtenu accès.

C’est ce que je n’avais pas compris lorsque j’avais installé mon premier VPN gratuit. Je ne donnais pas seulement une autorisation à une icône. Je donnais potentiellement cette possibilité à plusieurs morceaux de code cachés derrière elle. À partir de là, une demande de localisation que je ne pouvais pas relier à une fonction précise ne me paraissait plus anodine.

« Gratuit » n’explique pas tout, mais il m’oblige à poser une question de plus

Je n’en ai pas conclu que gratuit signifie automatiquement dangereux. Il existe des offres gratuites proposées par des entreprises connues, financées par leurs abonnements payants. Certaines applications utilisent aussi des outils d’analyse simplement pour comprendre les plantages ou améliorer le produit.

Mais une application gratuite doit malgré tout financer ses serveurs, son développement et sa distribution. Si je ne comprends pas facilement comment elle gagne de l’argent, et qu’elle commence en parallèle à me demander localisation, contacts ou autres accès sans rapport évident avec le tunnel, l’équation devient moins confortable.

Un utilisateur Android décrivait justement ce malaise en février 2026 : après avoir essayé plusieurs VPN gratuits du Play Store, il disait tomber sur des demandes qu’il jugeait disproportionnées, notamment l’accès aux contacts, tout en observant des publicités et une forte consommation de batterie.

Son expérience ne prouve rien sur tous les VPN gratuits. Elle décrit en revanche très bien le moment où je me trouvais moi aussi : je voulais une protection réseau rapide, et je me retrouvais à décider si un VPN avait vraiment besoin d’entrer dans mes contacts.

J’ai arrêté de compter les autorisations et commencé à demander à quoi chacune servait

C’est devenu mon test. Une application demande à créer un VPN ? Normal. Elle demande une autorisation supplémentaire parce qu’une fonction clairement identifiée en dépend ? Je peux décider si cette fonction m’intéresse. Elle veut ma localisation précise alors que je souhaite simplement faire passer mon trafic dans un tunnel, sans explication visible ?

Je n’appuie plus automatiquement sur « Autoriser ».

Google impose d’ailleurs des règles spécifiques aux applications utilisant VpnService. Elles doivent notamment déclarer cet usage, chiffrer les données entre l’appareil et le point de terminaison VPN et obtenir un consentement explicite lorsqu’elles accèdent à certaines données personnelles ou sensibles. Google interdit également l’utilisation de VpnService pour détourner le trafic d’autres applications à des fins de monétisation.

Cela m’a donné un deuxième réflexe : regarder la fiche Google Play avant de céder une autorisation. La plateforme distingue la liste des autorisations techniques de la section « Sécurité des données », dans laquelle le développeur déclare ce qu’il collecte et partage.

Les deux écrans ne répondent pas exactement à la même question. Et c’est précisément pour cela qu’ils sont utiles ensemble.

Le VPN gratuit a fini par perdre son principal avantage

Je suis revenu à l’écran des autorisations. Je pouvais probablement continuer. Refuser la localisation. Voir si l’application fonctionnait quand même. Lire sa politique de confidentialité. Chercher quels SDK elle utilisait. Comparer les déclarations de données.

Mais je venais précisément d’installer ce VPN parce que je voulais résoudre un problème simple en quelques minutes. À partir du moment où je devais devenir enquêteur avant d’obtenir un tunnel, son principal avantage — être gratuit et immédiat — commençait à disparaître.

Je l’ai supprimé. Pas parce que j’avais démontré qu’il faisait quelque chose de mal. Parce qu’il me demandait plus que ce que j’étais prêt à lui donner pour accomplir une tâche aussi simple. Cette nuance a fini par me libérer d’une mauvaise habitude.

Je n’avais pas besoin d’attendre la preuve d’un abus pour refuser une autorisation. Je pouvais simplement décider qu’elle n’était pas nécessaire à ce que je voulais faire.

Je ne voulais pas remplacer des autorisations inutiles par un nouveau compte rempli d’informations

C’est là que mon choix suivant a commencé à s’éloigner d’un comparatif VPN classique. Je n’ai pas cherché le service avec le plus de pays ou le plus grand nombre de serveurs. Je voulais réduire ce que je devais remettre avant même d’avoir obtenu un tunnel.

J’ai donc essayé OnlydogVPN^↗. Pour l’usage de base, je n’ai pas eu à commencer par créer le traditionnel couple adresse e-mail–mot de passe. J’ai ouvert l’application, choisi le mode adapté à mon usage et lancé la connexion. Puis j’ai repris ce que je voulais faire depuis le début : ouvrir mes pages, envoyer mes messages et utiliser le réseau sans continuer à négocier avec une série de formulaires.

Le tunnel était là. Le navigateur chargeait. Ma tâche était terminée. Après l’épisode du VPN gratuit, cette simplicité avait une valeur très concrète. Je venais de passer du temps à me demander pourquoi un outil de confidentialité voulait connaître davantage de choses sur mon téléphone.

Ici, je pouvais commencer sans créer immédiatement une nouvelle identité de compte. La question n’était plus seulement « est-ce que ce VPN protège ma connexion ? ». Elle devenait aussi :

combien d’informations nouvelles dois-je lui fournir avant qu’il commence à le faire ?

Et cette fois, la réponse était courte.

Le compteur de requêtes bloquées est arrivé seulement après

Je n’avais pas installé le petit service pour son filtrage. Je voulais simplement sortir d’une logique où un outil de confidentialité me demandait toujours une information de plus. Une fois connecté, j’ai continué à naviguer et j’ai remarqué le compteur des requêtes bloquées.

Le service peut filtrer des requêtes publicitaires et de suivi et afficher combien ont été bloquées. Cette fonction m’a intéressé précisément parce qu’elle arrivait après le problème principal. Quelques minutes plus tôt, je me demandais combien de composants cachés dans une application pouvaient profiter de données auxquelles j’avais donné accès.

Maintenant, je voyais au contraire des requêtes de suivi disparaître pendant ma navigation. Je n’ai pas pris ce compteur pour une promesse de supprimer toute forme de suivi sur Android. Un VPN ne peut évidemment pas reprendre une autorisation GPS déjà accordée à une autre application.

Mais la direction de l’échange avait changé. Je n’étais plus en train de donner davantage de données pour obtenir une protection réseau. Le service commençait par faire son travail, puis retirait au passage une partie du bruit publicitaire et de suivi.

Le plus petit nombre d’autorisations n’est pas automatiquement le meilleur VPN

Il reste une limite réelle : le petit service possède un historique public plus court et moins d’évaluations indépendantes que les grands fournisseurs installés depuis des années. Je n’ai donc pas remplacé une règle trop simple par une autre. Je ne choisirais pas désormais un VPN uniquement parce qu’il affiche trois autorisations au lieu de cinq.

Certaines permissions peuvent être parfaitement justifiées par une fonction précise. Ce que je regarde désormais, c’est si je peux tracer une ligne claire entre ce que je demande au produit et ce qu’il me demande en retour. Créer le tunnel : oui. Accéder à une donnée supplémentaire nécessaire à une fonction que j’ai volontairement activée : peut-être.

Obtenir mes contacts ou ma position précise sans que je comprenne ce que cela apporte à la connexion : je m’arrête là. C’est finalement la réponse que je cherchais derrière la question « pourquoi certains VPN gratuits demandent-ils beaucoup d’autorisations sur Android ? ».

Le problème n’est pas qu’une application affiche plusieurs fenêtres. Le problème commence lorsque je ne peux plus expliquer pourquoi chacune d’elles est nécessaire.

Je ne compte donc plus les autorisations d’un VPN : je cherche celle qui construit réellement le tunnel — puis je demande ce que toutes les autres veulent venir chercher dans mon téléphone.