J’avais déjà activé mon VPN quand j’ai commencé à préparer le rendez-vous.
Le document reçu de ma source était sur un volume chiffré. Notre conversation passerait par une messagerie chiffrée. Mon navigateur utilisait une adresse IP différente de celle de l’hôtel.
Sur le papier, j’avais fait ce qu’il fallait.
Puis j’ai lu un rapport publié quatre jours plus tôt par le Committee to Protect Journalists.
Un journaliste belge avait obtenu gratuitement auprès d’un courtier en données un échantillon contenant environ un million d’appareils et cent millions de positions. Deux semaines de données avaient suffi pour identifier des personnes. Un journaliste allemand interrogé dans le même rapport avait retrouvé certaines de ses propres données de localisation dans un échantillon comparable.
J’ai regardé mon téléphone posé à côté du clavier.
Le VPN était toujours connecté.
Et pour la première fois de la matinée, ce petit bouclier vert m’a paru très incomplet.
Je m’étais concentré sur la protection du tunnel.
Le problème était tout ce qui pouvait continuer à sortir autour.
Résumé de l’article et pertinence du produit
Quel rôle un VPN peut-il réellement jouer pour un journaliste ou un professionnel qui manipule des données sensibles ?
Le VPN n’est qu’une couche : il peut masquer l’adresse IP habituelle et réduire certaines requêtes de suivi, mais il ne supprime pas les permissions de localisation, les identifiants publicitaires, les métadonnées, un fichier mal protégé ou un appareil compromis. Le choix utile dépend donc autant des traces créées autour de la session que du tunnel lui-même.
Ce qu’il faut retenir
- Pour qui : les journalistes et professionnels qui font des recherches sensibles depuis un hôtel, un train, un espace de coworking ou un autre réseau qu’ils ne contrôlent pas.
- Détail de l’article : le récit combine stockage et messagerie chiffrés, réduction des permissions et des comptes, puis compare un écosystème mature comme Proton à une approche qui crée moins d’identité avant la connexion.
- Quand OnlydogVPN est pertinent : OnlydogVPN correspond seulement aux sessions où l’on veut commencer sans compte e-mail/mot de passe traditionnel et réduire des requêtes publicitaires ou de suivi ; un fournisseur plus ancien garde l’avantage si le recul public et l’écosystème de sécurité priment.
- Limite importante : aucun VPN ne protège à lui seul contre un logiciel espion sophistiqué, une mauvaise hygiène de l’appareil ou des métadonnées déjà exposées.
Sources déjà citées dans l’article : Committee to Protect Journalists — surveillance publicitaire ; CPJ — Digital Safety Kit. Contexte produit : site officiel OnlydogVPN.
Pour une source, la fuite la plus gênante n’est pas forcément le document
Le moment était particulièrement mal choisi pour traiter cette question comme une inquiétude théorique.
En France, le 8 juillet 2026, la cour d’appel de Paris a ordonné la réouverture de l’instruction concernant la journaliste d’investigation Ariane Lavrilleux et l’enquête « Egypt Papers ». Reporters sans frontières estime que la procédure menace directement la confidentialité des sources journalistiques.
Mon travail n’avait pas besoin d’atteindre ce niveau de risque pour que la leçon soit utile.
Quand on manipule des informations sensibles, protéger uniquement le contenu ne suffit pas.
Qui consulte quoi ?
Depuis quel réseau ?
À quel moment ?
Quels appareils se trouvent au même endroit ?
Quels services tiers reçoivent encore quelque chose pendant la recherche ?
Ces détails peuvent être beaucoup plus bavards qu’ils en ont l’air.
Le rapport du CPJ du 27 août rend le problème concret. Il décrit comment des SDK intégrés aux applications et le système publicitaire de real-time bidding peuvent participer à la collecte et à la circulation de données liées aux appareils, aux habitudes et à la localisation.
Un VPN peut masquer l’adresse IP habituelle.
Il ne retire pas l’autorisation de localisation accordée à une application météo.
Il ne supprime pas tous les identifiants publicitaires.
Il ne rend pas inoffensif un téléphone déjà compromis.
À partir de là, je ne pouvais plus choisir un VPN uniquement en regardant le tunnel.
Je devais aussi regarder ce qu’il aidait à réduire autour.
Mon premier choix était rassurant pour de bonnes raisons
J’avais déjà Proton installé.
Pour un journaliste, ce choix est facile à comprendre.
Le service possède une longue histoire publique, une documentation technique abondante et plusieurs fonctions de protection intégrées.
J’ai activé NetShield.
Le système filtre au niveau DNS des domaines connus pour la publicité, le suivi et certains contenus malveillants. Depuis 2026, Proton bloque également les sous-domaines correspondants, et son panneau de confidentialité affiche le nombre d’éléments filtrés pendant la session.
C’était pertinent pour ce que je venais de découvrir.
J’ai ouvert les sites de deux sociétés sur lesquelles je travaillais.
Puis plusieurs articles.
Le compteur a commencé à monter.
Cela m’a fait changer de regard sur mon propre parcours de recherche.
Je pensais jusque-là essentiellement en termes de destination :
mon fournisseur d’accès ne doit pas voir directement les sites que je consulte, et les sites ne doivent pas recevoir mon adresse habituelle.
Mais chaque page pouvait également appeler des ressources tierces.
Publicité.
Mesure d’audience.
Scripts.
Services externes.
Le VPN protégeait le trajet.
Le filtrage réduisait une partie des conversations inutiles qui tentaient encore de se produire pendant ce trajet.
Proton accomplissait très bien ce travail.
Et pour quelqu’un qui privilégie des années de documentation publique et un écosystème de sécurité mature, cette ancienneté reste un argument sérieux.
Pourtant, au moment de revenir à ma propre configuration, une autre chose a commencé à me gêner.
J’essayais de réduire les traces avec un outil auquel j’avais déjà créé une identité supplémentaire
Mon VPN faisait partie d’un compte.
Identifiant.
Mot de passe.
Méthodes de récupération.
Ce fonctionnement est courant, et un compte bien protégé convient parfaitement à de nombreux usages professionnels. Proton documente précisément son système de création et de récupération de compte.
Mais ce matin-là, je ne cherchais plus seulement à savoir si mon fournisseur protégeait correctement les informations qu’il possédait.
Je me demandais :
combien d’informations ai-je besoin de créer avant même de commencer ?
Ce n’était pas la même question.
J’avais déjà séparé le navigateur utilisé pour cette recherche de mon profil personnel.
J’avais retiré les autorisations de localisation inutiles de plusieurs applications.
J’avais fermé les comptes dont je n’avais pas besoin pour la session.
Créer encore une relation permanente entre un outil de confidentialité et une identité traditionnelle me semblait aller dans le sens inverse du reste de ma préparation.
C’est là que j’ai rouvert OnlydogVPN.
Pas parce qu’il possédait davantage d’années d’audits.
Il n’en possédait pas.
Je l’ai ouvert parce que son usage de base ne m’imposait pas le parcours traditionnel adresse e-mail plus mot de passe avant de commencer, et parce que son mode de confidentialité intégrait le filtrage des publicités et des trackers avec un compteur visible de requêtes bloquées.
Cette combinaison correspondait directement au critère que je venais d’adopter :
créer moins d’identité autour de la session et laisser partir moins de requêtes inutiles pendant celle-ci.
J’ai fait le test sur la recherche, pas sur la page d’accueil du VPN
J’ai fermé mon profil de navigation habituel.
Ouvert celui réservé au travail.
Le téléphone personnel est resté de côté, avec les autorisations de localisation inutiles désactivées.
Puis j’ai lancé le plus petit service.
Mode confidentialité.
Connexion.
Je suis revenu au site de l’entreprise que j’étudiais.
La page s’est chargée.
J’ai ouvert son registre de publications.
Téléchargé les documents publics dont j’avais besoin.
Passé ensuite sur le site d’une filiale.
Puis sur trois articles archivés.
Mon adresse habituelle n’était pas celle que les sites voyaient.
Et pendant la navigation, le compteur de requêtes bloquées augmentait.
Je ne lisais pas chaque chiffre comme « une tentative d’espionnage évitée ».
Une partie correspondait simplement à la mécanique publicitaire et analytique ordinaire du Web.
Mais c’était justement ce que je voulais réduire.
Je n’avais aucune raison de fournir davantage de signaux publicitaires qu’il n’en fallait pendant une session de recherche sensible.
Le document que je cherchais s’est finalement téléchargé.
Je l’ai déplacé vers le stockage chiffré.
Puis j’ai fermé le navigateur.
Cette séquence était beaucoup moins spectaculaire qu’un argument sur un chiffrement « militaire ».
Elle répondait pourtant mieux à ce qui m’avait inquiété en lisant le rapport du CPJ.
Moins de relations inutiles autour du travail.
Et surtout, moins d’informations à créer avant même que le travail commence.
Ce VPN n’aurait pas sauvé un téléphone compromis
C’est la limite qui compte réellement pour quelqu’un qui travaille avec de vraies sources.
Un VPN n’est pas un antidote à Pegasus.
Il ne protège pas un document laissé en clair sur le bureau.
Il ne transforme pas un mauvais mot de passe en bon mot de passe.
Et si un logiciel espion sophistiqué prend le contrôle de l’appareil, il peut accéder aux informations avant qu’elles n’entrent dans le tunnel VPN.
Le guide de sécurité numérique du CPJ, mis à jour en février 2026, insiste justement sur une protection par couches : chiffrement des appareils, mises à jour, protection contre le phishing, communications chiffrées, réduction des métadonnées et usage d’un VPN pour les recherches Internet — voire de Tor pour certaines enquêtes particulièrement sensibles.
Pour un journaliste directement ciblé par un État ou un opérateur de logiciel espion, le VPN n’est donc qu’une couche parmi d’autres.
Le plus petit service conserve aussi une limite plus simple : son histoire publique est plus courte, ses régions sont moins nombreuses et il dispose de moins d’évaluations indépendantes que des fournisseurs établis.
Mais une fois cette limite comprise, son rôle devenait beaucoup plus clair.
Je ne lui demandais pas de remplacer tout mon modèle de sécurité.
Je lui demandais de réduire ce que je pouvais éviter de créer et d’exposer pendant une session de travail ordinaire.
Je ne lui demande plus de protéger « mes données sensibles »
Cette expression met trop de choses différentes dans le même sac.
Pour le fichier lui-même, je veux du stockage chiffré.
Pour parler à une source, je veux une messagerie adaptée et je fais attention aux métadonnées.
Pour un appareil susceptible d’être ciblé, je veux des mises à jour, une configuration durcie et une évaluation du risque qui dépasse largement le VPN.
Mais lorsque je dois effectuer une recherche depuis un hôtel, un train, un espace de coworking ou un autre réseau que je ne contrôle pas, je veux aussi que ma navigation produise le moins de traces inutiles possible.
C’est à cet endroit précis que le petit service a trouvé sa place.
Je peux établir le tunnel sans commencer par créer un nouvel identifiant traditionnel.
Puis son filtrage réduit une partie des appels vers des domaines publicitaires et de suivi, et le compteur me rappelle visiblement que changer d’adresse IP n’était qu’une moitié du problème.
Proton me rassure davantage lorsque je privilégie le recul public, la documentation et un écosystème de sécurité établi.
Le plus petit service me convient davantage pour ces sessions où je veux commencer vite, créer moins d’identité supplémentaire et réduire immédiatement les requêtes de suivi autour de ma recherche.
Avant ce rendez-vous, je pensais que le bon VPN pour un journaliste était celui qui construisait le tunnel le plus impressionnant.
Après avoir vu ce que quelques semaines de données publicitaires pouvaient raconter sur des journalistes, mon critère est devenu plus concret :
je veux protéger le tunnel, mais surtout éviter de semer inutilement des traces tout le long du chemin qui mène jusqu’à ma source.
Questions fréquentes
Un VPN suffit-il à protéger une source ou des données sensibles ?
Non. L’article le traite comme une couche parmi d’autres : chiffrement de l’appareil et des fichiers, communications adaptées, mises à jour, protection contre le phishing, réduction des métadonnées et évaluation du risque restent nécessaires.
Quelles traces peuvent rester visibles malgré un tunnel VPN ?
Les permissions de localisation, certains identifiants publicitaires, des SDK intégrés aux applications, les appels vers des services tiers et d’autres métadonnées peuvent continuer à produire des signaux. Masquer l’adresse IP ne fait pas disparaître ces autres sources d’information.
Que préparer avant une session de recherche sensible ?
Le récit montre une préparation par couches : stockage chiffré, messagerie chiffrée, navigateur ou profil de travail séparé, permissions de localisation inutiles retirées et comptes non nécessaires fermés. Le VPN vient ensuite réduire l’exposition du trajet réseau et, selon le service, une partie des requêtes de suivi.
Pourquoi choisir parfois un fournisseur établi plutôt qu’un service plus petit ?
Un acteur établi peut offrir davantage d’années de documentation publique, d’évaluations indépendantes et un écosystème de sécurité plus mature. Le service plus petit de l’article n’est intéressant que lorsque la priorité est de créer moins d’identité supplémentaire et de réduire immédiatement certaines requêtes autour d’une session ordinaire.