Quel VPN choisir pour un déplacement professionnel depuis la France ? Celui qui ne me renvoie pas au MFA à chaque changement de réseau

Le VPN fonctionnait. C’est précisément pour cela que j’ai mis presque une journée à comprendre qu’il me faisait perdre du temps.

Je venais de Paris pour trois jours de rendez-vous à Las Vegas. Le trajet est devenu plus simple cette année : depuis le 15 avril 2026, Air France relie directement Paris-Charles de Gaulle à Las Vegas trois fois par semaine.

Pour moi, cela transformait ce qui aurait autrefois ressemblé à une petite expédition avec correspondance en déplacement assez banal : un ordinateur, un téléphone, deux présentations client et une visioconférence prévue le lendemain matin.

Avant de partir, j’avais fait ce que je pensais être le bon test.

J’avais lancé mon VPN habituel depuis mon appartement en France, ouvert Teams, Outlook, le portail documentaire de mon entreprise et un dossier partagé.

Tout marchait. J’étais parti rassuré. Le lendemain, dans l’hôtel, tout marchait encore.

Puis j’ai changé de réseau.

Ce n’est pas la coupure qui m’a gêné. C’est tout ce qu’elle m’a demandé de refaire

Le matin de la conférence, j’ai fermé le portable dans ma chambre et je l’ai rouvert vingt minutes plus tard dans l’espace de réunion.

Nouveau Wi-Fi. Le VPN s’est reconnecté. Le navigateur aussi.

Puis le portail Microsoft m’a demandé de m’authentifier de nouveau. Mot de passe. Notification sur le téléphone. Validation MFA. Retour au document. Je n’y ai pas vu de problème. Cinq minutes plus tard, j’étais dans la présentation.

À midi, j’ai quitté le centre de conférence pour rejoindre un client dans un autre hôtel. Le Wi-Fi a disparu dans la rue, mon ordinateur est passé par le partage 5G du téléphone et le VPN a reconstruit sa connexion.

Le portail de fichiers m’a redemandé mon identité. Cette fois, j’ai soupiré. Le soir, retour au Wi-Fi de l’hôtel. Nouvelle reconnexion. Nouvelle vérification.

Le VPN n’était donc pas « en panne ». Il faisait même ce qui m’avait poussé vers un grand service établi : il chiffrait ma connexion, avait beaucoup de recul public et retrouvait toujours une route.

Le problème était ailleurs.

Chaque reconnexion suffisamment nette changeait le contexte réseau vu par certains de mes outils professionnels. Et parfois, cela suffisait à déclencher une nouvelle vérification.

À Paris, j’avais testé la vitesse et la première connexion. En déplacement, j’aurais dû compter le nombre de fois où le VPN me renvoyait vers mon identité.

En 2026, « reconnectez-vous » n’est plus un message que je valide machinalement

Cette répétition aurait surtout été agaçante quelques mois plus tôt. Elle me paraît moins anodine depuis le 31 juillet 2026.

Microsoft a alors détaillé CaptiveCrunch, une campagne observée depuis mai sur des réseaux desservis par des portails captifs d’hôtels, de centres de conférence et d’autres lieux partagés dans plusieurs pays. Les attaquants manipulaient notamment le DNS et du trafic HTTP afin de rediriger des voyageurs vers de fausses mises à jour ou des scénarios de phishing Microsoft 365, y compris des demandes utilisant des codes d’appareil et OAuth.

Depuis, j’ai changé de réflexe.

Une nouvelle fenêtre Microsoft dans un hôtel n’est pas forcément suspecte. Mais je ne considère plus automatiquement qu’un écran de connexion inattendu est juste « la prochaine étape normale ».

Un VPN ne protège pas magiquement la page captive qu’il faut franchir avant que le tunnel existe. Si un Wi-Fi d’hôtel me demande soudain d’installer une « mise à jour » pour continuer, je préfère repasser sur la connexion mobile et vérifier par un chemin que je maîtrise davantage.

L’ANSSI recommande elle aussi aux professionnels en déplacement d’utiliser les moyens sécurisés fournis par leur organisation et, lorsque c’est possible, d’éviter les réseaux non maîtrisés comme les Wi-Fi d’hôtel, de gare ou de café.

Dans la vraie vie, pourtant, ces réseaux restent parfois ceux dont on dispose.

Mon besoin devenait donc très précis : une fois le portail légitime franchi, je voulais que le tunnel reste suffisamment stable pour que mes applications professionnelles cessent de me demander qui j’étais.

J’ai essayé de stabiliser mon grand VPN avant de le remplacer

Mon premier réflexe n’a pas été d’installer autre chose.

J’ai désactivé la sélection automatique. J’ai gardé la même destination. J’ai vérifié le kill switch. J’ai attendu que le portail captif soit entièrement validé avant de relancer le tunnel.

C’était mieux.

Mais je me retrouvais maintenant à protéger le VPN contre le voyage : un réglage dans la chambre, un autre après le portail, puis un regard vers son icône dès que le portable quittait un Wi-Fi.

Ce petit rituel revient souvent dans les discussions publiques sur les hôtels. Dans un fil publié sur r/nordvpn en août 2026, un utilisateur décrivait par exemple un VPN bloqué sur un Wi-Fi d’hôtel tant que le portail captif n’avait pas été franchi ; d’autres racontaient devoir suspendre la protection, valider le portail, puis laisser le tunnel repartir.

Ce qui m’a frappé n’était pas le fournisseur cité. C’était la familiarité du geste. Couper. Valider. Relancer. Vérifier.

Je ne cherchais plus un VPN capable de fonctionner dans une chambre immobile. Je cherchais un VPN qui considère le changement de réseau comme une situation normale.

Et c’est là que mon critère a changé. Je n’avais pas besoin de davantage de destinations dans une carte. J’avais besoin de moins de cérémonies de reconnexion.

Le premier résultat utile d’OnlydogVPN^↗ n’a pas été un chiffre de vitesse

J’avais gardé OnlydogVPN installé comme option secondaire.

Je l’ai ouvert avant de repartir pour le rendez-vous suivant. L’application ramenait le choix à la situation d’usage plutôt qu’à une succession de pays, de serveurs et de protocoles. Le service s’appuie notamment sur un transport basé sur HTTP/3, avec une logique pensée pour mieux récupérer lorsque le réseau change ou devient instable.

Puis j’ai fait le test qui m’intéressait réellement.

Dans le hall, le portable était sur le Wi-Fi de l’hôtel. Le portail documentaire était ouvert, ma session validée et un fichier d’environ 600 Mo commençait à partir vers le client.

Je suis sorti. Le Wi-Fi a faibli. Le partage 5G a pris le relais.

La barre d’envoi s’est arrêtée une seconde. Puis elle a continué. Je n’ai pas rouvert le VPN.

Je n’ai pas reçu une nouvelle demande MFA. Le fichier a atteint 100 %. C’était tout.

Pas une démonstration spectaculaire. Juste exactement ce dont j’avais besoin.

La raison technique est assez simple à visualiser. HTTP/3 repose sur QUIC, un protocole conçu pour mieux tolérer les changements de chemin réseau. Au lieu d’imaginer une connexion qui doit être entièrement démontée puis reconstruite dès que le Wi-Fi laisse place à la 5G, je la vois plutôt comme une conversation capable de continuer pendant que la route en dessous change.

Évidemment, un portail professionnel peut toujours redemander un MFA pour ses propres raisons de sécurité.

Mais ici, le changement de réseau n’avait pas détruit la tâche en cours. Et c’était devenu mon vrai critère.

Le test décisif a eu lieu pendant la réunion, pas sur Speedtest

Le lendemain, j’avais une visioconférence à 8 h 30 avec Paris. Je me suis installé dans un espace de travail de l’hôtel. Le Wi-Fi était correct, sans être excellent. À 8 h 41, l’image a commencé à hésiter.

Quelques secondes plus tard, mon téléphone a repris le relais en partage de connexion. J’ai entendu une syllabe disparaître. Puis la conversation a continué.

Personne ne m’a vu quitter la réunion. Aucun écran de connexion n’a remplacé les diapositives. Je n’ai pas eu à expliquer à trois personnes que « mon VPN fait quelque chose ».

C’est seulement après l’appel que j’ai regardé l’application.

C’était probablement le résultat le plus convaincant de tout le test : pendant la tâche pour laquelle j’étais venu aux États-Unis, j’avais cessé de penser au VPN.

Le service plus petit garde un désavantage réel : il dispose de moins de recul public et de moins d’évaluations indépendantes accumulées que certains fournisseurs installés depuis de nombreuses années.

Pour quelqu’un qui place ce recul au-dessus du reste, cela compte. Et si mon entreprise m’imposait son propre VPN géré, je suivrais évidemment cette politique plutôt que de lui substituer une application personnelle. Mais ce n’était pas mon problème ici.

Je cherchais à empêcher la couche réseau de transformer chaque déplacement entre chambre, conférence et 5G en nouvelle cérémonie d’identité.

Le choix plus orienté vers la tâche m’évitait aussi de repartir dans un arbre de décisions serveur-protocole-région au moment précis où la connexion se dégradait.

Cette simplicité paraît secondaire depuis un canapé. Elle l’est beaucoup moins huit minutes avant une réunion.

Le VPN que je choisirais avant le prochain départ ne serait plus celui que je testais chez moi

À Paris, ma comparaison était presque entièrement statique. Je lançais le VPN. Je regardais le débit.

J’ouvrais quelques services. Je vérifiais que Teams fonctionnait. Puis je concluais que le produit était prêt pour le voyage.

Las Vegas m’a montré le défaut de ce test : pendant un déplacement professionnel, le réseau n’est pratiquement jamais immobile.

Il y a le Wi-Fi de l’aéroport, celui de l’hôtel, le portail captif qui expire, le centre de conférence, la 5G dans le taxi et le partage de connexion lorsqu’un réseau se dégrade.

La sécurité reste indispensable, mais elle ne se résume pas à une icône verte. Et depuis CaptiveCrunch, je trouve encore plus utile de réduire les moments où un écran inattendu me demande soudain un mot de passe, un code ou une validation Microsoft.

Mon grand fournisseur m’offrait davantage de recul et davantage de possibilités de configuration. Le plus petit m’a donné moins de raisons de recommencer.

Pour mon prochain déplacement professionnel depuis la France, c’est donc le test que je ferai avant de fermer la valise : commencer un transfert sur Wi-Fi, passer en 5G au milieu, puis vérifier si le travail continue sans me renvoyer au MFA.