VPN vs transfert chiffré : avez-vous besoin des deux ?
VPN vs transfert chiffré comparés. Comprenez ce que chacun protège et si vous avez besoin des deux couches de sécurité.
Un VPN fait transiter votre trafic réseau par un intermédiaire, masquant vos destinations à votre FAI et au réseau local. Le transfert de fichiers chiffré brouille le contenu des fichiers pour que seul le destinataire puisse les lire. Ces deux outils résolvent des problèmes différents : le VPN défend les métadonnées de votre connexion (quels sites vous visitez, quelles IP vous contactez), tandis que le transfert chiffré défend la charge utile (ce qui se trouve à l'intérieur du .pdf que vous avez envoyé). Vous avez rarement besoin des deux face à un même risque, mais les combiner ne coûte rien et comble les lacunes que chacun laisse seul. Un VPN sans E2EE expose vos fichiers au fournisseur VPN ; l'E2EE sans VPN expose les métadonnées au serveur du service de transfert.
Ce qu'un VPN masque réellement
Un VPN crée un tunnel TLS ou WireGuard entre votre appareil et un serveur exploité par le fournisseur VPN. Votre FAI voit du trafic chiffré vers l'IP suédoise de Mullvad ; il ne voit pas que vous visitez hexatransfer.com. Le site de destination voit l'IP du VPN comme votre origine. À l'intérieur du tunnel, votre connexion TLS vers la destination fonctionne normalement — le VPN ne la lit pas, sauf si le fournisseur trahit sa promesse de non-journalisation. Ce qu'un VPN ne fait pas : chiffrer le fichier lui-même. Si le serveur de destination stocke votre envoi en clair, le VPN a seulement masqué qui a envoyé, pas ce qui a été envoyé.
Ce que le transfert chiffré masque
Le transfert de bout en bout utilise AES-256-GCM avec une clé dérivée d'un mot de passe ou d'un fragment d'URL aléatoire. L'opérateur du service ne voit que du texte chiffré — il ne peut pas lire le fichier, ne peut pas répondre à une réquisition judiciaire portant sur son contenu, ne peut pas l'utiliser pour entraîner une IA. Ce que l'E2EE ne masque pas : votre adresse IP se connectant au service, la taille du fichier, l'horodatage, et (généralement) le fait qu'un transfert a eu lieu. Les fuites de métadonnées subsistent. Un observateur sur votre réseau voit « Alice a envoyé 4,2 Go vers hexatransfer.com à 14h03 UTC » même s'il ne peut pas voir le fichier.
Les modèles de menace où chacun l'emporte
Choisissez le VPN quand votre menace est la surveillance au niveau réseau : un FAI hostile, un attaquant sur un Wi-Fi public, un pays bloquant des sites spécifiques, un proxy d'entreprise journalisant les URL. Choisissez le transfert chiffré quand votre menace est l'opérateur du service, une réquisition visant ce service, une fuite de stockage cloud, ou des forces de l'ordre interceptant un serveur. Choisissez les deux quand votre menace est un adversaire sophistiqué corrélant les métadonnées entre les couches — un journaliste envoyant des documents de source à une rédaction, ou un lanceur d'alerte cherchant à éviter toute attribution.
Là où un VPN seul ne suffit pas
Des services comme NordVPN, Mullvad et ProtonVPN ne chiffrent pas ce que vous envoyez vers des destinations tierces au-delà du TLS. Si vous uploadez un .docx de 200 Mo vers un service qui le stocke en clair (certains vieux partages de fichiers d'entreprise le font encore), le VPN a masqué votre IP mais le service détient votre document lisible. Par ailleurs, les fournisseurs VPN eux-mêmes peuvent être compromis — les journaux de PureVPN en 2017 ont aidé le FBI à identifier un harceleur malgré leur marketing « sans journaux ». Votre modèle de menace doit inclure une confiance envers l'opérateur VPN, ce qui n'est pas de la confiance zéro.
Là où le transfert chiffré seul ne suffit pas
Si l'IP d'HexaTransfer est bloquée dans votre pays (la Russie a bloqué plusieurs services de transfert de fichiers en 2024), le chiffrement côté client ne vous aide pas à atteindre le service. Si votre FAI journalise votre visite sur le site, cette seule métadonnée peut attirer la suspicion dans des contextes autoritaires. Un journaliste dans un régime hostile utilisant uniquement l'E2EE révèle qu'un événement de partage de source s'est produit, même si le contenu reste privé. Pour ce profil, Tor associé à l'E2EE, ou VPN + E2EE, est la bonne combinaison.
Les combiner : la configuration pratique
Utiliser d'abord un VPN, puis uploader un fichier chiffré, offre des propriétés solides : le VPN masque à votre FAI que vous utilisez hexatransfer.com, l'E2EE masque le contenu au service, et aucun opérateur unique ne voit à la fois votre identité et votre fichier. WireGuard ajoute environ 3 à 5 ms de latence et une surcharge de bande passante négligeable sur du matériel moderne. Le chiffrement AES-256-GCM ajoute 500 ms de dérivation PBKDF2 plus quelques pourcents de CPU pendant l'upload. Pour un fichier de 1 Go sur une ligne à 100 Mbps, la surcharge totale est inférieure à 2 secondes. Combinez-les.
Les VPN d'entreprise et le problème du split-tunnel
Les VPN professionnels (Cisco AnyConnect, Palo Alto GlobalProtect) font transiter le trafic des employés par une passerelle d'entreprise qui effectue une inspection TLS. Cette passerelle termine votre HTTPS, lit le texte en clair, et re-chiffre vers la destination. Si vous uploadez un fichier non chiffré, l'équipe sécurité (ou un administrateur compromis) peut le voir. Le chiffrement côté client contourne cela — le texte chiffré dans le tunnel TLS reste opaque au proxy d'inspection car il n'a pas la clé AES. Cela devient important quand vous devez légitimement envoyer des documents personnels depuis un ordinateur professionnel.
Tor comme troisième option
Pour une protection extrême des métadonnées, Tor surpasse les VPN et les transferts chiffrés. Trois nœuds, routage en oignon, aucun relais ne voit à la fois la source et la destination. Un service de transfert opérant une adresse .onion v3 (nom d'hôte base32 de 56 caractères, clés ed25519) offre une confidentialité encore meilleure qu'un accès IP + VPN. L'inconvénient est la vitesse : la bande passante actuelle de Tor est en moyenne de 50 à 200 Mbps par circuit, donc un fichier de 10 Go prend plus de temps. SecureDrop utilise cette architecture pour la réception de documents par les rédactions ; pour le partage de fichiers quotidien, VPN + E2EE est le meilleur compromis.
Exposition légale et effet dissuasif
Dans certaines juridictions, l'usage d'un VPN est lui-même suspect — la Chine, la Russie, les EAU, l'Iran restreignent son utilisation. Les lois sur le chiffrement au Royaume-Uni (Online Safety Act 2023) et en Australie (TOLA 2018) créent des régimes d'assistance forcée qui pourraient contraindre un fournisseur VPN à journaliser des utilisateurs ciblés. L'E2EE où le service ne détient aucune clé protège contre l'assistance forcée car il n'y a rien à remettre. C'est pourquoi des organisations journalistiques comme Freedom of the Press Foundation recommandent Tor + SecureDrop + PGP plutôt qu'un VPN commercial associé à un transfert standard.
La recommandation pratique
Pour la plupart des personnes envoyant un .pdf à leur comptable, le transfert chiffré seul suffit — la menace est l'accès de l'opérateur du service, pas la surveillance réseau. Pour les personnes sur des réseaux non fiables (Wi-Fi d'hôtel, aéroport), ajoutez un VPN. Pour les personnes avec des modèles de menace adversariaux (journalistes, militants, avocats traitant des dossiers sensibles), ajoutez Tor. Ces outils se composent ; en choisir un n'exclut pas les autres. Investissez le minimum que votre modèle de menace exige, rien de plus.
Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.
Envoyez vos fichiers volumineux en toute sécurité avec le chiffrement de bout en bout
Transférez des fichiers jusqu'à 10 Go gratuitement avec le chiffrement de bout en bout. Aucun compte requis. Vos fichiers sont chiffrés dans votre navigateur avant l'envoi — personne d'autre ne peut les lire.
Envoyer un fichier