Le mot "VPN" recouvre en réalité deux réalités techniques bien distinctes selon le contexte d'usage, et confondre l'une avec l'autre mène directement à une fausse impression de sécurité pour le télétravailleur mal informé.
Un salarié en télétravail entend régulièrement parler de VPN dans deux contextes professionnels bien différents : le VPN d'entreprise, déployé par le service informatique pour accéder aux ressources internes, et le VPN personnel, souscrit à titre individuel pour protéger sa navigation générale. Ces deux outils partagent bien le même principe technique de base, à savoir le tunnel chiffré, mais ils répondent en pratique à des besoins et des architectures radicalement différents, qu'il convient de bien distinguer.
Un VPN d'entreprise, aussi appelé VPN d'accès distant, connecte l'ordinateur du télétravailleur directement au réseau interne de l'entreprise, comme s'il était physiquement branché sur le réseau du siège. Une fois connecté, l'utilisateur accède aux serveurs de fichiers, aux applications métier et aux ressources internes exactement comme s'il était au bureau, avec exactement les mêmes droits et les mêmes restrictions définis précisément par la politique d'accès interne de l'entreprise. Ce type de VPN est configuré et maintenu par le service informatique, qui contrôle le serveur d'arrivée, les certificats de sécurité utilisés, et la liste des utilisateurs autorisés.
Le VPN personnel : une protection de la connexion vers Internet en général
Un VPN personnel, à l'inverse, ne connecte pas l'utilisateur à un réseau d'entreprise précis : il chiffre l'ensemble du trafic sortant de l'appareil vers Internet en général, en le faisant transiter par un serveur appartenant au fournisseur du VPN plutôt que directement vers sa destination. Ce type de VPN protège la connexion sur un réseau Wi-Fi public ou peu fiable, masque l'adresse IP réelle de l'utilisateur, et sécurise la navigation générale, mais ne donne aucun accès particulier aux ressources internes d'une entreprise.
Un télétravailleur qui active uniquement un VPN personnel, en pensant que cela suffit à sécuriser son accès aux données de l'entreprise, se trompe sur la nature de la protection obtenue. Le VPN personnel chiffre bien la connexion vers Internet, mais l'accès aux ressources internes de l'entreprise, s'il se fait par un autre canal (un portail web classique, par exemple), n'est pas automatiquement sécurisé par ce chiffrement supplémentaire côté client. À l'inverse, un VPN d'entreprise, une fois la session fermée, ne protège plus la navigation personnelle de l'utilisateur sur le reste d'Internet en dehors du périmètre de l'entreprise.
Sur le plan strictement technique, les deux types de VPN peuvent s'appuyer sur des protocoles similaires, IPsec, OpenVPN ou plus récemment WireGuard, mais leur mise en œuvre diffère selon le contexte. Un VPN d'entreprise nécessite un serveur d'arrivée dédié, géré et sécurisé par l'organisation elle-même, avec des certificats propres à l'entreprise et une intégration à son système d'authentification interne (annuaire d'utilisateurs, authentification à deux facteurs imposée par la politique de sécurité). Un VPN personnel, à l'inverse, repose sur l'infrastructure du fournisseur commercial choisi, avec une authentification simplifiée limitée à un identifiant et un mot de passe personnels, sans lien avec l'annuaire d'une entreprise quelconque.
Dans certaines configurations, faire fonctionner un VPN personnel et un VPN d'entreprise simultanément sur le même appareil pose des difficultés techniques réelles : les deux logiciels peuvent entrer en conflit sur les règles de routage réseau, entraînant une perte de connexion à l'un des deux tunnels, voire une instabilité générale de la connexion. La plupart des politiques informatiques d'entreprise recommandent, voire imposent, de désactiver tout VPN personnel pendant l'utilisation du VPN d'entreprise, précisément pour éviter ce type de conflit et pour conserver une visibilité claire sur le trafic empruntant le tunnel professionnel.
Une distinction importante, souvent mal comprise par les collaborateurs : lorsqu'un VPN d'entreprise est actif, l'ensemble du trafic passant par ce tunnel devient potentiellement visible par le service informatique, qui peut journaliser les sites visités ou les applications utilisées pendant cette session, selon la politique de surveillance précisément en vigueur au sein de l'organisation concernée. Un VPN personnel, à l'inverse, ne transmet aucune information à l'employeur, sauf si celui-ci en a explicitement imposé l'usage et le configure lui-même. Cette différence de visibilité mérite d'être connue avant de mélanger usage professionnel et usage personnel sur une même session VPN, quelle qu'elle soit.
De nombreux travailleurs indépendants, ou salariés d'entreprises n'ayant pas déployé de solution d'accès distant formelle, se retrouvent sans VPN d'entreprise à proprement parler. Dans ce cas de figure, un VPN pour le télétravail de type personnel, correctement configuré, reste la meilleure protection disponible pour sécuriser la connexion utilisée lors de l'accès à des outils professionnels en ligne (messagerie, plateformes collaboratives, outils de facturation), en l'absence totale d'une infrastructure d'accès distant dédiée, formellement mise en place et maintenue par un employeur.
Certains VPN d'entreprise proposent une fonctionnalité de tunnel scindé (split tunneling), qui permet de faire transiter uniquement le trafic destiné au réseau interne de l'entreprise par le tunnel chiffré, tout en laissant le reste de la navigation (sites web publics, services personnels) emprunter directement la connexion Internet sans passer par l'infrastructure de l'entreprise. Cette configuration réduit la charge sur les serveurs VPN de l'entreprise et améliore la vitesse perçue par l'utilisateur pour ses usages non professionnels, mais elle réduit également la visibilité et le contrôle du service informatique sur l'ensemble du trafic de l'appareil pendant la session de travail. Certaines politiques de sécurité interdisent explicitement le split tunneling pour cette raison, en exigeant que tout le trafic, professionnel ou non, transite par le tunnel pendant la durée de la connexion.
Une politique de sécurité informatique bien rédigée définit explicitement plusieurs points concernant l'usage du VPN d'entreprise : les conditions dans lesquelles il doit être activé (dès la connexion à tout réseau non maîtrisé, ou uniquement pour l'accès à certaines ressources précises), l'interdiction ou non de VPN personnels concurrents sur le même appareil pendant une session professionnelle, et la conduite précise à tenir en cas de déconnexion inattendue du tunnel en plein milieu d'une session de travail. L'absence de telles précisions écrites, fréquente dans les organisations n'ayant pas formalisé leur politique de télétravail, laisse chaque collaborateur improviser sa propre pratique, avec des niveaux de rigueur finalement très inégaux d'une personne à l'autre, y compris au sein d'une seule et même équipe.
La règle pratique la plus simple à retenir : lorsqu'un VPN d'entreprise est fourni et que l'accès concerne des ressources internes de l'organisation, il doit être utilisé en priorité et selon les consignes du service informatique. Lorsqu'aucun VPN d'entreprise n'est disponible, ou que l'activité concerne une navigation générale sur un réseau peu fiable, un VPN personnel reste la solution adaptée. Combiner les deux dans une même session doit rester l'exception, validée au préalable par le service informatique, plutôt que devenir la pratique par défaut d'un collaborateur cherchant simplement à cumuler les protections sans en comprendre réellement les interactions techniques sous-jacentes.