Une caméra IP achetée 29 euros, branchée en dix minutes, et visible depuis l'autre bout du monde par n'importe qui connaissant son adresse IP. Ce scénario, je l'ai vérifié chez un proche : sa caméra de jardin répondait encore sur le port 554 en HTTP non chiffré, deux ans après l'installation, parce que personne n'avait pensé à changer le mot de passe par défaut. Voilà pourquoi la question du VPN pour objets connectés mérite mieux qu'un comparatif recopié.
Parce qu'un objet connecté n'est pas un ordinateur. Il n'a pas d'interface pour installer une application, pas de boutique pour télécharger un client VPN, et souvent pas assez de mémoire pour faire tourner un protocole de chiffrement. Alors comment on fait ? La réponse tient en un mot que la plupart des comparatifs oublient : le routeur. Mais avant d'y venir, il faut comprendre ce qui cloche vraiment dans la protection d'un objet connecté.
Points clés à retenir
- La majorité des objets connectés ne peuvent pas exécuter d'application VPN : il faut passer par le routeur.
- Un VPN protège le trafic, pas un appareil déjà compromis ou mal configuré.
- Tous les routeurs ne supportent pas un client VPN : vérifiez le firmware avant d'acheter un abonnement.
- Le nombre de connexions simultanées et la compatibilité des protocoles (WireGuard, OpenVPN, IPSec) sont des critères décisifs.
- Le prix d'un VPN ne dit rien de sa capacité à couvrir un parc d'objets connectés.
Pourquoi choisir un VPN pour objets connectés n'a rien à voir avec choisir un VPN classique
Quand vous cherchez un VPN pour votre ordinateur, vous comparez des applications : ergonomie, vitesse, nombre de serveurs. Pour l'IoT, ce raisonnement s'effondre dès la première étape. Une prise connectée, un thermostat, une caméra de surveillance, une enceinte : aucun de ces appareils ne vous laissera installer quoi que ce soit. Certains fabricants proposent bien un mode VPN intégré, mais c'est rare et souvent limité à leur propre écosystème.
Ce qui reste, c'est le point de passage commun à tous vos appareils : votre box ou votre routeur. C'est là que le tunnel chiffré doit se construire.
Le routeur, seul point d'entrée réaliste
Un VPN configuré au niveau du routeur chiffre tout le trafic sortant du foyer : ordinateurs, téléphones, et tous les objets connectés qui passent par le même réseau. Vous configurez une fois, vous couvrez tout. C'est la solution que je recommande systématiquement, et je défendrai cette position bec et ongles : pour l'IoT domestique, le VPN sur routeur est la seule approche qui tient la route à l'échelle d'un foyer.
Le problème ? Toutes les box opérateur ne permettent pas d'installer un client VPN. Sur certaines, il faut flasher un firmware tiers (OpenWrt, par exemple), ce qui fait sauter la garantie et peut casser des services. J'ai tenté l'opération sur une vieille box il y a quelques années : deux soirées perdues, une configuration réseau à reconstruire de zéro, et un routeur qui a fini au placard. Leçon retenue : acheter un routeur compatible dès le départ coûte moins cher en nerfs qu'un bricolage sur une box opérateur verrouillée.
Les objets connectés qui gèrent eux-mêmes un VPN
Une poignée d'appareils embarquent un client VPN natif : certains NAS, quelques routeurs de marque, des box domotiques haut de gamme. Le reste, soit la grande majorité du marché, en est incapable. Avant tout achat, vérifiez la fiche technique, pas la page marketing. La mention "compatible VPN" signifie souvent "peut se connecter à un serveur VPN tiers", pas "peut faire tourner le protocole".
Les critères qui comptent vraiment pour un VPN IoT
Oubliez le nombre de serveurs dans 90 pays. Ce qui décide si un VPN convient à vos objets connectés, ce sont cinq points précis.
La compatibilité routeur, critère numéro un
Le fournisseur doit proposer des fichiers de configuration manuels (OpenVPN, WireGuard, parfois IPSec) que vous pouvez importer sur un routeur. Certains services ne fonctionnent qu'avec leur application maison : dans ce cas, vous ne pourrez jamais couvrir vos objets connectés. C'est rédhibitoire.
WireGuard est aujourd'hui le protocole le plus léger, donc le plus adapté aux appareils à faible puissance et à la latence d'un objet qui envoie de petits paquets réguliers. OpenVPN reste le plus universel, mais plus gourmand en ressources. Sur un routeur modeste, la différence est perceptible.
Le nombre de connexions simultanées
Un foyer avec deux caméras, un thermostat, une télé connectée, deux ordinateurs et trois téléphones, ça fait déjà neuf appareils. Certains abonnements plafonnent à cinq connexions. Comptez large, ou vérifiez que le tunnel au niveau du routeur ne consomme qu'une seule connexion pour tout le réseau (c'est le cas de la plupart des configurations routeur, mais pas de toutes).
Journalisation et kill switch
Un objet connecté qui envoie des données de santé ou des images de votre intérieur ne devrait pas transiter par un fournisseur qui conserve des journaux de connexion détaillés. Le kill switch, lui, coupe le réseau si le tunnel tombe : indispensable pour une caméra, dont la chute du VPN ne doit jamais exposer le flux en clair.
L'impact sur la latence et le débit
Chiffrer le trafic ajoute une couche de traitement. Sur une caméra qui diffuse en continu, cela peut suffire à dégrader la qualité vidéo. Dans mon expérience, un tunnel WireGuard ajoute quelques millisecondes seulement sur une connexion fibre correcte, mais un vieux routeur à bout de souffle peut transformer une diffusion fluide en diaporama. Testez avant de généraliser à tout le foyer.
| Approche | Couverture | Difficulté | Adapté à |
|---|---|---|---|
| VPN sur routeur | Tous les appareils du réseau | Moyenne à élevée | Foyers avec plusieurs objets connectés |
| Client natif sur l'appareil | Un seul appareil | Faible | NAS, box domotique récente |
| Point d'accès dédié | Un sous-réseau isolé | Moyenne | Segmentation IoT avancée |
| Aucune protection | Zéro | — | À éviter dès qu'un appareil expose un service |
Les pièges que personne ne vous signale
Et là, je vais être direct : un VPN ne répare rien. Il protège le trafic en transit, il ne corrige pas un mot de passe faible, il ne bouche pas une faille de firmware. Si votre caméra est déjà compromise, le tunnel chiffré ne fera que transporter des données volées un peu plus discrètement.
Le faux sentiment de sécurité
J'ai vu des gens installer un VPN sur leur routeur et considérer le sujet réglé. Sauf que leurs objets connectés tournaient encore avec le mot de passe administrateur par défaut, sur un firmware jamais mis à jour depuis l'achat. Le VPN n'y change rien. La base reste : identifiants uniques, mises à jour appliquées, services inutiles désactivés.
Faut-il se tourner vers un VPN gratuit ?
La question revient sans cesse, et la réponse est nette : pour de l'IoT, un VPN gratuit est presque toujours un mauvais calcul. Les services gratuits limitent le débit, le nombre de connexions, et parfois la possibilité d'exporter une configuration manuelle, ce qui rend le passage par le routeur impossible. Certains monétisent autrement, en revendant des données d'usage — exactement ce que vous cherchez à éviter pour une caméra ou un thermostat.
Ce n'est pas une opposition de principe : un service gratuit peut dépanner pour un usage ponctuel sur un seul appareil. Mais dès qu'il s'agit de couvrir un parc d'objets connectés en continu, il faut un abonnement payant, typiquement entre quelques euros et une quinzaine d'euros par mois selon la durée d'engagement. Le tarif mensuel baisse souvent de moitié sur un engagement annuel.
La méthode, étape par étape
Voici comment je procède concrètement, dans l'ordre, quand on me demande de sécuriser un foyer connecté.
- Inventorier les objets connectés et repérer ceux qui exposent un service vers l'extérieur (caméras, NAS, imprimantes).
- Vérifier si la box ou le routeur actuel accepte un client VPN, et lequel.
- Choisir un fournisseur qui fournit des fichiers de configuration manuels, WireGuard de préférence.
- Configurer le tunnel sur le routeur, puis tester chaque appareil un par un.
- Segmenter le réseau IoT sur un SSID ou un VLAN séparé, si le routeur le permet.
- Mettre à jour le firmware de chaque appareil et changer tous les identifiants par défaut.
L'étape cinq est celle que l'on saute le plus souvent. Elle ne remplace pas le VPN, elle le complète : isoler les objets connectés du reste du réseau limite les dégâts si l'un d'eux tombe.
Ce qui reste quand on a tout configuré
Le VPN pour objets connectés n'est pas un produit qu'on achète, c'est une architecture qu'on met en place. Le routeur en est le cœur, la compatibilité des protocoles en est la condition, et le VPN lui-même n'est qu'une couche parmi d'autres.
La vraie question n'est peut-être pas "quel VPN choisir", mais "combien de mes objets connectés sont exposés sans que je le sache". La réponse, dans la plupart des foyers que j'ai aidés, fait froid dans le dos. Un tunnel chiffré règle une partie du problème. Le reste dépend de ce que vous ferez des mots de passe oubliés et des firmwares jamais mis à jour.
Et si vous ne devez retenir qu'une chose : vérifiez d'abord votre routeur, avant même de comparer les prix des abonnements. C'est là que tout se joue.
