Le kill switch VPN expliqué : ce qu'il fait, pourquoi il est important, comment vérifier que le vôtre fonctionne
Un kill switch VPN bloque tout le trafic hors VPN lorsque le tunnel tombe, empêchant votre IP réelle de fuir en pleine session. Voici ce que propose chaque grand VPN audité, et comment le tester vous-même.
Ce qu'est un kill switch VPN
Un kill switch VPN est une fonctionnalité qui bloque tout le trafic internet d'un appareil chaque fois que le tunnel VPN n'est pas actif. Le but est d'empêcher votre IP réelle attribuée par le FAI de fuir vers un service de destination dans la brève fenêtre entre la chute d'un tunnel et la reconnexion. Les tunnels tombent pour des raisons ordinaires — changement de réseau, redémarrage du serveur, mise en veille de l'ordinateur portable — et sans kill switch, le système d'exploitation bascule en mode ouvert, acheminant les paquets via l'interface nue jusqu'à ce que le VPN se reconnecte. Avec un kill switch, ces paquets sont abandonnés. Le service de destination voit soit l'IP de sortie du VPN, soit rien du tout.
Quels VPN audités proposent un kill switch
Les cinq grands VPN payants audités proposent tous un kill switch dans leurs applications clientes officielles : Mullvad (le mode pare-feu est l'implémentation du kill switch ; documenté sur mullvad.net), Proton VPN (options kill switch + kill switch permanent sur chaque plateforme), NordVPN (kill switch à l'échelle du système sur macOS / Windows / Linux ; iOS utilise le profil Always-On VPN d'Apple), ExpressVPN (Network Lock — kill switch sous sa marque) et Surfshark (kill switch documenté dans les paramètres de l'application). L'implémentation diffère selon la plateforme : sur macOS / Windows / Linux, une règle de pare-feu au niveau du système d'exploitation est l'implémentation la plus solide ; sur iOS, le comportement du kill switch dépend de l'installation de la configuration en tant que VPN Per-App ou en tant que profil Always-On.
Le comportement du kill switch fait partie du périmètre de l'audit
Le comportement du kill switch n'est pas qu'une fonctionnalité — c'est une cible de test standard dans les audits d'infrastructure publiés. L'audit de Mullvad par Cure53 (juin 2024) incluait des tests de sécurité en boîte blanche couvrant 'tout ce qui a une incidence sur la vie privée' sur des serveurs de production OpenVPN et WireGuard ; ne pas réussir à récupérer une connexion tombée sans fuir constituerait un constat. Praetorian et Cure53 ont examiné la réécriture en Rust de Lightway d'ExpressVPN en sept.–oct. 2024 ; le résultat du retest de décembre 2024 a confirmé la remédiation de tous les problèmes signalés. La justesse du kill switch fait implicitement partie de toute affirmation 'no-log / no-leak' — si une défaillance du kill switch fait fuir l'IP réelle, la propriété no-log est sans objet pour cette connexion.
Comment diffèrent les implémentations de kill switch
Il existe trois schémas. (1) Règles de pare-feu au niveau du système d'exploitation — le plus solide. Le client VPN installe des règles PF/iptables/Windows Firewall qui abandonnent tout le trafic hors tunnel. Le mode pare-feu de Mullvad relève de cette catégorie. (2) Kill switch au niveau de l'application — plus faible. Le client VPN ne coupe le trafic que d'une liste d'applications configurées. Utile pour couper sélectivement un client torrent quand le tunnel tombe, mais ne protège pas le trafic en arrière-plan des autres applications. (3) iOS Always-On VPN — solide mais conditionnel. La configuration Always-On au niveau du système d'exploitation garantit qu'aucun trafic ne circule sans le VPN, mais ne fonctionne que lorsqu'elle est configurée en tant que profil géré, et non en tant qu'installation grand public en un seul toucher. La documentation d'Always-On VPN se trouve sur le site développeur d'Apple (developer.apple.com).
Comment vérifier que votre kill switch fonctionne
Connectez-vous à votre VPN, ouvrez un terminal, exécutez `curl ifconfig.me` pour confirmer que l'IP de sortie du VPN apparaît. Puis désactivez votre interface réseau (Wi-Fi coupé / Ethernet débranché) et réactivez-la. Pendant que le réseau se rétablit, exécutez le même curl dans une boucle serrée. Si, durant la fenêtre de reconnexion, vous voyez votre véritable IP FAI, le kill switch a échoué. Si vous ne voyez rien (curl renvoie des erreurs du type 'no route to host' ou similaires) jusqu'à ce que le VPN se reconnecte, le kill switch a fonctionné. Ce test n'est destructeur que pour la session VPN en cours — il ne nécessite ni compte ni banc d'essai. Répétez pour chaque protocole VPN pris en charge par votre client (WireGuard et OpenVPN se comportent différemment lors de la reconnexion).
Quand le kill switch suffit — et quand il ne suffit pas
Un kill switch protège la brève fenêtre de chute du tunnel. Il ne protège pas contre les fuites DNS lorsque le tunnel est actif (celles-ci constituent un problème distinct, couvert par la configuration DNS du VPN), et il n'annule pas rétroactivement la fuite de données ayant circulé avant l'établissement du tunnel. Démarrez toujours le VPN avant de lancer l'activité qui dépend du VPN — les kill switches n'ont pas de mémoire.
Sources
Audit Mullvad (Cure53 juin 2024) : mullvad.net/en/blog/fourth-infrastructure-audit-completed-by-cure53. Audits no-log Proton VPN : protonvpn.com/blog/no-logs-audit. Audits NordVPN : nordvpn.com/blog/nordvpn-no-logs-audit-2024. Audits Lightway ExpressVPN : expressvpn.com/blog/lightway-audits-cure53-praetorian. Apple Always-On VPN : developer.apple.com (rechercher 'Always-On VPN'). Tous les URL consultés le 2026-04-30.