VPN auto-hébergé vs commercial : les vrais arbitrages

Le modèle de confiance : la question centrale

La première erreur dans la comparaison auto-hébergé vs commercial est de la traiter comme un problème de performance ou de coût. C'est avant tout un problème de confiance : en qui faites-vous confiance, et pour quoi ? Avec un VPN auto-hébergé, vous faites confiance à votre hébergeur — qui voit votre IP réelle, peut loguer vos connexions, et est soumis aux injonctions judiciaires de sa juridiction. Avec un VPN commercial, vous faites confiance à l'éditeur — qui opère les serveurs de sortie et peut, selon son architecture, avoir accès aux métadonnées de vos sessions.

Ces deux modèles de confiance ne sont pas équivalents. L'hébergeur d'un VPS est une infrastructure commodity — Hetzner, OVH, DigitalOcean — dont la politique de coopération avec les autorités est documentée dans ses conditions d'utilisation. L'éditeur d'un VPN commercial a une incitation structurelle à protéger la confidentialité de ses clients — son modèle économique en dépend. Ce n'est pas une garantie, mais c'est une pression différente de celle qu'exerce un hébergeur généraliste.

Ce que l'auto-hébergement vous donne — et ce qu'il ne donne pas

L'argument principal pour l'auto-hébergement est le contrôle total de la configuration. Vous choisissez le protocole, les algorithmes de chiffrement, ce qui est loggué, la fréquence de rotation des clés. Vous pouvez vérifier que rien n'est loggué parce que vous avez écrit la configuration vous-même. C'est un avantage réel pour quelqu'un qui sait exploiter ce contrôle — et c'est précisément la population qui a implémenté un VPN from scratch.

Ce que l'auto-hébergement ne donne pas : une IP partagée entre plusieurs utilisateurs. Sur un VPN commercial avec des milliers d'utilisateurs simultanés sur la même IP de sortie, corréler un utilisateur spécifique à une activité réseau est difficile — il faut des informations des deux côtés (votre FAI et le serveur VPN). Sur votre VPS personnel, l'IP de sortie est la vôtre — elle vous identifie de façon permanente sur toute la durée de vie du serveur.

# VPN auto-hébergé : IP de sortie = votre VPS
# Pattern visible pour un observateur extérieur :
203.0.113.1  → votre FAI (identifie votre connexion)
     ↓ tunnel chiffré
198.51.100.42 → votre VPS (IP fixe, vous identifie dans le temps)
     ↓ trafic déchiffré
destination  → voit 198.51.100.42, traceable vers votre VPS

# VPN commercial : IP partagée entre N utilisateurs
203.0.113.1  → votre FAI (identifie votre connexion)
     ↓ tunnel chiffré
185.220.101.x → IP partagée, 500+ utilisateurs simultanés
     ↓ trafic déchiffré
destination  → voit 185.220.101.x, non attribuable sans corrélation croisée

Le coût réel de l'auto-hébergement

Un VPS chez Hetzner en Finlande coûte environ 4-6€ par mois pour une instance correcte (2 vCPU, 4 GB RAM). C'est comparable au prix d'un abonnement VPN commercial. Mais le coût n'est pas que monétaire : la maintenance de sécurité — mises à jour du système, du daemon WireGuard ou OpenVPN, rotation des certificats, monitoring des intrusions — est à votre charge. Un service commercial qui découvre une CVE critique dans WireGuard déploie le patch sur ses milliers de serveurs en quelques heures. Votre VPS personnel reçoit le patch quand vous l'appliquez.

Ce n'est pas un argument rédhibitoire — pour quelqu'un qui maintient des serveurs professionnellement, c'est une charge mineure. Mais pour quelqu'un qui a monté un serveur VPN comme projet de formation, la question de savoir si ce serveur est maintenu à jour 18 mois plus tard est légitime.

Cas d'usage : quand l'auto-hébergement est le bon choix

L'auto-hébergement est pertinent quand le cas d'usage est spécifique : accéder à un réseau privé interne (home lab, réseau d'entreprise), exposer des services derrière un endpoint fixe, créer un tunnel pour plusieurs membres d'une équipe avec des comptes distincts et des accès différenciés. Dans ces cas, aucun VPN commercial ne remplace un serveur que vous opérez — parce que la destination du trafic est votre propre infrastructure.

Pour la protection de la vie privée en navigation générale, en revanche, l'auto-hébergement présente les limites vues plus haut. L'IP de sortie vous identifie, la maintenance est à votre charge, et l'hébergeur a accès aux métadonnées de connexion. Un VPN commercial bien choisi — avec architecture no-logs vérifiable par audit — offre une protection différente et souvent meilleure pour cet usage précis.

Cas d'usage : quand le VPN commercial est le bon choix

Le VPN commercial est pertinent quand l'anonymisation du trafic de sortie est l'objectif principal. L'IP partagée entre des milliers d'utilisateurs rend la corrélation difficile sans accès simultané aux logs du FAI et du serveur VPN. Sur un réseau public, le chiffrement du tunnel protège contre l'interception locale. La mobilité — connexion depuis différents pays, changement de serveur en quelques secondes — est triviale avec un client commercial et complexe avec un serveur personnel.

La condition : que le service ait été audité sérieusement. Un VPN commercial dont la politique no-logs n'a jamais été vérifiée par un tiers indépendant n'offre aucune garantie — juste une promesse. La grille de sélection d'un service VPN détaille les critères de vérification.