VPN sur iOS : limites documentées

L'API NEVPNManager — ce qu'elle permet et ne permet pas

Les applications VPN sur iOS sont limitées à l'API NEVPNManager (Network Extension VPN Manager). Cette API expose les protocoles IKEv2 et OpenVPN via les Personal VPN extensions, et WireGuard via les Packet Tunnel Provider extensions. La restriction principale : les applications ne peuvent pas créer d'interfaces réseau au niveau kernel comme sur Android — elles doivent passer par le framework système. Cette contrainte réduit la flexibilité mais standardise le comportement entre appareils et versions iOS.

Conséquence pratique : un client VPN qui fonctionne correctement sur iOS 16 fonctionne identiquement sur iOS 17. Sur Android, le même client peut se comporter différemment selon la surcouche constructeur. La prévisibilité d'iOS est un avantage réel pour la fiabilité — pas pour la flexibilité.

La fuite de trafic iOS — ce qu'Apple a reconnu

En mars 2020, Proton a publié un rapport documentant un comportement iOS qui empêche les VPN de chiffrer complètement tout le trafic. Quand un VPN est activé sur iOS, les connexions déjà établies avant l'activation ne sont pas redirigées dans le tunnel — elles continuent sur la connexion directe jusqu'à leur fermeture naturelle. Sur des connexions persistantes (push notifications Apple, connexions background de certaines applications), ce comportement peut durer plusieurs minutes.

Apple a reconnu le problème et indiqué qu'il s'agissait d'un comportement intentionnel pour éviter les ruptures de service sur les connexions existantes. Une API permettant aux développeurs VPN de forcer la fermeture des connexions existantes a été ajoutée dans iOS 14 (includeAllNetworks), mais son usage est optionnel et certains services Apple contournent même cette protection.

Kill switch sur iOS — les options disponibles

iOS ne propose pas de kill switch système équivalent à Android. La protection contre les fuites lors d'une déconnexion VPN dépend entièrement du client VPN. Les clients sérieux implémentent un kill switch via l'option NEVPNProtocol.disconnectOnSleep et les règles de routage réseau du Packet Tunnel Provider. Vérifier dans les paramètres de votre client VPN que l'option "Kill Switch" ou "Protection contre les fuites" est activée — son nom varie selon les applications.

Une limitation spécifique à iOS : quand l'appareil sort de veille, le VPN peut prendre quelques secondes à se reconnecter. Pendant cette fenêtre, les applications qui tentent d'accéder au réseau utilisent la connexion directe. Sur Android avec le kill switch système activé, cette fenêtre est bloquée. Sur iOS, elle dépend de la rapidité de reconnexion du client VPN.

Protocoles disponibles sur iOS

IKEv2 est le protocole le mieux intégré à iOS — il est supporté nativement sans client tiers, gère les transitions réseau via MOBIKE, et se reconnecte rapidement après une interruption. WireGuard sur iOS fonctionne via les Packet Tunnel Provider extensions — les performances sont bonnes mais légèrement inférieures à une implémentation kernel. OpenVPN nécessite un client tiers et ne bénéficie pas de l'intégration système d'IKEv2.

Pour un iPhone utilisé avec de fréquents changements de réseau (Wi-Fi → 4G en déplacement), IKEv2 avec MOBIKE est le choix le plus stable. WireGuard est préférable pour les connexions statiques où la performance prime. La page sur les protocoles VPN sur mobile compare les deux en détail.

Ce qu'iOS fait bien malgré ces limites

La standardisation de l'API VPN sur iOS réduit les vecteurs de configuration incorrecte. Les clients VPN qui passent la validation App Store ont été vérifiés par Apple pour leur conformité à l'API. Le sandboxing iOS limite ce que les applications VPN peuvent accéder au-delà du trafic réseau — un VPN malveillant sur iOS a moins de surface d'attaque que son équivalent Android. Pour les VPN gratuits sur iOS, le risque principal est dans les données de trafic que le service peut voir et collecter, pas dans le code malveillant embarqué — un angle développé dans la page sur les VPN gratuits sur mobile.

Vérification et limitations à accepter

Sur iOS, accepter les limitations documentées ne signifie pas renoncer à la protection — cela signifie calibrer ses attentes de façon réaliste. Un VPN sur iOS protège efficacement contre la surveillance de votre FAI, contre l'interception sur les réseaux publics, et contre le tracking par adresse IP. Il ne garantit pas que zéro octet de trafic ne transite jamais hors tunnel — notamment les services système Apple.

Pour les utilisateurs dont le modèle de menace inclut une surveillance des communications système (journalistes, activistes), iOS n'est pas le système d'exploitation adapté, avec ou sans VPN. Pour l'utilisateur standard qui veut protéger sa navigation quotidienne et son IP, un VPN bien configuré sur iOS offre une protection substantielle et fiable dans les cas d'usage courants. La transparence sur ces limites est précisément ce qui permet de l'utiliser avec discernement.

Pour iOS, une recommandation finale sur les mises à jour : Apple publie régulièrement des correctifs pour les comportements VPN documentés. Maintenir iOS à jour est particulièrement important pour les utilisateurs VPN — certaines versions ont corrigé des fuites de trafic spécifiques. Activer les mises à jour automatiques iOS garantit que les corrections de comportement VPN sont appliquées sans intervention manuelle. Consulter les notes de version iOS lors des mises à jour majeures pour identifier les mentions de changements liés aux VPN ou au réseau.