Les extensions « VPN » pour Chrome, Edge et Firefox sont populaires parce qu'elles s'installent vite et sans droits d'administrateur. Mais la plupart ne sont pas des VPN au sens complet du terme, et une extension occupe une place particulièrement sensible : à l'intérieur du navigateur, là où vous lisez vos e-mails, consultez votre banque et discutez avec des assistants IA.

En décembre 2025, des chercheurs en sécurité ont montré à quel point cette confiance peut être trahie : une extension « VPN » gratuite très répandue collectait les conversations de ses utilisateurs avec des IA. Ce guide explique ce qu'une extension de navigateur peut et ne peut pas protéger, ce qui s'est passé dans ce cas, et ce qu'il faut vérifier avant d'en installer une.

Extension proxy ou VPN pour tout l'appareil

Les deux sont souvent vendus sous le même nom, mais ils ne fonctionnent pas de la même façon.

Une extension proxy de navigateur modifie les paramètres de proxy du navigateur pour que son trafic passe par un serveur distant. Les sites voient l'adresse IP du serveur au lieu de la vôtre. Elle ne crée pas de tunnel chiffré à l'échelle du système. Votre connexion aux sites ouverts en HTTPS reste chiffrée de bout en bout, comme elle le serait de toute façon, mais l'extension elle-même n'ajoute pas de couche de chiffrement au trafic de votre appareil.

Une application VPN pour tout l'appareil crée un tunnel chiffré au niveau du système d'exploitation. Tout ce que l'appareil envoie, depuis chaque navigateur et chaque appli, ainsi que les services en arrière-plan et les mises à jour, passe par ce tunnel.

En pratique :

  • Portée : une extension couvre un seul navigateur ; une appli VPN couvre toutes les applis de l'appareil.
  • Chiffrement : une extension s'appuie sur le HTTPS de chaque site ; une appli VPN chiffre tout le trafic entre l'appareil et le serveur VPN.
  • Installation : les extensions ne demandent généralement pas de droits d'administrateur ; les applis VPN, si.
  • Usage type : les extensions conviennent pour changer rapidement d'IP en navigation et définir des règles site par site ; les applis VPN, pour le Wi-Fi public, les autres applis et la confidentialité de tout l'appareil.

Notre article Qu'est-ce qu'un VPN ? détaille le fonctionnement d'un VPN pour tout l'appareil.

Pourquoi une extension est un endroit sensible

Pour fonctionner, une extension proxy ou « de confidentialité » demande souvent des autorisations étendues. La page d'aide du Chrome Web Store sur les autorisations explique qu'une extension ayant accès à « vos données sur tous les sites que vous consultez » peut lire, demander ou modifier les données de chaque page, y compris sur les sites bancaires et les réseaux sociaux. Elle précise aussi qu'un avertissement ne signifie pas forcément qu'une extension est dangereuse. Beaucoup d'outils proxy légitimes ont besoin de cet accès pour fonctionner.

Le problème, c'est que vous faites confiance à l'éditeur non seulement aujourd'hui, mais aussi pour chaque mise à jour future. Les navigateurs mettent à jour les extensions automatiquement, généralement sans vous demander votre avis.

Le cas de 2025 : des chats IA collectés par une extension « mise en avant »

En décembre 2025, Malwarebytes et The Register ont relayé les travaux de la société de sécurité Koi Security sur une extension proxy VPN gratuite comptant plus de 6 millions d'utilisateurs sur Chrome et 1,3 million sur Edge.

Selon ces articles :

  • Une mise à jour silencieuse a changé son comportement. La version 5.5.0, publiée le 9 juillet 2025, s'est mise à intercepter les conversations des utilisateurs avec des plateformes d'IA, dont ChatGPT, Claude, Gemini, Microsoft Copilot, Perplexity, DeepSeek, Grok et Meta AI. Les versions précédentes ne le faisaient pas, et les navigateurs ont mis à jour les utilisateurs automatiquement.
  • La collecte était activée par défaut. The Register indique qu'elle était activée par un paramètre codé en dur, sans aucun interrupteur pour l'utilisateur ; la seule façon de l'arrêter était de supprimer l'extension. Elle aurait collecté des données même lorsque le VPN était désactivé.
  • Les données partaient chez un courtier en données. Selon Malwarebytes, les conversations étaient envoyées à BiScience, la maison mère de l'éditeur, qui collecte des données de navigation.
  • Elle n'était pas seule. Sept autres extensions du même éditeur contenaient le même code, pour un total de plus de 8 millions d'utilisateurs.
  • Elle affichait un gage de confiance. L'extension était notée 4,7 étoiles et portait le badge « Sélection » (Featured) de Google dans le Chrome Web Store.

L'éditeur mentionnait bien « ChatAI communication » dans un écran de consentement et dans sa politique de confidentialité, note Malwarebytes, mais les utilisateurs qui l'avaient installée avant juillet 2025 n'ont jamais vu cet écran. Malwarebytes conseillait aux personnes concernées de supprimer les extensions et de « considérer que tous les chats IA depuis le 9 juillet » ont pu être compromis, ainsi que d'envisager de changer leurs mots de passe et d'effacer leurs cookies.

La leçon n'est pas que toutes les extensions sont malveillantes. C'est que les notes, le nombre de téléchargements et même les badges des boutiques ne garantissent rien.

Qui se cache derrière le produit ?

Le propriétaire compte pour tout VPN ou proxy, car le fournisseur peut voir où va votre trafic, et un rapport du Tech Transparency Project du 1er avril 2025 sur des applis VPN gratuites aux propriétaires non déclarés montre pourquoi il faut savoir qui exploite un service (nous expliquons comment le vérifier dans VPN gratuit ou payant).

Liste de vérification avant d'installer

  • Vérifiez l'éditeur. Y a-t-il un vrai nom de société, un site web et une adresse de contact ? Correspondent-ils à la politique de confidentialité ?
  • Lisez les autorisations. Un accès étendu à tous les sites est courant pour une extension proxy, mais demandez-vous si elle réclame aussi ce dont elle ne devrait pas avoir besoin, comme votre historique ou votre presse-papiers.
  • Cherchez des précisions dans la politique de confidentialité. Ce qui est collecté, si c'est partagé ou vendu, et méfiez-vous des formules vagues sur les « données de navigation » ou les « partenaires d'analyse ».
  • Méfiez-vous du « gratuit pour toujours » sans modèle économique visible. Les serveurs coûtent de l'argent ; demandez-vous comment le service se finance.
  • Limitez le nombre d'extensions. Chacune est un éditeur de plus à qui vous confiez les mises à jour futures. Supprimez celles que vous n'utilisez plus.
  • Relisez après les mises à jour. Si une extension demande soudain de nouvelles autorisations ou affiche un nouvel écran de consentement, arrêtez-vous et lisez.
  • Testez les fuites. Les navigateurs peuvent exposer des adresses via WebRTC ; notre test de fuite WebRTC montre ce que le vôtre révèle.
  • Traitez vos chats IA comme sensibles. Évitez d'y coller des mots de passe, des numéros d'identité ou des documents privés, quelles que soient vos extensions.

La place des extensions VPNRice

VPNRice propose des extensions pour Chrome et Firefox. Comme les autres extensions proxy, elles font passer uniquement le trafic du navigateur par un serveur VPNRice, si bien que les sites voient l'adresse IP du serveur au lieu de la vôtre. Elles permettent de choisir quels sites passent par VPNRice et lesquels restent en accès direct, et elles ne créent pas de tunnel VPN système. Les sites ouverts en HTTPS restent chiffrés de bout en bout. Pour protéger tout l'appareil, par exemple sur un Wi-Fi public, utilisez plutôt l'application VPNRice complète pour votre ordinateur ou votre téléphone.

À retenir

  • Une extension de navigateur change généralement l'IP d'un seul navigateur ; une appli VPN chiffre le trafic de tout l'appareil.
  • Les extensions se mettent à jour en silence : vous faites confiance au comportement futur de l'éditeur, pas seulement à la version actuelle.
  • En 2025, selon les recherches de Koi Security, une extension VPN gratuite « mise en avant » et utilisée par des millions de personnes collectait des chats IA.
  • Vérifiez l'éditeur, les autorisations et la politique de confidentialité, limitez vos extensions et testez votre navigateur contre les fuites.