Protocoles VPN en 2026 : WireGuard, OpenVPN, VLESS, Xray, Shadowsocks, MeduzaVPN ULTRA — que choisir

Qu’est-ce qu’un protocole VPN et pourquoi il compte

Un protocole est un ensemble de règles par lesquelles le client et le serveur établissent la connexion, chiffrent les données et les emballent en paquets. Il détermine quatre propriétés concrètes : la vitesse, la latence et la consommation de batterie, la compatibilité avec les appareils, et l’apparence du trafic pour les équipements de l’opérateur.

Jusqu’à récemment, ce dernier point pouvait être négligé. Aujourd’hui, dans plusieurs pays, dont la Russie, les opérateurs utilisent l’analyse approfondie des paquets (DPI) et restreignent les connexions qui ressemblent à un VPN. Le « meilleur protocole » n’existe donc plus indépendamment du réseau : ce qui est parfait à la maison peut ne pas se connecter sur un réseau mobile. Pour une présentation générale de la technologie, voir l’article qu’est-ce qu’un VPN.

Protocole et transport ne sont pas la même chose

De nombreux protocoles disposent de plusieurs transports : un même VLESS peut passer en TCP avec TLS, en WebSocket ou en gRPC, tandis que WireGuard ne fonctionne qu’en UDP. Le transport détermine par quels ports et sous quelle forme les paquets traversent le réseau. Quand un opérateur limite tout l’UDP, aucun camouflage ne sauve un protocole UDP, alors qu’un transport TCP sur le port 443 passera. Regardez donc la paire « protocole + transport », pas seulement le nom.

Tableau comparatif des protocoles

Les évaluations ci-dessous reflètent l’expérience typique en 2026 ; le résultat peut varier selon le réseau. Tous les protocoles listés sont disponibles sur le serveur personnel MeduzaVPN.

Protocoles classiques : WireGuard, OpenVPN, IKEv2

WireGuard

WireGuard est le plus moderne des protocoles classiques : environ quatre mille lignes de code, une cryptographie ChaCha20 et Curve25519, un fonctionnement sur UDP. Il établit vite la connexion, consomme très peu de batterie et survit instantanément au passage du Wi-Fi au réseau mobile. Son point faible : une poignée de main reconnaissable, que le DPI identifie sans peine.

OpenVPN

OpenVPN est plus ancien et plus lourd : poignée de main TLS, davantage de données de service, fonctionnement en espace utilisateur. En contrepartie, il prend en charge un mode TCP qui passe les pare-feux d’entreprise stricts, et fonctionne sur presque tout matériel. Au quotidien sur téléphone, il consomme nettement plus de batterie que WireGuard.

IKEv2 / IPsec

IKEv2 est intégré à iOS, macOS et Windows, il ne nécessite donc pas d’application tierce. Il est rapide et supporte bien les changements de réseau, mais utilise les ports fixes 500 et 4500 avec un format de paquets connu. Sur les réseaux filtrés, c’est l’un des premiers protocoles à cesser de se connecter.

Protocoles avec camouflage : ULTRA, VLESS, Shadowsocks

MeduzaVPN ULTRA

ULTRA est le protocole propriétaire de MeduzaVPN, conçu pour les systèmes de filtrage actuels. Il ne contient pas de signature constante, change de paramètres entre les sessions et, par la longueur et le rythme des paquets, ressemble à une navigation web ordinaire. L’application choisit les réglages automatiquement ; l’utilisateur n’a qu’à sélectionner le protocole dans la liste.

MeduzaVPN

Le protocole MeduzaVPN est une variante obfusquée du tunnel UDP classique : la poignée de main est masquée, et du bruit de longueur variable est ajouté aux paquets. Il conserve la vitesse et la sobriété de WireGuard, mais sans ses caractéristiques reconnaissables. Bon choix pour le Wi-Fi domestique et les routeurs, là où le filtrage est modéré.

VLESS et Xray avec REALITY

VLESS est un protocole léger, sans chiffrement propre, qui s’appuie sur TLS. Dans le cœur Xray, il est complété par le transport REALITY : le client utilise une véritable empreinte de navigateur, et le serveur répond, lors d’une vérification, comme un vrai grand site. Pour le DPI, cette connexion est indiscernable d’un HTTPS ordinaire. V2Ray est la génération précédente de la même famille, compatible avec VLESS mais sans REALITY.

Shadowsocks et Outline

Shadowsocks chiffre le flux sans aucun en-tête, si bien que le DPI n’a pas de signature évidente. Il est peu gourmand en ressources et fonctionne même sur des routeurs modestes. Outline est le même Shadowsocks avec une gestion des clés plus pratique. Sur certains réseaux, on a appris à le limiter par des indices statistiques, si bien qu’en 2026 il sert plutôt de solution de secours.

Cas particuliers : Hysteria, SoftEther, SOCKS5

Hysteria fonctionne sur QUIC et gère la congestion de façon agressive, ce qui le rend performant sur les canaux avec pertes de paquets : internet satellite, antennes surchargées, Wi-Fi dans les trains. Là où l’UDP est limité, il ne se connectera pas.

SoftEther encapsule le trafic en HTTPS et est utile sur les réseaux où seul le port 443 en TCP est autorisé. Il est plus lourd que les autres et rarement nécessaire sur téléphone, mais il rend service sur les réseaux d’entreprise et d’hôtels.

SOCKS5 n’est pas un VPN, mais un proxy. Il ne crée pas de tunnel système et ne chiffre pas le trafic par lui-même, mais il permet de faire passer un programme précis par le serveur : navigateur, client torrent, messagerie. Sur le serveur personnel MeduzaVPN, SOCKS5 est disponible en complément des protocoles principaux.

Quel protocole choisir

1. Réseau mobile en Russie ou dans un autre pays où le filtrage est actif : commencez par MeduzaVPN ULTRA, avec VLESS et REALITY en solution de secours.
2. Wi-Fi domestique avec filtrage modéré : le protocole MeduzaVPN offre la vitesse maximale ; en cas de problème, passez à ULTRA.
3. Réseau sans restriction (voyage dans un autre pays, accès d’entreprise) : WireGuard, le plus rapide et le plus économe.
4. Routeur ou appareil ancien : Shadowsocks ou WireGuard — ce sont eux qui demandent le moins de ressources.
5. Réseau où seul le TCP 443 est autorisé : VLESS, SoftEther ou OpenVPN en mode TCP.
6. Canal instable avec pertes : essayez Hysteria, si l’UDP n’est pas bloqué.

Aucun protocole ne fonctionne partout à coup sûr. La bonne stratégie consiste à disposer de plusieurs protocoles sur un même serveur et à en changer quand le réseau change.

Comment changer de protocole dans MeduzaVPN

Le serveur personnel MeduzaVPN fait tourner tous les protocoles à la fois : ULTRA, MeduzaVPN, WireGuard, OpenVPN, VLESS, V2Ray, Xray, Shadowsocks, Outline, Hysteria, SOCKS5, IKEv2 et SoftEther. Chacun écoute sur ses propres ports, sur la même adresse IP : changer de protocole ne change donc ni la localisation, ni l’adresse vue par les sites.

Dans l’application, le protocole se choisit dans les réglages de connexion. Le changement prend quelques secondes : l’application coupe le tunnel en cours, en établit un nouveau et mémorise le choix pour ce réseau. Les réglages de tunnellisation partagée et le kill switch s’appliquent de la même façon à tous les protocoles.

Pour les routeurs sous OpenWrt et les autres appareils sans application, des configurations prêtes à l’emploi pour WireGuard, VLESS, Shadowsocks et OpenVPN sont disponibles sur le site — plus de détails sur la page VPN pour routeur.

Tous les protocoles sont inclus dans chaque forfait, sans supplément : 5,99 USD par mois, moins cher à l’année, avec les sept premiers jours de l’abonnement sans paiement. Comparez les offres sur la page des tarifs du VPN personnel.

Questions fréquentes