Un mois en Russie : le jour où quatorze VPN sont tombés

J'écris depuis la Russie, et la première surprise n'est pas celle que j'avais répétée. Pendant des semaines je me suis préparé aux menaces sophistiquées, aux bornes qui aspirent, aux réseaux qui écoutent. Trois heures après l'atterrissage, le problème est ailleurs, plus bête et plus total : je n'arrive tout simplement pas à me connecter. Pas une dégradation ni une lenteur passagère, mais un mur complet.

Et surtout, aucun de mes VPN ne répond. Mullvad, NordVPN, ExpressVPN, ProtonVPN, tous à terre l'un après l'autre. Même AmneziaVPN, que j'héberge sur mon propre serveur, un outil pensé précisément pour contourner la censure, reste muet. J'ai fini par bricoler une connexion bancale, un montage improbable, juste pour glisser un pied hors du pays. Le roaming, lui, est coupé par défaut pendant les premières vingt-quatre heures, histoire de bien commencer.

Il a fallu tester une quinzaine de solutions, activer les obfuscations, les modes « caméléon » censés maquiller le trafic en flux anodin, pour qu'un seul finisse par passer : Mullvad, et lui seul. Pas parce qu'il serait meilleur en théorie, mais parce que son déguisement tient encore là où les autres se font repérer et couper. Voilà l'état des lieux réel, celui qu'aucun guide ne vous donne : dans ce pays, votre tunnel chiffré vaut ce que valent ses maquillages, et la plupart ne trompent plus personne.

Pourquoi mes tunnels tombent-ils un à un ?

Si mes tunnels tombent les uns après les autres, ce n'est pas un hasard. Les opérateurs russes sont équipés depuis des années de boîtiers d'inspection profonde du trafic, les TSPU, imposés à tous les fournisseurs d'accès par la loi sur l'internet souverain de 2019 et pilotés directement par Roskomnadzor, le régulateur des communications. La nuance compte : ce ne sont plus les opérateurs qui appliquent une liste noire fournie par l'État, c'est l'État qui filtre lui-même, dans le tuyau, sans intermédiaire.

Le résultat est chiffré. En février 2026, Roskomnadzor a déclaré avoir restreint l'accès à 469 services VPN, contre 439 un mois plus tôt. Et le blocage ne vise plus seulement des marques : il vise des protocoles. Depuis fin novembre 2025, VLESS, l'un des protocoles de contournement les plus avancés, tombe à son tour ; SOCKS5 et L2TP suivent en décembre. Ce n'est plus une liste noire qu'on allonge, c'est une machine qui apprend à reconnaître des formes de trafic. Un service bloqué peut renaître sous un autre nom ; un protocole reconnu ne se rattrape pas d'un changement d'enseigne.

La contrainte descend d'ailleurs jusqu'aux opérateurs eux-mêmes. Au printemps 2026, des tribunaux de Moscou et de Saint-Pétersbourg ont commencé à condamner des fournisseurs d'accès dont une partie du trafic échappait aux TSPU : le centre de surveillance testait si un site bloqué restait joignable sans trace correspondante sur l'équipement, et le fournisseur écopait d'une amende. Le filtrage n'est pas une politique éditoriale, c'est une obligation de moyens contrôlée.

Il y a aussi la carte SIM, et c'est là que mon roaming muet trouve son explication. Depuis le 6 octobre 2025, toute carte SIM étrangère qui accroche un réseau russe perd internet mobile et SMS pendant vingt-quatre heures, la justification officielle étant d'empêcher des drones de se guider sur le réseau cellulaire. La mesure a été étendue en novembre aux cartes russes rentrant de l'étranger ou restées inactives plusieurs jours. Ce que j'avais pris pour une défaillance de mon opérateur était la règle, appliquée à la lettre.

Une partie de ce que vous ouvrez machinalement chaque matin est ici dégradé ou inaccessible : réseaux sociaux occidentaux, messageries, moteurs entiers ralentis jusqu'à l'inutile. Ailleurs on vous promet poliment que votre connexion est privée. Ici, le contrat est plus honnête : tout ce qui passe peut être lu, et une fuite ne meurt jamais. Le wifi public, autant dire, n'existe pas pour moi.

Quel VPN fonctionne encore en Russie en 2026 ?

Un seul, chez moi, et seulement déguisé. La raison est technique et tient en une phrase : contre un système qui reconnaît les signatures de protocole, la seule défense qui vaille encore est de ne plus ressembler à un VPN.

Mullvad maquille son trafic avec Shadowsocks depuis 2019, d'abord sur OpenVPN puis sur WireGuard, et a ajouté en septembre 2025 une obfuscation QUIC qui encapsule le tunnel dans ce qui a toutes les apparences du HTTP/3, c'est-à-dire du trafic web ordinaire ; la fonction est arrivée sur mobile en octobre. L'éditeur lui-même écrit noir sur blanc que la majorité de ses serveurs sont bloqués en Russie et conseille d'essayer plusieurs villes en activant QUIC ou Shadowsocks. C'est exactement ce que j'ai fini par faire, après une quinzaine d'essais.

Ne prenez surtout pas ma phrase pour une recommandation durable. Je ne publie pas un classement, je décris un état à un instant t, dans un pays où l'adversaire itère plus vite que les guides d'achat. Les listes de « meilleurs VPN pour la Russie » que vous trouverez en ligne ont pour la plupart une durée de validité inférieure au trimestre, et celle-ci n'y échappera pas.

Un mot sur la légalité, parce que la question tombe systématiquement. Utiliser un VPN n'est pas sanctionné en tant que tel. En revanche, depuis le 1er septembre 2025, faire la publicité d'un service VPN expose à une amende allant de 50 000 à 500 000 roubles selon qu'il s'agit d'un particulier, d'un responsable ou d'une entreprise, et le même texte punit de 3 000 à 5 000 roubles la simple recherche en ligne de contenus inscrits au registre fédéral des matériels dits extrémistes. On ne punit pas l'outil, on assèche ce qui le fait connaître et on rend la curiosité coûteuse. C'est plus efficace, et ça se raconte mieux.

Faut-il vraiment deux téléphones pour passer la frontière ?

Reprenons depuis le début, parce que rien de tout cela n'était improvisé. La veille du départ, je n'ai pas bouclé une valise, j'ai préparé deux téléphones. L'un propre, presque vide, celui qu'on peut me réclamer à la frontière et fouiller sans rien y trouver. L'autre, celui qui porte ma vie, mon alter ego numérique au complet, éteint et chiffré tant que je ne suis pas à l'abri. Ce n'est pas de la peur, c'est le réflexe de gens poliment paranoïaques, ceux qui ont appris à ne pas confondre la prudence et la panique. Et au bout du voyage il n'y a ni client ni mission, juste de la famille et un mois devant nous.

La frontière, justement, n'est plus un simple tampon sur un passeport. Les bornes de réseau déguisées, ces fausses antennes qui se font passer pour un relais ordinaire et aspirent ce qu'un téléphone leur tend dès qu'il s'y connecte, sont toujours là, à la douane, bien présentes. Mais soyons clairs, ce n'est pas une spécialité russe. On trouve exactement le même dispositif aux États-Unis, en Israël, dans quantité de pays qu'on cite plus volontiers en exemple. La différence n'est pas dans la technologie, elle est dans le nombre de gens que ça dérange.

Et si les fausses antennes se documentent mal par nature, la fouille d'appareils, elle, se compte. Sur le seul exercice budgétaire 2025, les douanes américaines ont examiné 55 318 appareils électroniques, dont 13 590 appartenant à des citoyens américains, en hausse de près de 18 % sur un an. Rapporté au flux de voyageurs, cela reste moins de 0,01 % des arrivées, ce qui est précisément le point : la probabilité est faible et la conséquence, si ça tombe sur vous, est totale. C'est la définition même d'un risque qu'on traite par la préparation et non par la statistique. D'où la règle, valable partout : un appareil propre pour passer, et le vrai qu'on n'allume jamais tant qu'on n'est pas loin du comptoir.

Pourquoi l'internet mobile s'éteint-il d'un coup ?

Il y a même des moments où le réseau s'éteint complètement. Dans plusieurs régions, l'internet mobile saute d'un coup, et pour une fois la raison se tient : une zone blanche de quelques minutes, et les drones perdent leurs repères, incapables de se guider ou de frapper. La coupure n'est pas une lubie administrative, c'est un bouclier. On apprend à composer avec un pays qui éteint son ciel numérique quand il se sent visé.

Le problème est que le bouclier a grandi. Le projet de veille Na Sviazi a recensé des restrictions d'internet mobile dans au moins 63 régions, y compris très loin de toute ligne de front, et Moscou a vécu en mars 2026 près de trois semaines de coupures. Dans un pays où l'internet mobile représente de 50 à 70 % du trafic de données, ce n'est plus une mesure ponctuelle, c'est un mode de fonctionnement : les pertes pour les entreprises moscovites ont été estimées à environ 12,5 millions de dollars par jour.

Et la coupure n'est jamais tout à fait une coupure. Depuis l'annonce du ministère du Numérique à l'été 2025, une liste blanche d'environ cinq cents services reste joignable pendant les extinctions : opérateurs, médias fédéraux, banque centrale, sites publics, marketplaces, réseaux sociaux russes et la messagerie d'État. Autrement dit, la panne ne rend pas le pays muet, elle le ramène temporairement à un internet homologué. C'est le détail que je retiens : la mesure d'urgence a produit, par effet de bord, la maquette fonctionnelle d'un réseau national fermé.

Ce procédé, du reste, ne s'invente pas à Moscou. En 2025, au moins 313 coupures d'internet ont été recensées dans 52 pays, un record, avec au minimum une coupure chaque jour de l'année. La Russie n'est pas une exception au monde, elle en est la version la plus aboutie.

Ce qui a disparu de mon écran : la carte bancaire et les messageries

Le reste relève du même apprentissage. Depuis 2022, les cartes Visa et Mastercard ne passent plus : les deux réseaux ont suspendu leurs opérations début mars, avec effet au 10 mars, et les cartes émises hors de Russie ne fonctionnent ni chez les commerçants ni dans les distributeurs. Le geste de payer sans y penser, de sortir son téléphone pour un café, disparaît. Retour au liquide, à la débrouille, à cette forme d'amputation numérique qui déroute les premiers jours plus qu'on ne l'avouerait.

Les messageries ont suivi le même chemin, en accéléré. WhatsApp a été bloqué le 12 février 2026, une centaine de millions d'utilisateurs d'un coup. Telegram, lui, n'a pas été coupé mais ralenti : le régulateur a annoncé le 10 février des restrictions à l'échelle du pays, et les fichiers, les photos, les messages vocaux cessent de charger. Pendant ce temps, la messagerie d'État Max est préinstallée d'usine sur tous les smartphones et tablettes vendus dans le pays depuis le 1er septembre 2025. Elle n'offre pas de chiffrement de bout en bout et annonce transmettre les données de ses utilisateurs aux autorités sur demande.

C'est la séquence complète, en trois temps : on bloque le concurrent étranger, on dégrade celui qu'on ne peut pas bloquer, on préinstalle le sien. Personne n'a jamais eu besoin d'ordonner à quiconque de changer d'application.

Injoignable, donc présent

Et il y a un effet secondaire que je n'avais pas anticipé, que je note sans en faire un poème. À force de tout couper, de me méfier de chaque borne, je pose le téléphone, pour de bon. Il ne réclame plus rien. Restent la table et des conversations qui durent parce que rien ne vient les interrompre. Le pays le plus surveillé de mon itinéraire m'a rendu, sans le vouloir, injoignable, donc présent.

Ce qu'on transporte pèse plus que la serrure

On croit que la sécurité du voyage tient à la serrure de la chambre et au quartier qu'on évite la nuit. Elle tient d'abord à ce qu'on transporte. Un ordinateur professionnel vaut souvent plus que tout le contenu d'une valise, et personne ne le déclare à la douane. Le voyageur est devenu un porteur de données avant d'être un corps à assurer, et presque personne ne le briefe là-dessus.

À mon retour, le téléphone propre sera effacé, l'autre traité comme tout ce qui a passé un mois sur ces réseaux : remis à zéro, compromis par principe. Ça paraît excessif, ça l'est un peu moins ici, dans un pays qui a au moins la franchise de ne pas prétendre que le réseau est de votre côté. Reste cette ironie que je savoure à moitié : j'ai monté une petite forteresse pour empêcher mes données de fuir, et le pays, lui, a réglé le problème autrement, en rendant toute connexion vers l'extérieur à peu près impossible. Entre moi et la déconnexion totale, il ne reste qu'un VPN suédois et ses déguisements.

---

Sources

• TSPU, loi sur l'internet souverain de 2019, blocage de protocoles et condamnations de fournisseurs d'accès : Zona Media, 7 avril 2026.
• 469 services VPN restreints en février 2026, contre 439 en janvier : Izvestia, 26 février 2026 et Human Rights Watch, 12 mars 2026.
• Blocage du protocole VLESS à partir de fin novembre 2025 : Mezha et VPN Guild.
• Blocage de vingt-quatre heures des cartes SIM étrangères depuis le 6 octobre 2025 : The Moscow Times, 8 octobre 2025 et The Record ; extension aux cartes russes de retour ou inactives : Novaya Gazeta Europe, 11 novembre 2025.
• Obfuscation Shadowsocks et QUIC, et état des serveurs en Russie : Mullvad, page d'aide sur les emplacements restrictifs, Mullvad, Shadowsocks pour WireGuard et Tom's Guide.
• Amendes pour publicité de services VPN et pour recherche de contenus « extrémistes », en vigueur au 1er septembre 2025 : Meduza, 31 juillet 2025 et Human Rights Watch, 24 juillet 2025.
• Coupures d'internet mobile, au moins 63 régions concernées et trois semaines à Moscou : Human Rights Watch, 31 mars 2026 et OSW, 17 mars 2026.
• Listes blanches de services accessibles pendant les coupures : The Record et Ukrainska Pravda, 19 mars 2026.
• 313 coupures d'internet dans 52 pays en 2025 : rapport annuel #KeepItOn, Access Now, mars 2026.
• Suspension des opérations de Visa et Mastercard en Russie, mars 2022 : The Moscow Times, 6 mars 2022 et communiqué de Visa.
• Blocage de WhatsApp le 12 février 2026 et préinstallation de la messagerie d'État Max : CNBC, 12 février 2026 et CNN, 12 février 2026.
• Restrictions annoncées sur Telegram le 10 février 2026 : Euronews et The Moscow Times.
• Fouilles d'appareils électroniques par les douanes américaines, exercice 2025 : U.S. Customs and Border Protection et Statista.