AdGuard balance TrustTunnel, son protocole VPN open source qui se déguise en trafic HTTP

AdGuard VPN vient de tenir sa promesse : le protocole VPN maison qui propulse son service depuis plusieurs années est désormais en open source sous le nom de TrustTunnel. Publié le 21 janvier 2026 sous licence Apache 2.0, ce protocole d’obfuscation permet de faire passer le trafic VPN pour du HTTPS classique, histoire de contourner la censure et les blocages de VPN dans les pays restrictifs.

Le code complet (client et serveur) est sur GitHub, libre d’audit, de fork et d’intégration dans vos propres projets. De quoi embarrasser les gouvernements qui fliquent les connexions VPN à coup d’inspection profonde de paquets.

Un VPN qui se fait passer pour du web classique

OpenVPN, WireGuard, IPSec : tous ces protocoles ont un problème commun. Ils sont facilement identifiables par les techniques de Deep Packet Inspection (DPI) utilisées par les gouvernements autoritaires et les admins réseau zélés. Résultat : blocage ou throttling. TrustTunnel règle le problème en mimant à la perfection le trafic web HTTPS standard.

La technique ? Chiffrement TLS sur transport HTTP/2 ou HTTP/3, exactement comme les sites web classiques. Chaque connexion s’exécute sur son propre flux dédié, avec combinaison des paquets pour booster la vitesse tout en esquivant les problèmes de latence des méthodes d’obfuscation traditionnelles.

Le protocole peut mieux se fondre dans l’activité Internet quotidienne, devenant plus difficile à repérer au niveau du réseau. Crucial dans les pays où les connexions VPN sont systématiquement ralenties ou coupées. La semaine dernière encore, Windscribe signalait une chute de 90 % de son trafic russe suite aux nouvelles vagues de blocage.

Open source pour de vrai : client, serveur, tout est là

Andrey Meshkov, CTO et cofondateur d’AdGuard, est cash sur les intentions : « Rendre ce protocole open source n’a pas pour but principal de signaler notre ouverture ou de permettre des audits. Si tel était l’objectif, une spécification écrite ou une implémentation de référence minimale aurait suffi. »

« Au contraire, nous avons intentionnellement publié des implémentations complètes côté client et serveur, car notre ambition est plus grande : nous voulons que cela devienne un projet indépendant et neutre vis-à-vis des fournisseurs, plutôt que quelque chose de spécifiquement lié à AdGuard », poursuit-il.

Concrètement, AdGuard met à disposition des clients CLI pour Linux, Windows et macOS, plus des apps graphiques pour iOS et Android. La spécification complète du protocole et l’implémentation serveur sont sur GitHub. Vous pouvez monter votre propre serveur TrustTunnel sans payer un abonnement AdGuard VPN, et l’entreprise encourage activement les autres fournisseurs à adopter la techno.

Au programme : tunneling TCP, UDP et ICMP, split tunneling, config DNS custom en amont, logs de requêtes en temps réel, tunneling système via interface TUN ou mode proxy SOCKS5, sur le repo GitHub.

Petite limite à noter : les clients mobiles basés sur Flutter ne supportent pas encore les certificats auto-signés (il vous faudra des certificats publiquement validés si vous auto-hébergez). Et AdGuard VPN n’a pas encore fait l’objet d’audits indépendants tiers sur ses protocoles ou sa politique de non-conservation des logs. La roadmap prévoit du P2P entre clients dans les versions futures.

Pour rappel, AdGuard ne se limite pas qu’au VPN : l’entreprise propose aussi des solutions de blocage pub et de filtrage DNS qui diffèrent sensiblement des extensions comme uBlock Origin.