Comment fonctionne HopFox VPN

Cette page ne décrit que ce qui fonctionne aujourd'hui. Quand quelque chose change, le changement apparaît ici et dans les actualités.

Le protocole : VLESS Reality

HopFox VPN se connecte en VLESS sur le port TCP 443, enveloppé dans Reality, avec le moteur open source Xray-core (version 26.3.27 sur les serveurs comme dans chaque application).

Le port 443 est celui du HTTPS, et Reality donne à la connexion exactement l'apparence d'une session TLS 1.3 avec un site public connu : la poignée de main est réelle, le certificat appartient à ce site, et rien dans les premiers paquets ne dit « VPN ». Les équipements de filtrage qui reconnaissent et ralentissent les protocoles VPN classiques voient du trafic web ordinaire. Seul un client qui connaît la clé du serveur obtient un tunnel ; quiconque d'autre se connecte à la même adresse est redirigé de façon transparente vers le vrai site et voit une page normale.

Pourquoi nous l'avons choisi :

• Indiscernable du HTTPS. Il n'y a pas de poignée de main particulière à identifier ni de port propre au VPN. C'est la propriété qui compte le plus pour nous, car elle décide si l'application fonctionne sur le réseau où vous vous trouvez.
• Aucun certificat à approuver. Reality emprunte l'identité TLS d'un vrai site, il n'y a donc rien à installer ni à approuver sur le téléphone, et rien qui puisse être révoqué.
• Rapide. Avec XTLS Vision, les données déjà chiffrées en TLS ne sont pas chiffrées une seconde fois, le tunnel ajoute donc très peu de surcoût. La latence est celle d'une connexion directe au serveur.
• Open source et relu par beaucoup. Xray-core est développé au grand jour ; nous utilisons la dernière version et ne modifions pas le protocole.

Automatic est le choix par défaut : l'application choisit elle-même entre les deux pour chaque réseau. Reality est celui qu'il faut quand le réseau est hostile. Depuis la version 0.5.0, il existe un second choix, décrit ci-dessous.

Le second protocole : AmneziaWG

AmneziaWG, c'est WireGuard avec obfuscation : le même tunnel UDP rapide, mais la poignée de main est rembourrée et précédée de paquets de bourrage, si bien que les équipements de filtrage n'y reconnaissent pas WireGuard. Il tourne sur le port UDP 443 de chaque serveur, à côté de Reality, avec le moteur open source amneziawg-go côté serveurs comme dans les applications.

Quand le choisir : sur un bon réseau, il est généralement plus rapide et offre une latence plus faible qu'un tunnel TCP, et la connexion survit au passage du téléphone entre Wi-Fi et données mobiles. Quand rester sur Reality : quand l'UDP est bloqué ou bridé, ce qui est courant sur les réseaux d'entreprise et certains réseaux mobiles ; Reality fonctionne en TCP et passe pour du HTTPS. Le choix se fait dans chaque application, Settings, Protocol. Automatic, le choix par défaut, se connecte toujours d'abord en Reality : sur un réseau filtré, rien n'est envoyé en UDP. Si Reality ne passe pas sur un réseau, l'application essaie une fois AmneziaWG et retient pendant une semaine le protocole qui fonctionne là.

Dans les applications

Sur Android, l'application enregistre une interface VPN système, donc chaque application du téléphone passe par le tunnel, DNS compris. Sur Windows et Linux, un petit service auxiliaire crée l'adaptateur du tunnel, et tout l'ordinateur passe par lui ; sur Mac, Reality fonctionne comme proxy système et AmneziaWG comme un vrai tunnel. Dans chaque application, une copie de Xray-core ou d'amneziawg-go ouvre la connexion. Les échanges de l'application avec le panneau et la vérification de votre IP visible passent en direct.

La latence est mesurée sur votre appareil, pas estimée de notre côté : l'application ouvre une connexion vers chaque serveur et la chronomètre. Le choix Automatic est simplement le serveur avec le chiffre le plus bas à cet instant. La liste ne se réordonne pas pendant que vous la regardez ; elle est actualisée une fois par heure et à votre demande.

Sur les serveurs

• Nos propres serveurs, Debian 13, maintenus à jour. Deux processus sur chacun : Xray-core sur le port TCP 443 et amneziawg-go sur le port UDP 443.
• La journalisation est limitée aux avertissements et va en mémoire, pas sur disque. Rien concernant les utilisateurs n'est écrit sur le stockage d'un serveur.
• Un petit agent sur chaque serveur dialogue avec notre panneau : quels comptes sont autorisés, combien sont en ligne, combien de trafic est passé. C'est tout le modèle de données.
• Le panneau connaît votre numéro de compte, votre formule, le nombre d'appareils et l'heure des connexions. Il ne sait pas ce que vous faites dans le tunnel.

Des comptes sans identité

Au premier lancement, l'application génère une clé sur votre appareil et demande un numéro de compte au panneau. Ce numéro est le compte. Ni e-mail, ni numéro de téléphone, ni mot de passe : rien à faire fuiter, rien à réinitialiser. Si vous voulez le même compte sur un second appareil, vous y saisissez le numéro. Si vous supprimez le compte, le panneau ferme le numéro et chaque appareil qui y est lié perd l'accès immédiatement.

Ce qui n'existe pas encore

• Application pour iPhone : en développement.

Mis à jour le 26 octobre 2026.