Comment fonctionne HopFox VPN

Cette page ne décrit que ce qui fonctionne aujourd'hui. Quand quelque chose change, le changement apparaît ici et dans les actualités.

Le protocole : VLESS Reality

HopFox se connecte en VLESS sur le port TCP 443, enveloppé dans Reality, avec le moteur open source Xray-core (version 26.3.27 sur les serveurs comme dans l'application Android).

Le port 443 est celui du HTTPS, et Reality donne à la connexion exactement l'apparence d'une session TLS 1.3 avec un site public connu : la poignée de main est réelle, le certificat appartient à ce site, et rien dans les premiers paquets ne dit « VPN ». Les équipements de filtrage qui reconnaissent et ralentissent les protocoles VPN classiques voient du trafic web ordinaire. Seul un client qui connaît la clé du serveur obtient un tunnel ; quiconque d'autre se connecte à la même adresse est redirigé de façon transparente vers le vrai site et voit une page normale.

Pourquoi nous l'avons choisi :

• Indiscernable du HTTPS. Il n'y a pas de poignée de main particulière à identifier ni de port propre au VPN. C'est la propriété qui compte le plus pour nous, car elle décide si l'application fonctionne sur le réseau où vous vous trouvez.
• Aucun certificat à approuver. Reality emprunte l'identité TLS d'un vrai site, il n'y a donc rien à installer ni à approuver sur le téléphone, et rien qui puisse être révoqué.
• Rapide. Avec XTLS Vision, les données déjà chiffrées en TLS ne sont pas chiffrées une seconde fois, le tunnel ajoute donc très peu de surcoût. La latence est celle d'une connexion directe au serveur.
• Open source et relu par beaucoup. Xray-core est développé au grand jour ; nous utilisons la dernière version et ne modifions pas le protocole.

Un seul protocole suffit pour ce que nous faisons aujourd'hui. Si nous en ajoutons un autre, il sera décrit ici avec le même niveau de détail.

Sur le téléphone

L'application Android enregistre une interface VPN système, si bien que toutes les applications du téléphone passent par le tunnel, DNS compris. Dans l'application, une copie de Xray-core ouvre la connexion Reality, et une petite pile réseau transforme les paquets du téléphone en cette connexion. L'application elle-même est exclue du tunnel : ses propres échanges avec le serveur et la vérification de votre IP visible passent en direct.

La latence est mesurée sur votre téléphone, pas estimée de notre côté : l'application ouvre une connexion vers chaque serveur et la chronomètre. Le choix Automatic est simplement le serveur avec le chiffre le plus bas à cet instant. La liste ne se réordonne pas pendant que vous la regardez ; elle est actualisée une fois par heure et à votre demande.

Sur les serveurs

• Nos propres serveurs, Debian 13, maintenus à jour. Un seul processus sur chacun : Xray-core à l'écoute sur le port 443.
• La journalisation est limitée aux avertissements et va en mémoire, pas sur disque. Rien concernant les utilisateurs n'est écrit sur le stockage d'un serveur.
• Un petit agent sur chaque serveur dialogue avec notre panneau : quels comptes sont autorisés, combien sont en ligne, combien de trafic est passé. C'est tout le modèle de données.
• Le panneau connaît votre numéro de compte, votre formule, le nombre d'appareils et l'heure des connexions. Il ne sait pas ce que vous faites dans le tunnel.

Des comptes sans identité

Au premier lancement, l'application génère une clé sur votre téléphone et demande un numéro de compte au panneau. Ce numéro est le compte. Ni e-mail, ni numéro de téléphone, ni mot de passe : rien à faire fuiter, rien à réinitialiser. Si vous voulez le même compte sur un second appareil, vous y saisissez le numéro. Si vous supprimez le compte, le panneau ferme le numéro et chaque appareil qui y est lié perd l'accès immédiatement.

Ce qui n'existe pas encore

• Applications pour iPhone, Mac et Windows : en développement.
• Paiements dans l'application : pas encore ouverts. Chaque compte dispose de 30 jours gratuits, puis du mode gratuit.
• Un second protocole et le basculement automatique entre protocoles : prévus, pas encore construits.

Mis à jour le 27 septembre 2026.