Censure internet : les solutions techniques pour rester connecté

Le cas d'école : le Gabon, février 2026

Le 17 février 2026, la Haute Autorité de la Communication (HAC) gabonaise ordonne la suspension de Facebook, TikTok, YouTube, WhatsApp et Instagram sur tout le territoire, officiellement pour lutter contre les contenus « haineux et diffamatoires », dans un contexte de contestation sociale et à deux mois d'une présidentielle.

La demande de VPN explose de 25 000 % en 24 heures selon NetBlocks — 180 000 téléchargements la première semaine contre 45 000 avant. Proton VPN enregistre +60 000 % d'inscriptions gabonaises. La HAC annonce vouloir bloquer les VPN aussi, mais trois semaines plus tard, aucun blocage VPN n'est effectif.

Le Gabon n'est pas un cas isolé : la RDC envisage des mesures similaires, la Russie, la Chine et l'Iran bloquent déjà. Comprendre comment fonctionne la censure internet et comment la contourner est une compétence technique de base.

Comment un État bloque internet

Niveau 1 — blocage DNS. Le gouvernement ordonne aux FAI de modifier leurs serveurs DNS pour que les requêtes vers facebook.com retournent une erreur NXDOMAIN au lieu de l'adresse IP réelle. C'est exactement ce que le Gabon a fait : l'analyse de l'OONI confirme un DNS tampering pur, sans blocage IP ni DPI. Trivial à contourner — mais ça suffit pour bloquer 90 % de la population.

Niveau 2 — blocage IP. Le FAI bloque directement les adresses IP des serveurs visés. Plus efficace, mais difficile à maintenir : les grosses plateformes ont des milliers d'IP et en ajoutent régulièrement.

Niveau 3 — inspection profonde (DPI). Le Deep Packet Inspection analyse le contenu des paquets en temps réel et identifie le type de trafic (VPN, Tor) pour le bloquer, même si le DNS et l'IP sont contournés. C'est le Great Firewall chinois : coûteux, techniquement complexe, et ça ralentit tout le réseau.

Niveau 4 — coupure totale. Le kill switch : on coupe la fibre, on éteint les antennes. Aucune solution technique ne contourne une coupure physique.

Solution 1 : changer de DNS

Difficulté : triviale — 2 minutes, aucune installation

Si le blocage est DNS, il suffit de ne plus utiliser le résolveur de son FAI :

Android : Paramètres → Réseau → DNS privé → one.one.one.one (Cloudflare) ou dns.google. C'est du DNS-over-TLS, le FAI ne voit même pas les requêtes.

iPhone : Paramètres → Wi-Fi → réseau → Configurer le DNS → Manuel → 1.1.1.1 et 1.0.0.1. Pour le cellulaire, l'app 1.1.1.1 applique le DNS chiffré au système entier.

Ordinateur :

# Linux - modifier temporairement
echo "nameserver 1.1.1.1" | sudo tee /etc/resolv.conf

# Linux - permanent avec systemd-resolved
sudo mkdir -p /etc/systemd/resolved.conf.d
cat << EOF | sudo tee /etc/systemd/resolved.conf.d/dns.conf
[Resolve]
DNS=1.1.1.1 1.0.0.1
DNSOverTLS=yes
EOF
sudo systemctl restart systemd-resolved

Sur Windows : Paramètres → Réseau → Propriétés de la carte → DNS → 1.1.1.1.

Limites : ça ne marche que contre le blocage DNS. Et certains FAI interceptent les requêtes DNS même vers des serveurs tiers (DNS hijacking) — il faut alors du DNS chiffré.

Solution 2 : DNS-over-HTTPS (DoH)

Difficulté : facile — 5 minutes

Le DoH encapsule les requêtes DNS dans du trafic HTTPS classique. Pour le FAI, ça ressemble à une connexion web normale vers cloudflare-dns.com, impossible à distinguer ou intercepter sans bloquer HTTPS entièrement.

Dans le navigateur, nativement :

• Firefox : Paramètres → Vie privée → DNS-over-HTTPS → Protection maximale → Cloudflare
• Chrome : Paramètres → Sécurité → Utiliser un DNS sécurisé → Cloudflare (1.1.1.1)

Pour couvrir tout le système, dnscrypt-proxy :

# Debian/Ubuntu
sudo apt install dnscrypt-proxy
# Config dans /etc/dnscrypt-proxy/dnscrypt-proxy.toml (serveurs par défaut déjà en DoH)
sudo systemctl enable --now dnscrypt-proxy

Puis pointer le DNS système vers 127.0.0.1.

Limites : efficace contre le blocage DNS et le DNS hijacking, inutile si les IP des plateformes sont bloquées directement.

Solution 3 : VPN commercial

Difficulté : facile — 5 minutes, une app à installer

Le VPN chiffre tout le trafic et le fait sortir dans un autre pays. Le FAI ne voit qu'une connexion chiffrée vers le serveur VPN. Les critères qui comptent face à la censure : protocoles obfusqués (WireGuard brut est identifiable par DPI), politique no-log vérifiée par audit indépendant, juridiction hors 14 Eyes.

Proton VPN a un plan gratuit limité mais fonctionnel.

Limites : coût (~5-10 €/mois pour les bons, les gratuits sont limités ou douteux) ; les IP des serveurs commerciaux sont connues et listées, donc blocables ; et on déplace sa confiance du FAI vers le fournisseur VPN.

Solution 4 : Tor

Difficulté : facile à installer, lent à utiliser

Tor fait transiter le trafic par trois relais successifs, chacun ne connaissant qu'une partie du chemin. Personne — ni le FAI, ni les relais, ni le site de destination — ne peut reconstituer la chaîne complète.

# Navigateur Tor : télécharger depuis torproject.org
# Ou en ligne de commande sur Debian
sudo apt install tor torbrowser-launcher
torbrowser-launcher

Sur Android : Tor Browser depuis le Play Store ou F-Droid.

Si le gouvernement bloque les relais Tor connus, il existe des bridges — des relais non listés publiquement. Les bridges obfs4 camouflent le trafic Tor pour qu'il ressemble à du bruit aléatoire : Paramètres → Connexion → Bridges → Utiliser un bridge intégré → obfs4.

Limites : lent (trois sauts de chiffrement, inutilisable pour du streaming ou des appels vidéo), limité au navigateur, et beaucoup de services bloquent les IP de sortie Tor.

Solution 5 : SSH tunnel (SOCKS proxy)

Difficulté : intermédiaire — nécessite un serveur à l'étranger

ssh -D 1080 -N -f user@mon-serveur.com

Ça crée un proxy SOCKS5 local sur le port 1080 ; il suffit de configurer le navigateur pour utiliser localhost:1080. Tout le trafic passe alors par le serveur, chiffré dans du SSH.

Limites : ne couvre que les apps configurées pour utiliser le proxy, et SSH est identifiable par DPI (port 22, handshake caractéristique).

Solution 6 : VLESS+Reality (Xray)

Difficulté : intermédiaire — nécessite un serveur à l'étranger

C'est la solution la plus efficace contre le DPI avancé en 2026. Xray avec le protocole VLESS+Reality ne se contente pas de chiffrer le trafic : il le fait ressembler à une connexion HTTPS légitime vers un vrai site web (par exemple www.microsoft.com).

Contrairement à un VPN classique qui crée un tunnel identifiable, VLESS+Reality effectue un vrai handshake TLS 1.3 avec le site cible. Pour un observateur, le trafic est indistinguable d'une visite normale sur microsoft.com. Le Great Firewall chinois et le TSPU russe ne peuvent pas le bloquer sans bloquer microsoft.com.

Le principe : Xray tourne sur un VPS à l'étranger, écoute sur le port 443 et se fait passer pour www.microsoft.com. Un client sur l'appareil s'y connecte ; le DPI voit une connexion HTTPS normale et laisse passer, alors que le trafic est tunnelisé à travers.

Limites : nécessite un VPS et des compétences techniques ; c'est un proxy, pas un VPN mesh ; et si le gouvernement bloque l'IP du VPS spécifiquement, il faut en changer.

Quelle solution pour quel blocage ?

*Avec protocoles obfusqués (Stealth, bridges obfs4) — efficacité variable

Appliqué au cas gabonais

Le blocage étant du DNS tampering confirmé par OONI, changer de DNS suffit pour tout débloquer. Pas besoin de VPN ni de Tor. La progression logique :

1. Immédiat : changer le DNS privé du téléphone Android vers one.one.one.one. Trente secondes.
2. Si ça ne suffit pas (DNS hijacking par le FAI) : Proton VPN ou Cloudflare WARP, tous deux gratuits.
3. Si les VPN sont bloqués : protocole Stealth dans Proton VPN, ou Tor avec bridges obfs4.

Trois semaines après la suspension, on en est toujours à l'étape 1. La HAC a annoncé vouloir bloquer les VPN, mais la réalité économique est dissuasive : un blocage VPN par DPI coûte entre 3 et 10 millions de dollars en mise en place, plus 1 à 3 millions par an de fonctionnement — et casserait l'économie numérique, entreprises, banques et ONG utilisant toutes des VPN.

Et après ?

Ces solutions dépendent toutes d'un tiers : Cloudflare pour le DNS, Proton pour le VPN, le réseau Tor pour les bridges.

Dans la deuxième partie, on verra comment reprendre le contrôle total : monter son propre serveur VPN avec Headscale et un proxy VLESS+Reality (Xray) sur un VPS en Suisse, les deux cohabitant sur le port 443 grâce à un routage SNI nginx — Headscale pour le VPN quotidien, Xray pour contourner le DPI en voyage.

Les techniques présentées ici visent à préserver l'accès à l'information, un droit fondamental reconnu par l'Article 19 de la Déclaration universelle des droits de l'homme. Utilisez-les de manière responsable et en connaissance des lois locales.