Qu'est-ce que le PPTP ?
Le PPTP, pour Point-to-Point Tunneling Protocol, est l'un des plus anciens protocoles VPN. Un client VPN PPTP est toujours intégré à Windows : une connexion PPTP n'y demande donc aucune application supplémentaire. Le PPTP est rapide, mais sa sécurité est faible. Les 7 protocoles de SHP.network n'incluent pas le PPTP. Si vous voulez un protocole VPN moderne sur votre propre serveur, SHP.network installe pour vous WireGuard, IKEv2 ou OpenVPN dans les 10 minutes qui suivent le paiement.
- Déclaré obsolète par Microsoft pour les futures versions de Windows Server
- Passe par le port TCP 1723, les données étant transportées dans GRE
- Un code d'attaque publié récupère les identifiants de connexion MS-CHAP v2
Les bases du protocole VPN PPTP
Le protocole PPTP a été l'une des premières technologies VPN largement utilisées. Des ingénieurs de Microsoft ont rédigé sa spécification, la RFC 2637, avec des collègues d'Ascend, 3Com, Copper Mountain Networks et ECI Telematics ; elle a été publiée en juillet 1999. Cette RFC est informative : elle documente le protocole, mais n'en fait pas une norme Internet. Dans l'architecture décrite par la RFC, un concentrateur d'accès relié à des lignes téléphoniques RTC ou RNIS achemine votre session PPP (Point-to-Point Protocol) via IP jusqu'à un serveur situé dans le réseau cible. Apple a supprimé le PPTP dans iOS 10 et macOS Sierra, et à partir d'Android 12, le client intégré ne le propose plus.
Comment fonctionne le PPTP
Un tunnel PPTP se compose de quatre éléments :
- Votre appareil ouvre une connexion de contrôle en TCP vers le port 1723 du serveur, et ce canal établit, maintient et ferme le tunnel.
- Les données circulent séparément, sous forme de trames PPP dans une version étendue de GRE (Generic Routing Encapsulation, protocole IP 47).
- PPP assure votre authentification, le plus souvent avec MS-CHAP v2.
- Le chiffrement provient lui aussi de PPP, via MPPE (Microsoft Point-to-Point Encryption), qui utilise l'algorithme RC4 avec des clés de 40, 56 ou 128 bits.
Sécurité du PPTP : pourquoi il est jugé peu sûr
La sécurité du PPTP présente des vulnérabilités connues, assez graves pour exclure ce protocole de tout usage privé.
Le PPTP est-il sûr ?
Non, pas pour des données privées. Microsoft ne recommande pas le PPTP, car le protocole manque de fonctions de sécurité, et Apple le déconseille également. Le principal argument en faveur du PPTP est la vitesse, et elle ne compense pas le risque. Deux points faibles ressortent : l'authentification et le chiffrement. MS-CHAP v2, la méthode couramment utilisée avec le PPTP, présente des faiblesses cryptographiques connues : en 2012, Microsoft a averti qu'un code d'attaque publié permettait de récupérer les identifiants des utilisateurs à partir d'un échange d'authentification intercepté, capturé sur un Wi-Fi ouvert ou par une attaque de l'homme du milieu. L'avis de sécurité recommandait d'encapsuler l'authentification dans PEAP ou de passer à L2TP, IKEv2 ou SSTP. Avec MS-CHAP v2, MPPE dérive les clés de session initiales de votre mot de passe et utilise RC4, un algorithme interdit dans TLS depuis 2015 en raison de ses faiblesses. Le protocole a aussi ses propres lacunes. Sa spécification reconnaît que les messages de contrôle ne sont ni authentifiés ni protégés en intégrité. Les paquets GRE qui forment le tunnel n'ont pas non plus de protection cryptographique.
Le PPTP face aux autres protocoles VPN
Face à L2TP ou à OpenVPN, le PPTP l'emporte en vitesse mais perd en sécurité. L2TP/IPsec, IKEv2, WireGuard et OpenVPN sont chacun plus sûrs, même si aucun des cinq ne résiste bien au DPI.
| PPTP | L2TP/IPsec | IKEv2 | WireGuard | OpenVPN | |
|---|---|---|---|---|---|
| Vitesse | élevée | moyenne : la double encapsulation alourdit le trafic | élevée | élevée | moyenne |
| Sécurité | faible : les identifiants MS-CHAP v2 peuvent être récupérés | déconseillé par Microsoft | norme de l'IETF, examinée par des pairs depuis des années | protocole vérifié formellement | audité à plusieurs reprises, dernièrement par SRLabs en 2026 |
| Résistance au DPI | faible : TCP 1723 et GRE | faible : ports fixes UDP 500, 4500 et 1701 | faible : ports UDP fixes 500 et 4500 | faible : pas conçu pour contourner les blocages | faible : pas conçu pour contourner les blocages |
| Intégré à l'OS | Windows | Windows, macOS, iOS | Windows, macOS, iOS | via l'application WireGuard | via l'application OpenVPN Connect |
Quand le PPTP est-il encore utilisé ?
Le PPTP subsiste dans des installations anciennes qui ne sont pas encore passées à un protocole plus récent :
- Des serveurs d'entreprise mis à niveau sur place vers Windows Server 2025, où les configurations PPTP existantes continuent de fonctionner et où les clients Windows se connectent comme avant.
- Certains routeurs qui proposent encore un serveur VPN PPTP, dont les routeurs de voyage de TP-Link.
- Des clients Linux comme pptpclient, dont le site lui-même qualifie le PPTP de dangereusement peu sûr, et NetworkManager-pptp.
Les nouvelles installations de Windows Server 2025 refusent par défaut les connexions PPTP, et Microsoft a déclaré le protocole obsolète pour les futures versions. Un nouveau réseau ne devrait pas démarrer avec le PPTP.
Alternatives modernes au PPTP
Ces alternatives font partie des protocoles VPN que SHP.network installe sur votre propre serveur, prêt dans les 10 minutes qui suivent le paiement.
Vitesse élevée
WireGuard est rapide, au niveau du PPTP. Votre trafic passe par le port UDP 51820, chiffré avec ChaCha20-Poly1305. Une preuve réalisée avec Tamarin vérifie formellement le protocole. Chaque appareil possède sa propre paire de clés, comme avec SSH.
Intégré, comme le PPTP
IKEv2 fonctionne avec les clients VPN intégrés à Windows, macOS et iOS : aucun de ces systèmes n'a donc besoin d'une application supplémentaire. Le protocole est rapide. Sur Android, IKEv2 se connecte via l'application strongSwan.
Fonctionne presque partout
OpenVPN fonctionne sous Windows, macOS, iOS, Android et Linux, et de nombreux routeurs (dont des modèles ASUS, MikroTik, GL.iNet et Keenetic) le prennent en charge dans leur firmware d'origine. Son code a été audité à plusieurs reprises, dernièrement par SRLabs en 2026.
Questions fréquentes
Point-to-Point Tunneling Protocol. Un protocole VPN spécifié en 1999, qui transporte votre trafic PPP dans des paquets GRE.
Le port TCP 1723 gère la connexion de contrôle, tandis que les données circulent dans GRE (protocole IP 47). Ouvrir seulement le port PPTP ne suffit pas : un pare-feu doit aussi laisser passer GRE, car ce protocole n'a pas de port propre.
Oui, à condition que le serveur VPN PPTP de votre employeur accepte encore les connexions : Windows intègre le client. Microsoft déconseille le PPTP et recommande IKEv2 ou SSTP. Les nouvelles installations de Windows Server 2025 refusent le PPTP par défaut, alors parlez à votre service informatique d'un changement de protocole.
Plus rapide que L2TP/IPsec et OpenVPN, et au niveau d'IKEv2 et de WireGuard. WireGuard vous offre cette vitesse avec une cryptographie moderne et un protocole vérifié formellement.
WireGuard pour la vitesse, IKEv2 avec les clients VPN intégrés à Windows, macOS et iOS, ou OpenVPN, qui fonctionne aussi sur de nombreux routeurs. SHP.network installe n'importe lequel de ces protocoles sur votre propre serveur dans les 10 minutes qui suivent le paiement.