PiVPN en 2026 : auto-héberger WireGuard ou OpenVPN en une commande

Auto-héberger un VPN signifiait autrefois éditer des fichiers de config à la main en espérant ne pas se tromper de clés, de routage ou de pare-feu. PiVPN supprime presque tout cela : c'est un installateur en une commande qui met en place WireGuard ou OpenVPN sur un Raspberry Pi ou n'importe quel VPS Debian/Ubuntu, puis gère vos appareils clients en quelques commandes simples. Ce guide couvre son fonctionnement, l'installation, les limites honnêtes, et sa place face aux VPN mesh.

Raspberry Pi à la maison ou VPS ? À la maison, PiVPN exige un routeur sur lequel rediriger un port UDP, ce qu'un CGNAT empêche. Sur un VPS la question disparaît : un Contabo Cloud VPS 4 (lien affilié) fournit une IPv4 publique fixe pour 5,50 € par mois sur 24 mois, et l'installation ci-dessous est identique. Si vous préférez un hébergeur américain avec 30 jours satisfait ou remboursé, le VPS Basic d'Ultahost coûte 5,52 $ par mois sur 24 mois (1 Go de RAM, IPv4 dédiée, relevé le 21 octobre 2026), assez pour un serveur WireGuard de quelques appareils. Autre option : HostPapa Unmanaged VPS Lite (lien affilié) à 2,95 $ par mois sur un engagement de 3 ans, puis au tarif normal (1 cœur, 1 Go de RAM, 25 Go NVMe, accès root SSH, satisfait ou remboursé 30 jours, relevé le 28 octobre 2026).

Qu'est-ce que PiVPN, et qu'est-ce qu'il n'est pas ?

PiVPN est un wrapper/installateur, pas un nouveau protocole. Il configure pour vous le vrai logiciel VPN, bien audité :

• Choisissez WireGuard (recommandé en 2026) ou OpenVPN à l'installation.
• Il gère les clés, la config serveur, le routage et les règles de pare-feu avec des réglages sains.
• Gérez les clients avec pivpn add, pivpn -qr (QR code pour téléphones) et pivpn -l pour lister les profils.

Il vous donne un serveur VPN unique classique : chaque appareil se connecte à cette seule machine. Cette simplicité fait sa force. Si vous préférez écrire le wg0.conf vous-même plutôt que de vous reposer sur les valeurs par défaut de l'installateur, nos templates de configuration WireGuard prêts à l'emploi couvrent le même setup à serveur unique, plus des variantes split-tunnel, kill-switch et multi-peer à copier-coller et adapter.

Faut-il faire tourner PiVPN sur un Raspberry Pi ou sur un VPS ?

La réponse courte : un Pi si vous voulez revenir dans votre réseau domestique, un VPS si vous voulez un point de sortie rapide. Ils résolvent des problèmes différents, et faire tourner les deux est courant.

• Raspberry Pi à la maison → un tunnel vers votre réseau domestique ; dépend de votre débit montant et d'une IP publique stable / d'un DNS dynamique. Voyez notre guide d'auto-hébergement sur Raspberry Pi 5.
• VPS cloud → un point de sortie privé rapide et toujours actif, avec une IP publique fixe, pour quelques euros par mois : idéal pour l'accès distant en voyage. Un Contabo Cloud VPS 4 à 5,50 €/mois gère confortablement le trafic d'un VPN personnel.

Comment installer PiVPN en une commande ?

Sur un hôte Debian/Ubuntu neuf :

# relisez le script avant de l'exécuter (ouvrez d'abord l'URL dans un navigateur)
curl -L https://install.pivpn.io | bash

L'installateur guidé demande le protocole (choisissez WireGuard), l'interface réseau, une IP statique, le fournisseur DNS et le point d'accès public (IP ou domaine). À la fin, ajoutez votre premier client :

pivpn add            # créer un profil client
pivpn -qr            # afficher un QR code à importer sur un téléphone

Ouvrez et lisez toujours un script d'installation avant de le passer à bash. Pour le durcissement de base du VPS, qui s'applique ici aussi, voyez le guide d'installation VPS Contabo, et pour le choix du protocole, WireGuard vs OpenVPN.

PiVPN est-il gratuit ?

Oui, entièrement. PiVPN est un logiciel open-source installé sur une machine que vous contrôlez déjà, sans compte, sans palier de licence et sans facturation par appareil. La seule chose que vous payez, c'est la machine sur laquelle il tourne : rien du tout si vous réutilisez un Raspberry Pi que vous possédez déjà, ou le coût mensuel d'un petit VPS si vous voulez une IP publique fixe et un point de sortie toujours actif.

C'est tout le modèle de coût, et c'est ce qui sépare un tunnel auto-hébergé d'un abonnement VPN commercial : vous achetez du matériel ou de l'hébergement, pas un service. Ce que cela ne vous apporte pas, c'est l'anonymat de l'IP partagée d'un fournisseur commercial : votre tunnel sort par une adresse qui n'appartient qu'à vous.

Comment ajouter et supprimer des clients PiVPN ?

Au-delà de trois ou quatre clients, les pannes cessent d'être évidentes. Deux appareils qui ont reçu la même adresse fonctionnent chacun seuls, et le second à se connecter évince le premier, ce qui ressemble à une panne intermittente du serveur alors que ce n'en est pas une. Nous avons écrit wg-clients-audit pour lire un dossier de fichiers .conf générés et signaler précisément cela : adresses en double, clé privée réutilisée sur deux appareils, et plages AllowedIPs assez larges pour avaler le LAN du client lui-même.

pivpn add couvre le premier profil ; le reste de l'usage quotidien tient en trois commandes de plus :

pivpn list           # tous les profils, et lesquels sont actifs
pivpn -qr <name>     # réafficher le QR code d'un profil
pivpn revoke <name>  # désactiver un appareil perdu ou retiré

La révocation compte plus qu'on ne le pense. Un pair WireGuard reste valide jusqu'à ce que vous le supprimiez : un téléphone perdu ou un portable qui a quitté l'entreprise garde une clé fonctionnelle jusqu'à ce que quelqu'un lance cette commande. Les profils générés se trouvent dans le répertoire personnel de l'utilisateur d'installation ; traitez ces fichiers comme des mots de passe, car c'est ce qu'ils sont.

Pourquoi mon PiVPN se connecte-t-il sans faire passer de trafic ?

Presque tous les cas « l'installation s'est bien passée mais je ne peux pas me connecter de l'extérieur » se ramènent à l'une de deux causes, et aucune n'est la faute de PiVPN. Si la seconde vous concerne, la solution n'est pas un réglage : c'est un autre outil, et c'est tout l'objet du comparatif PiVPN vs Tailscale.

Le port n'est pas joignable. WireGuard écoute en UDP, et une box domestique ne le redirigera pas sans que vous le lui demandiez. Il vous faut une règle de redirection de port qui envoie ce port UDP vers l'adresse locale du Pi, et le Pi a besoin d'une IP locale fixe pour que la règle continue de pointer vers lui. Si votre FAI vous place derrière un CGNAT, aucune règle n'aidera : ce cas est traité dans notre guide WireGuard derrière un CGNAT. Avant de distribuer des profils, notre vérificateur de port WireGuard gratuit vous dit si une redirection peut fonctionner sur votre ligne (il compare l'adresse WAN de votre box à votre IP publique pour repérer le CGNAT et le double NAT) et écrit la règle de pare-feu pour le Pi.

L'adresse publique a changé. La plupart des connexions résidentielles ont une IP dynamique : le point d'accès inscrit dans un profil client cesse de correspondre après le prochain renouvellement. Un nom d'hôte DNS dynamique à la place d'une IP brute règle le problème définitivement, et cela vaut la peine de le mettre en place avant de distribuer les profils plutôt qu'après.

Si le tunnel monte mais qu'aucun trafic ne passe, la cause est généralement ailleurs : notre guide de dépannage du handshake passe en revue les huit causes par ordre de probabilité.

Quelles sont les limites de PiVPN ?

• Serveur unique, pas un mesh. Chaque client passe par cette seule machine. Parfait pour un point de sortie personnel ; pas conçu pour relier de nombreux appareils et sites.
• La maintenance est à vous. Mises à jour, rotation des clés, pare-feu et disponibilité vous incombent : gardez les mises à jour de sécurité automatiques activées.
• Les limites de l'hébergement à la maison. Sur un Raspberry Pi, votre débit montant plafonne le débit, et il vous faut une IP publique stable ou un DNS dynamique.
• C'est un wrapper. La sécurité vient de WireGuard/OpenVPN et de l'hygiène de votre hôte, pas de PiVPN lui-même.

PiVPN vs Tailscale : lequel choisir ?

Si vous avez besoin d'un mesh plutôt que d'un serveur unique, voyez notre guide NetBird auto-hébergé et le panorama meilleur VPN auto-hébergé 2026.

Votre VPN masque votre IP. Il ne masque pas votre navigateur.

Un tunnel WireGuard correctement configuré remplace l'adresse que voit un site. Il ne change rien à ce que votre navigateur annonce de lui-même : polices, écran, fuseau horaire, pile graphique. Cette combinaison est souvent assez unique pour vous suivre d'une session à l'autre, tunnel ou pas.

Mesurez l'empreinte de votre navigateur : mesure passive, aucune question, aucun compte, aucune adresse e-mail. Elle vous indique combien de navigateurs sur N ressemblent au vôtre, et quel attribut vous distingue.

En résumé

PiVPN est la façon la plus rapide et la plus simple de monter votre propre serveur WireGuard ou OpenVPN en 2026 : sur un Raspberry Pi pour l'accès à la maison, ou sur un VPS bon marché pour un point de sortie privé toujours actif. Choisissez-le quand vous voulez un serveur personnel propre ; tournez-vous vers un VPN mesh quand vous devez relier de nombreux nœuds. Dans tous les cas, le serveur et les clés vous appartiennent.

Une fois le serveur en place, le travail quotidien consiste à ajouter et révoquer des pairs : voyez gérer les clients PiVPN pour pivpn add, pivpn -qr, la révocation et ce qui casse vraiment quand on s'y prend mal.

Monter un VPS Contabo pour PiVPN →

Guide éditorial fondé sur le comportement documenté de l'installateur PiVPN et sur les propriétés documentées de WireGuard et OpenVPN. La sécurité dépend des protocoles sous-jacents et de l'hygiène de votre hôte, ce que nous indiquons clairement. Les liens commerciaux portent l'attribut rel="sponsored nofollow" ; une commission d'affiliation peut s'appliquer sans surcoût pour vous.