Depuis mi-février, l'application Facebook fait une promotion très visible d'un VPN, Onavo Protect. Acheté par le réseau social il y a quelques années, cette app permet de surfer gratuitement en tout anonymat… ou presque : les données recueillies par le VPN sont en effet partagées avec Facebook afin d'en « améliorer les produits et services » (lire : Onavo, le VPN espion que Facebook promeut lourdement).

Will Strafach s'est mis en tête de fouiller un peu dans l'application pour connaître la nature des informations de l'utilisateur qui transitent vers les serveurs de Facebook, et à quel moment ces données sont envoyées.

Onavo transfère des informations quand l'écran de l'appareil est allumé ou éteint : durant la connexion initiale avec le VPN, l'app envoie le nom de l'opérateur, le code réseau, le code du pays, la langue, le numéro de version d'iOS et celui de l'application. Onavo partage aussi la consommation quotidienne de données en Wi-Fi et en cellulaire même lorsque la fonction de VPN est désactivée ; l'app envoie également une balise périodique pour indiquer la durée de connexion avec le VPN.

Toutes les données transmises par Onavo à Facebook sont chiffrées. Évidemment, on peut ne pas apprécier que l'application fasse ses petites affaires y compris quand le VPN est désactivé ou avec l'écran éteint. Facebook confirme à 9to5Mac que ces informations aident à l'amélioration de ses produits et services, et rappelle qu'il procède à un examen régulier de ses applications en fonction des retours des utilisateurs.