La télévision de votre box ne passera jamais dans un tunnel VPN, et ce n'est pas une question de réglage : les chaînes en direct sont diffusées en multicast sur le réseau interne de l'opérateur, qu'un tunnel quitte par définition. Chez Bouygues, cette diffusion interne va jusqu'au décodeur, ce qui rend la rupture systématique. La bonne question n'est donc pas « comment faire passer la TV dans le VPN » mais « comment l'en sortir proprement ». Trois méthodes, selon que vous regardez sur un décodeur, dans une application ou derrière un routeur.
ProtonVPN — 8,8/10, 1er de notre classement
Le mieux noté de nos deux partenaires à notre barème. Juridiction Suisse, audit publié par Securitum / ROS.
2,99 €/mois avec l’offre « VPN Plus, engagement 2 ans », soit 71,76 € pour les 24 premiers mois. Au terme de l’engagement : 83,88 €/an.
Lien d’affiliation, ouvre ProtonVPN dans un nouvel onglet : le site perçoit une commission si vous souscrivez, sans surcoût pour vous. Le classement n’en dépend pas — le barème est public.
Comprendre ce paragraphe évite trois soirées de réglages inutiles.
Quand vous ouvrez une page web, votre appareil établit une connexion individuelle avec un serveur. C'est de l'unicast, et un VPN sait parfaitement le transporter : il suffit de faire passer cette connexion par un tunnel.
La télévision des box françaises ne fonctionne pas comme ça. Elle utilise le multicast : un serveur de l'opérateur émet chaque chaîne une seule fois, et le réseau de cet opérateur réplique le flux vers tous les décodeurs qui s'y sont abonnés. Votre décodeur ne « télécharge » pas TF1, il demande à rejoindre un groupe de diffusion, par un message IGMP transmis à votre box, qui relaie l'abonnement en amont.
Un article technique publié le 25 mai 2025 par un abonné Bouygues, qui décrit par le menu son installation IPTV, formule le point décisif en une phrase :
« Notez que tout reste en interne opérateur, son décodeur propriétaire, dans votre salon, est programmé pour se connecter à son serveur IPTV. »
— Fourchette Explosive, « IPTV, Wi-Fi et multicast », 25 mai 2025
Tout est là. Le flux ne transite pas par l'internet public : il naît sur le réseau de l'opérateur, il y circule, et il s'arrête à votre box. Un tunnel VPN, lui, sort de chez vous pour aboutir chez un fournisseur tiers, à Zurich ou à Amsterdam. Ces deux chemins ne se croisent pas. Il n'existe aucun réglage capable de faire entrer un flux multicast opérateur dans un tunnel VPN, pour la même raison qu'on ne fait pas entrer une émission de radio FM dans un câble Ethernet.
Le même article apporte une précision qui explique pourquoi le problème est plus dur chez certains opérateurs que chez d'autres :
« Chaque opérateur diffuse la télé à sa façon. Chez Bouygues, mon opérateur, c'est de bout en bout. Chez d'autres, ça s'arrête plus haut dans le backbone, la partie terminale étant en unicast ; et parfois, tout est en unicast. »
Autrement dit : plus la diffusion reste en multicast jusqu'à votre salon, plus la rupture est franche et définitive. C'est le cas chez Bouygues, où le multicast va « de bout en bout » : la rupture y est systématique dès qu'on route tout dans le tunnel. À l'inverse, un service de télévision entièrement diffusé en unicast — ce que l'on appelle l'OTT, comme le sont les applications de streaming — peut techniquement traverser un VPN. Il sera alors bloqué non par la technique, mais par les droits de diffusion, ce qui est un tout autre problème et se règle de la même façon : en excluant l'application du tunnel.
Chez Orange, le symptôme est net et le diagnostic rapide : le décodeur s'allume, obtient une adresse IP, apparaît dans la liste des appareils connectés — et affiche un code d'erreur, le plus souvent G03. Sur la communauté Orange, un contributeur de rang « star » résume la règle le 1er mars 2021, dans un fil consacré à un décodeur UHD placé dans un réseau UniFi : « Le décodeur TV ne peut pas fonctionner derrière un routeur. »
Côté fibre, Orange sépare les usages sur des VLAN distincts, documentés de longue date sur le forum lafibre.info : le VLAN 832 pour internet, le 838 pour la vidéo à la demande et le replay, le 840 pour le multicast TV. Le tutoriel de référence de janvier 2017 les décrit ainsi ; une mise à jour d'avril 2024 précise que le VLAN 838 « n'est plus utilisé depuis de nombreuses années », le décodeur ayant surtout besoin des DNS d'Orange et de l'option DHCP 125.
Ce qu'il faut faire : laisser le décodeur branché directement sur la Livebox, et ne faire passer par le routeur VPN que les autres appareils. Les alternatives — routeur basculé en mode switch, VLAN dédié entre un port de la Livebox et le décodeur, câble Ethernet dédié — sont détaillées dans notre guide du VPN sur Livebox.
Free est le seul des quatre opérateurs à avoir répondu publiquement sur le sujet, et sa réponse ferme le débat technique.
Interrogé sur l'incompatibilité entre Oqee et les VPN, Free indique sur son site d'assistance que la politique imposée par les ayants droit n'autorise pas l'accès avec un VPN — formulation relayée par Univers Freebox le 10 juillet 2024. L'opérateur précise par ailleurs avoir mené une opération de sécurisation de ses flux contre le piratage, opération qui a entraîné le blocage des connexions VPN.
Les conséquences pratiques : l'application Oqee sur le Player ne fonctionne que depuis votre ligne Freebox ; sur Apple TV, téléviseur connecté, mobile ou navigateur, l'accès est ouvert dans les pays de l'Union européenne. Un VPN actif sur l'appareil qui regarde suffit à couper le service, et aucun réglage côté box n'y changera rien, puisque le client VPN de la Freebox ne transporte de toute façon que le trafic du gestionnaire de téléchargements — point détaillé dans notre guide du VPN sur Freebox.
Ce qu'il faut faire : exclure l'application Oqee du tunnel via le split tunneling par application, ou désactiver le VPN sur l'appareil de visionnage. Il n'y a pas de troisième voie.
C'est chez Bouygues que la rupture est la plus systématique, pour la raison exposée plus haut : la diffusion multicast va de bout en bout, jusqu'au décodeur. Le flux ne quitte à aucun moment le réseau de l'opérateur.
Un cas très documenté l'illustre. Le 27 février 2025, l'administrateur d'un forum spécialisé décrit son installation : Bbox au sous-sol, routeur GL.iNet dans le salon, décodeur Bbox TV 4K branché sur ce routeur. Résultat : « Le décodeur TV ne peut pas récupérer les flux TV lorsqu'il est branché sur le routeur. Si je le connecte à la Bbox, tout fonctionne bien. » L'explication arrive le lendemain, d'un autre participant :
« Dans cette configuration cela ne peut pas fonctionner, car l'IP publique est portée par la Bbox et non par le routeur (double NAT), donc le routeur ne reçoit pas les trames pour le décodeur TV et ne les recevra que si c'est lui qui porte l'IP publique. »
— Forum des NAS, 28 février 2025
Deux détails complètent le tableau. D'une part, un routeur intermédiaire doit faire tourner un proxy IGMP et autoriser explicitement les paquets IGMP et le multicast UDP dans son pare-feu, faute de quoi rien ne remonte. D'autre part, l'article technique du 25 mai 2025 signale que Bouygues impose la location d'un pont Wi-Fi vers Ethernet propriétaire pour raccorder le décodeur sans câble : sans cet équipement, le décodeur connecté en Wi-Fi a bien accès à internet, mais pas aux chaînes. La télévision et l'accès internet sont bien deux chemins distincts.
Ce qu'il faut faire : laisser le décodeur sur la Bbox, sans exception. Si vous voulez absolument le déplacer derrière votre propre routeur, il faut que ce routeur porte l'adresse IP publique, donc remplacer la box — un projet, pas un réglage.
SFR est le seul cas où la réponse dépend du boîtier que vous avez sous la télévision, et c'est une distinction utile que personne ne fait.
Les décodeurs de la lignée « TV Plus » et THD reçoivent les chaînes en multicast, comme chez les autres. Un fil de mai 2024 sur lafibre.info en donne des exemples précis, relevés par un abonné SFR fibre : la chaîne C8 est diffusée à l'adresse 233.136.44.165 sur le port 65000, TF1 sur le port 7500. L'administrateur du forum confirme le 31 mai 2024 : « Oui ce sont des IP multicast », en précisant que les chaînes chiffrées sont protégées par des DRM solides. Un autre participant rappelle la règle générale : une adresse dont le premier nombre est compris entre 224 et 239 désigne un flux multicast.
En revanche, le boîtier « Connect TV » de SFR fonctionne en OTT, c'est-à-dire en unicast, comme une application de streaming — un abonné le signale dans le même fil. La conséquence pratique est importante : sur ce boîtier, le flux peut techniquement traverser un tunnel, mais il se heurtera aux contrôles géographiques liés aux droits de diffusion. L'exclusion reste donc nécessaire, pour une raison différente.
Ce qu'il faut faire : décodeur THD ou TV Plus, on l'exclut comme chez Orange et Bouygues, en le laissant sur la box. Boîtier Connect TV ou application, on l'exclut par le split tunneling.
Trois ensembles, et une chose que nous refusons d'inventer.
| À exclure | Valeur | Ce que cela couvre |
|---|---|---|
| Multicast | 224.0.0.0/4soit 224.0.0.0 à 239.255.255.255 | Toutes les chaînes en direct, chez les quatre opérateurs. Les adresses relevées chez SFR en mai 2024, du type 233.136.44.165, tombent bien dans cette plage. |
| Signalisation multicast | 224.0.0.0/24 | Sous-ensemble réservé aux messages de contrôle, dont l'IGMP par lequel le décodeur s'abonne à une chaîne. Déjà inclus dans la ligne précédente, mais certains routeurs le traitent séparément. |
| Votre réseau local | Lisible dans les paramètres réseau d'un appareil connecté à la box | Le dialogue entre le décodeur, la box et les autres appareils. Ne le devinez pas : relevez-le, il varie selon l'opérateur et selon vos réglages. |
| Le décodeur lui-même | Son adresse locale, réservée dans le DHCP de la box | Le replay et la vidéo à la demande, qui eux sont en unicast et ne sont couverts par aucune des lignes ci-dessus. |
Vous trouverez ailleurs des listes de plages d'adresses publiques « à exclure » par opérateur, présentées comme définitives. Nous n'en publierons pas, pour une raison simple : aucun des quatre opérateurs français ne publie les plages de ses serveurs de replay et de vidéo à la demande, et ces plages changent. Une liste inventée ou recopiée vous ferait exclure du tunnel des adresses qui ne servent à rien, tout en en laissant passer d'autres. Excluez l'appareil, pas une liste d'adresses que personne ne maintient.
Il existe une manière rigoureuse de retrouver soi-même les plages d'un opérateur, et elle repose sur une donnée publique et stable : le numéro de système autonome, ou AS, sous lequel l'opérateur annonce ses réseaux.
Ces numéros sont documentés par l'Arcom et par l'Arcep. Le Baromètre de l'interconnexion de données en France publié par l'Arcep en juillet 2024 les cite explicitement : « AS5410 (Bouygues Télécom), AS12322 (Proxad – Free), AS3215 (RBCI – Orange), AS15557 et AS21502 (SFR) ». Un article de vulgarisation de Next daté du 26 mars 2020 donne la même liste, et Orange Wholesale confirme l'AS 3215 sur ses propres pages commerciales.
| Opérateur | Numéro d'AS |
|---|---|
| Orange | AS3215 |
| Free (Proxad) | AS12322 |
| Bouygues Telecom | AS5410 |
| SFR | AS15557, et AS21502 pour l'ancien périmètre Numericable |
À partir de ce numéro, n'importe quel outil public de consultation BGP vous donnera la liste à jour des préfixes annoncés par l'opérateur. C'est long, c'est réservé à ceux qui savent ce qu'ils font, et cela produit des centaines de préfixes dont la plupart n'ont rien à voir avec la télévision. Mais c'est vérifiable, et c'est la seule méthode honnête si vous tenez absolument à raisonner en plages plutôt qu'en appareils.
C'est la méthode la plus simple et la plus fiable : le décodeur se branche directement sur la box de l'opérateur, et seul le reste du réseau passe par le routeur VPN. Aucune règle à écrire, aucune plage à maintenir, rien à casser lors d'une mise à jour. Si vous n'avez pas de contrainte de câblage, arrêtez-vous là.
Vous regardez la télévision dans une application, sur un téléphone, un ordinateur ou un boîtier Android. Le split tunneling de votre fournisseur permet de désigner cette application comme devant sortir hors du tunnel. Disponible sur Windows et Android chez la plupart des services, plus rare sur macOS et iOS pour des raisons liées au système. C'est la seule méthode qui règle le cas d'Oqee, de la TV d'Orange en application ou du boîtier Connect TV de SFR.
Sur un routeur qui porte lui-même le client VPN, vous désignez l'adresse locale du décodeur comme devant emprunter la route normale plutôt que le tunnel. Deux précautions : réservez son adresse dans le DHCP, sinon la règle pointera dans le vide au prochain redémarrage ; et vérifiez que le multicast et l'IGMP sont autorisés dans le pare-feu, faute de quoi l'exclusion ne suffira pas.
Une dernière remarque qui économise du temps : si votre seul objectif est de protéger votre navigation et vos téléchargements, la méthode la plus économe reste d'installer le client VPN sur les appareils concernés et de ne rien changer au reste. Le décodeur n'a alors jamais connaissance de l'existence d'un VPN, et il n'y a rigoureusement rien à exclure.
Si le split tunneling est votre critère principal, deux points méritent d'être vérifiés avant de payer : sur quels systèmes il est disponible, et s'il fonctionne par application ou seulement par adresse. Notre guide pour choisir un VPN détaille les quatre critères de notre barème, et notre page de comparatifs met les services en regard deux à deux.
Ces notes proviennent de notre barème public, appliqué à l'identique aux six services comparés : ni le prix ni la vitesse n'y sont notés, parce que nous ne réalisons pas nos propres campagnes de mesure. Le détail figure sur notre page de méthodologie. Nous sommes rémunérés par ces deux fournisseurs, et par eux seulement.
Un client installé sur les appareils, avec une exclusion par application, laisse le décodeur intact et couvre tout le reste. Les deux services ci-dessous sont ceux qui rémunèrent ce site, et ce sont aussi les deux premiers de notre classement.