Apportez le lien de votre fournisseur. Avelir vérifie que le trafic sort.
Avelir est un client, pas un service VPN. L’accès vient de votre fournisseur sous forme de lien. Sans lui, il n’y a nulle part où se connecter — et l’application vous le dira dès le premier écran.
États au 30 août 2026. Raisons plus bas.
Faites la vérification vous-même
Nodes marked XHTTP go through where plain TCP does not. Sweden and the Netherlands were topped up on 27 August.
Favourites 2 nodes 38 ms
SERVERS · 25 COUNTRIES 92 in total
Nothing found. Try another country, city or protocol
Nodes marked XHTTP go through where plain TCP does not. Sweden and the Netherlands were topped up on 27 August.
Connection
Appearance
More
About
Appuyez sur « Connecter ». Les cinq secondes sont le vrai budget, pas une barre de chargement.
- écoulé
- 0.00 s
- Bouclier
- EXPOSÉ
Ce que font les hôtes
Prérequis
Avant de télécharger
- A
- Un appareil. Android ou Windows. Rien d’autre pour l’instant.
- B
- Un lien de votre fournisseur. Ce n’est pas notre partie : nous faisons l’application et nous ne fournissons pas de service VPN. Elle ressemble à l’une de celles-ci :
- C
- L’application. Pas encore publiée : les dernières vérifications sont en cours. Quand elle arrivera
https://panel.example.com/sub/9f3c… un abonnement — plusieurs serveurs, se met à jour tout seul vless://… vmess://… trojan://… un serveur, ajouté à la main ss://… hysteria2://… et la même chose avec un autre schéma Un code QR contenant l’une d’elles fonctionne aussi, tout comme toucher un lien vless:// dans une messagerie.
Un fichier de configuration .json n’en est pas un. Avelir ne lit pas les fichiers de configuration.
Il n’y a ici aucun champ où coller votre lien, et il n’y en aura pas. Un lien du fournisseur est la clé de votre accès. Une page qui vous apprend à le coller dans un formulaire web vous a appris exactement l’habitude dont aurait besoin une fausse copie de ce site.
Votre lien
Votre lien ressemble à l’un de ceux-là
Alors tout ce dont l’application a besoin tient dans cette seule chaîne : les serveurs, les règles de routage écrites par le fournisseur, la date d’expiration et le trafic restant. Collez-la une fois. Ensuite l’application tient la liste à jour au rythme demandé par le fournisseur.
Plusieurs abonnements peuvent coexister, et à côté d’eux des serveurs ajoutés à la main.
Vous n’avez pas encore de lien
Alors Avelir n’a nulle part où se connecter, et l’installer aujourd’hui vous montrera un écran vide. Mieux vaut le savoir maintenant.
Le lien vient de celui qui tient les serveurs : la personne qui a mis cela en place au bureau ou à la maison, un service que vous payez déjà, ou vous-même si le serveur est le vôtre.
Demandez-le avec ces mots :
Envoie-moi le lien d’abonnement de mon compte, s’il te plaît — l’adresse en https://…, pas un fichier de configuration.
L’application elle-même ne vend rien : pas de serveurs à nous, pas de prix, pas de paiement. Il n’y a pas non plus de liste de vendeurs ici — en tenir une à jour reviendrait à en répondre.
Si le serveur est le vôtre, le lien est celui que délivre votre panneau. Avelir lit les liens de partage habituels et les pages d’abonnement ; il n’a besoin d’aucun panneau d’une marque particulière.
Vérification
Le bouclier a quatre états. Deux seraient un mensonge.
La plupart des clients passent le bouclier au vert dès que l’interface du tunnel se lève. Cela prouve que l’interface existe. Cela ne prouve rien sur le fait que quoi que ce soit atteigne l’autre bout.
Avant qu’Avelir n’écrive « Connecté », une entrée de test dans le cœur demande à deux hôtes une page vide : connectivitycheck. puis, si celui-là se tait, connectivity-check.. Deux, dans des juridictions différentes et sur des infrastructures différentes, pour que l’un d’eux injoignable chez vous ne condamne pas un tunnel qui fonctionne. La réponse doit venir de la cible elle-même. Toute la vérification dispose de cinq secondes, et ces cinq secondes s’ajoutent à votre temps de connexion. C’est le prix, et c’est le seul honnête.
La vérification peut être désactivée. « Connecté » signifie alors seulement que le tunnel s’est levé.
5 s
| État | Dit | Signifie |
|---|---|---|
| PROTÉGÉ | Protégé le trafic entre dans le tunnel | Rien ne peut sortir à côté du tunnel, que quelque chose y circule ou non. |
| EXPOSÉ | Non protégé les sites vous voient directement | Le trafic sort en clair, et cela est su, non supposé. |
| PARTIEL | Partiellement protégé tous les programmes ne sont pas routés | Mode proxy sous Windows. Dans le tunnel se trouve tout ce qui sait demander un proxy au système — les navigateurs, surtout. Les jeux, les torrents, QUIC et tout ce qui a sa propre pile réseau gardent leur propre sortie, et personne n’a touché à la table de routage : il n’y a ici rien pour les rattraper. |
| INCONNU | État de protection inconnu la couche du dessous s’est tue | La couche qui tient le tunnel a cessé de répondre. Aucun des trois autres ne peut être affiché. |
Quatre plutôt que deux, et quatre plutôt que trois. INCONNU existe parce qu’un bouclier à deux états doit deviner dès que la couche du dessous se tait, et les deux réponses sont fausses : l’une promet une protection que personne n’a confirmée, l’autre vous envoie vous comporter en exposé au moment précis où cela compte. Les quatre sont dessinés avec des formes différentes, pas seulement des couleurs différentes — un homme sur douze ne les distinguera pas à la couleur seule.
Et ce que fait la connexion pendant ce temps
- Déconnecté
- Connexion en cours
- Connecté
- Reconnexion
- Liaison non confirmée
- Le tunnel ne transporte rien
- Trafic bloqué
- État inconnu
- Erreur
Trois d’entre eux méritent une seconde lecture.
Liaison non confirmée — le tunnel est levé et scellé, mais aucune cible de vérification n’a répondu, alors l’application retient le mot « Connecté ».
Le tunnel ne transporte rien — la sonde est restée muette et les compteurs d’octets n’ont pas bougé ; l’application le dit et propose de se déconnecter, mais ne se déconnecte pas d’elle-même, car abaisser une interface c’est abaisser la protection, et cela vous revient.
Trafic bloqué — il n’y a pas de tunnel et rien ne sort non plus, parce que la protection contre les fuites le retient. C’est le contraire de déconnecté, et les dessiner pareil cacherait une protection qui est bien là.
Automatique
Comment l’application choisit un serveur quand vous n’en choisissez pas
La réponse courte — « elle prend le plus rapide » — est rarement la vraie. Une mesure vit une demi-heure, et une fois le tunnel levé les chiffres cessent d’être comparables. Presque toute connexion se décide donc par la connaissance et non par la vitesse : quel nœud a réellement transporté du trafic sur ce réseau.
-
D’abord le tri
Sortent les nœuds dont on sait déjà que, sur ce réseau, rien ne passe. Le tri est souple : s’il ne laisse personne, il est levé en entier. Rester sans VPN est pire que de monter sur un nœud douteux.
-
Ensuite la comparaison — s’il y a de quoi comparer
On ne compare que des chiffres d’une même passe et d’une même sonde : une mesure par poignée de main et une mesure par trafic réel diffèrent d’un ordre de grandeur, et les mêler ne veut rien dire.
- 30 minutes
- durée pendant laquelle un chiffre reste comparable
- 2 nœuds
- moins n’est pas une comparaison : le vainqueur d’une course à un seul partant n’en est pas un
- 50 ms
- un écart plus petit n’est pas un écart — sinon le choix tremble sur le bruit et vous promène entre les pays
-
Sinon, une échelle de quatre barreaux
Et c’est presque toujours le cas : les chiffres périment en une demi-heure, et qui ouvre l’application le lendemain arrive ici à chaque fois.
- Réserve de ce réseau — un nœud qui a vraiment transporté du trafic ici
- Passage confirmé — il a transporté du trafic un jour, quelque part
- Favoris — le choix de la personne, pas l’observation de l’application
- Le premier nœud de l’abonnement — le dernier fondement qui reste
Le premier barreau passe avant le second à dessein : un opérateur mobile et une box domestique laissent passer des ensembles de nœuds différents. Un nœud qui transportait du trafic hier dans une autre ville peut être bloqué net sur le réseau d’aujourd’hui — « ici » pèse donc plus que « un jour ».
-
L’écran n’invente pas de vainqueur
Quand il n’y a rien à comparer, la ligne le dit avec des mots au lieu d’en nommer un supposé. Et elle dit parmi combien elle a choisi : « choisi parmi trois » et « choisi parmi cent » ne sont pas la même affirmation.
-
Aucune mesure ne démarre d’elle-même
L’automatique ne décide que d’après ce qui est déjà mesuré. Ouvrir en éventail tout l’abonnement d’un coup, ce sont des centaines de connexions vers une centaine d’adresses étrangères à la suite depuis chez vous ; cette trace livre la liste complète des serveurs du fournisseur, et l’application n’a pas à la lancer dans votre dos.
-
Si un nœud se tait
Le relais prend la main : la même règle plus un refroidissement, de sorte que le nœud qui vient d’échouer n’est plus proposé dans cet épisode. Trois relais au plus par épisode ; ensuite l’application dit qu’elle n’a pas pu, au lieu de tourner en rond.
Ce qu’elle fait
Sur le tableau de bord
-
Android · Windows
Tunnel séparé par application
Choisissez quelles applications passent par le tunnel et lesquelles le contournent. Ce qui n’est pas choisi sort en clair — y compris les applications installées plus tard. Votre opérateur voit leur trafic, et elles voient votre adresse réelle. L’application le dit sur l’écran même où vous choisissez. Sous Windows la même liste se tient par exécutable — chrome.exe — ou par le chemin qui y mène, et elle se saisit à la main : le système ne fournit pas de liste des programmes installés. Une règle par nom ne couvre pas ce que ce programme lance sous un autre nom, et une requête DNS peut partir avant que la connexion ait été rattachée à un programme.
-
Windows
Bloquer le trafic sans le tunnel (kill switch)
Sous Windows, filtrage à la couche WFP : tant que c’est activé, rien ne sort à côté du tunnel — y compris pendant que le tunnel est à terre. Le réseau local et les invités Hyper-V peuvent être laissés passer, chaque trou exactement à sa taille. Sous Android, ce travail revient au système : VPN permanent et blocage des connexions sans VPN, et l’application vous emmène sur cet écran au lieu de faire croire que le réglage lui appartient.
-
Android · Windows
Vos propres DNS
Adresses simples, DNS sur HTTPS, DNS sur TLS. Chaque entrée peut être vérifiée depuis la liste, et la vérification rapporte ce qui est réellement revenu : une réponse avec son temps, aucune réponse, injoignable, a répondu à une autre requête, ou « c’est un répondeur qui usurpe, pas un serveur de noms ». L’ordre compte : tous sont interrogés, le premier qui répond gagne.
-
Android · Windows
Vos propres règles de routage
Envoyez un site ou un sous-réseau dans le tunnel, à côté, ou nulle part. Vos règles sont examinées avant celles du fournisseur. Les règles vivent dans des ensembles nommés — « À la maison », « En voyage » — et les ensembles vous appartiennent, pas à l’abonnement : ils survivent à un changement de fournisseur. Un ensemble voyage sous forme de chaîne ou de code QR et ne porte que des règles : ni abonnement, ni serveurs, ni clés.
-
Android · Windows
Choix automatique, déplacement automatique
Le mode automatique ne prend pas simplement le plus rapide : les mesures périment en une demi-heure, et presque toute connexion se décide par la connaissance et non par la vitesse — quel nœud a transporté du trafic sur ce réseau. La règle est détaillée pas à pas plus haut. Un serveur choisi à la main reste celui que vous avez choisi, sauf demande contraire.
-
Android · Windows
La latence, avec sa dispersion
Mesurée par l’entrée propre du cœur, pour que le tunnel ne se chronomètre pas lui-même. Meilleur temps ou médiane, une sonde ou cinq, et une sonde de chauffe qui est jetée parce que la première requête vers un serveur est toujours plus lente. Un tiret signifie « non mesuré », pas « lent ».
-
Android · Windows
Quatre façons de faire entrer un lien
Le taper, le coller depuis le presse-papiers, viser un code QR avec la caméra, ou toucher un lien vless:// dans une messagerie et le laisser atterrir dans l’application. Plusieurs abonnements à la fois, et vos propres serveurs à côté.
-
Android · Windows
Joignable sans la fenêtre
Une tuile dans le volet Android. Une icône dans la zone de notification Windows avec déconnexion d’urgence, et un « masquer la fenêtre, garder le VPN » qui veut dire ce qu’il dit.
-
Android
Quand le micrologiciel tue le tunnel
Xiaomi, Huawei, Samsung, Oppo et d’autres ferment les applications en arrière-plan plus durement qu’Android ne le prescrit, service VPN compris. Aucune application ne peut interdire qu’on la tue ni revenir d’elle-même. Ce qu’Avelir peut faire, c’est vous emmener directement aux écrans de démarrage automatique et de batterie de dix fabricants, et dire franchement quand un micrologiciel donné n’a pas cet écran.
-
Android · Windows
Statistiques de trafic
Sept jours, trente, ou tout, réparti par serveur. Sont comptés ici les octets passés par le tunnel — le trafic des applications exclues n’y est pas, celui que les règles de l’abonnement ont envoyé en direct y est. Ces chiffres n’ont pas à coïncider avec ceux de votre fournisseur.
Également sur le tableau de bord : mode proxy au lieu du tunnel sous Windows · historique du trafic par jour · sombre et clair.
Le cœur
Ce que parle le cœur
Vous ne choisissez pas parmi eux. Le serveur délivré par votre fournisseur a déjà choisi, et le lien porte ce choix.
- Protocols
- VLESS · VMess · Trojan · Shadowsocks · Hysteria2 · SOCKS · HTTP
- Security
- TLS · REALITY, plus the XTLS flow and VLESS Encryption on VLESS
- Transports
- TCP · WebSocket · gRPC · XHTTP · HTTPUpgrade · mKCP
- Core
- Xray-core, via libXray v26.7.11, compilé depuis la révision indiquée plutôt que pris comme binaire tout fait
Données
Ce que l’application envoie, et qui le reçoit
Quand Avelir demande au panneau de votre fournisseur la liste des serveurs, cinq choses voyagent avec la requête :
Certains panneaux ne répondent qu’aux clients qu’ils reconnaissent. Un réglage existe pour cela : il met le nom d’un client connu dans user-agent et déplace le nôtre dans x-app-agent. Il reste désactivé tant que vous ne l’activez pas.
Elles vont à l’adresse que vous avez saisie. Pas à nous — nous n’avons aucune adresse où les envoyer, ni serveur pour les recevoir.
L’identifiant n’est pas votre téléphone. C’est un UUID aléatoire créé au premier lancement et conservé. Il n’est jamais dérivé du matériel : l’IMEI, les adresses MAC et les numéros de série ne peuvent pas être réinitialisés, les lire enfreint les règles de Google Play comme de l’App Store, et une valeur aléatoire compte les appareils tout aussi bien. Compter les appareils rattachés à votre abonnement est tout son travail. Il figure dans les réglages, et le support de votre fournisseur vous le demandera.
Le journal de diagnostic retire les identifiants de ses entrées, il peut donc partir au support tel quel.
Versions
Bientôt : Android, Windows, iOS et Linux
Les versions Android et Windows de la 0.3.5 existent et fonctionnent, les paquets Linux sont construits, et iOS tourne sur un vrai iPhone. Rien n’est encore publié depuis ce site : la version Android est signée avec une clé de publication et fait route vers Google Play, iOS fait route vers TestFlight et l’App Store, et l’installateur Windows ne porte toujours aucune signature.
Chaque état de ce site porte une date. Quand il change, il change d’abord ici.
- android
- BIENTÔT environ 69,7 MB le moment venu
- windows
- BIENTÔT environ 24,9 MB le moment venu
- ios
- BIENTÔT
- macos
- PRÉVUE
- linux
- BIENTÔT
Questions
Les questions qui reviennent
Conservez-vous des journaux de ce que je fais ?
Il n’y a rien de notre côté qui pourrait en conserver. Avelir n’a ni serveurs, ni comptes, ni dorsale ; rien de votre session ne nous parvient, parce qu’il n’y a pas de « nous » à atteindre. L’application écrit un journal de diagnostic sur votre propre appareil, sans identifiants dans les entrées, et il y reste tant que vous ne l’envoyez pas vous-même au support de votre fournisseur. Ce que votre fournisseur enregistre sur ses serveurs est entre vous et lui, et nous ne pouvons pas parler pour lui.
Qu’est-ce que l’identifiant d’appareil, et peut-on le désactiver ?
Oui, depuis la 0.3.5 : réglages → avancé → « Envoyer l’identifiant d’appareil ». Désactivé, l’en-tête n’est pas envoyé du tout, plutôt qu’envoyé vide. Le prix est du côté du panneau : c’est avec lui que votre fournisseur compte les places d’appareil, et un panneau qui les compte ne renvoie aucun serveur sans lui. C’est un UUID aléatoire créé au premier lancement et conservé ; il n’est jamais dérivé de votre matériel. Il va à l’adresse du panneau que vous avez saisie, pas à nous. Vous le trouverez dans les réglages, et le support vous le demandera.
Est-ce qu’il cache mon adresse ?
L’application ne répond pas à cela, et elle a cessé de faire semblant : la vérification qui demandait votre adresse à un service extérieur a été retirée en 0.3.5, car elle revenait à confier à un tiers que nous ne contrôlons pas une requête venant de vous. Ce que l’application prouve vraiment est plus étroit et plus utile : que le trafic sort bien par le tunnel. Quelle adresse le monde extérieur voit ensuite dépend entièrement du serveur que votre fournisseur vous a délivré et de la façon dont il le tient.
Est-ce que ça marchera sur mon iPhone ?
Pas encore, mais plus près qu’avant. Depuis le 28 août 2026, Avelir tourne sur un vrai iPhone : l’extension de tunnel transporte le trafic, et l’abonnement, la liste des serveurs et la mesure des nœuds fonctionnent. Elle fait route vers TestFlight et l’App Store, et il n’y a encore rien à installer d’ici. macOS n’est pas commencé. Linux est empaqueté et attend sa publication. Les états ci-dessus portent la date à laquelle ils étaient vrais pour la dernière fois.
Pourquoi n’y a-t-il pas de version sur Google Play ?
Il n’existe encore aucune version publiée, sur aucune boutique ni ailleurs. Le dépôt en boutique se prépare : la version Android est signée avec une clé de publication, les questionnaires des boutiques et la politique sont faits, et ce qui reste est du côté du compte, pas dans le code.
Le code source est-il ouvert ?
Le cœur et les bibliothèques le sont, et l’application les énumère toutes avec leur licence et leur source. Xray-core est utilisé comme dépendance non modifiée, il n’y a donc rien à en publier de notre part. Le code propre d’Avelir n’est pas publié.