Politique No-Log VPN : Comment Vérifier les Promesses des Fournisseurs

La promesse no-log : un argument marketing devenu essentiel

Chaque fournisseur VPN affiche fièrement une « politique stricte de non-conservation des logs » sur sa page d’accueil. C’est devenu un argument de vente incontournable, au point que même les VPN qui conservent des données prétendent ne pas le faire.

Le problème est simple : comment vérifier qu’un VPN ne conserve réellement aucune trace de votre activité ? Vous lui confiez l’intégralité de votre trafic Internet — c’est un niveau de confiance considérable.

Cet article vous donne les outils pour évaluer la crédibilité des promesses no-log, distinguer les VPN transparents des VPN opportunistes, et faire un choix éclairé.

Mon conseil : ne prenez jamais une affirmation « no-log » au pied de la lettre. Exigez des preuves : audits indépendants, code open source, juridiction favorable. Un VPN qui n’a rien à cacher n’hésite pas à le prouver. — Lucas Martin

Les différents types de logs

Tous les logs ne sont pas égaux. Comprendre les différentes catégories est essentiel pour évaluer une politique de confidentialité.

Logs d’utilisation (les plus sensibles)

Les logs d’utilisation enregistrent votre activité en ligne :

• Sites web visités
• Fichiers téléchargés
• Contenus consultés
• Requêtes DNS

Aucun VPN sérieux ne devrait conserver ces logs. Si un fournisseur les conserve, il peut reconstituer l’intégralité de votre navigation.

Logs de connexion (zone grise)

Les logs de connexion enregistrent des métadonnées :

• Horodatage de connexion et déconnexion
• Adresse IP d’origine
• Adresse IP du serveur VPN utilisé
• Volume de données transféré
• Durée de la session

Certains VPN conservent ces données de manière agrégée et anonymisée pour maintenir la qualité du service. C’est acceptable si les données ne peuvent pas être liées à un utilisateur individuel.

Le risque : si l’horodatage et l’IP d’origine sont conservés ensemble, une autorité peut corréler votre connexion VPN avec votre activité sur un site web via l’horodatage, même sans log d’utilisation.

Métadonnées de compte

Les métadonnées de compte sont les informations liées à votre abonnement :

• Adresse email
• Moyen de paiement
• Date d’inscription
• Plan d’abonnement

Ces données sont généralement nécessaires au fonctionnement commercial du VPN. Les VPN les plus respectueux de la vie privée acceptent les paiements en cryptomonnaie et demandent un minimum d’informations à l’inscription.

Tableau récapitulatif des types de logs

Les audits indépendants : la meilleure preuve

Un audit indépendant est le moyen le plus fiable de vérifier une politique no-log. Un cabinet d’audit tiers examine le code, les serveurs et les pratiques du fournisseur VPN pour confirmer (ou infirmer) ses affirmations.

NordVPN — Audité par Deloitte (4 fois)

NordVPN est l’un des VPN les plus audités du marché. Deloitte, l’un des « Big Four » de l’audit, a vérifié à quatre reprises que NordVPN ne conserve aucun log d’utilisation ni de connexion.

Ce que l’audit a vérifié :

• Configuration des serveurs (RAM-only, aucun disque dur)
• Logs système et applicatifs
• Règles de firewall et de routage
• Processus internes de gestion des données
• Politique de réponse aux demandes légales

Résultat : politique no-log confirmée à chaque audit. Aucune donnée permettant d’identifier un utilisateur ou son activité n’a été trouvée.

Pour en savoir plus, consultez notre test complet de NordVPN.

ExpressVPN — Audité par PwC et Cure53

ExpressVPN a été audité par PricewaterhouseCoopers (PwC) et par Cure53 (spécialiste en sécurité informatique). Les audits portaient sur la politique no-log et sur la technologie TrustedServer.

TrustedServer : chaque serveur ExpressVPN fonctionne uniquement sur RAM. À chaque redémarrage, toutes les données sont effacées. Le système d’exploitation et la configuration sont chargés en lecture seule. Il est physiquement impossible de conserver des logs persistants.

Preuve de terrain : en 2017, les autorités turques ont saisi un serveur ExpressVPN. Aucune donnée exploitable n’a été trouvée, confirmant la politique no-log dans des conditions réelles.

Notre avis sur ExpressVPN détaille cette technologie.

Surfshark — Audité par Deloitte

Surfshark a fait auditer son infrastructure et sa politique no-log par Deloitte. L’audit a confirmé l’absence de conservation de logs d’utilisation et de connexion.

Points vérifiés :

• Serveurs RAM-only (100 % du parc)
• Absence de logs sur les serveurs et l’infrastructure
• Processus de traitement des demandes légales

Retrouvez notre test de Surfshark pour plus de détails.

ProtonVPN — Audité par Securitum, code open source

ProtonVPN combine deux approches : audits indépendants par Securitum (cabinet européen) et publication intégrale du code source de ses applications.

L’avantage open source : n’importe qui peut inspecter le code pour vérifier qu’aucune donnée n’est collectée. Plusieurs chercheurs en sécurité ont examiné le code et n’ont pas trouvé de collecte de données cachée.

Juridiction suisse : la Suisse a des lois strictes sur la protection des données et n’est membre ni de l’UE ni des alliances de renseignement 5/9/14 Eyes.

Notre test de ProtonVPN analyse en profondeur sa transparence.

CyberGhost — Rapport de transparence trimestriel

CyberGhost publie des rapports de transparence trimestriels détaillant le nombre de demandes légales reçues et les réponses apportées. L’entreprise a également été auditée par Deloitte.

Approche notable : CyberGhost publie le nombre exact de demandes reçues par pays, le type de demande et la réponse (systématiquement : aucune donnée à fournir).

Consultez notre avis sur CyberGhost pour les détails.

Les incidents qui ont révélé les vrais no-log (et les faux)

L’histoire des VPN est ponctuée d’incidents qui ont mis à l’épreuve les promesses no-log. Ces cas réels sont plus révélateurs que n’importe quelle page marketing.

PureVPN — La promesse trahie (2017)

L’incident : le FBI enquêtait sur une affaire de cyberharcèlement. PureVPN, qui affirmait ne conserver « aucun log », a fourni aux autorités des logs de connexion incluant les adresses IP d’origine et les horodatages d’un utilisateur.

Ce que ça révèle : la politique de confidentialité de PureVPN contenait des formulations ambiguës distinguant les « logs d’utilisation » (non conservés) des « logs de connexion » (conservés). Le marketing communiquait uniquement sur l’absence de logs d’utilisation.

Leçon : lisez la politique de confidentialité complète, pas seulement le slogan marketing. Si un VPN fait une distinction entre types de logs, il conserve probablement des données exploitables.

IPVanish — Coopération avec le DHS (2016)

L’incident : IPVanish, qui se présentait comme « zero log VPN », a fourni des logs de connexion au Department of Homeland Security américain dans une enquête pénale. Les logs incluaient l’email de l’utilisateur, l’IP d’origine, les dates/heures de connexion et les serveurs utilisés.

Ce que ça révèle : IPVanish conservait des logs détaillés malgré ses affirmations contraires. L’entreprise a depuis changé de propriétaire et affirme avoir modifié ses pratiques, mais la confiance est durablement entamée.

Leçon : la juridiction compte. IPVanish, basé aux États-Unis (Five Eyes), est soumis aux demandes des agences fédérales américaines.

HideMyAss — L’affaire LulzSec (2011)

L’incident : HideMyAss a fourni des logs au FBI dans l’enquête contre le groupe de hackers LulzSec. Les données ont permis d’identifier et d’arrêter un membre du groupe.

Ce que ça révèle : HideMyAss (basé au Royaume-Uni, Five Eyes) conservait des logs de connexion incluant les IP et les horodatages, contredisant l’impression de confidentialité donnée par la marque.

ExpressVPN — La saisie turque (2017, résultat positif)

L’incident : les autorités turques ont saisi un serveur ExpressVPN dans le cadre d’une enquête sur l’assassinat de l’ambassadeur russe en Turquie. Malgré la saisie physique du serveur, aucune donnée exploitable n’a été trouvée.

Ce que ça révèle : la politique no-log d’ExpressVPN a été validée dans des conditions extrêmes. La technologie TrustedServer (RAM-only) a empêché toute récupération de données.

NordVPN — La brèche serveur (2018, résultat positif)

L’incident : un datacenter finlandais tiers a été compromis, exposant un serveur NordVPN. L’analyse a montré qu’aucun log utilisateur n’était présent sur le serveur.

Ce que ça révèle : même en cas de compromission, l’absence de logs signifie qu’aucune donnée utilisateur ne fuit. NordVPN a depuis migré vers une infrastructure 100 % RAM-only et colocalisée.

La juridiction : un facteur déterminant

Le pays où est basé votre fournisseur VPN détermine les lois auxquelles il est soumis.

Les alliances de renseignement

Five Eyes (surveillance mutualisée) : États-Unis, Royaume-Uni, Canada, Australie, Nouvelle-Zélande Nine Eyes : Five Eyes + France, Danemark, Pays-Bas, Norvège Fourteen Eyes : Nine Eyes + Allemagne, Belgique, Italie, Espagne, Suède

Les VPN basés dans ces pays peuvent être contraints de coopérer avec les services de renseignement, parfois sous le sceau du secret (gag orders aux USA, par exemple).

Juridictions favorables pour les VPN

*Surfshark est officiellement basé aux Pays-Bas mais fusionné avec Nord Security (Panama).

Nuance importante : la juridiction seule ne suffit pas. Un VPN au Panama qui conserve des logs est moins sûr qu’un VPN en Europe sans aucun log. La juridiction compte surtout si un gouvernement essaie de forcer le VPN à commencer à conserver des données. — Lucas Martin

Le warrant canary : un signal d’alerte

Un warrant canary (littéralement « canari de la mine ») est une déclaration publique régulièrement mise à jour affirmant que le VPN n’a reçu aucune demande secrète de la part d’un gouvernement.

Comment ça fonctionne :

• Le VPN publie : « À la date du [date], nous n’avons reçu aucune demande secrète de données »
• Si cette déclaration disparaît ou n’est plus mise à jour, cela signifie potentiellement qu’une demande secrète a été reçue
• Le VPN ne peut pas annoncer qu’il a reçu un ordre secret (gag order), mais il peut simplement cesser de dire qu’il n’en a pas reçu

VPN avec un warrant canary actif : Surfshark, NordVPN (intégré dans le rapport de transparence)

Limites : un warrant canary n’est pas juridiquement contraignant. Certains experts doutent de son efficacité réelle face à la pression gouvernementale.

Serveurs RAM-only : la preuve technique

La technologie des serveurs RAM-only (ou diskless) est la meilleure garantie technique qu’un VPN ne peut pas conserver de logs, même s’il le voulait.

Principe : le serveur VPN fonctionne entièrement en mémoire vive (RAM). Aucun disque dur n’est présent. À chaque redémarrage, toutes les données sont effacées. Le système d’exploitation est chargé depuis une image en lecture seule.

Avantages :

• Impossibilité physique de stocker des logs persistants
• En cas de saisie du serveur, un simple redémarrage efface tout
• L’image du système est identique sur tous les serveurs (pas de modification individuelle possible)

VPN avec infrastructure RAM-only :

• ExpressVPN : TrustedServer (100 % RAM-only depuis 2019)
• NordVPN : infrastructure colocalisée RAM-only
• Surfshark : migration complète vers RAM-only
• CyberGhost : serveurs NoSpy en Roumanie (RAM-only)

Comment évaluer vous-même une politique no-log

Checklist de vérification

Avant de faire confiance à un VPN, vérifiez ces points :

1. Lisez la politique de confidentialité complète — pas seulement la page marketing. Cherchez les mentions de « logs de connexion », « données agrégées », « informations de diagnostic »

2. Vérifiez les audits indépendants — un audit par un cabinet reconnu (Deloitte, PwC, Cure53, KPMG) est la meilleure preuve. Méfiez-vous des « audits » réalisés par des entités inconnues

3. Examinez la juridiction — un VPN basé dans un pays des Five Eyes est soumis à plus de pression qu’un VPN au Panama ou en Suisse

4. Cherchez des incidents passés — un VPN qui a résisté à une saisie de serveur ou à une demande légale sans fournir de données est plus crédible qu’un VPN jamais mis à l’épreuve

5. Vérifiez l’infrastructure — serveurs RAM-only ou avec disques durs ? Serveurs en propre ou loués dans des datacenters tiers ?

6. Consultez le rapport de transparence — les VPN sérieux publient le nombre de demandes légales reçues et leurs réponses

7. Vérifiez si le code est open source — un VPN open source peut être audité par n’importe qui, c’est le niveau de transparence maximal

Les signaux d’alerte (red flags)

• Aucun audit indépendant et refus d’en faire réaliser un
• Politique de confidentialité vague ou ambiguë
• Siège social dans un pays des Five Eyes sans justification
• Pas de rapport de transparence
• Historique d’incidents avec fourniture de logs
• L’entreprise propriétaire n’est pas clairement identifiée
• Offre « gratuite » financée par la publicité ou la revente de données

Tableau récapitulatif : VPN audités vs non audités

Notre verdict

La politique no-log d’un VPN ne doit jamais être acceptée sur parole. Les incidents passés (PureVPN, IPVanish, HideMyAss) ont prouvé que certains fournisseurs mentent ouvertement sur leurs pratiques de conservation des données.

Les trois VPN les plus crédibles en matière de no-log sont :

1. ExpressVPN : TrustedServer (RAM-only), audit PwC, preuve de terrain (saisie turque), juridiction favorable (BVI)
2. NordVPN : quatre audits Deloitte, infrastructure RAM-only colocalisée, incident serveur validant l’absence de logs, Panama
3. ProtonVPN : open source, audit Securitum, juridiction suisse, transparence maximale

Pour un VPN qui ne se contente pas de promettre mais qui prouve son engagement pour la confidentialité, ces trois fournisseurs sont actuellement les références du marché.

Pour un comparatif plus large incluant d’autres critères, consultez notre classement des meilleurs VPN et notre analyse des risques des VPN gratuits.