Le glossaire VPN précise déjà une nuance importante : une politique "no-log" est en réalité, le plus souvent, une politique "no activity logs", puisque les VPN peuvent garder la trace de l'horodatage de connexion et d'autres données jugées anonymes. Cette page va plus loin et détaille ce qu'un audit indépendant vérifie concrètement, pourquoi la promesse seule ne vaut rien, et comment lire une politique de confidentialité comme un document technique plutôt que comme un argument marketing conçu pour rassurer sans engager grand-chose.
Pourquoi une déclaration seule ne prouve rien
N'importe quel fournisseur, quelle que soit sa taille ou sa réputation, peut écrire "nous ne conservons aucun journal" sur sa page d'accueil. Cette phrase, seule, n'est vérifiable par aucun moyen extérieur : elle repose entièrement sur la confiance accordée à l'entreprise qui l'affirme. Ce qui a une valeur réelle, c'est un audit mené par un cabinet de sécurité indépendant, portant sur l'infrastructure réellement déployée et pas seulement sur le texte de la politique de confidentialité.
Ce qu'un audit indépendant vérifie concrètement
Un audit sérieux ne se contente pas de lire la politique de confidentialité et de la comparer à ce que dit le fournisseur : il examine la configuration réelle des serveurs, les journaux système actifs (même ceux non liés directement à l'activité de navigation), les mécanismes de gestion des identifiants de session, et la manière dont les données transitoires nécessaires au fonctionnement du service (limitation du nombre de connexions simultanées, prévention des abus) sont traitées et purgées. Un rapport d'audit crédible précise sur quelle période exacte l'examen a porté, quelle méthodologie a été suivie, et quelles limites l'auditeur reconnaît lui-même à son propre travail.
Les limites inhérentes à tout audit, même sérieux
Un audit, même mené par un cabinet reconnu et avec une méthodologie solide, photographie un état à un instant donné. Il ne garantit pas que la configuration observée reste identique un an plus tard, après un changement d'équipe technique, une migration d'infrastructure, ou une évolution du modèle économique de l'entreprise. C'est pourquoi les fournisseurs les plus rigoureux répètent ces audits à intervalles réguliers, plutôt que de se contenter d'un audit unique brandi indéfiniment comme preuve permanente. La fréquence et la date du dernier audit publié sont donc des informations aussi importantes que son existence même.
La distinction entre données de connexion et données d'activité
Une politique de confidentialité rigoureuse distingue explicitement deux catégories de données. Les données d'activité concernent les sites visités, les requêtes effectuées, le contenu du trafic : c'est précisément ce qu'une politique no-log s'engage à ne jamais conserver. Les données de connexion, en revanche, peuvent inclure l'horodatage d'une session, la quantité de données transférées de façon agrégée, ou l'adresse IP du serveur utilisé (pas celle du client) : certains fournisseurs les conservent brièvement à des fins de dépannage ou de prévention des abus, sans que cela contredise nécessairement une politique de non-conservation des données de navigation, à condition que cette distinction soit explicitée clairement plutôt que dissimulée derrière une formule absolue.
Les rapports de transparence, un complément à l'audit
Au-delà de l'audit technique, certains fournisseurs publient un rapport de transparence recensant le nombre de demandes légales reçues par juridiction et la réponse apportée à chacune. Un rapport qui indique année après année "zéro donnée transmise faute de journal exploitable" constitue un signal concret bien plus solide qu'une simple déclaration d'intention, en particulier lorsqu'il est corrélé avec un audit technique indépendant confirmant l'absence de journalisation susceptible d'identifier un utilisateur.
Ce que révèlent les permissions d'une application mobile
Une vérification accessible à tous, avant même de lire une politique de confidentialité en entier, consiste à examiner les permissions demandées par l'application VPN sur mobile. Une application dont la seule fonction est de créer un tunnel réseau chiffré n'a techniquement besoin que d'un accès réseau et, sur certains systèmes, de la permission de créer une interface VPN. Une demande d'accès aux contacts, à la localisation précise ou au stockage de fichiers personnels, sans justification fonctionnelle claire, est disproportionnée par rapport à ce qu'un VPN doit techniquement faire pour fonctionner, et peut indiquer une collecte de données allant au-delà de ce que la politique affichée laisse supposer.
Lire une politique de confidentialité comme un document technique
Au-delà de l'audit lui-même, une politique crédible répond à des questions précises : quelles catégories de données sont collectées, pendant combien de temps sont-elles conservées, sont-elles partagées avec des tiers et lesquels, et sous quelle juridiction l'entreprise et ses serveurs opèrent-ils. Cette dernière question rejoint directement le sujet traité sur notre page consacrée aux alliances de surveillance internationales, puisque la juridiction détermine en partie ce que l'entreprise peut légalement être contrainte de conserver ou de transmettre, indépendamment même de sa politique interne affichée.
Serveurs sans disque et à mémoire vive uniquement
Certains fournisseurs utilisent des serveurs dits RAM-only, dépourvus de tout stockage physique permanent : l'ensemble des données présentes sur le serveur est effacé à chaque redémarrage, ce qui rend structurellement plus difficile la conservation prolongée de journaux, même en cas de saisie physique du matériel par une autorité. Cette architecture ne remplace pas un audit indépendant, mais elle constitue un choix technique qui renforce la crédibilité d'une politique no-log lorsqu'il est documenté et vérifiable, en particulier lorsqu'un auditeur externe a pu confirmer que cette configuration RAM-only est bien celle réellement déployée en production, et non une simple annonce marketing.
Le contre-exemple qui illustre pourquoi vérifier plutôt que croire
La littérature sur la confidentialité numérique documente plusieurs cas où des fournisseurs de VPN affichant une politique stricte de non-conservation des journaux ont, à la demande d'une autorité judiciaire, fourni des informations de connexion ayant permis d'identifier un utilisateur. Ces épisodes ne signifient pas que toute promesse no-log est mensongère, mais ils rappellent qu'une politique affichée n'engage juridiquement l'entreprise que dans la mesure où elle est appliquée techniquement, pas dans la mesure où elle est écrite de façon convaincante. C'est précisément l'écart entre ces deux réalités qu'un audit indépendant cherche à combler.
Ce qu'il faut faire de ces informations concrètement
Avant de faire confiance à une politique no-log, il est raisonnable de suivre une démarche en plusieurs étapes : lire la politique de confidentialité dans son intégralité plutôt que son seul résumé marketing, rechercher l'existence d'un audit indépendant et vérifier sa date de publication, comparer les permissions demandées par l'application à sa fonction réelle, et consulter, si disponible, le rapport de transparence du fournisseur sur les demandes légales reçues. Aucune de ces étapes prise isolément ne suffit ; c'est leur combinaison qui rapproche l'utilisateur d'une évaluation fondée sur des faits vérifiables plutôt que sur une promesse.
Le cas des fournisseurs qui n'ont jamais publié d'audit
L'absence d'audit indépendant publié ne signifie pas automatiquement qu'un fournisseur est malhonnête, mais elle prive l'utilisateur d'une preuve vérifiable et déplace l'intégralité du jugement sur la seule confiance accordée à la réputation de l'entreprise. Dans ce cas, la prudence recommande de considérer la promesse de non-conservation des journaux comme non vérifiée, quelle que soit la clarté du discours marketing qui l'accompagne, et de privilégier, à qualité technique égale par ailleurs, un fournisseur qui a accepté volontairement de se soumettre à ce type de contrôle externe et d'en publier les résultats.
Ce qu'il faut retenir
Une politique no-log n'a de valeur que si elle peut être vérifiée par un tiers indépendant, régulièrement, avec une méthodologie documentée et des limites explicitement reconnues. Une déclaration seule, aussi rassurante soit-elle dans sa formulation, ne constitue pas une preuve. Combiner la lecture attentive de la politique de confidentialité, la vérification des permissions demandées par l'application, l'architecture serveur employée, et l'existence d'un audit récent et publié reste la seule méthode qui rapproche l'utilisateur d'une évaluation fondée sur des faits plutôt que sur une simple promesse commerciale.