Les VPN sans journaux expliqués : ce que signifie vraiment une politique « sans journaux »

Pourquoi la journalisation est au cœur de la confiance envers un VPN

Lorsque vous utilisez un VPN, votre trafic cesse d'être visible pour votre FAI et devient visible pour le fournisseur de VPN à la place. Cela rend une question centrale : le fournisseur conserve-t-il des traces de ce que vous faites ? Une politique « sans journaux » est la promesse qu'il ne conserve pas les données susceptibles de relier votre activité à vous. Comme vous ne pouvez pas voir à l'intérieur des serveurs du fournisseur, cette promesse ne vaut que par les preuves qui la sous-tendent.

Journaux de connexion et journaux d'activité

Tous les journaux ne se valent pas, et le terme marketing « sans journaux » peut brouiller une distinction importante. Les journaux d'activité sont ceux de nature sensible : les sites web que vous visitez, les requêtes DNS et le contenu de votre trafic. Presque chaque VPN axé sur la confidentialité affirme ne jamais les conserver, et un service qui le ferait serait difficile à justifier.

Les journaux de connexion, parfois appelés métadonnées, couvrent des éléments comme les horodatages de connexion, la quantité de données transférées ou l'adresse IP source depuis laquelle vous vous êtes connecté. Ceux-ci peuvent sembler anodins mais peuvent tout de même suffire à relier une personne à une action en ligne lorsqu'ils sont recoupés avec d'autres relevés. Un service réellement minimal conserve le moins possible de l'une comme de l'autre catégorie.

Pourquoi les affirmations « sans journaux » ont besoin de preuves

N'importe qui peut écrire « sans journaux » sur une page d'accueil, et l'histoire montre que ces mots seuls ne signifient pas grand-chose. Dans plus d'un cas documenté, un fournisseur vantant une politique sans aucun journal s'est révélé par la suite avoir transmis des relevés de connexion aux autorités, révélant que des journaux existaient malgré le marketing. La leçon n'est pas que les VPN sont inutiles, mais que l'affirmation doit être vérifiable de façon indépendante.

Une confidentialité crédible vient de l'architecture, non des promesses : un fournisseur qui ne collecte jamais de données identifiantes au départ n'a rien à révéler, quelle que soit la pression. C'est une exigence plus élevée qu'un document de politique bien rédigé, et c'est la norme qu'il vaut la peine de rechercher.

Audits indépendants et épreuves du monde réel

Deux types de preuves rendent crédible une affirmation « sans journaux ». Le premier est un audit indépendant, au cours duquel un cabinet extérieur inspecte les serveurs et la configuration du fournisseur et publie ses conclusions. Un audit est un instantané dans le temps plutôt qu'une garantie permanente, mais des audits répétés témoignent d'un engagement continu et donnent aux tiers quelque chose de concret à vérifier.

Le second, et le plus solide, est la pression du monde réel. Lorsque la police suédoise a exécuté un mandat de perquisition dans les bureaux de Mullvad en 2023, elle en serait repartie, selon les informations disponibles, sans aucune donnée client, parce que les systèmes de l'entreprise n'en stockaient aucune. Des cas de ce type, où les autorités exigent des relevés et ne trouvent rien, sont la preuve la plus convaincante qu'une politique est réelle.

La juridiction et les alliances « Eyes »

L'endroit où une entreprise de VPN est légalement établie détermine ce à quoi elle peut être contrainte. Les pays membres des alliances de partage de renseignements Five, Nine et Fourteen Eyes, ainsi que ceux dotés de lois obligatoires de conservation des données, peuvent en principe forcer les fournisseurs à collecter ou à divulguer des informations sur les utilisateurs. Un fournisseur situé dans une telle juridiction n'est pas automatiquement indigne de confiance, mais le contexte juridique mérite d'être pesé.

La juridiction est un facteur, non un verdict. Une entreprise située dans un pays respectueux de la vie privée mais qui journalise tout de même en secret est pire qu'une entreprise diligente établie ailleurs, et une véritable architecture sans journaux limite ce que n'importe quel gouvernement peut extraire, quel que soit l'emplacement. Traitez la juridiction comme un élément parmi d'autres, aux côtés des audits et de l'historique, non comme la réponse tout entière.

Comment évaluer une affirmation « sans journaux »

Rassemblez les pièces avant de faire confiance à un fournisseur. Lisez la politique pour repérer la différence entre journaux d'activité et journaux de connexion, recherchez des audits indépendants récents, vérifiez si le service a déjà été mis à l'épreuve par une véritable demande judiciaire, et prenez en compte sa juridiction. Plusieurs de nos VPN les mieux notés ont été audités de façon indépendante et, dans certains cas, éprouvés dans le monde réel, ce qui explique pourquoi nous accordons bien plus de poids aux preuves vérifiées qu'au langage marketing.