Un VPN sans journaux semble simple : le fournisseur affirme qu’il ne conserve pas de trace de ce que les utilisateurs font en ligne. En pratique, la phrase est beaucoup moins précise. Certains VPN utilisent « pas de journaux » pour signifier qu’ils ne stockent pas l’activité de navigation. D’autres collectent encore des horodatages de connexion, des identifiants d’appareil, des données de bande passante, des rapports d’erreur, des détails de compte, des enregistrements de paiement ou des métadonnées anti-abus.
Cette différence compte. Un VPN se situe entre l’utilisateur et l’Internet au sens large. Il peut masquer l’activité de navigation d’un fournisseur de services Internet ou d’un opérateur Wi-Fi public, mais il concentre également la confiance dans le fournisseur VPN. Si le fournisseur collecte trop d’informations, utilise un langage vague en matière de confidentialité ou opère sans vérification externe, une déclaration de non-journalisation devient plus une ligne de marketing qu’une garantie de confidentialité.
Pour les utilisateurs comparant les services VPN, la vraie question n’est pas de savoir si un site Web indique « pas de journaux ». La meilleure question est la suivante : qu’est-ce qui n’est pas enregistré exactement, qu’est-ce qui est encore collecté, combien de temps est-il conservé et qui a vérifié la réclamation ?
Ce que devrait signifier « aucun journal »
Une politique stricte de non-journalisation devrait signifier que le VPN ne stocke pas d’informations pouvant connecter un utilisateur à son activité en ligne. Cela inclut l’historique de navigation, les requêtes DNS, les adresses IP de destination, le contenu du trafic, les fichiers téléchargés, l’utilisation des applications et les enregistrements de session qui lient un compte utilisateur à une activité spécifique à un moment précis.
Les politiques les plus fortes sont spécifiques. Ils indiquent ce que le fournisseur ne collecte pas, ce qu’il collecte, pourquoi ces données sont nécessaires et quand elles sont supprimées. Les politiques faibles reposent souvent sur des affirmations générales telles que « nous respectons votre vie privée » ou « nous ne suivons pas les utilisateurs » sans définir ce que « suivre » signifie.
Un VPN peut encore avoir besoin de certaines informations pour exécuter le service. Les adresses e-mail des comptes, l’état du paiement, le plan d’abonnement, la version de l’application, le nombre d’appareils, les messages d’assistance client et les diagnostics opérationnels de base sont des exemples courants. Le problème n’est pas de savoir si un fournisseur collecte des données. La question est de savoir si les données collectées pourraient être utilisées pour reconstituer le comportement de navigation d’un utilisateur ou identifier ce qu’il a fait lors d’une session VPN.
Les quatre types de journaux VPN que les utilisateurs devraient connaître
Tous les journaux ne comportent pas le même risque en matière de confidentialité. Un moyen utile d’évaluer une politique VPN consiste à séparer les journaux en quatre catégories.
Les journaux d’activité sont les plus sensibles. Ceux-ci peuvent inclure les sites Web visités, les requêtes de recherche, les requêtes DNS, le contenu consulté, les fichiers téléchargés, les messages envoyés et les services utilisés. Un VPN qui conserve des journaux d’activité ne doit pas être traité comme un service sans journaux axé sur la confidentialité.
Les journaux de connexion sont plus compliqués. Ceux-ci peuvent inclure l’heure à laquelle un utilisateur s’est connecté, l’heure à laquelle il s’est déconnecté, la quantité de données transférées, l’adresse IP d’origine, le serveur VPN utilisé et l’adresse IP attribuée par le VPN. Certaines données de connexion peuvent être utilisées temporairement à des fins de dépannage ou de prévention des abus. Mais si elles sont conservées pendant de longues périodes, elles peuvent devenir des métadonnées identifiantes.
Les journaux de compte incluent les informations fournies par les utilisateurs lors de leur inscription ou de leur paiement. Les adresses e-mail, les noms d’utilisateur, les factures, les processeurs de paiement, l’historique des renouvellements et les tickets d’assistance peuvent tous connecter une personne réelle à un compte VPN. Ces dossiers peuvent être inévitables, mais ils doivent être clairement divulgués.
Les journaux de diagnostic incluent les rapports d’erreur, les données de performances des applications, le type d’appareil, la version du système d’exploitation et les événements d’analyse. Ceux-ci sont souvent présentés comme inoffensifs, mais ils peuvent néanmoins révéler des schémas. Les utilisateurs doivent vérifier si les diagnostics sont facultatifs, anonymisés, minimisés et supprimés rapidement.
« Aucun journal d’activité » n’est pas la même chose que « aucun journal »
Une astuce courante consiste à utiliser « pas de journaux » comme raccourci pour « pas de journaux d’activité ». Cela peut toujours être utile, mais ce n’est pas la même chose que de ne collecter aucune donnée significative.
Par exemple, un VPN peut indiquer qu’il n’enregistre pas l’historique de navigation tout en stockant les adresses IP sources, les horodatages de connexion, les totaux de bande passante et les identifiants d’appareil. Ces données peuvent ne pas montrer la page exacte visitée par un utilisateur, mais elles peuvent néanmoins être sensibles. Dans certains cas, les métadonnées peuvent suffire à déterminer qui s’est connecté, quand il s’est connecté et quel serveur il a utilisé.
C’est pourquoi les utilisateurs doivent regarder au-delà du titre et lire la politique de confidentialité. Les meilleures politiques utilisent un langage simple et répertorient des champs de données spécifiques. Les politiques les plus faibles se cachent derrière des termes généraux tels que « nous pouvons collecter les informations nécessaires à la fourniture du service » sans préciser la nature de ces informations.
Les audits indépendants sont importants, mais ils ne sont pas magiques
Les audits tiers sont devenus l’un des principaux moyens par lesquels les fournisseurs de VPN tentent de prouver leurs allégations de non-journalisation. Un véritable audit peut être utile car une société externe examine certaines parties des systèmes, des politiques, de l’infrastructure ou de la configuration des serveurs du fournisseur.
Mais les utilisateurs ne doivent pas considérer le mot « audité » comme une réponse définitive. La portée compte.
Un bon audit doit répondre à plusieurs questions. Qui l’a exécuté ? Quand a-t-il été achevé ? S’agissait-il d’un audit sans journaux, d’un audit de sécurité ou d’un examen de conformité général ? A-t-il inspecté l’infrastructure des serveurs, les systèmes back-end, les applications, les contrôles d’accès internes et les pratiques de conservation des données ? Le rapport est-il public, résumé ou disponible uniquement pour les clients ? Des problèmes ont-ils été détectés ? Étaient-ils réparés ?
Un ancien audit est moins utile qu’un récent. Un audit restreint est moins utile qu’un audit couvrant les systèmes sur lesquels les journaux seraient réellement créés ou stockés. Un résumé d’audit privé est moins utile qu’un rapport public expliquant la méthodologie et les limites.
Les audits capturent également un moment donné. Un fournisseur peut modifier l’infrastructure, la propriété, les outils internes ou les pratiques en matière de données après un audit. Cela ne rend pas les audits inutiles, mais cela signifie qu’ils doivent être traités comme un signal parmi d’autres.
Serveurs RAM uniquement et infrastructure de confidentialité
Certains fournisseurs VPN utilisent des serveurs uniquement RAM, parfois appelés infrastructure sans disque. Dans cette configuration, les serveurs s’exécutent à partir de la mémoire volatile au lieu d’écrire des données persistantes sur les disques durs. Lorsque le serveur est redémarré ou mis hors tension, les données en mémoire sont effacées.
Cela peut réduire le risque de conservation des données à long terme. Cela peut également rendre les saisies de serveur moins utiles, car il ne devrait pas y avoir de disque traditionnel rempli de journaux historiques. Mais une infrastructure uniquement RAM ne remplace pas une politique de confidentialité claire ou un audit tiers. Si les systèmes back-end d’une entreprise collectent les métadonnées des utilisateurs ailleurs, les serveurs VPN sans disque ne résolvent pas à eux seuls le problème.
Les utilisateurs doivent considérer les serveurs uniquement RAM comme un contrôle technique positif, et non comme une preuve qu’aucun journal n’existe.
Juridiction et demandes légales
Un fournisseur VPN est soumis aux lois des pays où il opère, où il est constitué et où il dispose d’une infrastructure ou de personnel. La juridiction ne rend pas automatiquement un VPN sûr ou dangereux, mais elle affecte la manière dont le fournisseur peut répondre aux exigences légales.
Un fournisseur sans journaux doit expliquer comment il traite les demandes des forces de l’ordre. Idéalement, il devrait publier un rapport de transparence indiquant le nombre de demandes qu’il reçoit et la manière dont il y répond. Certains fournisseurs publient également des canaris de garantie, même si ceux-ci ne constituent pas une protection parfaite et ne doivent pas remplacer une procédure juridique claire.
Le point clé est simple : si un VPN ne collecte pas de données d’activité d’identification, il a moins d’informations utiles à transmettre. S’il collecte des métadonnées, les demandes juridiques peuvent avoir une importance bien plus grande.
Les VPN gratuits nécessitent un examen plus approfondi
Un VPN gratuit n’est pas automatiquement mauvais, mais les utilisateurs devraient être plus sceptiques. L’infrastructure VPN coûte de l’argent. Les serveurs, la bande passante, l’ingénierie, les examens de sécurité, le support client et la prévention des abus ont tous des coûts réels. Si les utilisateurs ne paient pas directement, le fournisseur a besoin d’un autre modèle économique.
Certains VPN gratuits fonctionnent comme des versions limitées de produits payants. D’autres s’appuient sur la publicité, l’analyse, les partenariats de données ou la monétisation du trafic. Les utilisateurs doivent vérifier si le forfait gratuit dispose d’une politique de confidentialité distincte, s’il partage des données avec des annonceurs ou des partenaires d’analyse et si l’application demande des autorisations qui ne correspondent pas au service.
La question la plus importante n’est pas « Est-ce gratuit ? La question est « Comment cette entreprise peut-elle payer pour le service sans transformer les données des utilisateurs en produit ? »
Drapeaux rouges dans une politique de non-journalisation
Plusieurs signes doivent inciter les utilisateurs à la prudence.
Une politique qui dit que le fournisseur « peut collecter » de larges catégories de données sans en expliquer les limites est un problème. Il en va de même pour le langage qui permet de partager des données avec des « partenaires », des « affiliés » ou des « tiers de confiance » sans les nommer ni expliquer pourquoi le partage est nécessaire.
Un autre signal d’alarme est une inadéquation entre la page d’accueil et la politique de confidentialité. Si la page d’accueil indique « zéro journal » mais que la politique répertorie les horodatages de connexion, les adresses IP, les identifiants d’appareil et les données d’analyse, la politique est le document qui compte.
Les utilisateurs doivent également être prudents lorsqu’un VPN fait des promesses impossibles. Un VPN ne peut pas à lui seul rendre quelqu’un totalement anonyme. Il ne peut pas empêcher les sites Web de suivre les utilisateurs connectés. Il ne peut pas supprimer les données déjà détenues par les annonceurs, les courtiers en données, les navigateurs ou les applications. Il ne peut pas protéger contre toutes les formes de logiciels malveillants, de phishing, d’empreintes digitales ou de compromission de compte.
Faire des promesses excessives n’est pas seulement un mauvais marketing. C’est un signal de confiance.
Ce que les utilisateurs doivent vérifier avant de choisir un VPN sans journaux
Commencez par la politique de confidentialité. Recherchez des termes tels que « adresse IP », « horodatage », « DNS », « bande passante », « identifiant de l’appareil », « analyses », « rapports d’erreur », « publicité », « tiers », « conservation » et « application de la loi ». Un fournisseur sérieux doit rendre ces points faciles à comprendre.
Vérifiez ensuite l’historique d’audit. Recherchez l’auditeur, la date, la portée et si le rapport couvre spécifiquement les réclamations sans journaux. Un audit de sécurité d’une application est utile, mais ce n’est pas la même chose que vérifier que l’entreprise ne conserve pas l’activité des utilisateurs ou les métadonnées de connexion.
Ensuite, vérifiez la propriété et la transparence. Un fournisseur VPN doit clairement indiquer l’entreprise derrière le service, où il est basé et comment les utilisateurs peuvent le contacter. La propriété cachée n’est pas une preuve d’actes répréhensibles, mais elle rend la responsabilité plus difficile.
Après cela, vérifiez le modèle économique. Les abonnements payants, les forfaits freemium, la publicité, les outils groupés et les services d’entreprise créent tous des incitations différentes. La politique de confidentialité doit expliquer si les données des utilisateurs sont vendues, partagées, louées, analysées ou utilisées à des fins de publicité ciblée.
Enfin, vérifiez si les fonctionnalités de confidentialité sont activées par défaut. Un VPN avec des paramètres forts enfouis dans l’application est moins protecteur qu’un VPN qui démarre avec des paramètres par défaut sûrs. Les fonctionnalités utiles incluent la protection contre les fuites DNS, la protection contre les fuites IPv6, un kill switch, des protocoles modernes, des mises à jour automatiques et des contrôles de diagnostic clairs.
Une liste de contrôle pratique sans journaux
Un VPN sans journaux de confiance devrait être capable de répondre clairement à ces questions :
- Enregistre-t-il l’activité de navigation, les requêtes DNS ou les adresses IP de destination ?
- Stocke-t-il l’adresse IP d’origine de l’utilisateur ?
- Conserve-t-il les horodatages de connexion ?
- Est-il possible de suivre la bande passante par compte ?
- Combien de temps les données opérationnelles sont-elles conservées ?
- Les diagnostics sont-ils facultatifs ?
- Les analyses sont-elles partagées avec des tiers ?
- La politique de non-journalisation a-t-elle fait l’objet d’un audit indépendant ?
- L’audit est-il récent et spécifique ?
- La propriété de l’entreprise est-elle publique ?
- Le fournisseur publie-t-il des rapports de transparence ?
- Les règles de confidentialité correspondent-elles aux allégations marketing ?
Si la réponse n’est pas claire, c’est la réponse. Les politiques de confidentialité sont rédigées par l’entreprise et non par les utilisateurs. Lorsqu’un prestataire souhaite obtenir de la confiance, il doit rendre les preuves faciles à trouver.
Une politique VPN sans journaux est aussi solide que ses définitions, son infrastructure, sa vérification et son modèle commercial. L’expression « pas de journaux » ne doit pas être acceptée au pied de la lettre. Les utilisateurs doivent vérifier quelles données sont exclues, quelles données sont toujours collectées, combien de temps elles sont conservées, si un audit indépendant soutient leur affirmation et si les incitations de l’entreprise sont conformes à la confidentialité.
Les VPN peuvent être des outils utiles. Ils peuvent réduire l’exposition sur des réseaux non fiables, masquer les métadonnées de navigation d’un fournisseur de services Internet et aider à acheminer le trafic vers un emplacement différent. Mais ils n’éliminent pas la confiance. Ils déplacent la confiance d’une partie à l’autre.
C’est pourquoi le meilleur VPN sans journaux n’est pas celui dont le slogan en matière de confidentialité est le plus fort. C’est celui qui collecte le moins de données, explique clairement ses limites, vérifie régulièrement ses affirmations et donne aux utilisateurs moins de raisons de deviner.
