⏱ Lecture : 9 min
Ouvre la page d’accueil de n’importe quel VPN. Tu y trouveras la même promesse, écrite en gros : aucun journal de connexion. Tous l’écrivent. Aucun ne le prouve sur cette page.
Et le problème est là : un fournisseur qui garde tes traces écrira exactement la même phrase, avec la même assurance. Une promesse n’est pas une preuve. Il existe pourtant quatre signaux vérifiables, et tu peux les contrôler toi-même en quelques minutes. Le troisième est le plus intéressant, parce que personne ne l’a choisi.
- L’audit indépendant : récent, complet, publié
- Le rapport de transparence : le chiffre qui compte
- L’épreuve du réel : quand un serveur est saisi
- Le modèle économique : qui paie vraiment
- La grille à quatre cases
- Questions fréquentes
Preuve n° 1 : l’audit indépendant
Un cabinet extérieur vient inspecter les serveurs, la configuration et les procédures internes. Il regarde ce que les machines enregistrent vraiment — pas ce que le service raconte dans ses conditions d’utilisation.
Trois détails changent tout :
- La date. Un audit vieux de trois ans ne dit rien de l’infrastructure d’aujourd’hui.
- Le périmètre. Un rapport peut ne couvrir qu’une application, ou qu’une poignée de serveurs.
- La publication. Méfie-toi du résumé de trois lignes sur le blog du fournisseur : tu veux le rapport complet.
Nous avons détaillé qui a été audité, par quel cabinet et à quelle date — ainsi que la différence entre une attestation comptable et un véritable audit technique — dans notre guide sur les preuves à vérifier avant de faire confiance à un VPN.
Preuve n° 2 : le rapport de transparence
Certains fournisseurs publient périodiquement le nombre de demandes reçues des autorités : réquisitions judiciaires, assignations, injonctions administratives. C’est utile, mais ce n’est pas le chiffre à regarder.
Le chiffre qui compte, c’est le second : combien de données ont réellement été remises. Un service sans journaux affiche un résultat qui paraît étrange au premier coup d’œil — beaucoup de demandes reçues, presque aucune donnée transmise. Ce n’est pas de la mauvaise volonté : on ne remet pas ce qu’on n’a jamais écrit.
Un rapport de transparence qui annonce fièrement un nombre de demandes sans jamais préciser ce qui a été fourni en retour ne t’apprend rien. Cherche les deux colonnes.
Où le trouver, concrètement
Il n’est presque jamais mis en avant. Trois endroits, dans cet ordre :
- le pied de page du site du fournisseur, souvent sous une rubrique « Transparence » ou « Confidentialité » ;
- l’adresse directe : la plupart des services le publient sur une page dédiée du type
/transparency-report; - le centre d’aide, où il est parfois relégué avec les demandes légales.
S’il n’existe pas du tout, ce n’est pas rédhibitoire — beaucoup de fournisseurs sérieux n’en publient pas. Mais c’est une case que tu ne pourras pas cocher, et il faudra que les autres compensent.
Preuve n° 3 : l’épreuve du réel
C’est la preuve la plus solide, et pour une raison simple : personne ne l’a choisie. Un jour, des enquêteurs saisissent physiquement un serveur, ou perquisitionnent des bureaux, sans prévenir. Ce qu’ils trouvent — ou ne trouvent pas — vaut mille slogans.
Quatre épisodes documentés méritent d’être connus. Les trois premiers ont confirmé la promesse ; le quatrième montre que « ne rien conserver » ne suffit pas.
| Quand | Qui | Ce qui s’est passé | Résultat |
|---|---|---|---|
| Janvier 2017 | ExpressVPN | Un serveur saisi en Turquie, dans l’enquête sur l’assassinat de l’ambassadeur russe Andreï Karlov | Aucun journal exploitable : impossible de dire qui s’était connecté |
| 2016 puis 2018 | Private Internet Access | Deux assignations aux États-Unis ; en 2018, son conseiller juridique témoigne devant le tribunal | Rien à produire ; au mieux, la côte du pays d’origine d’une adresse |
| Avril 2023 | Mullvad | Six policiers de la NOA suédoise se présentent aux bureaux de Göteborg avec un mandat | Repartis sans aucune donnée client |
| Juin 2021 | Windscribe | Deux serveurs saisis en Ukraine — non chiffrés, avec la clé privée du certificat | Pas de journaux, mais une clé compromise : le trafic devenait déchiffrable |
Sources : déclarations des fournisseurs concernés et couverture de presse spécialisée, relevées le 4 septembre 2026.
Ce que le cas Windscribe apprend vraiment
Il serait facile de ne retenir que les trois premières lignes. La quatrième est pourtant la plus instructive.
Windscribe ne conservait pas de journaux — sa promesse tenait. Mais les serveurs saisis n’étaient pas chiffrés et hébergeaient la clé privée du certificat, ce qui ouvrait la possibilité de déchiffrer du trafic intercepté. Le fournisseur l’a reconnu publiquement et a revu son architecture.
La leçon est nette : l’absence de journaux ne protège que de ce qui est écrit sur le disque. La façon dont les serveurs sont configurés — chiffrement du stockage, serveurs en mémoire vive, gestion des clés — compte tout autant. C’est précisément ce qu’un audit technique examine, et qu’une attestation de conformité ne regarde pas.
Comment vérifier une de ces histoires par toi-même
Ces épisodes circulent beaucoup, souvent déformés, et certains fournisseurs racontent des saisies dont personne d’autre n’a jamais entendu parler. Deux réflexes suffisent à faire le tri :
- Cherche la trace chez un tiers. Un événement réel laisse une couverture de presse, un document judiciaire, un communiqué daté. Une histoire qui n’existe que sur le blog du fournisseur n’est pas une preuve, c’est un argument commercial.
- Regarde ce que le fournisseur a admis. Le cas ukrainien de 2021 est instructif justement parce que le service a reconnu publiquement une faille de configuration. Un fournisseur qui documente ses propres manquements est plus crédible que celui qui n’a jamais rien eu à se reprocher.
Et garde en tête l’asymétrie : une saisie qui ne donne rien prouve quelque chose, alors qu’une absence de saisie ne prouve rien du tout.
Preuve n° 4 : le modèle économique
Pose-toi une question toute simple : qui paie réellement ce service ? Si tu paies un abonnement clair, tu es le client. Un service entièrement gratuit doit se financer autrement — et « autrement » veut souvent dire publicité ciblée, donc de la donnée collectée quelque part.
Regarde aussi le siège social et le propriétaire réel de l’entreprise. Une société identifiable, avec une adresse et des dirigeants nommés, n’offre pas la même garantie qu’une structure dont on ne trouve ni l’un ni l’autre. Une société qui se cache mérite ta prudence.
La grille à quatre cases
À cocher avant ton prochain abonnement :
- Audit indépendant — récent, périmètre explicite, rapport publié en entier.
- Rapport de transparence — avec le nombre de demandes et ce qui a été remis.
- Épreuve du réel — une saisie ou une réquisition documentée, et ce qu’elle a donné.
- Modèle économique — abonnement lisible, entreprise identifiable.
Une seule case cochée ne suffit pas. Deux, c’est un début honnête. Quatre, c’est le niveau à viser. Aucune case cochée ? Tu tiens seulement une phrase sur une page d’accueil — elle n’engage personne, et surtout pas son auteur.
Pour comparer les fournisseurs sur ces critères, notre comparatif des meilleurs VPN les reprend côte à côte, et notre test de Mullvad détaille le cas d’un service dont la promesse a été mise à l’épreuve pour de vrai.
Questions fréquentes
Un VPN peut-il vraiment ne garder aucune trace ?
Techniquement oui : il faut distinguer les journaux d’activité, qui disent ce que tu consultes, des journaux de connexion, qui disent quand tu te connectes et depuis quelle adresse. Un service peut n’écrire ni les uns ni les autres, en s’appuyant sur des serveurs qui ne conservent rien après extinction.
Pourquoi certains fournisseurs n’ont-ils jamais été saisis ?
Parce que c’est un événement rare et subi. L’absence d’épreuve du réel n’est pas un mauvais signe en soi — c’est simplement une case que le fournisseur ne peut pas cocher. Les trois autres restent vérifiables.
Un audit remplace-t-il l’épreuve du réel ?
Non, les deux ne mesurent pas la même chose. L’audit vérifie ce qui est en place à une date donnée ; la saisie montre ce qui subsiste réellement quand quelqu’un vient chercher. Les deux ensemble valent mieux que l’un des deux.
Le chiffrement des serveurs change-t-il quelque chose ?
Beaucoup, comme l’a montré le cas ukrainien de 2021. Un serveur sans journaux mais dont le stockage n’est pas chiffré, et qui héberge une clé privée, reste exposé. Les fournisseurs sérieux font tourner leurs serveurs en mémoire vive, sans disque persistant.
Ce qu’il faut retenir
La phrase « zéro journal » ne coûte rien à écrire. Ce qui coûte, c’est de la rendre vérifiable : faire venir un auditeur, publier ce qu’on a remis aux autorités, chiffrer ses serveurs, et assumer un modèle économique lisible.
Quatre cases. Vérifie-les avant de payer, pas après.