VPN de confiance : les 3 preuves à vérifier avant de t’abonner

⏱ Lecture : 10 min

Ton VPN est allumé. Ton fournisseur d’accès ne voit plus quels sites tu visites : c’est vrai, et c’est une vraie victoire. Voici la partie dont on parle beaucoup moins. Ton trafic n’a pas disparu pour autant — il est passé sous un autre regard, celui de ton fournisseur de VPN.

Tu n’as pas supprimé l’observateur. Tu l’as changé. Toute la question devient donc : à qui déplaces-tu cette confiance, et sur quelles preuves ? Il y en a trois, elles sont vérifiables, et ce guide t’explique comment les contrôler toi-même en quelques minutes.

1. Ce que ton VPN voit exactement
2. Pourquoi ce n’est pas un scandale, mais de la mécanique
3. Preuve n° 1 : l’audit indépendant (et pourquoi tous ne se valent pas)
4. Preuve n° 2 : la juridiction du siège
5. Preuve n° 3 : le modèle économique
6. La checklist en six questions
7. Questions fréquentes

Ce que ton VPN voit exactement

Reprends l’image du courrier. Sans VPN, ton fournisseur d’accès joue le facteur : il voit l’adresse écrite sur chaque enveloppe. Il sait où tu vas, même s’il ne lit pas ce qu’il y a dedans.

Le VPN glisse cette enveloppe dans une seconde enveloppe opaque. Ton facteur habituel ne lit plus qu’une seule destination : le serveur VPN. Toutes tes lignes de registre deviennent identiques, et c’est exactement l’effet recherché.

Sauf qu’il faut bien que quelqu’un ouvre la deuxième enveloppe, sinon le courrier n’arrive jamais. Ce quelqu’un, c’est le serveur VPN : il retire l’emballage, lit l’adresse réelle et transmet. À cet instant précis, il connaît deux choses en même temps : qui tu es, et où tu vas.

C’est la position que tu lui confies en t’abonnant. Ni plus, ni moins.

Pourquoi ce n’est pas un scandale, mais de la mécanique

Est-ce que c’est un scandale ? Non. Un tunnel a forcément deux extrémités. Si personne n’ouvrait l’enveloppe à la sortie, rien ne circulerait. Aucune technologie ne supprime ce point de passage — pas même Tor, qui se contente de le multiplier.

La vraie différence tient à ce que le fournisseur fait de cette position. Deux services occupent exactement la même place et en font deux usages opposés.

Un service sérieux ne garde rien : pas d’historique, pas d’horaires de connexion, aucune association entre toi et tes destinations. Son registre reste vide. La conséquence est concrète : même sous réquisition judiciaire, il n’a rien à remettre. Ce n’est pas une question de bonne volonté, c’est une question d’architecture — on ne fournit pas ce qu’on n’a jamais écrit.

Le contre-exemple existe, et il est très simple à comprendre. Un VPN gratuit doit bien se financer quelque part. Un service qui ne te vend rien vend autre chose : ce qu’il sait de toi. C’est le sujet de notre enquête sur ce que les VPN gratuits font vraiment de tes données.

La question utile n’est donc pas « qui me surveille ». C’est à qui je choisis de faire confiance. Et une confiance se choisit sur des preuves.

Preuve n° 1 : l’audit indépendant (et pourquoi tous ne se valent pas)

Une promesse sur une page d’accueil ne vaut rien : « nous ne conservons aucun journal » est une phrase, pas une preuve. Un rapport daté, signé par un tiers, vaut beaucoup plus.

La distinction que presque personne ne fait

Tous les audits ne mesurent pas la même chose, et c’est la première chose à regarder :

• Les grands cabinets comptables — Deloitte, KPMG, PwC — produisent le plus souvent une attestation. Ils vérifient que les politiques déclarées, les procédures et les contrôles opérationnels correspondent à la réalité constatée pendant la période examinée. C’est sérieux, et c’est de la conformité.
• Les cabinets de sécurité offensive — Cure53, NCC Group, Trail of Bits, SEC Consult — font autre chose : ils inspectent le code, les applications et l’infrastructure, et cherchent activement des failles. C’est un audit technique.

Un fournisseur qui n’a qu’une attestation comptable n’a pas fait auditer son code. Un fournisseur qui n’a qu’un audit technique n’a pas fait vérifier ses procédures. Les deux se complètent, aucun ne remplace l’autre — et savoir lequel tu regardes t’évite de surestimer ce qui a été prouvé.

Qui a été audité, par qui, et quand

Voici l’état des audits publics des principaux fournisseurs. Les dates comptent autant que les noms : un audit de 2021 ne dit rien de l’infrastructure de 2026.

Fournisseur	Cabinet	Type	Derniers passages
NordVPN	Deloitte	attestation	audits successifs depuis 2022, dernier publié en 2026
Surfshark	Deloitte, puis Cure53	attestation + technique	2023 et 2025 (Deloitte), audit technique Cure53 en 2026
ExpressVPN	KPMG et Cure53	attestation + technique	audits répétés
Proton VPN	Securitum	technique	plusieurs rapports publiés
Mullvad	SEC Consult	technique	audits publiés
CyberGhost	Deloitte Roumanie	attestation	2022, 2024, 2025
IPVanish	Schellman Compliance	attestation	2022, puis février 2025
PureVPN	KPMG	attestation	après la révision de sa politique

Relevé le 4 septembre 2026 à partir des publications des fournisseurs et de la presse spécialisée. Les programmes d’audit évoluent : vérifie toujours la date du rapport en cours sur le site du fournisseur.

Comment lire un rapport en trois minutes

Tu n’as pas besoin d’être auditeur. Trois éléments suffisent à juger :

• La date. Un audit vaut pour l’infrastructure du moment où il a été mené. Au-delà de deux ans, il devient un indice historique, pas une garantie actuelle.
• Le périmètre. Un rapport peut ne couvrir qu’une application mobile, ou qu’une partie des serveurs. Le périmètre est écrit en toutes lettres dans les premières pages ; s’il est vague, c’est déjà une réponse.
• L’accès au rapport lui-même. Un fournisseur qui publie le document complet n’a pas la même position que celui qui se contente d’un communiqué annonçant qu’un audit a eu lieu.

Preuve n° 2 : la juridiction du siège

Le pays du siège décide de ce qu’on peut légalement exiger du fournisseur : conservation obligatoire de certaines données, injonctions, coopération entre États. C’est le cadre qui s’impose au service, quelles que soient ses intentions.

C’est là qu’interviennent les alliances de renseignement dont on parle beaucoup — nous les avons détaillées dans notre article sur les alliances 5, 9 et 14 Eyes. Retiens l’essentiel : la juridiction est un facteur, pas un verdict.

Un fournisseur situé dans un pays coopératif mais dont le registre est vide et audité reste préférable à un fournisseur installé dans un paradis juridique dont personne n’a jamais vérifié les pratiques. Une juridiction favorable ne compense pas l’absence de preuve — et c’est pour cette raison que l’audit passe en premier dans notre ordre.

Preuve n° 3 : le modèle économique

La troisième preuve est la plus simple, et probablement la plus parlante : tu paies un abonnement clair, donc tu sais ce que le service vend. Il vend un service. Sa recette dépend de ton renouvellement, donc de ta satisfaction, donc de sa réputation.

Quand il n’y a pas d’abonnement, la recette vient d’ailleurs — publicité ciblée, revente de données comportementales, injection de traceurs, partage de ta bande passante. Ce n’est pas une accusation générale : c’est une contrainte arithmétique. Faire tourner des serveurs coûte de l’argent tous les mois.

Trois signaux valent la peine d’être vérifiés avant de t’engager :

• le prix est affiché clairement, avec sa durée d’engagement et le tarif de renouvellement ;
• l’entreprise est identifiable : raison sociale, adresse, dirigeants ;
• il existe une garantie de remboursement, et ses conditions sont lisibles.

La checklist en six questions

À poser dans cet ordre, parce qu’il va du plus vérifiable au plus déclaratif :

1. Un rapport d’audit est-il publié en entier, ou seulement annoncé ?
2. De quand date-t-il, et quel périmètre couvre-t-il ?
3. Est-ce une attestation de conformité ou un audit technique ? Idéalement, les deux existent.
4. Où se trouve le siège, et qu’impose ce pays en matière de conservation ?
5. Comment le service gagne-t-il de l’argent, et est-ce écrit noir sur blanc ?
6. L’entreprise est-elle identifiable, avec une garantie de remboursement lisible ?

Si les six réponses sont satisfaisantes, tu ne fais plus un pari : tu prends une décision documentée. Pour comparer les fournisseurs sur ces critères, notre comparatif des meilleurs VPN reprend juridiction, audits et tarifs côte à côte.

Questions fréquentes

Un VPN peut-il vraiment voir tout ce que je fais ?

Il occupe la sortie du tunnel : il connaît ton adresse IP réelle et les destinations que tu demandes. En revanche, le contenu de tes échanges avec un site en HTTPS reste chiffré de bout en bout — il voit où tu vas, pas ce que tu écris.

Un audit signifie-t-il que le VPN est irréprochable ?

Non. Il signifie qu’un tiers a vérifié un périmètre défini, à une date donnée, et a publié ses constats. C’est une preuve, pas une garantie perpétuelle — d’où l’importance de la date et de la répétition des audits.

Faut-il préférer un VPN hors des alliances de renseignement ?

C’est un facteur favorable, mais secondaire par rapport à l’existence d’un registre vide et audité. Une juridiction protectrice sans audit reste une promesse invérifiable.

Pourquoi ne pas simplement utiliser un VPN gratuit ?

Parce que la question « où va l’argent » a toujours une réponse. Si tu ne paies pas l’abonnement, la recette vient d’ailleurs, et le plus souvent de ce que le service sait de toi.

Ce qu’il faut retenir

Le VPN ne fait pas disparaître le regard : il le déplace. C’est une opération parfaitement légitime, à condition de savoir vers qui.

Audit indépendant, juridiction, modèle économique — dans cet ordre. Les trois se vérifient en quelques minutes, et cette vérification vaut mieux que n’importe quel classement, y compris le nôtre.