Votre VPN sans logs habite quelque part, et ce quelque part a des lois

Ou : pourquoi la promesse « nous ne gardons aucun journal » se vérifie d’abord dans un registre du commerce, et seulement ensuite dans un datacenter.

Un fournisseur qui annonce une politique no-log vous demande de croire à une absence. C’est un exercice inhabituel. Quand un service affirme que vos données sont chiffrées, vous pouvez regarder le protocole, vérifier le certificat, mesurer la connexion. Quand il affirme ne rien conserver, il n’y a par définition rien à regarder. On n’audite pas un fichier qui n’existe pas. On décide seulement si l’on fait confiance à la société qui jure ne pas l’écrire, et cette décision est juridique bien avant d’être technique.

Parce que cette société a un siège social. Ce siège est posé dans un pays, ce pays a ses propres règles de conservation des données, et il appartient ou non à des alliances de partage du renseignement actives depuis l’après-guerre¹. La politique no-log la plus stricte du monde ne survit pas à une obligation légale de journalisation : elle survit à l’absence d’obligation. C’est toute la différence. Voilà pourquoi la première question à poser à un VPN sans logs n’est pas « quel protocole ? » mais « quelle juridiction ? ».

La deuxième question porte sur les audits indépendants. Un cabinet externe vient regarder l’infrastructure, les procédures et les serveurs de production, puis publie ce qu’il a vu dans un rapport accessible à tous. La transparence d’un fournisseur se mesure à ce qu’il accepte de faire vérifier, pas à ce qu’il affirme. Un audit ne prouve pas l’absence éternelle de journalisation : il prouve qu’à une date donnée, des auditeurs ayant accès aux machines n’ont pas trouvé de trace d’activité utilisateur. C’est beaucoup moins qu’une garantie et beaucoup plus qu’une page marketing, et ça explique pourquoi la Suisse et le Panama reviennent si souvent dans les comparatifs sérieux : ce sont deux juridictions où la promesse de confidentialité coûte peu cher à tenir. La troisième question porte sur le code : des clients open source permettent de vérifier ce que le logiciel fait sur votre machine, ce qui reste la seule partie de la chaîne que vous contrôlez vraiment, que vous soyez un particulier, un freelance ou une PME qui ouvre un accès distant à son équipe.

Le reste du vocabulaire commercial est plus décevant qu’il n’en a l’air. Les serveurs RAM-only, brandis partout comme preuve de sérieux, sont un choix d’ingénierie défendable, pas un label. Proton VPN, qui n’est pourtant pas connu pour sa légèreté en matière de vie privée, explique publiquement ne pas en utiliser et préférer le chiffrement intégral des disques en AES-256. Les connexions simultanées, la vitesse annoncée, le nombre de pays : ce sont des critères de confort. Ils comptent, mais ils ne répondent jamais à la question de départ, qui est de savoir qui peut légalement forcer votre fournisseur à parler, et ce qu’il aurait à dire ce jour-là.

Un mot sur le streaming, puisque tout le marché ne parle que de ça. Débloquer un catalogue depuis l’étranger est un usage légitime, simplement ce n’est pas le sujet ici : un VPN choisi pour Netflix s’évalue sur la stabilité des serveurs quand les plateformes bloquent une plage d’adresses, un VPN choisi pour la confidentialité sur des critères qui n’ont rien à voir. Confondre les deux mène à payer deux ans pour une promesse qui ne vous concerne pas.

Meilleur VPN sans logs en 2026 : la juridiction avant les fonctionnalités

Il faut évacuer un malentendu répandu : « européen » ne veut pas dire ce que la plupart des acheteurs croient. Les Pays-Bas font partie des Nine Eyes, la Suède et la Belgique des Fourteen Eyes. Un fournisseur néerlandais ou suédois est donc établi dans un pays membre d’une alliance de renseignement, ce qui ne le disqualifie pas mais interdit de vendre son adresse postale comme un argument de confidentialité. La Suisse, elle, n’est ni dans l’Union européenne ni dans ces alliances, et son cadre légal actuel ne comporte pas d’obligation de conservation applicable aux fournisseurs de VPN. Quand un comparatif vous vend un « VPN européen » sans préciser lequel de ces cas s’applique, il vend un mot, pas une protection.

Le mot « actuel » fait beaucoup de travail dans la phrase précédente. Depuis janvier 2025, le Conseil fédéral instruit une révision partielle de l’OSCPT qui étendrait les obligations de surveillance aux services de communication dérivés, catégorie englobant VPN et messageries, avec identification des utilisateurs et conservation des métadonnées pendant six mois. La consultation s’est close le 6 mai 2025 sur une opposition quasi unanime ; en février 2026, le Conseil fédéral a commandé une analyse d’impact et annoncé une seconde consultation, et aucun texte n’est adopté à ce jour. Le directeur de Proton a annoncé que sa société quitterait le pays si le texte passait en l’état, et Proton a annoncé en juillet 2025 déplacer la majeure partie de son infrastructure physique hors de Suisse, sans nommer de pays de destination, siège et entité juridique restant à Genève. PrivadoVPN a annoncé en 2025 le transfert de la sienne de Zoug vers l’Islande, effectif depuis mai 2026.

Ça ne rend pas le critère caduc, ça montre pourquoi il est le bon : personne ne déménage ses serveurs quand le débat porte sur la vitesse de connexion. Une juridiction n’est pas une propriété permanente, c’est un état du droit à un instant donné, et un engagement de deux ans souscrit aujourd’hui court sur un droit qui peut changer entre-temps.

Le deuxième malentendu concerne la propriété. Kape Technologies, groupe basé à Londres et anciennement nommé Crossrider, a racheté CyberGhost en 2017, ZenMate en 2018 (depuis fondu dans CyberGhost), Private Internet Access en 2019 et ExpressVPN en décembre 2021, pour 936 millions de dollars². Retiré de la Bourse de Londres en 2023, le groupe contrôle aujourd’hui trois marques que les comparatifs présentent volontiers comme trois opinions indépendantes. Elles partagent un actionnaire. Savoir qui encaisse votre abonnement fait partie du dossier au même titre que le pays du siège.

Voici où se situent les fournisseurs les plus cités, sur les trois critères qui résistent au marketing.

L’audit de Proton VPN, conduit par Securitum du 20 au 27 mai 2026 au siège de Zürich, portait sur les systèmes de production et concluait à l’absence de journalisation de l’activité de navigation, des requêtes DNS et des métadonnées de connexion identifiantes. Celui de NordVPN, remis par Deloitte le 12 décembre 2025, applique le référentiel ISAE 3000 révisé, après cinq exercices antérieurs conduits par PwC puis Deloitte depuis 2018. Ce sont deux démarches sérieuses avec deux méthodologies différentes, ce qui rend la comparaison directe des conclusions plus délicate qu’on ne le voudrait.

La question à poser avant toutes les autres : qui peut forcer votre fournisseur à parler

Tout part de là. Un pays, une obligation de conservation, une alliance de renseignement, un actionnaire. Le reste du dossier se lit à la lumière de ces quatre éléments, et la plupart des mauvaises décisions d’achat viennent de ce qu’on les a regardés en dernier, une fois l’abonnement souscrit. Les alliances Five, Nine et Fourteen Eyes, les serveurs qui n’écrivent rien sur disque, les warrant canaries et les cas où une justice a réellement saisi du matériel : tout cela se démonte pièce par pièce dans ce que le droit du pays d’accueil change pour un VPN.

Deux noms sur une page de comparatif, et l’un des deux vous arrange

Le marché francophone du comparatif VPN est monétisé en affiliation à peu près partout, presse nationale et régionale comprise. Ça ne rend pas les articles faux, ça explique simplement pourquoi le classement change selon le site. Le bon réflexe consiste à lire les duels service contre service en gardant un œil sur ce que chaque critère mesure réellement. Les face-à-face entre les fournisseurs retenus ici, Proton VPN contre NordVPN, contre Mullvad, contre Surfshark, ainsi que le duel des offres professionnelles, sont regroupés dans les duels entre services présélectionnés.

Ce que votre VPN ne fera pas, quoi qu’en dise la page d’accueil

Un VPN déplace votre point de sortie sur Internet. Il ne vous rend pas anonyme, ne bloque pas le pistage publicitaire par empreinte de navigateur, ne remplace pas un antivirus et ne compense pas une session restée ouverte sur un compte à votre nom. Cette liste est plus utile que n’importe quel tableau de fonctionnalités, parce qu’elle vous dit quand votre argent ne sert à rien. Les promesses qui ne tiennent pas, et celles qui tiennent pour de mauvaises raisons, sont passées en revue dans les limites réelles de la protection par tunnel.

Le tunnel, le coupe-circuit et les fuites que personne ne teste

WireGuard contre OpenVPN, kill switch, split tunneling, fuites DNS, IPv6 et WebRTC : c’est la couche où les différences se mesurent au lieu de se raconter. Un kill switch qui ne se déclenche pas au bon moment laisse passer du trafic en clair pendant quelques secondes, et quelques secondes suffisent à une requête DNS. La façon de vérifier soi-même ce que fait le tunnel, plutôt que de faire confiance à la case cochée dans l’application, est détaillée dans le fonctionnement concret du tunnel chiffré.

Le prix d’appel et ce qu’il devient au renouvellement

Les tarifs affichés dans ce secteur reposent sur un engagement de deux ans payé d’avance, avec un prix de reconduction qui n’a plus grand-chose à voir. S’y ajoutent les options facturées à part, dont l’adresse IP dédiée, et les garanties de remboursement dont les conditions méritent une lecture attentive. Le calcul du coût réel sur la durée, offres gratuites comprises et tarif par utilisateur en entreprise, se trouve dans le vrai coût d’un abonnement sur la durée.

Quand le VPN cesse d’être un abonnement et devient un poste de dépense

Une PME qui ouvre un accès distant ne cherche pas la même chose qu’un particulier. Elle veut des comptes gérés au même endroit, une adresse IP fixe pour filtrer les accès, une coupure immédiate le jour d’un départ et une facture par utilisateur qu’elle puisse défendre en réunion budgétaire. NordLayer facture ainsi, en engagement annuel, 8 dollars par utilisateur et par mois sur son offre Lite, 11 sur Core et 14 sur Premium (10, 14 et 18 dollars sans engagement), avec un minimum de cinq utilisateurs et un serveur à IP dédiée à 40 dollars mensuels exigé sur les deux offres supérieures. Ce basculement du grand public vers l’outil d’équipe est traité dans l’accès distant vu par une petite structure.

Prouver la sécurité à un assureur, un client ou une autorité

Il existe un moment inconfortable où la sécurité cesse d’être une bonne pratique pour devenir une pièce justificative. Un questionnaire d’assurance cyber, un client qui exige des garanties contractuelles, une autorité qui demande les mesures techniques mises en place. NIS2, RGPD en télétravail, secret professionnel des avocats, données de santé : chacun de ces cadres attend des preuves plutôt que des intentions. Les obligations concrètes et ce qu’il faut être capable de montrer sont rassemblés dans les exigences réglementaires côté PME.

Le Wi-Fi du café, l’hôtel et les réseaux que vous ne contrôlez pas

Le danger du réseau ouvert a été copieusement exagéré par le marketing, puis copieusement minimisé en réaction. La réalité de 2026 tient entre les deux : le chiffrement généralisé du web a réglé une grande partie du problème, et il reste les portails captifs, les faux points d’accès qui portent le nom du lieu, et les postes de travail mal configurés. Ce qui menace encore un indépendant en déplacement, et ce qui n’est plus qu’une histoire ancienne, est démêlé dans travailler depuis un réseau que vous ne maîtrisez pas.

Faire marcher la chose sur tout ce qui se connecte chez vous

Reste l’installation, c’est-à-dire l’endroit où les bonnes décisions se perdent. Un poste fixe, deux portables, un téléphone par personne, parfois un NAS, parfois une flotte à déployer sans passer une semaine dessus. Le choix du serveur, le nombre de connexions autorisées et les pannes qui se règlent en trois minutes quand on sait où regarder sont couverts par la configuration sur chaque appareil du foyer.

Le VPN est une brique, pas un mur

Un tunnel chiffré ne protège ni un mot de passe réutilisé, ni une boîte mail hébergée chez un fournisseur qui lit le contenu, ni un routeur domestique livré avec son identifiant d’usine. Le DNS chiffré, l’authentification multifacteur sur l’accès lui-même, un gestionnaire de mots de passe et un navigateur qui ne renvoie pas tout : ce sont les briques qui donnent sa valeur à la première. L’assemblage complet, sans discours sur la sécurité absolue, est décrit dans les autres couches à poser autour du tunnel.

Alors, lequel, et pour qui ?

Pour un particulier, un indépendant ou une petite équipe qui veut une juridiction hors alliances, des audits publiés chaque année et des applications dont le code est lisible, Proton VPN coche les trois cases sans jouer sur les mots, et son déplacement d’infrastructure hors de Suisse est plutôt un argument de plus : c’est le comportement d’une société qui prend son propre discours au sérieux. Pour une PME qui a besoin de comptes centralisés, d’une IP fixe et d’une facturation par utilisateur défendable, NordLayer répond à un problème différent et le fait bien, à condition d’intégrer le serveur dédié au budget dès le départ.