Un VPN canadien peut-il être sérieux ? Windscribe face à Proton VPN
Ou : la démonstration que le pays du siège détermine beaucoup de choses, mais pas tout.
La réponse courte : Windscribe part avec un handicap juridique que rien ne corrige, et compense par une ingénierie qui mérite le détour. La société est canadienne, et le Canada est membre fondateur des Five Eyes, l’alliance la plus ancienne et la plus intégrée du renseignement occidental. Sur le seul critère du pays, Proton VPN gagne sans discussion. Sauf que Windscribe a construit son infrastructure en partant du principe qu’un serveur finirait par être saisi, et affirme publiquement que le cas s’est produit sans que les autorités en tirent quoi que ce soit. C’est le cas le plus intéressant de tous les duels service contre service, parce qu’il complique la thèse au lieu de la confirmer.
L’architecture repose sur des serveurs qui ne conservent rien sur disque et perdent leur contenu à la coupure de courant. Saisir une machine dans ces conditions revient à saisir un bloc de métal. Ce ne fut pas toujours le cas : en juin 2021, deux serveurs saisis en Ukraine avaient des disques non chiffrés contenant une clé privée OpenVPN, ce que la société a reconnu elle-même avant de revoir sa configuration. Aucune donnée client selon elle, mais une clé qui n’aurait pas dû s’y trouver. L’infrastructure a par ailleurs été auditée par PacketLabs en juin 2024, sur une revue portant sur une vingtaine de dépôts de code et environ quatre-vingt mille lignes, ce qui est un périmètre sérieux pour ce type d’exercice.
Ce que la juridiction détermine, et ce qu’elle ne détermine pas
Le pays du siège décide de trois choses : ce qu’un fournisseur peut être légalement contraint de collecter à l’avenir, ce qu’il doit livrer sur réquisition, et s’il a le droit de vous prévenir. Il ne décide pas de ce qui existe sur les machines au moment où quelqu’un vient les chercher. C’est exactement l’espace dans lequel Windscribe s’est installé : on ne peut pas remettre ce qu’on n’a pas.
La limite de ce raisonnement est qu’il protège contre la saisie ponctuelle, pas contre l’obligation prospective. Si une loi impose demain à un fournisseur canadien de commencer à journaliser les adresses IP, l’architecture sans disque ne sert plus de bouclier : elle sert à ne pas avoir d’historique avant la date d’entrée en vigueur. C’est précisément le scénario qui se joue en ce moment en Suisse, où un projet de révision des obligations de surveillance a conduit Proton à déplacer une partie de son infrastructure et à annoncer qu’il quitterait le pays si le texte passait en l’état. Aucune juridiction n’est acquise, celle du Canada pas davantage que les autres.
Sur le terrain du confort, Windscribe a un argument que Proton VPN n’a pas : le nombre de connexions simultanées n’est pas plafonné, là où l’offre suisse s’arrête à dix appareils. Pour un foyer très équipé, ça compte.
Une remarque sur la façon dont ce genre de démonstration circule. Un fournisseur qui raconte la saisie d’un de ses serveurs raconte un événement qui l’arrange, et il n’existe en général aucune source indépendante pour confirmer le détail de la procédure. Ça ne rend pas le récit faux, ça invite à le traiter comme une déclaration plutôt que comme un fait établi. Le critère le plus solide reste l’architecture elle-même, vérifiable indépendamment de toute anecdote judiciaire : un serveur qui ne monte aucun disque persistant ne peut pas produire d’historique, que la police se déplace ou non. C’est la différence entre une promesse et une propriété du système.
Le fournisseur qui a fait le chemin inverse
Windscribe assume sa juridiction difficile et construit autour. D’autres ont glissé d’un pays sûr vers un pays d’alliance sans le signaler, ce qui n’est pas du tout la même posture. Le cas est documenté dans le pionnier des audits passé sous pavillon américain.
L’autre service à connexions illimitées
Le nombre d’appareils sans limite n’est pas propre à Windscribe, et le fournisseur qui en a fait son étendard est établi dans un pays d’alliance lui aussi. La comparaison est faite dans l’arbitrage entre appareils illimités et juridiction.
Quand la réponse consiste à ne rien savoir de vous
Pousser la logique du « rien à livrer » jusqu’au bout mène à supprimer le compte utilisateur lui-même. Ce modèle est examiné dans le service qui ne demande ni nom ni adresse mail.