Qui peut obliger votre VPN à parler, et ce qu'il aurait à dire
Ou : un VPN sans logs, c’est une promesse faite dans un pays, par une société, à une date. Les trois comptent.
Vous cherchez un VPN sans logs parce que vous voulez que votre activité en ligne ne soit consignée nulle part. C’est la bonne intuition, mais la question utile n’est pas « ce fournisseur garde-t-il des journaux ? », puisqu’il répondra toujours non. C’est « qui pourrait l’obliger à en garder, qui l’a déjà vérifié, et que se passerait-il si on venait les lui demander ? ». La réponse dépend du droit du pays où la société est établie, de son appartenance éventuelle aux alliances de partage du renseignement, de la façon dont ses serveurs sont construits, des audits qu’elle accepte et de l’identité de son actionnaire. C’est le socle de tout choix d’un VPN sans journalisation, et c’est aussi la partie que les comparatifs traitent en une ligne.
Un VPN « no-log », pour répondre à la question telle qu’on la tape dans un moteur de recherche, est un service qui s’engage à ne pas enregistrer ce que vous faites à travers lui : sites visités, requêtes DNS, adresse IP d’origine associée à une session. L’engagement ne porte presque jamais sur tout. Le fournisseur connaît votre moyen de paiement, souvent votre adresse électronique, parfois l’existence d’un compte à votre nom, et les rapports de transparence montrent que c’est exactement ce qu’il remet quand un tribunal le lui ordonne. La différence entre un VPN sérieux et un autre ne se lit donc pas dans la promesse, mais dans ce qui l’entoure : le droit qui pourrait la rendre caduque, les contrôles qui la vérifient, les précédents qui l’ont éprouvée.
VPN sans logs et juridiction : quatre couches à vérifier, pas une
La première couche est le droit. Un fournisseur n’est pas protégé par une alliance ou par une réputation, il est soumis au droit du pays de l’entité qui facture. Ce droit dit ce qu’il doit conserver aujourd’hui et, plus inquiétant, ce qu’on pourrait lui imposer demain. La Suisse en offre la démonstration en direct : une révision de l’ordonnance sur la surveillance des télécommunications, mise en consultation en 2025, étendrait des obligations d’identification et de conservation aux services comme les VPN. Face à l’opposition, le Conseil fédéral a annoncé en février 2026 une analyse d’impact et une seconde consultation, et Proton déplace déjà une grande partie de son infrastructure hors du pays.
La deuxième couche est technique : ce qui existe physiquement sur les machines. Un serveur qui journalise, un serveur qui ne journalise pas, un serveur qui ne possède aucun disque, trois situations qui donnent trois résultats différents le jour d’une saisie. La troisième couche est la vérification : audits indépendants, code des applications publié, rapports de transparence. Aucune n’est parfaite, toutes valent mieux qu’une page marketing. La quatrième, la plus négligée, est la propriété : un rachat peut changer le pays, la politique et l’équipe d’un service sans que son nom ou son application changent.
| Couche | Question à poser | Où trouver la réponse |
|---|---|---|
| Droit | Quelle entité facture, dans quel pays, soumise à quelle obligation ? | Conditions d’utilisation, textes de loi |
| Technique | Que reste-t-il sur un serveur saisi ? | Documentation technique, audits d’infrastructure |
| Vérification | Qui a regardé, quand, avec quel périmètre ? | Rapports d’audit, dépôts de code, rapports de transparence |
| Propriété | Qui encaisse, et depuis quand ? | Registres des sociétés, annonces de rachat |
Quel VPN est le plus sérieux, alors ? Celui qui répond aux quatre questions avec des documents plutôt qu’avec des adjectifs. Quel est le plus anonyme ? Aucun, et les affaires judiciaires montrent que l’identification passe le plus souvent par une erreur de l’utilisateur plutôt que par le fournisseur. Les neuf sections qui suivent reprennent chaque couche en détail.
Cinq, neuf, quatorze : l’arithmétique des alliances
Les Five, Nine et Fourteen Eyes reviennent dans tous les comparatifs, rarement avec la bonne explication. Ce sont des accords entre agences de renseignement, pas des obligations imposées aux entreprises, et la Belgique fait partie du troisième cercle. Leur histoire, leur composition et leur effet réel sur un fournisseur sont détaillés dans le fonctionnement des alliances de renseignement.
Le siège affiché, l’entité qui facture et le droit qui s’applique
NordVPN est exploité depuis le Panama par un groupe néerlandais dont les équipes sont à Vilnius ; ExpressVPN signe ses contrats aux îles Vierges britanniques pour un propriétaire basé à Londres. Démêler quel droit s’applique à qui est l’objet de la comparaison des juridictions suisse, panaméenne et lituanienne.
Ce que votre fournisseur d’accès garde déjà
Avant même le VPN, votre fournisseur d’accès belge conserve douze mois l’adresse IP qui vous a été attribuée. Le VPN ne supprime pas cette conservation, il déplace ailleurs ce qu’elle ne montre plus. Le cadre européen, belge et français est expliqué dans les obligations de conservation du FAI face au VPN.
Prouver une absence, une date à la fois
Un audit no-log est une photographie datée, et il en existe deux familles qui ne mesurent pas la même chose : la mission d’assurance d’un cabinet comptable et l’audit technique d’une société de sécurité. Comment lire ces rapports, et ce qu’ils ne disent pas, se trouve dans la portée réelle des audits de journalisation.
Des serveurs qui n’ont rien à remettre, tant qu’ils sont éteints
Les serveurs sans disque effacent tout au redémarrage, ce qui protège contre une saisie et pas contre un accès à une machine allumée. Proton a choisi une autre voie et l’explique publiquement. Le débat est présenté dans l’argument du serveur qui tourne en mémoire vive.
Les procureurs ont déjà fait le test
PureVPN et IPVanish ont remis des journaux qu’ils disaient ne pas tenir, HideMyAss les données de connexion qu’il conservait ; Private Internet Access et Mullvad n’avaient rien à donner. Ces dossiers, classés selon la solidité de leurs sources, sont réunis dans les réquisitions judiciaires qui ont visé des VPN.
Compter les demandes plutôt que les promesses
Le warrant canary, cette déclaration qui signale en disparaissant, cède la place aux rapports de transparence, plus bavards et plus utiles. Proton y publie la comparaison la plus parlante du marché entre son VPN et sa messagerie. Le sujet est traité dans ce que révèlent les rapports de transparence.
La seule pièce que vous pouvez inspecter vous-même
L’application installée sur votre machine est la seule partie de la chaîne dont vous pouvez lire le code, à condition que le fournisseur le publie. Qui le fait, sous quelle licence, et ce que ça prouve, est examiné dans les clients VPN au code ouvert.
L’actionnaire, ce critère qu’aucun tableau n’affiche
Une poignée de groupes contrôle une grande partie des marques connues, et certains possèdent aussi des sites qui les classent. La carte des propriétaires est dressée dans les groupes qui détiennent les services VPN.
Les autres questions à régler avant de souscrire
- les comparatifs service contre service
- l’accès distant pour une petite équipe
- se connecter depuis un Wi-Fi public
- le coût réel d’un abonnement
- les protocoles et les fuites à vérifier
- les obligations réglementaires des PME
- ce qu’un VPN ne fait pas pour vous
- la configuration sur chaque appareil
- les briques de sécurité autour du tunnel