Un VPN sans logs se prouve comment ? Ce que certifie vraiment un audit
Ou : comment on vérifie qu’un fichier n’existe pas, et pourquoi la réponse tient toujours en une date.
La réponse courte : un audit no-log indépendant est le seul moyen pour un tiers de regarder ce qu’un fournisseur VPN affirme ne pas conserver, et il en existe deux familles qui ne mesurent pas la même chose. D’un côté, la mission d’assurance menée par un cabinet d’audit (Deloitte, KPMG, PwC) selon la norme ISAE 3000 révisée : elle vérifie que la configuration et les contrôles correspondent à ce que la direction décrit. De l’autre, l’audit technique conduit par une société de sécurité (Securitum, Cure53, Assured) : des ingénieurs fouillent les serveurs et notent ce qu’ils trouvent. Dans les deux cas, le résultat est une photographie datée, et c’est la pièce centrale de la politique de journalisation d’un fournisseur qu’on vous demande par ailleurs de croire sur parole.
Photographie datée veut dire exactement ça. Un audit atteste qu’à tel jour, dans tel périmètre, des personnes ayant accès aux machines n’ont pas trouvé de journal d’activité identifiant les utilisateurs. Il ne dit rien du lendemain. C’est d’ailleurs l’argument qu’IVPN a avancé en juin 2026 pour expliquer qu’il ne commanderait plus d’audit no-log : un service qui reçoit le tampon peut modifier ses systèmes et commencer à collecter dès le jour suivant. L’argument est honnête, et il a l’avantage supplémentaire de coûter moins cher qu’un audit.
Audit no-log VPN : lire le rapport plutôt que le badge
La mission d’assurance se décline en deux niveaux, et la différence est rarement mentionnée sur les pages d’accueil. L’assurance limitée débouche sur une conclusion négative, du type « rien n’a attiré notre attention ». C’est le niveau retenu par Deloitte pour Private Internet Access, avec un état arrêté au 31 janvier 2024, et le rapport précise lui-même que ce niveau d’assurance est nettement inférieur à l’assurance raisonnable. L’assurance raisonnable, elle, produit une conclusion positive : c’est ce que KPMG a délivré à ExpressVPN, pour un état arrêté au 28 février 2025. Il s’agit dans ce cas d’une mission dite de type 1, qui examine la conception des contrôles à un instant donné. Une mission de type 2 testerait leur efficacité sur une période, ce qui serait plus parlant et qu’on voit beaucoup moins.
L’audit technique produit un document d’une autre nature : une liste de constats classés par gravité. Celui qu’Assured a mené sur les serveurs relais de Mullvad au printemps 2022 est un bon exemple de ce qu’un audit sait trouver. Aucune faille critique, mais deux constats instructifs : les tentatives d’authentification OpenVPN invalides étaient journalisées avec l’adresse IP (dans un fichier vidé toutes les heures), et un réglage de débogage aurait permis d’enregistrer des données clients. Mullvad a publié le rapport et ses corrections, ce qui est précisément le comportement qu’un audit est censé encourager. Aucune page marketing n’aurait mentionné ces deux détails.
| Fournisseur | Auditeur | Nature | Référence |
|---|---|---|---|
| Proton VPN | Securitum | Audit no-log sur les systèmes de production | Mai 2026, cinquième consécutif |
| NordVPN | Deloitte | Mission d’assurance ISAE 3000 | Rapport du 12 décembre 2025 |
| ExpressVPN | KPMG | Assurance raisonnable, type 1 | État au 28 février 2025 |
| Private Internet Access | Deloitte | Assurance limitée | État au 31 janvier 2024 |
| Mullvad | Assured, puis Cure53 | Audits techniques des serveurs | 2022, puis juin 2024 |
| IVPN | Cure53 | Audit no-log, le seul de son histoire | Mars 2019 |
Trois questions suffisent à lire n’importe lequel de ces documents. La date de référence, d’abord : un audit de 2019 porte sur une infrastructure qui a été renouvelée depuis. Le périmètre, ensuite : les serveurs examinés sont-ils la flotte de production ou des déploiements préparés pour l’occasion ? Dans l’audit Assured, il s’agissait de trois déploiements fournis par Mullvad, ce que le rapport dit clairement. Le niveau d’assurance, enfin, quand il s’agit d’un cabinet d’audit. Et une quatrième, plus prosaïque : pouvez-vous lire le rapport ? ExpressVPN exige d’accepter les conditions de KPMG avant de donner accès au document complet, ce qui est légal, courant, et légèrement ironique pour une démarche de transparence.
Quand le serveur lui-même ne peut rien garder
L’audit constate une absence à un moment donné. Une autre approche cherche à rendre la conservation matériellement impossible, en faisant tourner les serveurs sans aucun disque persistant. Mullvad a d’ailleurs annoncé que ses futurs audits porteraient uniquement sur ce type de déploiement. Les avantages et les angles morts de cette architecture sont détaillés dans ce que change un serveur qui démarre sans disque.
La moitié de la chaîne que l’audit ne regarde pas
Un audit no-log porte sur les serveurs. L’application installée sur votre ordinateur, qui gère le DNS, la coupure en cas de perte du tunnel et ce qui part vers le fournisseur, relève d’une autre vérification : la lecture de son code. Qui publie ses sources, et ce que cela prouve vraiment, est examiné dans la question des applications au code public.
Entre deux audits, le seul signal qui reste
Puisqu’un audit ne couvre qu’une date, ce qui se passe entre deux rapports repose sur ce que le fournisseur choisit de publier : le nombre de demandes reçues des autorités, et ce qu’il a pu leur remettre. Ces documents et leurs limites sont passés en revue dans les rapports de transparence et leur canari.