Le canari qui se tait : ce que publient les VPN sur les demandes des autorités
Ou : comment dire à ses clients qu’on n’a pas le droit de leur dire quelque chose.
La réponse courte : un warrant canary est une déclaration qu’un fournisseur publie à intervalles réguliers pour affirmer qu’il n’a reçu, à telle date, aucune réquisition assortie d’une obligation de silence. Le jour où la déclaration n’est plus mise à jour, ou disparaît, les lecteurs attentifs en tirent la conclusion que l’entreprise n’a pas le droit d’écrire. Le mécanisme vise surtout le droit américain, où certaines demandes (les National Security Letters, les ordonnances prises en vertu de la loi sur le renseignement étranger) interdisent au destinataire d’en révéler l’existence. C’est un outil astucieux, fragile, et de plus en plus abandonné par les fournisseurs VPN au profit des rapports de transparence, qui font partie des signaux à surveiller quand on s’intéresse à ce qu’un service peut être forcé de livrer.
L’idée est attribuée à Steve Schear, sur la liste de diffusion cypherpunk, en octobre 2002. Sa première mise en œuvre connue est un panneau de bibliothécaire américaine : « Le FBI n’est pas venu ici (surveillez attentivement le retrait de ce panneau) ». Le fournisseur de stockage rsync.net en a fait le premier usage commercial en 2006, et son canari actuel, signé cryptographiquement, cite des titres d’actualité et des résultats sportifs du jour pour prouver qu’il n’a pas été rédigé à l’avance. Le détail est charmant et dit tout du problème : un canari n’a de valeur que si l’on peut prouver qu’il est vivant.
Warrant canary VPN : pourquoi les rapports de transparence le remplacent
La fragilité juridique est connue depuis le début. L’EFF estimait en 2014 que les canaris sont légaux parce qu’un gouvernement ne devrait pas pouvoir contraindre quelqu’un à mentir, tout en reconnaissant qu’aucun tribunal ne l’avait jamais confirmé. Je n’ai trouvé aucune décision américaine qui ait tranché depuis. Et le signal est ambigu par nature : quand Reddit a retiré le sien de son rapport publié en mars 2016, son dirigeant a expliqué qu’on lui avait conseillé de ne rien dire, dans un sens comme dans l’autre. Tout le monde a compris, personne n’a rien appris de précis.
Les fournisseurs VPN ont donc glissé vers un format plus bavard. NordVPN a introduit des rapports de transparence en octobre 2024 et abandonne progressivement son canari ; Surfshark, qui publie ses propres rapports depuis août 2024, a annoncé à son tour qu’il renonçait au sien. Ces rapports comptent les demandes reçues et, surtout, disent ce qui a été remis. C’est là que le document devient intéressant, parce qu’il révèle une nuance que le mot « no-log » efface : ne pas journaliser l’activité ne veut pas dire ne détenir aucune donnée.
| Fournisseur | Canari | Ce que montre le rapport |
|---|---|---|
| NordVPN | Abandonné progressivement depuis 2024 | 344 demandes d’autorités en 2025 ; une seule divulgation, sur mandat du parquet panaméen en octobre 2024 : données de paiement et confirmation de l’existence du compte |
| Surfshark | En cours d’abandon | Mandat d’un tribunal d’Amsterdam en avril 2026 : existence du compte et données de paiement remises |
| IVPN | Maintenu, signé, daté par une hauteur de bloc Bitcoin | 34 demandes entre 2016 et 2026, 3 jugées valides, aucune donnée fournie |
| Proton VPN | Jamais utilisé | 458 ordonnances suisses depuis 2017, aucune suivie d’une identification |
Proton explique ne pas publier de canari parce que le droit suisse impose que la personne visée par une mesure de surveillance en soit tôt ou tard informée, ce qui ôte au canari son utilité. Son rapport de transparence contient en revanche la comparaison la plus instructive du marché. Proton VPN a reçu 59 ordonnances en 2025 et n’a pu identifier personne, faute de journaux. La même année, la même société, soumise au même droit, a exécuté 8 313 ordonnances visant Proton Mail sur 9 301 reçues. Même pays, même entreprise, deux services qui ne conservent pas les mêmes choses, deux résultats opposés. Aucun argument sur la juridiction ne résume mieux le sujet.
Lire ces rapports demande donc de regarder la dernière colonne plutôt que la première. Le nombre de demandes dit surtout combien de personnes utilisent le service. Ce qui a été remis dit ce que le fournisseur détient : des données de paiement, l’existence d’un compte. Pour qui paie par carte bancaire à son nom, c’est déjà une information.
Les affaires où la question s’est vraiment posée
Un rapport de transparence agrège. Les cas où des enquêteurs sont venus chercher des journaux, et ce qu’ils ont trouvé ou non, racontent la même chose avec des noms et des dates, dans les réquisitions et saisies documentées.
Une déclaration n’est pas une vérification
Un canari et un rapport de transparence restent des documents rédigés par le fournisseur lui-même. Ce qu’un tiers peut réellement constater sur les serveurs, et à quelle date, relève d’un autre exercice, examiné dans la portée réelle d’un audit no-log.
Ce que le canari ne signalera jamais
Un canari réagit à une réquisition, pas à un changement d’actionnaire. Un fournisseur peut être racheté, changer de pays et de politique de confidentialité sans qu’aucun signal ne s’éteigne. La carte des groupes qui contrôlent les marques les plus connues est dressée dans les propriétaires réels des services VPN.