Ce dossier détaille le troisième critère de la grille d'évaluation d'un VPN présentée sur ce site : comment vérifier qu'une politique de non-conservation des journaux correspond à une réalité vérifiable plutôt qu'à une simple formule rassurante affichée sur une page de vente.
Ce qu'une politique de « no-log » promet réellement
Une politique de non-conservation des journaux (« no-log ») est l'engagement, pris par un fournisseur, de ne pas enregistrer les activités de connexion de ses utilisateurs : sites visités, adresses IP d'origine, horodatage des connexions. Le problème, structurel, est que cette promesse repose entièrement sur la confiance accordée au fournisseur, puisqu'il n'existe, par nature, aucun moyen pour un utilisateur de vérifier par lui-même, de l'extérieur, ce qu'un serveur distant enregistre réellement en interne. C'est précisément cette limite structurelle qui rend les éléments de vérification indirecte abordés plus bas indispensables plutôt que simplement facultatifs pour qui veut aller au-delà de la confiance aveugle.
Pourquoi la juridiction du siège social compte
Le pays d'enregistrement d'une société détermine les obligations légales auxquelles elle est soumise, y compris en matière de conservation de données à des fins d'enquête judiciaire. Certaines juridictions imposent une conservation minimale de certaines métadonnées de connexion, indépendamment de la politique commerciale affichée par l'entreprise elle-même ; d'autres, à l'inverse, n'imposent aucune obligation de ce type, ce qui laisse au fournisseur une latitude légale réelle pour appliquer une politique de non-conservation stricte. Le pays d'enregistrement n'est cependant qu'un indicateur parmi d'autres, et non une garantie à lui seul : une société peut être officiellement enregistrée dans une juridiction favorable tout en hébergeant une partie de son infrastructure technique, et donc ses éventuels journaux, dans un pays soumis à des règles bien différentes. Un fournisseur enregistré dans une juridiction sans obligation de conservation n'est pas automatiquement plus fiable pour autant — l'absence de contrainte légale n'empêche pas une conservation volontaire à des fins commerciales — mais l'inverse constitue un signal d'alerte solide : une politique de « no-log » affichée depuis une juridiction qui impose légalement une conservation mérite d'être questionnée en priorité.
Les accords internationaux de partage de renseignement
Au-delà de la seule législation nationale, certains pays sont liés par des accords de coopération en matière de renseignement qui organisent un partage d'informations entre services gouvernementaux partenaires, indépendamment des obligations imposées aux sociétés privées elles-mêmes. L'existence de ces accords ne signifie pas qu'un fournisseur enregistré dans l'un de ces pays est nécessairement compromis, mais elle ajoute une couche de risque théorique supplémentaire dont un utilisateur particulièrement sensible à ces questions peut vouloir tenir compte dans son choix de juridiction, au même titre que la législation nationale elle-même.
Les audits indépendants : ce qu'ils prouvent, et ce qu'ils ne prouvent pas
Un audit indépendant consiste à faire examiner l'infrastructure et le code d'un fournisseur par un cabinet tiers spécialisé, qui publie ensuite un rapport sur ses constatations. C'est aujourd'hui l'élément de preuve le plus solide disponible pour un utilisateur extérieur, mais il comporte des limites qu'il convient de connaître. Un audit ponctuel, réalisé une seule fois à un instant donné, ne garantit rien sur l'infrastructure telle qu'elle fonctionne des mois plus tard, après des mises à jour ou des changements d'architecture non couverts par l'audit initial. Un programme d'audits récurrents, renouvelés à intervalles réguliers et dont les rapports complets sont rendus publics plutôt que résumés dans un communiqué de presse optimiste, offre une garantie sensiblement plus solide qu'un audit isolé mis en avant une seule fois sur une page marketing.
La preuve par les faits : les cas de saisie de serveurs
Au-delà des audits programmés, certains épisodes réels viennent parfois corroborer ou contredire une politique affichée : lorsque les serveurs d'un fournisseur sont saisis par des autorités dans le cadre d'une enquête judiciaire, l'absence de données exploitables qui en résulte constitue une preuve empirique difficile à contester, bien plus convaincante qu'une déclaration commerciale. À l'inverse, la découverte de journaux détaillés sur des serveurs présentés comme ne conservant aucune trace expose immédiatement, et durablement, la politique affichée comme mensongère. Ces épisodes, quand ils sont documentés publiquement et de façon vérifiable, méritent d'être recherchés spécifiquement au nom du fournisseur envisagé plutôt que d'être ignorés au profit du seul discours commercial.
Ce que signifie concrètement « aucune donnée de connexion conservée »
Tous les fournisseurs ne conservent pas rigoureusement zéro information : certains distinguent les journaux d'activité (ce que vous faites en ligne, qu'un fournisseur sérieux ne conserve jamais) des journaux techniques agrégés et anonymisés (volume total de bande passante utilisée sur l'ensemble du réseau, par exemple, sans lien possible avec un utilisateur individuel identifiable), utiles pour la maintenance de l'infrastructure sans compromettre la confidentialité individuelle. Cette distinction, souvent précisée dans le détail d'une politique de confidentialité complète plutôt que dans son résumé marketing, mérite d'être lue attentivement avant de conclure trop vite qu'une mention de conservation, même partielle, invalide entièrement la promesse de non-conservation affichée par ailleurs. À l'inverse, un fournisseur qui prétend ne rien conserver du tout, y compris ces données techniques agrégées pourtant nécessaires au simple fonctionnement et à la facturation de l'infrastructure, mérite un examen plus attentif de la cohérence d'ensemble de son discours.
Comment lire un rapport d'audit sans être expert technique
Un rapport d'audit complet reste souvent long et technique, mais certains éléments s'en dégagent sans expertise poussée : la date de publication et sa fraîcheur, l'identité du cabinet d'audit et sa réputation dans le secteur de la cybersécurité, la portée précise de l'audit — infrastructure serveur complète ou seulement une partie du code applicatif — et la présence ou non de recommandations non corrigées au moment de la publication. Un rapport qui liste des points d'amélioration non résolus n'est pas nécessairement disqualifiant en soi : la transparence sur ces limites reste, paradoxalement, un signe de sérieux plus rassurant qu'un rapport qui n'en mentionnerait aucune.
Un critère à combiner avec les protocoles techniques utilisés
La fiabilité d'une politique de non-conservation reste en partie théorique si l'infrastructure technique qui la porte présente elle-même des failles susceptibles d'exposer votre trafic indépendamment de toute volonté de conservation délibérée. Une politique de juridiction irréprochable combinée à des protocoles de chiffrement obsolètes ou mal configurés n'offre, dans les faits, qu'une protection partielle. C'est pourquoi ce critère gagne à être vérifié en parallèle du quatrième critère de cette grille, consacré aux protocoles et à la sécurité technique, plutôt qu'isolément.
Pris ensemble, la juridiction, les accords de renseignement applicables et les preuves d'audit indépendantes ne constituent jamais, individuellement, une certitude absolue. Leur combinaison, en revanche, permet de construire une évaluation raisonnée nettement plus fiable qu'une simple déclaration affichée en page d'accueil, et applicable à n'importe quel fournisseur envisagé aujourd'hui ou demain, indépendamment de son positionnement marketing du moment ou des changements qu'il pourrait connaître à l'avenir.