La politique no-log d’un VPN, expliquée

C’est l’argument numéro un de tous les fournisseurs : « politique no-log », « zéro journal », « nous ne savons rien de vous ». Mais que veut vraiment dire une politique no-log, et surtout, comment savoir si elle tient ses promesses ? Un VPN déplace la confiance de votre fournisseur d’accès vers l’éditeur du VPN : celui-ci voit forcément passer votre trafic. Toute la question est de savoir ce qu’il en conserve. Voici ce que recouvre le no-log, la différence cruciale entre les types de journaux, et la méthode pour vérifier qu’un fournisseur ne raconte pas d’histoires.

Une politique no-log, c’est quoi exactement ?

Une politique no-log, aussi appelée politique « sans journaux » ou « zero-logs », est l’engagement d’un fournisseur VPN à ne pas enregistrer ni conserver les données qui permettraient de relier une activité en ligne à un utilisateur précis. Concrètement, un service réellement no-log ne garde ni la liste des sites que vous visitez, ni votre adresse IP d’origine, ni l’horodatage détaillé de vos sessions. Voici comment se construit, techniquement, une absence de journaux crédible.

Autrement dit, une politique no-log crédible repose sur trois piliers : un engagement clair, une architecture qui le permet, et une preuve indépendante. Si l’un des trois manque, la prudence s’impose.

Journaux de connexion ou journaux d’activité : la différence qui change tout

Tous les « logs » ne se valent pas, et c’est là que beaucoup de communications entretiennent le flou. Il faut distinguer deux grandes familles de journaux.

Les journaux d’activité (usage logs) sont les plus sensibles : ils enregistrent ce que vous faites, à savoir les sites et applications que vous ouvrez, vos requêtes DNS, les fichiers téléchargés, votre historique de navigation. Un VPN qui conserve ce type de données est disqualifié d’office pour la vie privée : c’est exactement ce qu’un VPN est censé masquer.

Les journaux de connexion (connection logs) portent sur les métadonnées de session : horodatage de connexion et de déconnexion, adresse IP d’origine, adresse IP du serveur utilisé, volume de données échangé. Pris ensemble et horodatés à la seconde, ils peuvent suffire à réidentifier un utilisateur. Certains fournisseurs conservent une version agrégée et anonymisée (nombre total de connexions, charge des serveurs) pour maintenir leur réseau, ce qui est généralement acceptable, à condition que ces données ne soient jamais reliables à une personne.

Pourquoi les audits indépendants comptent autant

Un fournisseur peut écrire « no-log » en gros sur sa page d’accueil : rien ne l’y engage tant qu’un tiers n’a pas vérifié. C’est tout l’intérêt de l’audit indépendant, réalisé par un cabinet externe qui inspecte les serveurs, la configuration et les processus internes, puis publie un rapport. On distingue généralement deux niveaux : l’audit de sécurité (chercher les failles) et l’audit d’assurance no-log (confirmer qu’aucune donnée sensible n’est conservée), le plus important pour la vie privée.

Les acteurs les plus transparents publient désormais ces rapports régulièrement. Quelques repères vérifiés à la mi-2026 :

Pourquoi la juridiction du fournisseur pèse dans la balance

Un no-log parfait sur le papier peut être fragilisé par le pays où le fournisseur est légalement établi. Certains États imposent la conservation obligatoire des données de connexion, ou peuvent contraindre une entreprise à surveiller un utilisateur, parfois sans qu’elle ait le droit d’en parler. D’où l’attention portée à la juridiction.

On évoque souvent les alliances de renseignement dites « 5/9/14 Eyes », des accords de partage d’informations entre pays (États-Unis, Royaume-Uni, une partie de l’Europe, etc.). Un fournisseur basé hors de ces zones est réputé moins exposé aux demandes de données. C’est pourquoi beaucoup de VPN choisissent des juridictions respectueuses de la vie privée comme le Panama (NordVPN), les Îles Vierges britanniques (ExpressVPN), la Suisse (Proton VPN) ou la Suède pour Mullvad, réputée collecter très peu.

Les serveurs RAM-only, un gage technique de no-log

Argument de plus en plus mis en avant, et à juste titre : les serveurs fonctionnant uniquement en mémoire vive (RAM-only). Sur un serveur classique, les données s’écrivent sur un disque dur et y persistent, même après extinction. Un serveur RAM-only, lui, n’utilise aucun stockage permanent : tout ce qu’il contient s’efface au moindre redémarrage. Impossible, dès lors, de conserver des journaux durables ou de saisir un disque plein d’historiques lors d’une descente physique.

C’est un vrai atout de vie privée. NordVPN, ExpressVPN (via TrustedServer) et Proton VPN, entre autres, ont généralisé cette architecture. Elle rend la promesse no-log structurellement plus crédible, puisqu’elle ne repose plus seulement sur la bonne volonté du fournisseur, mais sur une contrainte technique.

Comment vérifier la politique no-log d’un fournisseur ?

Vous n’avez pas besoin d’être expert en sécurité pour faire le tri. Une checklist simple suffit à écarter les promesses creuses :

• Lisez la politique de confidentialité, pas juste la page marketing. Elle doit dire clairement ce qui n’est pas collecté (IP, sites, DNS, horaires) et ce qui l’est éventuellement.
• Cherchez un audit indépendant récent, avec le nom du cabinet (Deloitte, KPMG, Cure53, Securitum) et la date. Méfiez-vous du mot « audité » sans rapport consultable.
• Vérifiez la juridiction : où l’entreprise est-elle légalement établie, et ce pays impose-t-il une conservation de données ?
• Regardez l’architecture : serveurs RAM-only, protocoles modernes (WireGuard, ou Lightway pour ExpressVPN), applications open source si possible.
• Cherchez les précédents judiciaires : plusieurs fournisseurs sérieux ont vu leurs serveurs saisis sans qu’aucune donnée exploitable ne soit trouvée, la meilleure preuve d’un no-log réel.

Une politique no-log ne se croit pas sur parole : elle se lit, s’audite et se vérifie.

Ce qu’une politique no-log ne fait PAS

Le point d’honnêteté indispensable. Un no-log audité est essentiel, mais il ne fait pas de miracles :

• Il ne vous rend pas anonyme. Le fournisseur voit passer votre trafic en temps réel, il choisit simplement de ne rien en conserver. Un VPN reste un outil de confidentialité, pas d’invisibilité.
• Il ne vous protège pas si vous vous identifiez (compte Google, réseaux sociaux, achat en ligne) : le service sait alors qui vous êtes, logs ou pas.
• Il ne compense pas de mauvaises pratiques : mots de passe faibles, absence d’antivirus, clics sur du phishing. Le no-log protège les journaux du VPN, pas votre machine.
• Il repose in fine sur la confiance : même audité, vous croyez sur parole que le fournisseur applique ce qu’il déclare. L’audit et les précédents judiciaires réduisent ce risque, sans le supprimer totalement.