Méthodologie : comment nous analysons les politiques de confidentialité VPN
Afin d’établir notre tableau comparatif des VPN sans log, nous nous sommes penchés sur leurs politiques de confidentialité.
Cette page décrit les sections à examiner, les formulations à surveiller, et les critères qui distinguent une politique transparente d’un texte insuffisamment précis.
⚠️ **Avertissement**
Cette page présente une méthodologie d’analyse des politiques de confidentialité publiées par les fournisseurs VPN. Elle est fournie à titre informatif et éducatif uniquement.
**Ce document ne constitue pas :**
– un conseil juridique, technique ou d’achat personnalisé,
– une garantie sur les pratiques réelles d’un fournisseur,
– une certification ou validation d’un service VPN.
Les exemples et critères présentés reflètent notre grille de lecture éditoriale et ne prétendent pas décrire des obligations légales exhaustives.
**Limites :**
– Une politique de confidentialité est un document déclaratif, pas une preuve technique.
– Les fournisseurs peuvent modifier leurs politiques à tout moment.
– Seuls des audits indépendants peuvent confirmer les déclarations d’un fournisseur.
**Responsabilité :** Toute décision d’achat ou d’utilisation d’un service VPN reste sous votre responsabilité exclusive. Consultez directement les politiques officielles des fournisseurs avant toute souscription.
Les limites structurelles d’une politique de confidentialité (et pourquoi elle reste indispensable)
Une politique de confidentialité est un document public qui engage un VPN sur ses déclarations légales. Elle ne prouve rien techniquement. Elle décrit un cadre d’engagements et de pratiques déclarées, mais ne reflète pas automatiquement la réalité opérationnelle.
Ce qu’une politique de confidentialité d’un VPN permet d’évaluer
Un engagement légal formel
Le RGPD, le CCPA/CPRA et d’autres cadres imposent des obligations strictes : description des données collectées, finalités, durées de conservation, tiers impliqués.
Une politique inexacte ou trompeuse peut exposer un fournisseur à des sanctions, selon la juridiction et l’application effective des cadres réglementaires.
La cohérence interne du fournisseur
Un VPN affirmant “no-log” tout en mentionnant la collecte d’IP ou de métadonnées techniques pour améliorer l’expérience peut révéler une incohérence dans la formulation.
Les politiques doivent identifier les intervenants externes, tels que :
– processeurs de paiement,
– hébergeurs,
– outils analytics,
– plateformes de support.
Ces tiers peuvent être soumis à des lois extraterritoriales (Cloud Act, FISA), avec un impact potentiel sur la portée effective des garanties de confidentialité.
La juridiction applicable
Le pays d’enregistrement influence le cadre légal : rétention de données, degré de surveillance, obligations de divulgation, alliances de renseignement (5/9/14 eyes) et transferts internationaux.
Ce qu’une politique de confidentialité ne peut jamais prouver
L’absence effective de logs
Une politique peut déclarer “aucun log”, sans démontrer :
- absence de journaux temporaires,
- absence d’écriture involontaire sur disque,
- discipline interne,
- stabilité de la configuration réseau,
- absence de logs produits par des composants tiers.
Sans audit indépendant, incident documenté ou architecture inspectable, la non-collecte reste déclarative.
Collecte ≠ traitement ≠ stockage : la distinction critique
Un VPN doit recevoir l’adresse IP de l’utilisateur au moment de l’établissement de la connexion (handshake). Cette donnée est nécessaire pour acheminer le trafic et disparaît immédiatement si elle n’est pas écrite sur disque.
Ce qui caractérise réellement un VPN no-log n’est donc pas l’absence de réception d’une IP, impossible techniquement, mais l’absence de stockage ou de journalisation persistante.
Les journaux externes invisibles
Certaines données ne figurent jamais dans les politiques, car elles n’appartiennent pas au VPN :
- journaux anti-DDoS de l’hébergeur,
- logs firewall automatiques,
- systèmes IDS/IPS,
- monitoring réseau bas niveau.
Ces journaux sont temporaires mais totalement opaques.
La pérennité des pratiques
La plupart des politiques incluent une clause de modification unilatérale :
« Cette politique peut être modifiée à tout moment. »
Cette clause permet au fournisseur d’adapter le texte aux évolutions légales ou techniques, sans notification systématique.
Les VPN les plus transparents signalent néanmoins les changements importants via leur blog ou par email. Une politique est une photographie à l’instant T, pas un engagement immuable.
Synthèse : un signal, jamais une garantie
Une politique de confidentialité informe, engage publiquement le fournisseur, met en lumière les éventuelles incohérences et révèle le niveau de transparence, mais elle ne prouve ni la discipline interne, ni la réalité de l’infrastructure. C’est un point de départ incontournable, pas une conclusion.
Comment analyser une politique de confidentialité VPN : méthode complète
Cinq sections concentrent l’essentiel des informations utiles. L’analyse doit être précise et méthodique. L’objectif est de détecter zones grises, formulations ambiguës, omissions, incohérences.
Section “Data we collect” : la pierre angulaire
Cette section définit les limites techniques du VPN. Trois catégories doivent être distinguées sans ambiguïté.
A. Données d’application (légitimes et non sensibles)
- version de l’application,
- système d’exploitation,
- langue,
- rapports de crash (opt-in),
- données techniques nécessaires au support.
Un VPN dépourvu de ces données ne peut assurer un support fiable.
C. Logs d’utilisation (données critiques)
Les plus sensibles :
- historique de navigation,
- requêtes DNS,
- ports, protocoles,
- destinations du trafic,
- tout identifiant persistant.
Les politiques les plus transparentes déclarent explicitement le non-stockage de ces données.
B. Logs de connexion (données sensibles)
- adresse IP d’origine,
- timestamps (début/fin),
- durée de session,
- serveur utilisé,
- volume de données transféré.
Certaines politiques utilisent des formulations génériques comme « informations techniques », « métadonnées anonymisées » ou « nécessaires au fonctionnement », sans préciser leur périmètre exact.
D. Section “Ce que nous ne collectons pas”
Les fournisseurs les plus transparents ajoutent souvent une section dédiée listant l’absence de :
- IP d’origine,
- timestamps,
- DNS,
- données d’activité,
- corrélation session-utilisateur.
Son absence peut constituer un indicateur d’opacité.
E. Termes génériques : l’importance de la précision
Certaines politiques utilisent des termes génériques qui, sans définition précise, peuvent couvrir un périmètre large :
– « diagnostics anonymisés »
– « métadonnées techniques »
– « amélioration des performances »
– « prévention des abus »
– « analyse réseau »
Ces termes ne sont pas problématiques en soi. Ils deviennent ambigus uniquement lorsque la politique ne précise pas :
– quelles données sont exactement concernées,
– comment elles sont collectées,
– combien de temps elles sont conservées,
– si elles permettent une corrélation avec l’utilisateur.
Section “Third-party sharing” : identifier les points faibles invisibles
Les tiers constituent une part critique de la chaîne de traitement. Trois catégories doivent être analysées.
Ils doivent être listés nominalement :
- Stripe,
- PayPal,
- Adyen,
- BTCPay.
Ils reçoivent :
- adresse e-mail du compte (le cas échéant),
- informations de transaction,
- identifiant du compte VPN.
L’absence de liste peut indiquer un manque de transparence.
Une politique très transparente précise généralement :
- serveurs loués ou possédés,
- contrôle physique,
- serveurs RAM-only ou non,
- chiffrement de l’infrastructure,
- localisation réelle des nœuds.
L’absence de précisions sur l’hébergement peut indiquer un manque de transparence.
C. Outils de support et d’analyse
- Support (Zendesk, Intercom, Crisp) :
- tickets,
- e-mail,
- identifiant de compte.
Analytics (site web) :
- IP du site,
- cookies,
- logs HTTP.
Une politique sérieuse décrit ces données et leur finalité.
Section “Data retention” : ce que durent réellement les données
Une politique fiable donne des durées chiffrées par catégorie :
- données de facturation : 7 ans,
- crash reports : 30 jours,
- logs VPN : 0 jour.
Les formulations à éviter :
- “aussi longtemps que nécessaire”,
- “pour assurer le fonctionnement”,
- “conformément aux obligations légales” (sans durée).
Sans chiffres, aucune vérification n’est possible.
Section “Legal requests” : la transparence réelle
A. Rapport de transparence
Nombre de demandes, nature, réponses.
B. Procédure de contestation
Indication explicite que les demandes abusives sont contestées.
C. Notification à l’utilisateur
Uniquement si aucune ordonnance de non-divulgation n’est active.
D. Formulations à risque
- “coopère pleinement”,
- “respecte toute demande légale”,
- “conformément aux lois applicables”.
Ces termes impliquent potentiellement une transmission large.
Section “Governing law” : le poids de la juridiction
Le pays d’enregistrement détermine :
possibilité de rétention obligatoire,
Une juridiction “idéale” n’existe pas ; seule compte la cohérence entre :
Que penser des VPN qui sont dans les "5 yeux" ?
Les 5 eyes sont une alliance de renseignement qui comprend le Canada, le Royaume-Uni, l’Australie, la Nouvelle-Zélande et les États-Unis. Il s’agit d’un traité de coopération en matière de partage de renseignements entre services de renseignement. Cet accord ne cible pas spécifiquement les VPN, mais concerne l’ensemble des opérateurs télécoms et fournisseurs d’accès. Un VPN basé dans un pays 5 eyes peut appliquer une politique de confidentialité stricte, à condition que son infrastructure et ses audits confirment l’absence de logs.
→ Pour en savoir plus : VPN et alliances 5 eyes
Quels VPN sont hors des 5/9/14 yeux
Bien que les alliances de renseignement ne ciblent pas directement les VPN, de nombreux utilisateurs préfèrent choisir un fournisseur basé hors de ces juridictions pour minimiser tout risque légal futur. Les VPN situés en Suisse, à Panama, aux Îles Vierges Britanniques ou en Roumanie bénéficient généralement de cadres juridiques perçus comme plus favorables à la confidentialité, et proposent souvent des options techniques avancées. Cela ne dispense toutefois pas de vérifier leur politique, leurs audits et leur historique.
→ Liste des VPN hors alliances : VPN hors alliances 5/9/14 eyes
Existe-t'il des VPN en Europe mais hors des 14 yeux ?
Oui, plusieurs pays européens ne font pas partie des alliances 14 eyes. La Suisse et la Roumanie ont notamment des lois strictes sur la protection de la vie privée, qui limitent la surveillance de masse et la rétention obligatoire de données. Ces juridictions hébergent plusieurs VPN réputés pour leur transparence et leurs audits indépendants.
→ Liste complète : VPN européens hors 14 eyes
Et pour ceux qui sont dans les 14 yeux ?
Les 14 eyes regroupent les 9 eyes (5 eyes + Danemark, France, Norvège, Pays-Bas) ainsi que l’Allemagne, la Belgique, l’Italie, l’Espagne et la Suède. Ces pays partagent des renseignements de sécurité nationale en cas de menace sécuritaire grave, mais ne sont pas tous soumis aux mêmes obligations de surveillance. Un VPN basé dans un pays 14 eyes peut appliquer une politique no-log, à condition que sa juridiction n’impose pas de rétention obligatoire et que son infrastructure soit vérifiable (audits, serveurs RAM-only, rapports de transparence).
→ Pour en savoir plus : VPN et alliances 14 eyes
Ce qu’une politique de confidentialité révèle réellement
Une politique transparente expose :
1. Indices positifs de transparence
- vocabulaire précis, non marketing,
- distinction claire application/connexion/utilisation,
- section “ce que nous ne collectons pas”,
- tiers listés nominalement,
- durées de conservation chiffrées,
- rapport de transparence,
- contestation des demandes abusives,
- mise à jour récente.
2. Ce qu’aucune politique ne peut couvrir
- composants réseau hors périmètre (hébergeur, IDS/IPS, anti-DDoS),
- comportement réel du réseau sous charge,
- anti-abus internes,
- discipline opérationnelle,
- configuration serveur réelle.
Ces éléments ne sont accessibles que par audit externe, incidents documentés ou infrastructure réellement vérifiable (open-source, RAM-only, audits continus).
Checklist : éléments à vérifier dans une politique de confidentialité
| Élément à vérifier | Ce qu'il faut chercher | Ce qui rend la vérification difficile |
|---|---|---|
| Types de données | Distinction claire entre données d'application et logs VPN | Absence de section décrivant ce qui n'est pas collecté |
| Section « Ce que nous ne collectons pas » | Présente et détaillée | Absente |
| Durées de conservation | Durées chiffrées par catégorie de données | Formulations génériques (« aussi longtemps que nécessaire ») |
| Tiers impliqués | Noms, rôles et localisation des partenaires | Formulations vagues (« partenaires de confiance ») |
| Demandes légales | Rapport de transparence et procédure de contestation documentés | Absence de détails sur le traitement des demandes |
| Date de mise à jour | Politique mise à jour régulièrement (suivi réglementaire) | Politique non mise à jour depuis plusieurs années sans explication |
| Claims d'anonymisation | Mécanisme technique décrit | Terme utilisé sans précision technique |
Conclusion : un outil partiel, mais incontournable
Une politique de confidentialité ne constitue pas une preuve technique d’absence de journaux. Elle reste un document déclaratif qui ne couvre pas l’ensemble de la chaîne opérationnelle ni la constance des pratiques internes dans la durée.
Mais c’est aussi le point de départ indispensable : elle définit les engagements publics du fournisseur, fixe un cadre vérifiable et sert de référence aux audits, aux analyses externes et aux comparatifs sérieux. Sans elle, aucune évaluation crédible n’est possible.
Elle révèle :
- le niveau de rigueur du fournisseur,
- son rapport à la transparence,
- sa structure juridique,
- la cohérence entre marketing et réalité,
- l’importance accordée à la confidentialité.
Une politique précise n’est pas une preuve. Une politique vague n’est pas une accusation.
Mais une politique précise + audits + infrastructure maîtrisée + rapport de transparence + juridiction cohérente = forte plausibilité du no-log.
C’est cette convergence qui distingue réellement les VPN crédibles des autres.
Pour aller plus loin
Ces pages complémentaires abordent des aspects techniques et juridiques liés à l’usage des VPN :