VPN no-log : ce que la promesse vaut, et comment la vérifier

31/08/2026

Dernière mise à jour : 05/09/2026

Tous les fournisseurs de VPN annoncent une politique « no-log », c’est-à-dire de non-conservation des journaux de connexion. La promesse est donc sans valeur discriminante : ce qui compte, c’est ce qui la soutient.

Pourquoi ça compte plus que le reste

Un VPN déplace la confiance. Sans lui, votre fournisseur d’accès voit quels sites vous ouvrez ; avec lui, c’est le fournisseur du VPN qui est en position de le voir. Vous ne supprimez pas l’observateur, vous en changez. Toute la question est donc de savoir ce que celui-ci conserve.

Ce que « no-log » ne veut pas dire

Aucun service ne fonctionne sans données. La distinction utile est entre les journaux d’activité — quels sites, à quelle heure, depuis quelle adresse — et les données de compte et d’exploitation : votre adresse e-mail, votre paiement, le volume agrégé, le nombre de connexions simultanées. Un fournisseur peut sincèrement ne rien conserver de la première catégorie tout en gardant la seconde, et c’est le cas normal.

Méfiez-vous donc de la formulation absolue. « Nous ne conservons aucune donnée » est faux chez tout le monde ; « nous ne conservons aucun journal d’activité » est une affirmation précise et vérifiable.

Les trois éléments qui transforment une promesse en indice

• Un audit indépendant, avec le nom du cabinet et l’année. C’est pourquoi nos fiches écrivent « Deloitte, 2025 » plutôt que « audité » : un audit de 2018 ne dit rien de l’infrastructure actuelle, et « audité » sans source ne dit rien du tout. Notez aussi qu’un audit constate une configuration à une date donnée — ce n’est pas une garantie permanente.
• La juridiction. Un fournisseur reste soumis au droit du pays où il est établi, et peut y être contraint de coopérer. C’est une contrainte structurelle qu’aucune politique interne ne surpasse.
• Une mise à l’épreuve réelle. La preuve la plus solide est celle d’un fournisseur sommé de produire des données et incapable de le faire. C’est rare, et c’est autrement plus convaincant qu’une page marketing.

Nous n’avons accès ni aux serveurs ni aux procédures internes des fournisseurs. Nous ne pouvons donc pas certifier qu’un service ne conserve rien — personne d’extérieur ne peut. Ce que nous faisons est plus modeste et plus honnête : rapporter qui a été audité, par qui, quand, et sous quel droit le service opère.

Type 1 ou type 2 : la nuance qui vide un audit de sa substance

C’est la distinction la plus importante de cette page, et elle disparaît systématiquement de la communication comme des comparatifs qui la recopient.

Les audits de non-conservation sont généralement menés sous la norme ISAE 3000, qui prévoit deux niveaux :

• Un rapport de type 1 atteste la conception des contrôles à une date donnée. Autrement dit : le dispositif était correctement pensé le jour de l’examen.
• Un rapport de type 2 teste leur fonctionnement effectif sur une période, généralement plusieurs mois. C’est un tout autre niveau de preuve.

Exemple concret : la vérification d’ExpressVPN par KPMG, publiée en juin 2025, est un type 1 portant sur une situation arrêtée à une date. C’est une attestation par un cabinet des quatre grands, ce que peu de services obtiennent — et cela ne dit rien du fonctionnement du dispositif sur la durée. Les deux affirmations sont vraies en même temps, et « audité par KPMG » les confond.

Autre point à regarder, du même ordre : la période auditée est-elle publiée ? Chez CyberGhost, trois engagements successifs avec Deloitte Roumanie, dont le plus récent annoncé en décembre 2025, et aucune période auditée communiquée pour aucun des trois. Un audit sans période est, par construction, un instantané.

« Audité » ne dit rien tant qu’on ne sait pas de quoi

Le mot recouvre des périmètres qui n’ont presque rien en commun. Sur les sept services que nous comparons, « un audit » a désigné, selon les cas :

• la politique de non-conservation — le périmètre que le lecteur imagine ;
• les applications clientes, ce qui est utile mais ne dit rien des serveurs ;
• un protocole pris isolément — le cœur de Lightway a été examiné quatre fois, ce qui ne concerne ni la journalisation ni l’infrastructure ;
• deux modules annexes sans rapport avec le VPN, présentés dans la même page d’actualité qu’un audit de non-conservation ;
• un instantané d’un seul conteneur, plus des entretiens et une revue de configuration — c’est le périmètre réel de l’examen de hide.me par Securitum, qui ne couvrait ni les applications ni l’infrastructure complète.

La question à poser n’est donc pas « est-il audité ? » mais « qu’a-t-on examiné, quand, et pendant combien de temps ? ». C’est aussi pourquoi notre comparatif nomme le cabinet et l’année plutôt que d’afficher une case cochée.

Pouvez-vous lire le rapport avant de payer ?

Critère simple, rarement mentionné, et très discriminant.

Certains éditeurs publient le rapport complet en accès libre — c’est le cas de hide.me, dont le document de juin 2024 est consultable, et c’est à son crédit même si ce rapport est le plus ancien des sept. D’autres le réservent aux clients connectés : vous devez souscrire pour lire la preuve censée motiver votre souscription. C’est le cas chez CyberGhost.

Un rapport public n’est pas nécessairement meilleur qu’un rapport restreint. Mais il est vérifiable par un tiers, y compris par nous — et c’est la différence entre une preuve et une déclaration au sujet d’une preuve.

Ce qu’une procédure judiciaire établit réellement

Un audit décrit un dispositif. Une réquisition le met à l’épreuve. C’est la meilleure preuve disponible, et elle est rare : la plupart des politiques de non-conservation n’ont jamais été testées.

Celle de Private Internet Access l’a été deux fois devant des juridictions fédérales américaines, en 2016 en Floride et en 2018 en Californie. Dans les deux cas, l’éditeur n’a pu produire aucune donnée permettant d’identifier un utilisateur.

Et voici la formulation exacte, qui compte : aucun journal n’a été produit — non pas « aucun journal n’existe ». La distinction paraît juridique ; elle est en réalité la seule description honnête de ce qu’un tribunal constate. Un juge observe ce qui est remis, pas ce qui est absent. Le prévenu de l’affaire de 2018 a d’ailleurs été condamné, sur d’autres preuves.

Deux pièges de lecture à éviter sur ce terrain :

• Confondre les produits d’un même éditeur. L’affaire suisse très commentée de 2021 concernait le service de messagerie de Proton, pas son VPN — deux produits, deux bases légales, deux régimes techniques. Aucun cas documenté n’a mis le VPN à l’épreuve.
• Prendre une absence de preuve pour une preuve. « Jamais mis en cause » ne veut pas dire « éprouvé ». C’est le cas de la majorité des services, et nous le présentons comme tel.

La juridiction : ce qu’elle change, et ce qu’elle ne change pas

Aucune loi n’impose aux fournisseurs de VPN de conserver des journaux, ni en France, ni dans l’Union européenne, ni aux États-Unis. Les éditeurs le rappellent à juste titre. Ce n’est pas pour autant sans effet.

Ce qui varie, c’est l’exposition aux injonctions : leur fréquence, la facilité de les obtenir, et la possibilité qu’elles soient assorties d’une interdiction d’en parler. Une société immatriculée aux États-Unis est exposée aux lettres de sécurité nationale, qui peuvent être secrètes. Le Panama, la Suisse ou la Malaisie n’offrent pas les mêmes voies d’accès.

Le compromis mérite d’être énoncé franchement, parce qu’il est contre-intuitif : le service dont la politique a été le plus concrètement éprouvée est aussi celui dont la juridiction est la plus contraignante. PIA est immatriculé dans le Colorado. Une politique de non-conservation reste la meilleure protection dans ce cadre — on ne remet pas ce qu’on n’a pas — mais le cadre est plus exposé.

Dernier élément de ce registre, l’avertissement de mandat : une mention publique indiquant qu’aucune réquisition secrète n’a été reçue, et qui disparaît le jour où c’est le cas. Certains éditeurs en publient un, d’autres refusent au motif qu’il n’a pas de portée dans leur droit national — c’est la position de Proton pour la Suisse. Les deux choix se défendent ; ce qui compte est qu’ils soient expliqués plutôt que subis.

Questions fréquentes

Un VPN no-log me rend-il anonyme ?

Non. Si vous êtes connecté à vos comptes, ces services savent qui vous êtes indépendamment du VPN. La non-conservation concerne ce que voit le fournisseur du VPN, pas votre identité en ligne.

Les offres gratuites ont-elles une politique de non-conservation ?

C’est la question centrale à leur sujet. Un service gratuit se finance d’une manière ou d’une autre, et la revente de données de navigation en est une. Les seules offres gratuites que nous retenons viennent d’éditeurs payants, dont le modèle ne repose pas là-dessus. Voir VPN gratuit.

Le pays du fournisseur change-t-il quelque chose en pratique ?

Oui, sur ce qu’il peut être contraint de faire. C’est un critère à considérer avec l’audit, pas à la place.

Voir aussi : VPN et torrent, les protocoles, et nos avis détaillés.