Pourquoi la politique no-log est le critère n°1 pour choisir un VPN
Quand vous utilisez un VPN, tout votre trafic Internet passe par les serveurs du fournisseur. Ce dernier a donc, techniquement, la capacité de voir ce que vous faites en ligne. La question fondamentale est la suivante : que fait-il de ces informations ?
Une politique « no-log » (ou « zéro log ») signifie que le fournisseur VPN s’engage à ne conserver aucune trace de votre activité. Mais entre la promesse marketing et la réalité technique, il existe un gouffre que peu d’utilisateurs savent mesurer.
En tant qu’ingénieur en cybersécurité depuis 12 ans, j’ai analysé les politiques de confidentialité de dizaines de fournisseurs. Voici le guide complet pour comprendre ce que « no-log » signifie vraiment, comment vérifier les affirmations d’un VPN, et quels fournisseurs ont prouvé leurs engagements.
Si vous découvrez le monde des VPN, je vous recommande de commencer par notre guide complet pour débutants avant de plonger dans les détails techniques de cet article.
Les différents types de logs qu’un VPN peut conserver
Tous les logs ne se valent pas. Il est essentiel de distinguer les différentes catégories de données qu’un fournisseur VPN peut collecter.
Logs d’activité (usage logs)
Ce sont les plus intrusifs. Ils enregistrent ce que vous faites en ligne :
- Les sites Web que vous visitez
- Les fichiers que vous téléchargez
- Les requêtes DNS effectuées
- Le contenu de vos communications (si non chiffré)
Verdict : Aucun fournisseur VPN réputé ne conserve ce type de logs. Si un VPN collecte des logs d’activité, fuyez immédiatement.
Logs de connexion (connection logs)
Ces données concernent quand et comment vous utilisez le VPN :
- Horodatage de connexion et de déconnexion
- Adresse IP d’origine (avant connexion au VPN)
- Adresse IP du serveur VPN utilisé
- Volume de données transférées par session
- Durée de la session
Verdict : Moins intrusifs que les logs d’activité, mais ils permettent tout de même de dresser un profil de votre utilisation. Les meilleurs VPN n’en conservent aucun.
Métadonnées et logs agrégés
Certains fournisseurs conservent des données « anonymisées » :
- Nombre total de connexions (sans identification individuelle)
- Charge des serveurs (données agrégées)
- Statistiques d’utilisation de bande passante (globales)
- Informations de compte (email, moyen de paiement)
Verdict : Les données de compte sont nécessaires pour le fonctionnement du service. Les statistiques agrégées sont généralement acceptables si elles sont véritablement anonymes.
Tableau récapitulatif des types de logs
| Type de log | Exemples | Risque pour la vie privée | Acceptable ? |
|---|---|---|---|
| Logs d’activité | Sites visités, téléchargements, DNS | Critique | Non |
| Logs de connexion | IP source, horodatage, durée | Élevé | Non |
| Métadonnées agrégées | Charge serveur, bande passante globale | Faible | Oui |
| Données de compte | Email, paiement | Faible à modéré | Nécessaire |
Ce que « no-log » signifie réellement
Le terme « no-log » est devenu un argument marketing que presque tous les VPN revendiquent. Mais la définition varie considérablement d’un fournisseur à l’autre.
La définition stricte
Un VPN véritablement no-log ne conserve :
- Aucun log d’activité : aucune trace de ce que vous faites en ligne
- Aucun log de connexion : aucun horodatage, aucune adresse IP d’origine
- Aucune donnée permettant d’identifier un utilisateur lié à une activité spécifique
La réalité technique
En pratique, un VPN doit effectuer certaines opérations pour fonctionner :
- Authentification : vérifier que vous êtes un abonné légitime
- Gestion des connexions simultanées : limiter le nombre d’appareils connectés
- Routage du trafic : diriger vos données vers le bon serveur
Ces opérations nécessitent un traitement de données en temps réel. La clé est que ces données soient traitées en mémoire vive (RAM) et jamais écrites sur disque dur. C’est la différence entre un traitement temporaire légitime et un stockage permanent problématique.
Les formulations trompeuses à surveiller
Méfiez-vous des termes volontairement vagues dans les politiques de confidentialité :
- « Nous ne conservons pas de logs d’activité » (mais ils gardent les logs de connexion)
- « Nous ne partageons pas vos données avec des tiers » (mais ils les conservent quand même)
- « Vos données sont anonymisées » (l’anonymisation est souvent réversible)
- « Nous conservons des logs pendant une durée limitée » (même 24 heures suffisent pour compromettre votre vie privée)
Comment vérifier les affirmations d’un VPN
Les promesses ne suffisent pas. Voici les méthodes concrètes pour vérifier qu’un VPN respecte réellement sa politique no-log.
1. Les audits de sécurité indépendants
C’est le standard le plus fiable. Un cabinet d’audit externe examine l’infrastructure, le code et les pratiques du fournisseur VPN.
| Fournisseur | Cabinet d’audit | Dernière date | Résultat |
|---|---|---|---|
| NordVPN | Deloitte | 2024 (4e audit) | Politique no-log confirmée |
| ExpressVPN | KPMG + Cure53 | 2024 | Infrastructure TrustedServer validée |
| Surfshark | Deloitte | 2023 | Politique no-log confirmée |
| Proton VPN | Securitum | 2024 | Open-source + no-log validé |
| CyberGhost | Deloitte | 2023 | Transparence confirmée |
NordVPN se distingue particulièrement avec quatre audits Deloitte successifs, ce qui en fait l’un des VPN les mieux vérifiés du marché. Si la question du budget vous intéresse, consultez notre comparatif des meilleurs VPN pas cher en 2026 pour trouver un fournisseur audité à prix abordable.
2. Les précédents judiciaires
Rien ne vaut une mise à l’épreuve réelle. Certains fournisseurs VPN ont été confrontés à des demandes légales ou des saisies de serveurs qui ont prouvé (ou infirmé) leurs engagements.
Cas positifs :
- ExpressVPN (Turquie, 2017) : Les autorités turques ont saisi un serveur dans le cadre d’une enquête. Aucune donnée utilisateur n’a été trouvée, confirmant la politique no-log.
- NordVPN (Finlande, 2022) : Serveur saisi lors d’une investigation. Les logs étaient inexistants, validant les audits Deloitte.
- Private Internet Access (FBI, 2016) : Cité à comparaître par le FBI dans deux affaires distinctes. PIA a confirmé n’avoir aucune donnée à fournir.
Cas négatifs :
- PureVPN (2017) : Malgré une politique « no-log » affichée, PureVPN a fourni des logs de connexion au FBI, permettant l’identification d’un suspect de cyberharcèlement. PureVPN a depuis revu sa politique et s’est soumis à un audit.
- IPVanish (2016) : A fourni des logs au Department of Homeland Security américain, contredisant sa politique no-log.
3. Les Warrant Canaries
Un « warrant canary » (canari de mandat) est une déclaration publiée régulièrement par le fournisseur VPN affirmant qu’il n’a reçu aucune demande secrète de la part d’une agence gouvernementale.
Si cette déclaration disparaît, cela signifie potentiellement que le fournisseur a reçu une telle demande et qu’il ne peut pas en parler légalement (en vertu du Patriot Act aux États-Unis, par exemple).
Fournisseurs avec Warrant Canary actif : NordVPN, Surfshark, ExpressVPN, Private Internet Access.
4. L’infrastructure technique
Les choix techniques d’un fournisseur en disent long sur ses engagements :
- Serveurs en RAM uniquement : Les données sont effacées à chaque redémarrage (ExpressVPN TrustedServer, NordVPN colocated RAM servers)
- Serveurs physiques dédiés : Le fournisseur possède ses propres serveurs (pas de location à des tiers)
- Code open-source : Les applications sont vérifiables par n’importe qui (Proton VPN, Mullvad)
L’importance de la juridiction : Five Eyes et au-delà
La localisation du siège social d’un VPN influence directement sa capacité à protéger vos données.
Les alliances de surveillance
- Five Eyes (5 yeux) : États-Unis, Royaume-Uni, Canada, Australie, Nouvelle-Zélande
- Nine Eyes (9 yeux) : Five Eyes + Danemark, France, Pays-Bas, Norvège
- Fourteen Eyes (14 yeux) : Nine Eyes + Allemagne, Belgique, Italie, Espagne, Suède
Les pays membres de ces alliances partagent des renseignements entre eux. Un VPN basé dans l’un de ces pays pourrait être contraint de coopérer avec les autorités.
Les juridictions favorables
| Juridiction | Fournisseur | Avantage |
|---|---|---|
| Panama | NordVPN | Aucune loi de rétention de données |
| Îles Vierges britanniques | ExpressVPN | Pas de loi de surveillance obligatoire |
| Suisse | Proton VPN | Lois strictes de protection de la vie privée |
| Pays-Bas | Surfshark | Nine Eyes, mais pas de loi de rétention |
| Roumanie | CyberGhost | Hors Five/Nine/Fourteen Eyes |
Attention : La juridiction n’est pas tout. Un VPN basé dans un pays des Five Eyes mais avec une politique no-log vérifiée par audit est préférable à un VPN dans une juridiction « sûre » sans aucune vérification.
Le cas européen et le RGPD
Pour les utilisateurs français, le RGPD offre une couche de protection supplémentaire. Tout fournisseur VPN traitant les données de résidents européens doit se conformer au RGPD, quelle que soit sa juridiction. Cela signifie :
- Droit d’accès à vos données personnelles
- Droit à l’effacement
- Obligation de notification en cas de violation de données
- Minimisation des données collectées
Les fournisseurs VPN avec une politique no-log prouvée
Après analyse approfondie, voici les fournisseurs qui ont objectivement prouvé leur engagement no-log.
NordVPN : le standard de l’industrie
- 4 audits Deloitte consécutifs (2018, 2020, 2022, 2024)
- Serveurs colocalisés en RAM uniquement
- Juridiction : Panama (aucune loi de rétention)
- Saisie de serveur en 2022 sans données trouvées
- Warrant canary actif
NordVPN est le choix de référence pour quiconque fait de la confidentialité sa priorité absolue. Retrouvez notre test complet de NordVPN en 2026 pour un avis détaillé.
ExpressVPN : la technologie TrustedServer
- Audits KPMG et Cure53
- TrustedServer : tous les serveurs fonctionnent uniquement en RAM
- Saisie de serveur en Turquie sans données trouvées
- Juridiction : Îles Vierges britanniques
- Protocole Lightway open-source
Proton VPN : la transparence suisse
- Applications 100 % open-source (vérifiables sur GitHub)
- Audit par Securitum
- Juridiction : Suisse (lois de protection parmi les plus strictes au monde)
- Fondé par des scientifiques du CERN
- Version gratuite disponible sans limite de données
Surfshark : l’audit en progression
- Audit Deloitte en 2023
- Serveurs 100 % RAM
- Connexions simultanées illimitées
- Juridiction : Pays-Bas (membre Nine Eyes, mais pas de rétention obligatoire)
Les signaux d’alerte (red flags) à surveiller
Certains signes doivent immédiatement éveiller votre méfiance :
Dans la politique de confidentialité
- Langage vague : « Nous pouvons collecter certaines informations… »
- Exceptions nombreuses : « Sauf en cas de demande légale, d’abus, de maintenance… »
- Définition restrictive de « logs » : Ne parler que des logs d’activité pour masquer la collecte de logs de connexion
- Modification fréquente : Une politique de confidentialité qui change tous les mois est suspecte
Dans le fonctionnement du service
- Aucun audit indépendant et refus d’en commander un
- Basé dans un pays des Five Eyes sans preuve de no-log
- Gratuit sans modèle économique clair (si c’est gratuit, vous êtes le produit)
- Pas de kill switch : un fournisseur sérieux inclut toujours cette fonctionnalité
- Pas de Warrant Canary publié
Pour comprendre les risques concrets des VPN qui ne respectent pas leurs engagements, lisez notre article sur les dangers des VPN gratuits et les alternatives sûres.
Guide pratique : vérifier la politique no-log d’un VPN en 5 étapes
Voici ma méthode personnelle pour évaluer un fournisseur VPN :
Lire la politique de confidentialité en entier : Pas seulement le résumé marketing, mais le document juridique complet. Cherchez les termes « collect », « retain », « store », « share ».
Vérifier les audits : Le fournisseur a-t-il été audité par un cabinet reconnu (Deloitte, KPMG, Cure53, PwC) ? Les résultats sont-ils publics ?
Rechercher les précédents judiciaires : Le VPN a-t-il déjà été confronté à une demande légale ? Comment a-t-il réagi ?
Analyser l’infrastructure technique : Serveurs RAM ? Code open-source ? Protocoles utilisés ? Consultez notre comparatif des protocoles VPN pour comprendre l’impact sur la confidentialité.
Évaluer la juridiction : Où est basée l’entreprise ? Quelles lois s’appliquent ? Existe-t-il des accords de partage de renseignements ?
Questions fréquentes
Un VPN no-log peut-il être forcé de fournir des données aux autorités ?
Cela dépend de la juridiction et de la technologie. Un VPN comme NordVPN (Panama) ou ExpressVPN (Îles Vierges britanniques) n’est soumis à aucune loi de rétention de données. Même en cas de demande légale, si le fournisseur utilise des serveurs en RAM et ne conserve véritablement aucun log, il n’a physiquement rien à fournir. Les saisies de serveurs de NordVPN et ExpressVPN l’ont confirmé dans la pratique.
Comment savoir si un VPN ment sur sa politique no-log ?
Le moyen le plus fiable est de vérifier l’existence d’audits indépendants récents (moins de 2 ans) réalisés par des cabinets reconnus. Les précédents judiciaires sont également révélateurs : si un VPN a déjà fourni des logs malgré sa politique, c’est documenté publiquement (cas PureVPN, IPVanish). Enfin, l’absence de code open-source et de Warrant Canary doit éveiller votre vigilance.
La juridiction est-elle plus importante que les audits ?
Non. Un VPN audité dans un pays des Five Eyes reste plus fiable qu’un VPN non audité dans une juridiction « sûre ». L’audit prouve une pratique concrète. La juridiction offre un cadre légal favorable. L’idéal est d’avoir les deux : NordVPN (Panama + 4 audits Deloitte) ou Proton VPN (Suisse + open-source + audit) sont les meilleurs exemples.
Dois-je utiliser un VPN no-log même pour le télétravail ?
Absolument. Que vous utilisiez un VPN personnel ou professionnel, la politique no-log garantit que votre fournisseur ne conserve pas de traces de votre activité. C’est particulièrement important si vous travaillez avec des données sensibles. Consultez notre guide complet sur le VPN et le télétravail pour des recommandations adaptées aux professionnels.
Conclusion : la confiance ne suffit pas, exigez des preuves
Dans le monde des VPN, les promesses marketing ne valent rien sans preuves concrètes. Avant de confier l’intégralité de votre trafic Internet à un fournisseur, assurez-vous qu’il a prouvé ses engagements par des audits indépendants, une infrastructure technique transparente et une juridiction favorable.
Les fournisseurs comme NordVPN, ExpressVPN, Proton VPN et Surfshark ont investi des millions d’euros pour prouver leur engagement no-log. Ce n’est pas un hasard : dans un marché de plus en plus concurrentiel, la confiance vérifiable est devenue le principal facteur de différenciation.
Si vous êtes prêt à choisir un VPN de confiance, notre comparatif des VPN pas cher en 2026 vous aidera à trouver le meilleur rapport qualité-prix parmi les fournisseurs audités et vérifiés.