VPN sans logs audité : comprendre la portée d’un audit

Une politique sans logs est une promesse ; l’audit, un contrôle limité

Une politique sans logs décrit les données qu’un fournisseur affirme ne pas collecter ou conserver sur votre activité : sites consultés, horodatages de connexion, adresse IP d’origine ou usage de la bande passante. Cela ne signifie pas forcément que le service ne détient aucune donnée. Un compte ou un moyen de paiement peut, par exemple, laisser d’autres traces.

Un audit indépendant vérifie certains éléments de cette promesse. Selon son périmètre, l’auditeur peut examiner des configurations de serveurs, des journaux système, des outils de surveillance ou des procédures internes, et interroger des employés. Il cherche des indices compatibles avec la politique annoncée. Ce n’est ni une garantie éternelle ni la preuve qu’aucune donnée ne pourra jamais être associée à un utilisateur.

Chaque offre de ce filtre porte la mention « politique sans logs auditée ». Mais cette étiquette ne donne pas, à elle seule, le nom de l’auditeur, la date du contrôle, son périmètre ou sa fréquence. Pour savoir ce qui a été vérifié, il faut consulter le rapport correspondant.

Qui réalise les audits, et pourquoi le nom du cabinet compte

Les rapports relayés publiquement attribuent à PwC les audits sans logs de NordVPN de 2018 et 2020, puis à Deloitte ceux réalisés entre 2022 et 2025. CyberGhost indique avoir fait réaliser deux audits indépendants par Deloitte. Les audits de Proton VPN sont attribués à Securitum dans les comptes rendus disponibles.

Le nom du cabinet ne suffit pas à évaluer une mission. Pour NordVPN, les comptes rendus indiquent que les audits ont été conduits selon la norme ISAE 3000. Ce détail renseigne sur le cadre du contrôle, mais ne remplace pas la lecture de ses conclusions, de ses exclusions et des systèmes inspectés.

Un audit est généralement commandé et financé par le fournisseur. Cela ne rend pas automatiquement le contrôle inutile, mais l’indépendance ne signifie pas que l’auditeur choisit seul chaque question ou chaque système examiné. Vérifiez comment l’accès a été organisé. Certains contrôles de Proton auraient été assistés par l’opérateur : des employés présentaient les systèmes aux auditeurs. Cet accès n’équivaut pas à un accès indépendant complet à distance.

Ce que l’auditeur peut vérifier, et ce qui lui échappe

Un contrôle peut confronter la politique publiée aux pratiques observables. Les travaux rapportés pour NordVPN comprennent des entretiens avec le personnel, l’examen de fichiers de configuration et l’inspection de journaux système en direct, du 10 novembre au 12 décembre 2025. Les audits de Proton ont notamment examiné la gestion des configurations, la surveillance et les alertes censées détecter des changements affectant la politique sans logs.

Ces vérifications ne valent que pour la période et le périmètre accessibles. Un audit des applications clientes n’est pas la même chose qu’un contrôle de l’infrastructure serveur. L’inspection de certains serveurs ne prouve pas que tous les points de présence, sauvegardes ou services sous-traités fonctionnent pareillement. Lisez la liste des environnements couverts et les exclusions du rapport.

Un auditeur peut examiner des configurations, des schémas de bases de données et les journaux présents. Il ne peut pas établir l’intention de chaque développeur ni démontrer qu’un code de journalisation secret n’a jamais été ajouté. Un contrôle ponctuel ne prédit pas non plus les changements futurs : une mise à jour, une nouvelle infrastructure ou une décision juridique peut modifier la situation après la mission.

La conclusion utile est précise : un tiers a vérifié certains systèmes, à une date donnée, et n’a pas relevé tel type de conservation dans ce périmètre. Le rapport ne prouve pas qu’un VPN ne conserve jamais rien.

Lire la date et le périmètre avant de retenir le badge

Un audit est une photographie des contrôles menés à un moment donné. Un rapport ancien peut renseigner sur l’architecture, sans décrire l’infrastructure actuelle. Certains fournisseurs publient des audits récurrents ; d’autres rapports ne montrent qu’une vérification ponctuelle. Comparez la date du contrôle aux changements annoncés et cherchez si une nouvelle mission a été publiée.

La date de synchronisation des tarifs de notre comparaison complète, 31 octobre 2026, n’est pas une date d’audit. Les 22 offres et 22 fournisseurs correspondent à l’ensemble de notre comparaison VPN, pas au seul filtre affiché. Pour juger la preuve, ouvrez le rapport d’audit plutôt que de déduire sa fraîcheur de la présence d’une offre dans le tableau.

• Date : quand les tests ont-ils eu lieu, et pas seulement quand le résumé a-t-il été publié ?
• Cabinet et méthode : qui a conduit la mission, avec quel cadre et quel niveau d’accès ?
• Périmètre : applications, serveurs, procédures, journaux, ou seulement une partie de l’infrastructure ?
• Limites et fréquence : que le rapport exclut-il, et existe-t-il des contrôles successifs ?

Un rapport daté de 2026 n’est pas automatiquement complet : vérifiez aussi les systèmes et la période examinés. Pour un usage professionnel, demandez si les environnements qui traitent votre trafic sont inclus et si le fournisseur peut partager le rapport intégral ou une synthèse détaillée.

Serveurs RAM-only : une protection différente

Un serveur RAM-only conserve ses données de fonctionnement en mémoire vive plutôt que sur un disque persistant. Quand la machine est arrêtée, la mémoire s’efface, ce qui limite les données récupérables sur un serveur hors tension. Cela ne démontre pas qu’un service ne collecte pas de journaux quand il fonctionne.

Sur un serveur actif, des données peuvent exister en mémoire et être accessibles lors d’une acquisition en direct. Le fonctionnement RAM-only ne protège donc pas de la même manière contre l’accès à une machine en marche. Il ne couvre pas forcément chaque fichier stocké sur le serveur : Surfshark a indiqué que ses fichiers de configuration restaient sur des disques durs.

Les deux mesures sont complémentaires. Une politique sans logs auditée concerne les pratiques observées ; le stockage RAM-only concerne la persistance de certaines données après l’arrêt. Proton VPN, qui n’utilise pas de serveurs RAM-only, soutient que la saisie d’un serveur éteint ne révèle pas davantage d’informations que celle d’un serveur de ce type. Comparez donc l’architecture et le périmètre de l’audit, plutôt que de traiter l’un comme un substitut à l’autre.

Les cas réels rappellent pourquoi il faut lire les preuves

En 2017, des journaux de PureVPN ont été utilisés par le FBI dans une affaire de cyberharcèlement au Massachusetts visant Ryan Lin, alors âgé de 24 ans. Les enquêteurs ont retracé une activité à partir de journaux de connexion, alors que le service avait annoncé une politique sans logs. Après cette affaire, PureVPN a publié des audits tiers de sa politique. Ce cas ne décrit pas automatiquement les pratiques actuelles ; il montre l’écart possible entre une promesse et les données effectivement disponibles.

En 2011, HideMyAss a remis des journaux dans une affaire de piratage liée à l’enquête LulzSec, selon les comptes rendus de l’époque. Des défenseurs de la vie privée ont critiqué cette décision au regard de la posture publique de l’entreprise. Ce cas concerne un contexte précis ; il ne permet pas de généraliser à tous les services VPN.

Un audit et des serveurs RAM-only ne neutralisent pas toutes les contraintes légales. Selon la juridiction, un fournisseur peut être contraint de commencer à collecter certaines données. Pour une activité sensible, vérifiez aussi le pays d’établissement, les entités qui exploitent le service et les obligations légales décrites par l’entreprise.

Avant de choisir, identifiez les données que vous cherchez à protéger et le scénario qui vous préoccupe : récupération d’un disque éteint, accès à un serveur actif, conservation de journaux ou demande légale. Confrontez ensuite ce besoin au rapport précis, pas seulement au badge du tableau. Sans date ni périmètre publiés, la mention « audité » reste difficile à évaluer.