Comment vérifier l'engagement no-logs d'un VPN : 5 tests

Comment vérifier la promesse « no-logs » d’un VPN ? Vous ne pouvez pas inspecter ses serveurs, mais vous pouvez évaluer la solidité des preuves derrière cette promesse : lisez ce que dit réellement la politique, cherchez un auditeur nommé et un rapport, vérifiez ce que cet audit couvrait et à quelle date, cherchez des tests en conditions réelles comme des perquisitions et des affaires judiciaires, et vérifiez qui détient l’entreprise et comment elle a géré les mauvaises nouvelles.

Cela compte, car un VPN voit tout ce que votre fournisseur d’accès voyait auparavant. Le guide de l’EFF pour choisir un VPN le dit sans détour : si un VPN masque votre navigation à votre FAI, tout reste visible pour le fournisseur du VPN¹. Et il prévient : « Même si une entreprise affirme ne pas conserver de données de connexion, ce n’est pas une garantie de bon comportement. »¹ Les cinq tests ci-dessous s’appuient sur des exemples réels tirés des fournisseurs que nous couvrons, dont un cas où la promesse n’a pas tenu.

Que signifie réellement « no logs » ?

Cela signifie généralement que le VPN n'enregistre pas ce que vous faites dans le tunnel ni rien qui relie une connexion à votre personne. Cela ne signifie presque jamais que l'entreprise ne stocke aucune donnée.

Il existe deux grands types de journaux. Les journaux d'activité enregistrent ce que vous faites : sites visités, requétes DNS, fichiers téléchargés. Les journaux de connexion enregistrent des métadonnées sur la session : votre adresse IP réelle, le serveur VPN utilisé, le moment et la durée de la connexion, le volume de données échangé. Un VPN qui ne conserve aucun journal d'activité mais conserve des journaux de connexion peut quand méme aider à vous relier à une action si l'on connaît l'IP du serveur et l'heure, ce qui est exactement ce qui s'est passé dans l'affaire PureVPN ci-dessous. Tout VPN détient aussi des données de compte et de paiement, puisqu'il doit vous facturer.

Test 1 : que dit réellement la politique de confidentialité ?

Lisez la politique, pas la page d’accueil. Une politique digne de confiance indique ce qui est conservé, pendant combien de temps et pourquoi ; une politique faible affiche « no logs » en gros caractères et mentionne plus bas des « données de connexion » ou des « données d’utilisation » sans les expliquer.

L’EFF note qu’un fournisseur de VPN peut enregistrer vos données s’il ne l’exclut pas expressément dans sa politique de confidentialité¹. Cherchez donc des exclusions explicites. La politique de Mullvad est un bon exemple du niveau de détail à attendre. Elle indique qu’il n’y a « aucune journalisation des connexions, y compris le moment où une connexion est établie, où elle se termine, sa durée, ou tout type d’horodatage »², et aucune journalisation des adresses IP ni des requêtes DNS. Elle liste ensuite ce qu’elle conserve : le numéro de compte et sa date d’expiration, des informations de paiement variables selon le moyen de paiement, et les documents que les règles comptables suédoises l’obligent à conserver pendant sept ans. Le nombre de connexions actives par compte n’est conservé qu’en mémoire. Tous les éléments de cette liste ne vous plairont peut-être pas, mais vous pouvez les voir.

Comparez avec ce que TorrentFreak a révélé en 2017. PureVPN se présentait comme ne conservant aucun journal, mais sa politique de confidentialité indiquait que ses serveurs enregistraient automatiquement les heures de connexion et la bande passante³. Lorsque le FBI a enquêté sur un homme du Massachusetts pour une campagne de cyberharcèlement, PureVPN a pu indiquer aux agents qu’un client avait utilisé son service depuis deux adresses IP, l’une à son domicile et l’autre chez son employeur. La politique promettait aussi de ne conserver aucun enregistrement « pouvant associer une activité précise à un utilisateur précis ». Les deux affirmations étaient techniquement vraies, et ensemble elles ont suffi à identifier un suspect. PureVPN a ensuite déclaré avoir modifié sa politique et l’avoir fait auditer de manière indépendante ; sa page « no-log »⁴ indique désormais qu’il n’enregistre ni l’IP d’origine d’un utilisateur, ni l’IP VPN attribuée, ni l’heure de connexion.

Test 2 : un auditeur est-il nommé, et pouvez-vous lire le rapport ?

Une mention d’audit ne vaut pas grand-chose sans un cabinet nommé, une date et un rapport ou un résumé que vous pouvez ouvrir. Si un fournisseur affirme avoir été « audité de manière indépendante » mais refuse de dire par qui, considérez cette affirmation comme non vérifiée.

L’EFF décrit l’intérêt de cette démarche : les fournisseurs de VPN peuvent soumettre leur service à des audits de sécurité réalisés par des tiers, dont les résultats sont ensuite rendus publics¹. Plusieurs des fournisseurs que nous couvrons le font précisément :

Quelques détails de ce tableau méritent d’être relevés. Proton met en lien ses cinq rapports Securitum, de 2022 à 2026, sur une seule page¹¹, ce qui permet de vérifier facilement la promesse soi-même. Les deux premières missions d’assurance de NordVPN, en 2018 et 2020, ont été réalisées par PwC¹² avant son passage à Deloitte. La page « no-logs » de PIA mentionne des audits Deloitte en 2022, 2024 et 2025¹³, le dernier achevé le 19 décembre 2025, mais PIA remet les rapports complets à ses clients¹⁴ au lieu de les publier ouvertement. PureVPN est le cas le plus délicat. En 2020, il a publié un article intitulé « KPMG Validates PureVPN No-Log Claims »¹⁵, mais sa page « no-log »⁴ actuelle décrit une évaluation de février 2023 par un « cabinet d’audit bien connu » non nommé et qualifie PureVPN de « VPN d’audit permanent » que le cabinet peut contrôler sans préavis. Quand l’auditeur actuel n’est pas nommé et que le rapport n’est pas public, vous ne pouvez pas juger de sa portée : accordez-lui moins de poids qu’à un rapport que vous pouvez lire.

Test 3 : que couvrait l’audit, et quand a-t-il eu lieu ?

Vérifiez trois points : si l’audit a porté sur un instant précis ou sur une période, s’il a testé l’affirmation no-logs ou la sécurité en général, et quel âge il a. Les audits varient beaucoup sur ces trois aspects.

Un jour précis, ou des mois ?

La plupart des audits « no-logs » de VPN sont des missions d’assurance relevant d’une norme appelée ISAE 3000, et beaucoup décrivent l’état des lieux à une date unique. Le rapport KPMG 2025 d’ExpressVPN a vérifié la conception de ses contrôles « no-logs » au 28 février 2025⁷. Le rapport Deloitte de PIA décrivait les configurations des serveurs au 30 juin 2022⁸. L’auditeur de Proton décrit sa revue 2026 comme ponctuelle, portant sur un échantillon de serveurs⁵. Un contrôle ponctuel vous indique que les contrôles étaient correctement configurés ce jour-là. Il en dit moins sur leur fonctionnement tout au long de l’année. Une mission qui teste le fonctionnement des contrôles sur une période, souvent appelée « Type 2 » dans le vocabulaire de l’assurance, constitue une preuve plus solide : cherchez cette formulation en lisant un rapport.

Audit no-logs ou audit de sécurité ?

Ils répondent à des questions différentes. L’audit Cure53 de Mullvad en 2024 a testé la sécurité d’un serveur de préproduction OpenVPN et d’un serveur WireGuard¹⁰ ainsi que du code de déploiement ; il a relevé un problème de gravité moyenne et un de gravité faible (tous deux corrigés) et aucun moyen de compromettre l’anonymat des utilisateurs. C’est précieux et cela renseigne sur la façon dont les serveurs sont construits, mais ce n’est pas un rapport présenté comme une vérification no-logs. Considérez les deux types comme utiles et ne les confondez pas.

À quel point est-il récent ?

Le seul audit no-logs d’IVPN a été réalisé par Cure53 en 2019, et l’entreprise indique qu’elle ne commandera pas d’autres audits no-logs et s’appuiera plutôt sur des audits de sécurité annuels⁹. Cette position est défendable et clairement annoncée, mais elle signifie que vous vous fondez sur des preuves plus anciennes pour cette affirmation précise. Même un audit récent et sans réserve n’est qu’un instantané : l’EFF note qu’il n’y a aucune certitude que les pratiques ne changent pas après l’audit, surtout si elles y sont contraintes¹ par un gouvernement.

Test 4 : l’affirmation a-t-elle résisté à une épreuve réelle ?

La preuve la plus solide, c’est ce qui s’est passé lorsque quelqu’un disposant d’un pouvoir légal est venu frapper à la porte : perquisition, saisie de serveur ou assignation dans une affaire judiciaire. Ces cas sont rares et ne se provoquent pas, mais lorsqu’ils sont publics, ils valent plus que n’importe quel audit.

• Mullvad, 2023. La police suédoise s’est présentée au bureau de Mullvad à Göteborg avec un mandat de perquisition pour saisir des ordinateurs contenant des données de clients. Mullvad affirme qu’aucune donnée de ce type n’existait¹⁶, et les agents sont repartis sans rien emporter.
• ExpressVPN, 2017. Les autorités turques ont saisi un serveur d’ExpressVPN dans le cadre de l’enquête sur l’assassinat de l’ambassadeur de Russie. ExpressVPN a déclaré que son examen n’avait fourni aucune information utile¹⁷, car il ne conserve aucun journal de connexion.
• Private Internet Access, 2016. Dans une affaire pénale en Floride portant sur de fausses alertes à la bombe, le FBI a assigné PIA. Selon la plainte pénale, rapportée par TorrentFreak, la seule information que PIA a pu fournir est que les adresses IP utilisées provenaient de la côte est¹⁸ des États-Unis. (TorrentFreak a précisé que PIA était l’un de ses sponsors.) Lors d’un procès fédéral pour piratage à San Jose en 2018, le directeur juridique de PIA a témoigné que PIA ne conserve aucun journal¹⁹ de l’activité Internet de ses clients.
• Windscribe, 2025. Les procureurs grecs ont poursuivi personnellement le PDG de Windscribe après qu’un de ses serveurs en Finlande aurait été utilisé dans une intrusion en 2023. L’affaire a été classée le 11 avril 2025²⁰, Windscribe affirmant n’avoir aucun journal à fournir. Windscribe indique aussi ne conserver, pour un compte, que la date de dernière utilisation et un total de bande passante sur 30 jours²¹.
• PureVPN, 2017 : le contre-exemple. Comme décrit dans le test 1, les enregistrements de connexion de PureVPN ont aidé le FBI³ à relier un suspect de cyberharcèlement à ses adresses IP personnelle et professionnelle, malgré son marketing no-logs.

Les épreuves réelles peuvent aussi révéler les limites de la loi plutôt que celles du fournisseur. En 2021, Proton a été contraint par une ordonnance suisse contraignante, à la suite d’une demande de la police française via Europol, de journaliser l’adresse IP d’un militant français²² sur Proton Mail, son service de messagerie. Le PDG de Proton a indiqué que le droit suisse ne peut pas être utilisé de la même façon pour imposer la journalisation d’un VPN. Ce qu’il faut en retenir : un fournisseur ne peut tenir une promesse no-logs que dans la mesure où la loi du pays où il opère le permet. L’EFF fait la même remarque : le fournisseur sera soumis aux lois de ces pays, y compris celles qui régissent les demandes des autorités¹.

Test 5 : à qui appartient-il, et comment a-t-il géré les mauvaises nouvelles ?

Une promesse no-logs ne vaut que ce que vaut l’entreprise qui la fait. Cherchez à savoir qui possède le fournisseur, où il est établi juridiquement, et avec quelle rapidité et quelle honnêteté il a révélé ses incidents passés.

• Rapidité de divulgation. En mars 2018, un attaquant a accédé à un serveur de NordVPN dans un centre de données en Finlande, via un système de gestion à distance non sécurisé laissé par l’hébergeur. NordVPN a affirmé que le serveur ne contenait aucun journal d’activité des utilisateurs, mais la faille est devenue publique en octobre 2019²³, environ un an et demi plus tard.
• Changements de propriétaire. Kape Technologies, anciennement appelée Crossrider, a racheté ExpressVPN en 2021²⁴ pour environ 936 millions de dollars, et possède aussi Private Internet Access et CyberGhost. Un nouveau propriétaire hérite de la promesse no-logs, et les audits antérieurs à la vente décrivent l’ancienne entreprise.
• Incidents récents. En 2026, Surfshark a indiqué qu’un serveur de test interne mal configuré avait été accessible depuis Internet²⁵, ainsi qu’un serveur proxy. L’entreprise affirme que l’infrastructure VPN de production et les données des clients n’ont pas été touchées. La manière dont une entreprise explique un tel incident, et ce qu’elle fait ensuite, en dit long.

Aucun de ces faits n’exclut un fournisseur. Les failles de sécurité arrivent aussi aux entreprises sérieuses, et les changements de propriétaire sont courants. Ce qu’il faut évaluer, c’est si l’entreprise vous en informe rapidement et clairement. L’EFF ajoute un critère humain : « Si le VPN a été créé par des personnes reconnues dans la communauté de la sécurité informatique, il a plus de chances d’être digne de confiance. »¹

Comment ces vérifications s’articulent-elles ?

Aucun test ne prouve à lui seul qu’un VPN ne conserve aucun journal. Un fournisseur qui réussit les cinq mérite plus de confiance que celui qui affiche simplement « no logs » en gros caractères.

Voici une méthode rapide. Commencez par le test 1 : si la politique est floue, arrêtez-vous là. Cherchez ensuite un auditeur nommément cité (test 2) et vérifiez la portée et la date de l’audit (test 3). Recherchez le nom du fournisseur avec « perquisition », « saisie », « réquisition » ou « tribunal » pour trouver des éléments du test 4, puis lisez son historique d’incidents (test 5). Nos avis sur Mullvad, Proton VPN, NordVPN, ExpressVPN, PIA, Windscribe et PureVPN rassemblent ces éléments pour chaque fournisseur, avec les sources, et notre comparatif des VPN sans journaux les met côte à côte.

Si vous hésitez encore à utiliser un VPN, commencez par Ai-je besoin d’un VPN ?, et si vous envisagez un VPN gratuit, lisez d’abord VPN gratuits ou payants : c’est avec les services gratuits que ces tests échouent le plus souvent.