Comment évaluer les audits, les logs, la transparence et la propriété d’un VPN ? J’ai fini par regarder ce qu’il pouvait réellement relier à moi

J’avais presque terminé mon choix.

Dans mon tableau, un fournisseur avait tout ce que j’avais appris à chercher : « no logs », audits indépendants, juridiction connue, plusieurs années d’existence.

Quatre cases vertes.

Je m’apprêtais à installer l’application quand je suis tombé sur une enquête publiée le 27 août 2026 sur les VPN mobiles. Après avoir étudié plus de 7 000 applications dans le monde, Proton indiquait que 85 % des VPN téléchargés dans son échantillon américain contenaient des traceurs. L’étude identifiait également 64 VPN détenus par des sociétés chinoises, dont une partie dissimulait, selon les chercheurs, cette propriété derrière d’autres structures juridiques.

L’étude venait elle-même d’un fournisseur VPN concurrent et son échantillon américain ne décrivait évidemment pas à lui seul le marché français. Mais sa méthodologie était suffisamment détaillée pour me faire rouvrir mon tableau.

J’avais une colonne « audit ». Je n’avais pas de colonne « qu’est-ce qui a réellement été audité ? ». J’avais une colonne « no logs ». Je n’avais pas écrit quels logs.

Et surtout, je n’avais jamais vérifié si le nom affiché dans l’App Store correspondait réellement à l’entreprise à laquelle je confiais mon trafic.

Mon problème n’était plus de trouver le VPN avec le plus de signes de confiance. Je voulais savoir lesquels de ces signes prouvaient réellement quelque chose.

Un VPN déplace la confiance avant de la réduire

La CNIL donne une bonne raison de prendre cette question au sérieux.

Un VPN chiffre le trajet entre l’appareil et son infrastructure et masque l’adresse IP habituelle vis-à-vis des sites. Mais le fournisseur VPN se retrouve lui-même dans une position privilégiée sur le chemin du trafic : il peut notamment connaître l’adresse IP d’origine et les destinations contactées.

Cela ne signifie pas qu’il conserve nécessairement ces informations. C’est justement là que commence la vraie question.

Le tunnel peut fonctionner parfaitement ; il reste à savoir ce que l’entreprise décide de garder une fois qu’elle se trouve à cet endroit du réseau.

C’est là que j’avais accordé trop de poids au mot « no logs ». Je le lisais presque comme « nous ne savons rien sur vous ».

En réalité, une politique no-logs décrit généralement quelque chose de plus précis : quelles catégories d’activité ou de connexion le fournisseur affirme ne pas enregistrer.

La différence paraît abstraite jusqu’au moment où l’on regarde ce qui existe autour du tunnel : adresse e-mail, paiement, identifiant de compte, données de diagnostic, informations de session ou adresse IP de connexion.

J’ai donc cessé de demander simplement :

« Est-ce un VPN no logs ? »

La question qui m’intéressait désormais était plus concrète :

quelles données existent, et lesquelles peuvent être reliées à mon identité ?

Un bon audit est très utile — si je sais ce qu’il a réellement regardé

Je ne suis pas devenu méfiant envers les audits. Au contraire. J’ai simplement arrêté de traiter le mot « audité » comme un tampon universel.

Un exemple récent montre pourquoi. Fin 2025, Deloitte Lithuania a examiné les systèmes, l’infrastructure serveur, les configurations et certains processus de déploiement de NordVPN dans le cadre d’une mission ISAE 3000 consacrée à ses déclarations de non-conservation des logs. L’évaluation s’est déroulée du 10 novembre au 12 décembre 2025.

C’est une preuve autrement plus intéressante qu’un simple badge « audited » posé au bas d’une page.

Mais le détail qui a changé ma manière de lire ces rapports tient presque en une phrase : un audit vérifie un périmètre précis à un moment précis.

Je le vois maintenant comme une photographie prise par quelqu’un d’extérieur.

Une bonne photographie peut montrer énormément de choses. Elle ne montre simplement pas ce qui se trouve hors du cadre.

Depuis, lorsque je vois « audit indépendant », je vérifie surtout trois choses : sa date, son périmètre et la possibilité d’accéder aux conclusions. Si l’audit concerne seulement une application alors que ma question porte sur les logs de l’infrastructure, je ne coche plus automatiquement la case.

Et cette manière de lire les audits m’a conduit à une autre question que mon tableau ignorait complètement :

qui possède réellement le service ?

La propriété n’est pas une formalité cachée au bas des conditions générales

En 2025, des chercheurs de l’Arizona State University, de Bowdoin College et du Citizen Lab ont étudié les liens entre des applications VPN présentées comme provenant de fournisseurs distincts.

Ils ont identifié trois familles d’opérateurs dont les applications dépassaient ensemble 700 millions de téléchargements sur Google Play. Leur analyse s’appuyait notamment sur les documents d’entreprise et le code des applications ; elle a également mis en évidence des infrastructures et des identifiants cryptographiques partagés entre certains services.

C’est là que la propriété a cessé de me sembler secondaire.

Avec un VPN, je demande volontairement à une entreprise de se placer sur le chemin d’une grande partie de mon trafic. Savoir quelle entreprise se trouve réellement derrière l’application n’est donc pas un détail administratif.

Je veux pouvoir répondre à quelques questions simples. Quelle entité juridique exploite le service ? Dans quel pays ? Qui la contrôle ? A-t-elle changé de propriétaire ? Plusieurs marques apparemment concurrentes appartiennent-elles en réalité au même groupe ? Je n’ai pas besoin d’un arbre de sociétés de vingt pages.

Mais si trouver le propriétaire réel demande plus d’efforts que comprendre le fonctionnement du VPN lui-même, le manque de transparence devient une information en soi.

Et une fois cette question ajoutée à mon tableau, une autre colonne est devenue nécessaire.

Le rapport de transparence m’a montré ce qui se passe quand quelqu’un demande vraiment les données

Jusque-là, j’avais quatre éléments. Audit. Périmètre. Logs. Propriété. Puis j’ai commencé à regarder les rapports de transparence.

Ce type de document répond à une question différente : que se passe-t-il lorsqu’une autorité demande réellement des informations au fournisseur ?

Le rapport public de Proton indique par exemple 59 ordres juridiques concernant son VPN en 2025. Le fournisseur affirme qu’ils ont tous été rejetés parce qu’il ne disposait pas des journaux permettant d’identifier l’utilisateur connecté à un serveur donné à un instant donné.

Cela ne remplace pas l’audit. Cela complète l’image. L’audit demande en substance : les systèmes examinés correspondent-ils à la politique annoncée ? Le rapport de transparence demande : qu’est-il arrivé lorsqu’on a réellement réclamé des données ? La propriété répond à : qui porte ces promesses ?

Et la politique de confidentialité répond à : qu’est-ce que cette entreprise affirme collecter ? J’avais essayé de transformer quatre questions différentes en un seul score. C’était pour cela que mes cases vertes me rassuraient sans réellement résoudre le problème.

Une discussion publique apparue le même jour que l’enquête sur les traceurs m’a aidé à mettre des mots sur cette gêne. Plusieurs utilisateurs expliquaient qu’ils ne cherchaient pas nécessairement à « faire confiance » absolument à leur VPN, mais plutôt à choisir l’intermédiaire auquel ils préféraient confier cette partie de leur trafic. Les audits, l’historique et la réputation revenaient justement comme moyens de rendre cette confiance moins aveugle.

Je me suis reconnu là-dedans. Je n’allais jamais pouvoir observer personnellement chaque serveur. Il fallait donc chercher de bonnes preuves.

Mais il existait peut-être une autre manière de réduire le risque : avoir moins de choses à confier dès le départ.

C’est là que j’ai regardé ce que je donnais avant même d’allumer le tunnel

Jusque-là, toute ma recherche commençait après la connexion. Quels logs le serveur conserve-t-il ? Quel audit l’a vérifié ? Que se passe-t-il lorsqu’une autorité demande ces logs ? Puis j’ai ouvert OnlydogVPN^↗.

Le service est plus récent que les grands fournisseurs que je venais d’étudier. Il possède moins d’historique public, moins d’évaluations indépendantes et n’a pas derrière lui la même succession d’audits accumulés année après année.

Je le savais avant de commencer. Mais dans la version testée, quelque chose d’intéressant s’est produit avant même ma première connexion. Je n’ai pas eu à créer le compte conventionnel auquel je m’attendais. Pas de nouvelle adresse e-mail à fournir.

Pas de nouveau mot de passe lié à cette adresse pour commencer l’usage de base.

J’ai connecté le service. J’ai vérifié l’adresse IP publique. Elle avait changé. J’ai ouvert les pages que je voulais consulter et continué normalement.

Le tunnel fonctionnait. Mais après avoir passé autant de temps à réfléchir aux logs, le détail qui m’intéressait le plus se trouvait finalement avant le tunnel.

Il existait tout simplement une information de moins à relier à moi. Et cette petite différence a changé la façon dont je comparais les fournisseurs.

Une donnée qui n’a jamais été demandée n’a pas besoin d’être protégée plus tard

Cela ne transforme évidemment pas l’absence d’adresse e-mail en audit de toute une infrastructure.

Un grand fournisseur disposant d’audits récents, répétés et détaillés conserve un avantage évident lorsqu’on cherche le maximum de preuves externes sur son fonctionnement.

Mais ce n’était plus toute ma comparaison. Une adresse e-mail que je n’ai jamais fournie n’a pas besoin d’être protégée dans une base de comptes. Elle ne peut pas être exposée depuis cette base lors d’une fuite.

Elle ne peut pas non plus devenir le lien direct entre cette identité de compte et mon utilisation du service.

La CNIL rappelle d’ailleurs qu’une adresse e-mail peut constituer un identifiant persistant permettant de rapprocher des activités entre différents services.

À partir de là, le formulaire d’inscription m’a semblé beaucoup moins banal.

Chaque donnée demandée est un objet supplémentaire que le fournisseur doit ensuite conserver correctement, sécuriser, encadrer dans sa politique et éventuellement expliquer lorsqu’une demande légale arrive.

Ne pas demander une information n’est pas une promesse de confidentialité. C’est plus simple que cela : c’est une information qui n’entre pas dans cette chaîne. Pour mon usage, c’était une propriété très concrète.

Mon tableau est devenu plus court au moment où ma décision est devenue meilleure

Je n’utilise donc plus une hiérarchie où « audité » gagne automatiquement et où « no logs » termine la discussion.

Je regarde d’abord ce que le fournisseur peut associer à moi. Ensuite, je regarde les preuves disponibles pour vérifier ce qu’il affirme faire avec le reste. Un audit récent et bien cadré est une excellente preuve. Un historique d’audits répétés est encore plus rassurant.

Un rapport de transparence montre comment les promesses se comportent lorsqu’une demande réelle arrive. Une propriété clairement identifiable me dit qui porte ces promesses. Mais je garde désormais une question avant toutes les autres :

qu’est-ce que le service a réellement besoin de savoir sur moi pour fonctionner ?

C’est aussi pourquoi le petit service est resté installé malgré son historique public plus court. Je n’ai pas décidé que les audits ne comptaient plus. J’ai simplement cessé de leur demander de résoudre seuls une question qui commence bien avant l’audit.

Pour quelqu’un qui veut avant tout le plus long historique possible de vérifications indépendantes, les grands fournisseurs régulièrement audités conservent un avantage solide.

Pour mon usage, le raisonnement commence désormais un cran plus tôt.

Avant de demander si un VPN a suffisamment prouvé qu’il protège correctement les données de mon compte, je regarde d’abord combien de données il a besoin de mettre dans ce compte — et lesquelles je peux éviter de lui donner tout court.