Qu’est-ce qu’une politique de journalisation VPN ?

Il existe trois types de données que votre VPN est susceptible d’enregistrer : les journaux d’activité, les journaux de connexion et les journaux agrégés. Il est essentiel de comprendre quel type de données entre dans ces catégories si vous voulez protéger efficacement votre vie privée.

1Journaux d’activité

La collecte de données d’activité est le type de journalisation le plus invasif. Elle supprime tout avantage en termes de confidentialité ou d’anonymat qu’un VPN pourrait offrir.

Également connues sous le nom de « journaux d’utilisation », ces données se rapportent à toutes les données explicitement liées à votre activité en ligne.

La politique de confidentialité de Hola VPN fournit un bon exemple de journalisation d’activité :

Des applications VPN gratuites comme Hola VPN sont souvent coupables de collecter des données d’activité. Ces données sont souvent partagées ou vendues à des tiers à des fins publicitaires, subventionnant ainsi efficacement le coût d’un abonnement.

Certains services VPN « sans journaux » basés sur un abonnement surveillent l’activité des utilisateurs s’ils sont suspicieux à propos d’un individu, ou s’ils sont légalement contraints de le faire. D’autres enregistreront l’activité des utilisateurs en temps réel puis la supprimeront lorsque la session VPN sera terminée.

Par exemple, notre évaluation de SkyVPN a révélé que le service enregistre des informations personnellement identifiables telles que votre adresse IP d’origine et les informations de localisation :

Comme les données sont supprimées si rapidement, ce type de journalisation d’activité n’est pas trop préoccupant. Cela dit, il est préférable de l’éviter autant que possible.

D’autres fournisseurs comme Hide.me sont techniquement incapables de collecter des journaux d’activité en raison de la configuration de leur réseau. D’un point de vue de la confidentialité, ces fournisseurs sont votre meilleure option.

Naturellement, tout VPN stockant des données d’activité doit être évité à tout prix. Si vous êtes préoccupé par la journalisation des activités, jetez un coup d’œil aux VPN les plus populaires qui enregistrent vos données d’activité.

2Journaux de connexion

Les journaux de connexion peuvent être collectés au niveau du serveur (par exemple, l’utilisation totale de la bande passante du serveur) ou au niveau de l’utilisateur (par exemple, votre adresse IP d’origine).

En général, ces données sont utilisées pour optimiser les performances du réseau et résoudre les problèmes des clients.

Les journaux de connexion au niveau du serveur sont un excellent exemple de la raison pour laquelle tous les journaux ne posent pas de problème. Il est pratiquement impossible pour un VPN de maintenir ses performances sans enregistrer la moindre donnée.

En réalité, surveiller et stocker les bonnes données non identifiables aidera à vous garantir la meilleure expérience possible avec votre VPN.

Cependant, stocker les mauvais journaux de connexion pourrait permettre à un service VPN de vous associer à votre activité. Cela pourrait être utilisé pour vous identifier personnellement, ce qui est un problème majeur pour les utilisateurs soucieux de leur vie privée.

Si vous êtes préoccupé par le type de données de connexion que votre VPN enregistre, continuez à lire pour savoir exactement quel type de journalisation est inacceptable.

Voici un exemple de journaux de connexion détaillés au niveau de l’utilisateur provenant de la politique de journalisation de Thunder VPN :

On entend souvent dire que ces données ne sont utilisées que pour « offrir la meilleure expérience possible » ou « améliorer le service à la clientèle », mais nous savons par expérience que ce niveau de détail n’est pas nécessaire pour maintenir un réseau VPN efficace.

3Journaux agrégés

Certains des VPN les plus populaires sur le marché collectent des journaux agrégés. Cela signifie que le VPN collecte des informations qui sont censées être anonymisées et impossibles à lier à un utilisateur spécifique.

Un service VPN peut collecter les sites web que vous visitez, la bande passante que vous utilisez, ou les dates et heures auxquelles vous vous connectez à un serveur. Ils enlèveront ensuite ces informations de tout facteur d’identification et les ajouteront à une base de données plus importante.

Il est important d’être conscient que certains VPN prétendent ne pas conserver de journaux alors qu’en fait ils conservent des journaux agrégés. La politique de confidentialité d’Anchorfree est un parfait exemple de ce que vous devez vérifier :

Au final, les données agrégées et anonymisées ne sont pas toujours la solution miracle que les équipes de marketing voudraient vous faire croire.

Le type exact de données agrégées et l’efficacité du processus d’anonymisation détermineront si ce type de journalisation est acceptable ou non. Vous devez simplement faire confiance à ce que votre service VPN anonymise efficacement vos données.

Si ce n’est pas le cas, il est alors préférable que vous choisissiez un service VPN véritablement sans journaux.

Qu’est-ce qu’un VPN sans journaux ?

Un véritable service VPN sans journaux ne collecte ni ne stocke aucune donnée d’activité ou de connexion qui pourrait être utilisée pour vous identifier personnellement. Mais surtout, il ne recueille ni ne conserve aucune information transmise par le tunnel VPN.

Cela garantit qu’aucun utilisateur ne peut être lié à une activité ou à une connexion spécifique sur le réseau VPN. Chaque utilisateur reste privé, anonyme et inconnu, même du fournisseur de VPN.

La seule information d’identification qu’un VPN sans journaux aura est votre adresse e-mail (pour l’enregistrement de votre compte) et la facturation (au cas où vous souhaiteriez un remboursement).

Les VPN sans journaux ne peuvent pas être contraints de rendre les données des utilisateurs disponibles aux autorités ou à des tiers, car ces données n’existent tout simplement pas.

C’est ainsi qu’une politique de journalisation stricte peut compenser le problème d’une juridiction VPN non sécurisée.

Il est important de noter que « pas de journaux ou sans journaux » ne signifie pas nécessairement qu’aucune donnée n’est conservée. Une véritable politique de « zéro journaux » est effectivement impossible à mettre en œuvre tout en maintenant un réseau solide ou en appliquant des restrictions telles que la limitation du nombre d’appareils

La plupart des VPN conserveront des données très basiques comme les informations de charge globale du serveur (le nombre d’utilisateurs ou la bande passante utilisée par serveur). Il s’agit d’une approche minimale justifiable de la journalisation qui n’implique absolument aucune information identifiante. On parle toujours de VPN sans journaux.

Les services VPN suivants collectent votre historique de navigation et vos données d’activité. Cette forme de collecte est la plus flagrante et doit être évitée à tout prix.

Cette liste n’est en aucun cas exhaustive de tous les VPN qui conservent des données d’activité. Vous devez toujours vérifier personnellement la politique de votre fournisseur avant de lui confier vos données.

Nom du fournisseur	Données collectées	Durée de stockage
Hola Free VPN	URL visités Temps passé sur les pages web Dates et heures d’accès Adresse IP d’origine Type de navigateur	« Aussi longtemps que nécessaire »
McAfee Safe Connect	URL visités Temps passé sur les pages web Horodatage de la connexion Adresse IP d’origine Identifiant unique de l’appareil Type de navigateur Informations sur la localisation Données de fichiers (e-mails, pièces jointes, etc.)	« Aussi longtemps que nécessaire »
Psiphon	Domaines visités Protocole VPN utilisé Durée de la session VPN Utilisation de la bande passante Données de localisation FAI	60 jours
VPN99	URL visités Identifiant unique de l’appareil Adresse IP d’origine Horodatage de la connexion Version du système d’exploitation Type de navigateur	5 ans

*Recueillis par défaut grâce à la fonction « signaler les erreurs opérationnelles » de l’application.

Les utilisateurs de VPN peu méfiants sont souvent induits en erreur par des politiques de journalisation floues, fausses ou délibérément déroutantes, conçues pour donner l’illusion de la confidentialité.

Si vous ne savez pas à quoi vous en tenir, vous risquez d’utiliser un service VPN qui vous met en danger.

Si vous évaluez la politique de confidentialité d’un VPN ou si vous souscrivez un abonnement, vous devez être conscient des problèmes courants suivants.

Si vous êtes déjà familiarisé avec ces questions, vous pouvez passer directement à la section Comment se protéger.

1Une publicité mensongère

Hormis les audits indépendants, il est presque impossible de vérifier réellement la politique de journalisation d’un VPN avant qu’il ne soit trop tard.

En effet, plusieurs fournisseurs de VPN prétendument « privés » ou « sans journaux » ont été pris en flagrant délit de partage de journaux détaillés avec les autorités.

En 2011, le service VPN HideMyAss (HMA), basé à Londres, a joué un rôle clé dans l’arrestation de Cody Kretsinger, un résident de Phoenix âgé de 23 ans. Kretsinger était membre de LulzSec, une branche du groupe de hackers activistes Anonymous.

HMA affirmait être un service de protection de la vie privée qui permettait aux utilisateurs de « surfer anonymement en ligne en toute confidentialité » :

Après avoir retracé le piratage de Kretsinger jusqu’à une adresse IP appartenant à HMA, le FBI a rapidement émis une ordonnance de justice britannique exigeant la communication des journaux de connexion. HMA s’est exécutée et a partagé les journaux de connexion qui ont permis d’identifier Kretsinger.

Bien qu’il soit évident que les activités illégales ne doivent en aucun cas être tolérées, cet incident n’est qu’un exemple parmi d’autres illustrant une sérieuse faille dans l’écosystème des VPN. Le fait de vendre un produit qui prétend explicitement protéger l’identité d’un utilisateur et de faire le contraire est indéniablement trompeur.

HideMyAss n’est pas le seul VPN à avoir des antécédents de publicité trompeuse, IPVanish a également un passé douteux en ce qui concerne l’enregistrement des données.

En 2016, IPVanish a coopéré avec le FBI dans le cadre d’une enquête criminelle. Malgré une politique de confidentialité explicite sur ses pratiques sans journalisation, IPVanish a fini par céder aux demandes de la justice et a fourni aux autorités des données de connexion détaillées.

Bien que cela soit évidemment préoccupant, il est important de souligner que cet incident s’est produit alors que l’entreprise était sous une propriété et une gestion complètement différentes. Pour en savoir plus sur cette affaire, lisez notre évaluation complète d’IPVanish.

Il est fort probable qu’il y ait beaucoup d’autres exemples de VPN soi-disant « sans journaux » partageant des données avec les autorités ou faisant de fausses déclarations dont nous n’aurons tout simplement jamais connaissance. Il est donc important de vérifier les antécédents de votre fournisseur avant de prendre une décision.

2Une ambigüité intentionnelle

Idéalement, toutes les politiques de journalisation des VPN préciseraient clairement quelles données sont conservées pendant et après une session VPN. Hélas, de nombreux fournisseurs misent sur l’ambiguïté pour créer un faux sentiment de sécurité.

La plupart des utilisateurs ne se rendent pas compte que les phrases générales telles que « aucun journaux » ou « no logs » ne sont pas toujours ce qu’elles semblent être. Certains fournisseurs de VPN profitent du fait qu’il n’existe pas de définition standard du terme « journaux » dans l’ensemble du secteur.

Cette faille permet aux services VPN d’éviter d’indiquer explicitement à quel type de données se réfèrent leurs déclarations d’absence de journalisation.

Un fournisseur peut à juste titre annoncer une absence de journalisation pour les données d’activité, mais continuer à collecter des données de connexion personnellement identifiables.

En bref, de nombreux fournisseurs de VPN se disent « sans journaux » selon leurs propres critères.

Si certains journaux de connexion ne sont pas nécessairement mauvais, le fait de faire des déclarations fausses ou contradictoires ne fait qu’ajouter à la confusion et à la méfiance lors de la sélection d’un VPN.

Parallèlement, il est assez fréquent que les déclarations marketing d’un VPN contredisent directement sa politique de confidentialité. La plupart du temps, le VPN affirme sur sa page d’accueil qu’il n’y a pas de journalisation, puis indique soigneusement les données qu’il conserve réellement dans les conditions générales d’utilisation.

ThunderVPN illustre parfaitement ces tactiques. La société annonce clairement une politique « stricte » d’absence d’enregistrement sur Google Play Store :

Cependant, une lecture rapide de sa politique de confidentialité démontre que ce n’est pas du tout le cas :

Non seulement ces pratiques sont malhonnêtes, mais elles sont aussi potentiellement dangereuses pour les utilisateurs de VPN peu méfiants n’ayant pas lu la politique de leur fournisseur dans son intégralité.

Si vous trouvez un VPN qui fait des déclarations contradictoires ou trompeuses sur ses pratiques de journalisation, il est judicieux de réfléchir à deux fois à sa fiabilité. Il est peu probable qu’il s’agisse d’un VPN auquel vous devriez confier vos données sensibles.

3L’absence de détails

Il est surprenant de constater que les fournisseurs de VPN les moins populaires ne disposent d’aucune politique de confidentialité. Bien entendu, s’il n’y a pas de détails sur la collecte des données sur le site web du fournisseur, ce VPN n’est pas digne de confiance.

De même, méfiez-vous des politiques exceptionnellement courtes. De nombreux fournisseurs se contentent d’indiquer :

« Nous ne conservons aucune trace de votre activité lorsque vous êtes connecté au service VPN. »

Ces déclarations ne fournissent aucune explication sur la manière dont vos données pourraient être collectées par d’autres moyens.

La politique de confidentialité de Yoga VPN est un bon exemple de ce qu’il faut éviter. Avec seulement 371 mots, le document entier explique à peine une seule chose sur le fonctionnement de Yoga VPN.

Il est également inquiétant de constater que certains services restent vagues quant à la manière dont les conditions d’utilisation sont appliquées. Plusieurs dizaines de fournisseurs se vantent de ne pas conserver de journaux, mais avertissent les utilisateurs qu’ils « enquêteront sur les comportements suspects » ou « banniront les utilisateurs abusifs » dans la même phrase.

La question qui se pose alors est la suivante : si un VPN ne conserve pas votre adresse IP ou votre activité, comment peut-il enquêter sur un comportement suspect ?

4Les juridictions

Les politiques de journalisation et les juridictions sont étroitement liées. Bien que les juridictions obscures puissent être intéressantes pour la protection de la vie privée, elles peuvent également poser des problèmes en termes de responsabilité.

En effet, il est beaucoup plus difficile de tenir une entreprise à distance pour responsable d’une violation des lois sur la publicité mensongère ou d’une tromperie à l’égard de ses clients. Si un VPN situé au Panama induit délibérément en erreur un client en Allemagne, il n’y a pas grand-chose à faire.

Mais surtout, la juridiction d’un fournisseur de VPN aura une incidence sur son obligation légale d’enregistrer les données et de les communiquer aux autorités. Un service basé aux États-Unis, par exemple, pourrait être contraint de surveiller ses utilisateurs en secret.

Ces juridictions envahissantes posent moins de problèmes si un VPN est vraiment « sans journaux ». En revanche, le choix d’un service situé en dehors de ces pays peut offrir une meilleure protection.

Pour en savoir plus sur le partage des données entre les alliances des cinq, neuf et quatorze yeux, lisez notre guide sur les juridictions VPN.