FAQ

Comment analyser la politique no-log d’un VPN ?

Lorsque vous examinez la politique de confidentialité d’un VPN, concentrez-vous sur trois points essentiels :

  1. Quels types de données le VPN conserve-t-il ?
  2. Ces données sont-elles agrégées et anonymisées ?
  3. Combien de temps sont-elles conservées ?

Il est préférable d’éviter les VPN dont la politique de confidentialité est excessivement courte ou utilise des formulations vagues qui ne répondent pas clairement à ces trois questions.

Prenons un exemple concret en comparant le site web de NordVPN à sa politique de confidentialité. Sur son site, NordVPN se présente comme un « VPN zéro log ».

Le site web de NordVPN

Le site de NordVPN affirme donc que le service ne conserve aucun journal.

Cependant, en consultant sa politique de confidentialité, nous avons constaté que NordVPN enregistre tout de même certaines données sensibles, comme la majorité des VPN. Plus précisément, il est indiqué que le service conserve votre nom d’utilisateur ainsi qu’un horodatage de l’état de votre dernière session.

Cela pourrait être préoccupant si ces informations étaient stockées sur une longue durée. Or, la politique de confidentialité précise que ces données sont supprimées automatiquement dans les 15 minutes suivant la fin de la session.

Extrait de la politique de confidentialité de NordVPN

NordVPN classe ces informations comme nécessaires au bon fonctionnement de son service VPN.

Pour l’utilisateur moyen, il n’y a donc pas lieu de s’inquiéter, car la probabilité qu’une fuite de données survienne dans un délai aussi court est extrêmement faible.

Cet exemple illustre toutefois la frontière parfois floue entre ce que les VPN déclarent ne pas enregistrer et ce qu’ils collectent réellement.

Dans ce cas précis, NordVPN se considère comme no-log, car même si certaines données sont collectées, elles sont supprimées peu après la fin de la session.

Les audits indépendants de journalisation sont-ils importants ?

Le principal problème des politiques no-log est qu’elles sont quasiment impossibles à vérifier de l’extérieur. C’est pourquoi certains VPN font appel à des auditeurs indépendants pour examiner en détail leur politique no-log et leur infrastructure de serveurs.

En théorie, l’intervention d’un tiers chargé de vérifier si des serveurs conservent des journaux permet de limiter les biais et les manipulations des résultats.

En pratique, un VPN peut toutefois orienter un audit en ne présentant qu’un serveur spécifique, soigneusement nettoyé, alors que d’autres serveurs du réseau pourraient stocker des données.

De plus, rien ne garantit qu’un serveur exempt de données sensibles pendant une période d’audit de deux semaines ne commence pas à collecter des informations une fois l’audit terminé.

Même lorsqu’un VPN réalise un audit externe approfondi révélant des failles importantes, il peut choisir de ne pas publier les résultats si ceux-ci sont défavorables.

En résumé, un audit indépendant démontre un réel engagement en faveur de la transparence et d’une politique no-log respectueuse de la vie privée. En revanche, il ne garantit pas que l’ensemble du réseau de serveurs soit totalement exempt de données sensibles.

Qu’est-ce qu’un serveur VPN sans disque ?

Lorsque vous vous connectez à un serveur VPN classique, les données que vous transmettez sont stockées sur des disques durs physiques jusqu’à ce qu’elles soient effacées manuellement.

Si ces serveurs sont saisis par les autorités ou piratés alors que les données n’ont pas été supprimées, celles-ci peuvent potentiellement être consultées.

Pour éviter ce risque, certains VPN utilisent des serveurs sans disque, qui effacent automatiquement les données à intervalles réguliers ou dès qu’un serveur est saisi.

Ces serveurs fonctionnent uniquement en RAM (mémoire vive), un type de mémoire temporaire qui nécessite une alimentation électrique constante pour conserver les informations.

Dès qu’un serveur est éteint ou redémarré, toutes les données stockées en mémoire sont instantanément supprimées.

Un réseau de serveurs sans disque est donc nettement plus respectueux de la vie privée qu’un réseau reposant sur des disques durs.

En revanche, cette technologie reste rare dans l’univers des VPN. Seuls quelques fournisseurs disposent des ressources nécessaires pour mettre en place une infrastructure de serveurs aussi avancée.

Les services de chat en direct et les prestataires de paiement collectent-ils des données ?

Les services VPN peuvent faire appel à des prestataires tiers pour le support client (comme Zendesk) et le traitement des paiements (comme Stripe ou PayPal), lesquels peuvent collecter certaines données.

Les services de chat en direct, en particulier, peuvent enregistrer votre adresse IP, votre adresse e-mail et des informations sur votre appareil au cours d’une conversation.

Les VPN sérieux abordent généralement ce point dans leur politique de confidentialité, même si ces informations ne sont pas toujours faciles à repérer.

De leur côté, les prestataires de paiement chargés de traiter les abonnements en ligne peuvent avoir accès à votre nom complet, votre adresse et d’autres informations de facturation.

Ce n’est pas nécessairement problématique, car de nombreuses institutions financières sont régulées par les autorités nationales compétentes.

Ces données sont également indispensables si vous souhaitez demander un remboursement dans le cadre d’une garantie « satisfait ou remboursé ».

Comment rester anonyme face aux services tiers liés à un VPN :

  1. Inscrivez-vous avec un nom fictif et une adresse e-mail jetable.
  2. Utilisez un moyen de paiement anonyme, comme une carte cadeau, une carte virtuelle, des cryptomonnaies ou des espèces.
  3. Contactez le support client uniquement via une clé PGP ou une adresse e-mail jetable si vous avez des questions.