« Zéro log », « no-log policy », « nous ne conservons rien » : cette promesse est sur la page de vente de pratiquement tous les VPN du marché. Le problème, c'est que tous ne la respectent pas. Plusieurs fournisseurs qui affirmaient ne rien conserver ont été contraints, au fil d'affaires judiciaires, de remettre à la justice des données qu'ils prétendaient ne pas posséder. La promesse seule ne suffit pas. Voici ce que « zéro log » devrait vraiment signifier, et comment le vérifier.
Qu'est-ce qu'un log ?
Un log, ou journal, est un enregistrement informatique d'un événement. Dans le contexte d'un VPN, plusieurs types de logs peuvent exister. Les logs de connexion enregistrent les moments où vous vous connectez et déconnectez, ainsi que l'adresse IP source. Les logs de trafic, plus intrusifs, enregistrent les sites que vous visitez, les adresses IP de destination, le volume de données et parfois le contenu inspecté. Les logs DNS capturent chaque nom de domaine que vous résolvez : donc chaque site que vous tentez de visiter.
À cela s'ajoutent parfois des logs de durée qui mesurent combien de temps vous restez connecté, et des logs d'identification qui associent votre trafic à un compte, un email ou un moyen de paiement. Plus un VPN collecte ces métadonnées, plus il peut, en théorie, reconstituer un historique complet de votre activité.
Ce qu'un VPN peut enregistrer
Techniquement, un serveur VPN peut tout enregistrer. Il voit votre adresse IP source, puisqu'il doit y répondre. Il voit les adresses IP des sites que vous visitez, puisqu'il doit relayer vos requêtes. Il voit les requêtes DNS, puisqu'il les résout. Il voit le volume de données par session. Il peut même, s'il le souhaite, inspecter le trafic en clair : bien que le HTTPS rende le contenu illisible pour l'essentiel.
La question n'est donc pas seulement « le VPN peut-il enregistrer ? », mais « quelles données sont produites, où, pour quelle durée et avec quels contrôles ? ». Une architecture peut réduire la collecte et la rétention ; elle ne rend pas magiquement toute journalisation impossible.
Pourquoi certains VPN conservent des logs
Plusieurs raisons poussent certains fournisseurs à conserver des logs, même en affirmant le contraire. La première est le dépannage : analyser un incident, comprendre une panne, optimiser le réseau nécessite souvent des données de connexion. La deuxième est le marketing : connaître les habitudes d'usage permet de segmenter les clients et de cibler des offres. La troisième, plus préoccupante, est la conformité légale : certaines juridictions obligent les opérateurs à conserver des données de connexion pendant des mois, et un VPN soumis à ces lois peut se retrouver contraint d'enregistrer, qu'il le veuille ou non.
La juridiction et les obligations légales du fournisseur font donc partie de l'analyse. Elles doivent être examinées avec la politique publiée, la configuration technique et les éventuels rapports indépendants, plutôt que résumées par un slogan.
Ce que signifie réellement « zéro log »
Une politique de non-journalisation utile doit définir précisément les adresses IP, destinations, requêtes DNS, horodatages, volumes et identifiants concernés. Elle doit aussi distinguer le contenu du trafic des données techniques nécessaires à la sécurité et à l'exploitation.
Supprimer un formulaire de compte peut réduire les identifiants directs, mais une adresse IP, un paiement, un appareil ou un horodatage peuvent encore permettre des corrélations. Seuls des contrôles techniques, organisationnels et indépendants permettent d'évaluer la portée réelle d'une politique.
Le problème des promesses sans preuve
Sur le site d'un VPN, on lit invariablement « we don't log ». Mais cette affirmation, écrite par le fournisseur lui-même, n'a aucune valeur probante. Le fournisseur a tout intérêt à la brandir, qu'elle soit vraie ou non. Plusieurs affaires documentées ont montré des VPN promettant zéro log, puis remettant à la police des données de connexion qui ont conduit à l'identification d'utilisateurs. La promesse marketing s'est effondrée face à la réalité technique.
Pour croire à une politique zéro log, il faut des preuves indépendantes. Deux sources font autorité : les audits indépendants et les affaires judiciaires.
Les audits indépendants et les affaires judiciaires
Un audit indépendant consiste à faire analyser l'infrastructure d'un VPN par un cabinet de sécurité externe, qui vérifie la configuration des serveurs, l'absence de journaux persistants, et la cohérence entre la promesse et la réalité technique. Un audit sérieux publie un rapport public, signé, et le renouvelle périodiquement : car une infrastructure évolue, et un audit ponctuel ne vaut que pour un instant.
L'autre preuve est l'épreuve judiciaire. Quand un VPN est saisi par les autorités et qu'aucune donnée ne peut être extraite des serveurs, l'affaire devient une démonstration par les faits : la promesse a tenu face à la contrainte. Plusieurs VPN reconnus ont ainsi vu leurs serveurs confisqués sans que rien n'en sorte, ce qui a corroboré leur politique de manière beaucoup plus crédible que toute déclaration marketing.
À l'inverse, les VPN qui ont livré des données à la justice ont prouvé, par les faits, que leur promesse était trompeuse. Le suiveur d'affaires garde en mémoire ces cas : ils sont la meilleure évaluation indépendante qui existe.
L'approche de BloomVPN
BloomVPN active le service avec une clé plutôt qu'avec un formulaire de profil classique. Après confirmation du paiement, la clé est affichée une seule fois dans le navigateur ayant initié la commande. Le prestataire de paiement peut traiter les informations nécessaires à sa prestation.
Côté serveur, la clé reste dans une enveloppe chiffrée jusqu'à la récupération unique, puis son empreinte SHA-256 est conservée pour valider l'accès. La base contient aussi les états et dates d'achat, des références du prestataire, les jetons d'appareil hachés, ainsi que les clés publiques et états de profils WireGuard nécessaires au service.
Cette minimisation réduit certaines données directement demandées par BloomVPN, sans rendre la corrélation techniquement impossible. Les nœuds, reverse proxies, prestataires et systèmes hôtes peuvent produire des métadonnées ; leur configuration et leur rétention doivent être contrôlées séparément.
BloomVPN publie une politique de non-journalisation du contenu et de l'historique du trafic VPN, mais aucun audit indépendant de l'infrastructure n'est encore publié. Cette limite est plus honnête qu'une promesse absolue : la configuration réelle des nœuds et de l'hébergement doit être vérifiée périodiquement.
Prêt à protéger votre vie privée ?
Une clé d'accès, un tunnel WireGuard® et des limites publiées clairement.