Accueil › Juridiction, journaux et audits
C'est le critère qui départage le plus nettement les services de VPN, et celui que le marketing brouille le plus. Il ne se résume pas au pays du siège : il combine le droit qui s'applique à l'opérateur, ce qu'il choisit de ne pas enregistrer, et ce qu'un tiers de confiance a réellement pu vérifier. La méthode d'évaluation d'un VPN commence ici parce qu'aucune fonctionnalité ne compense un maillon faible sur ce point.
Le pays où l'entreprise est établie fixe trois choses : les obligations de conservation de données qui pèsent sur elle, les moyens de contrainte dont dispose la justice locale pour obtenir des informations ou installer une surveillance, et les traités d'entraide qui permettent à un État tiers de formuler une demande par le canal officiel.
Le folklore des « 5, 9 ou 14 yeux » — ces alliances de partage de renseignement — est une approximation grossière. Ce qui compte concrètement est plus terre à terre : existe-t-il une loi imposant la rétention des journaux de connexion pour les fournisseurs de ce type de service ? Un juge peut-il ordonner à l'opérateur de commencer à journaliser un abonné précis, sous secret ? La réponse varie d'un pays à l'autre, y compris à l'intérieur d'une même « alliance ». Une juridiction réputée favorable à la vie privée mais dotée d'un pouvoir d'injonction secrète étendue vaut moins qu'un pays neutre sans obligation de rétention.
La question à poser à un service n'est donc pas « êtes-vous dans un pays des 14 yeux ? » mais « quelle loi de conservation vous concerne, et avez-vous déjà reçu une injonction de journalisation ciblée ? ».
L'expression « no-logs » recouvre des réalités très différentes. Pour la lire, distinguez :
Une politique de confidentialité utile nomme précisément chaque donnée, sa finalité et sa durée de conservation. Une politique qui se contente de « nous ne conservons aucune donnée permettant de vous identifier » sans détailler est un signal faible.
Le droit peut généralement contraindre un opérateur à commencer à journaliser un abonné, mais pas à produire un historique qu'il n'a pas gardé. La valeur d'un engagement « sans journaux » tient donc surtout à ce qu'il rend impossible la réponse rétroactive à une demande.
Un rapport d'audit est un signal fort, à condition de savoir ce qu'il atteste. Plusieurs types coexistent :
Regardez qui commande l'audit (l'opérateur lui-même, presque toujours), quel périmètre le contrat autorise, si le rapport complet est publié ou seulement un résumé, et surtout la date. Un audit de trois ans n'atteste plus grand-chose d'une infrastructure qui a changé depuis. La régularité — un audit annuel répété — est un meilleur indice que l'existence d'un audit isolé.
Certains opérateurs font tourner leurs serveurs sans disque, entièrement en RAM : le système et la configuration sont chargés au démarrage depuis une image signée, et tout s'efface à la coupure d'alimentation. L'intérêt : une saisie physique d'un serveur ne livre aucune donnée persistante, et un redémarrage garantit un état propre.
Ce que cela n'empêche pas : une capture de trafic en temps réel ordonnée pendant que le serveur fonctionne, ni la collecte au niveau de l'hébergeur qui fournit la machine. Le serveur en RAM réduit la surface d'exposition passée ; il ne rend pas l'opérateur insensible à une contrainte présente. C'est un bon critère, pas une garantie absolue.
Plusieurs affaires publiques, sans qu'il soit utile de les nommer ici, ont suivi le même schéma : un serveur de VPN est saisi ou son hébergeur reçoit une demande ; l'enquête révèle ensuite ce que l'opérateur conservait réellement. Les enseignements récurrents : les opérateurs qui avaient réduit leur collecte au strict minimum n'ont pu fournir que peu ou rien ; ceux qui gardaient des journaux de connexion « pour la maintenance » ont livré de quoi identifier des abonnés ; et l'écart entre la promesse commerciale et la pratique n'apparaît qu'à cette occasion. D'où l'importance des vérifications faites avant l'incident.
Un rapport de transparence recense périodiquement les demandes reçues des autorités : combien, de quels pays, combien ont abouti à une transmission de données. Un rapport qui affiche « 240 demandes reçues, 0 donnée transmise, car aucune n'était disponible » est plus instructif qu'une simple affirmation « nous ne coopérons pas ». Vérifiez qu'il est daté, chiffré et mis à jour régulièrement.
Le warrant canary est un dispositif indirect : l'opérateur publie et met à jour une déclaration affirmant n'avoir reçu aucune injonction secrète. Si la déclaration cesse d'être mise à jour ou disparaît, les utilisateurs sont censés en tirer une conclusion. Son efficacité juridique est discutée, mais son absence de mise à jour reste un signal à surveiller.
Un État tiers n'a pas de pouvoir direct sur une entreprise établie à l'étranger : il passe par un traité d'entraide judiciaire, procédure lente et encadrée, ou par une coopération informelle entre services. C'est pourquoi la juridiction d'établissement compte : elle détermine quels canaux existent et quelle est leur rapidité. Un pays sans obligation de rétention et hors des grands réseaux de coopération offre, à politique interne égale, une friction supérieure. Cette friction n'est pas une immunité, mais elle change l'économie d'une demande : ce qui est trivial dans un pays devient long et coûteux dans un autre.
Une politique qui reste vague sur l'un de ces points, ou qui renvoie à des formulations génériques sans chiffre ni durée, doit être considérée comme un engagement faible, quel que soit le discours commercial qui l'accompagne.
Une fois ce critère tranché, l'étape suivante est la technique du tunnel lui-même : voir protocoles et chiffrement. Si votre objectif est la sécurité sur un réseau public plutôt que la confidentialité au long cours, passez directement aux fuites et au coupe-circuit.