« Sans journal » est l'argument le plus répandu du marché du VPN, gratuit comme payant. Le guide principal en fait un critère d'évaluation à part entière, parce que la formule recouvre des réalités très différentes selon ce qu'elle englobe et selon qu'elle est vérifiée ou seulement affirmée. Cette page distingue les types de journaux, explique ce qu'un fournisseur peut être contraint de garder, et donne les points à contrôler.
Ce qu'est une métadonnée de connexion
Quand vous vous connectez à un VPN, plusieurs informations existent, indépendamment du contenu de votre navigation : votre adresse IP réelle (celle attribuée par votre fournisseur d'accès), l'adresse IP du serveur VPN qui vous est attribuée, l'horodatage de début et de fin de session, le volume de données transféré, et parfois le port ou le protocole utilisé. Ces éléments sont des métadonnées. Prises ensemble et conservées, elles permettent de relier une activité observée à la sortie d'un serveur VPN à un abonné précis, à un moment précis.
Journaux de connexion contre journaux d'activité
La distinction est essentielle. Un journal d'activité enregistre ce que vous faites : URL visitées, requêtes DNS, destinations. Sa conservation est incompatible avec la fonction d'un VPN de confidentialité. Un journal de connexion enregistre les métadonnées décrites plus haut, sans le détail de l'activité. Beaucoup de services qui se disent « sans journal » entendent « sans journal d'activité », tout en conservant des journaux de connexion pendant une durée donnée. Ce n'est pas un mensonge, mais ce n'est pas non plus l'absence totale de trace que la formule laisse entendre.
Ce qu'un fournisseur peut devoir conserver pour fonctionner
Certaines données transitoires sont nécessaires à l'exploitation du service : le nombre de connexions simultanées pour faire respecter une limite d'appareils, un compteur de volume pour appliquer un plafond de données gratuit, des indicateurs de charge par serveur, des mécanismes de prévention des abus. La question n'est donc pas « ces données existent-elles » mais « sont-elles agrégées et éphémères, ou individuelles et conservées ». Un fournisseur sérieux précise la nature exacte de ce qu'il garde et la durée de rétention. Une politique qui reste floue sur ce point doit être traitée comme si la rétention était longue.
Les adresses IP partagées
Lorsque des centaines d'utilisateurs sortent par la même adresse IP au même moment, relier une action précise à un abonné devient difficile en l'absence de journaux détaillés. C'est un mécanisme de protection réel, et les offres gratuites y recourent massivement, par contrainte de coût. À l'inverse, une adresse IP dédiée — proposée en option payante — vous réidentifie de fait. Pour un usage de confidentialité, l'IP partagée est préférable.
La résolution DNS
Chaque site que vous visitez donne lieu à une requête DNS qui traduit son nom en adresse. Si le VPN gère lui-même cette résolution sur ses propres serveurs, la requête reste dans le tunnel. S'il la délègue à un tiers, ou pire, s'il laisse fuir la requête vers le résolveur de votre fournisseur d'accès, la liste des domaines que vous consultez devient visible en dehors du tunnel. La politique DNS d'un VPN gratuit se vérifie par un test de fuite, décrit sur la page limites techniques.
Ce qu'un audit indépendant apporte, et sa limite
Un audit de non-journalisation consiste, pour un cabinet externe, à inspecter la configuration des serveurs, le code et les procédures internes du fournisseur, puis à publier un rapport. C'est ce qui transforme une promesse en engagement vérifiable. Deux limites subsistent. L'audit est une photographie à un instant donné : la configuration peut changer ensuite. Et son périmètre est défini par le client : un audit peut ne porter que sur une partie de l'infrastructure. Un rapport complet, daté, nommant le cabinet et décrivant sa méthode vaut mieux qu'un simple communiqué annonçant un audit sans le publier. Le sujet est approfondi sur la page juridiction et audits.
Le serveur sans disque : ce qu'il change, ce qu'il ne change pas
Plusieurs fournisseurs mettent en avant une infrastructure « sans disque » : les serveurs démarrent depuis une image en mémoire vive, sans stockage local persistant. L'intérêt réel est qu'une saisie physique du matériel ne livre rien, et qu'un redémarrage efface l'état. Ce que cela ne change pas : un serveur en mémoire vive peut toujours écrire des journaux et les transmettre en continu vers un système de collecte centralisé ; il traite forcément les métadonnées de connexion pendant la session pour acheminer le trafic. « Sans disque » est un bon point d'hygiène, pas une garantie d'absence de journalisation. La question de savoir ce qui est envoyé ailleurs reste entière, et c'est ce qu'un audit vérifie.
La corrélation de trafic
Même sans aucun journal, un observateur placé des deux côtés du tunnel — à l'entrée, près de vous, et à la sortie, près du serveur — peut relier les deux flux en comparant leurs horaires, leurs volumes et leur rythme. C'est une limite intrinsèque à tout VPN à un seul saut, gratuit ou payant, et elle ne concerne en pratique qu'un adversaire disposant d'une large visibilité sur le réseau. Elle explique pourquoi, pour les menaces les plus élevées, on recourt à des architectures à plusieurs relais indépendants plutôt qu'à un VPN, un point développé sur la page modèle de menace.
Ce que votre propre appareil conserve
Le VPN ne maîtrise pas tout. Votre système d'exploitation garde un cache DNS, un historique de navigateur, des journaux système et parfois un enregistrement des réseaux et des connexions VPN passées. Un correspondant réseau qui aurait accès à votre machine y trouverait des traces indépendantes de la politique du fournisseur. La confidentialité vis-à-vis d'un tiers distant et la confidentialité vis-à-vis de quelqu'un qui manipule votre appareil sont deux problèmes distincts ; un VPN, gratuit ou non, ne traite que le premier.
Les demandes légales
Un fournisseur ne peut remettre que ce qu'il détient. C'est pourquoi la politique de rétention prime sur la politique de coopération : un service qui ne conserve rien d'individuel n'a rien à fournir sur réquisition. Certains éditeurs publient un rapport de transparence recensant les demandes reçues et les suites données, parfois accompagné d'un « avertissement mort » — une déclaration régulièrement renouvelée indiquant qu'aucune injonction secrète n'a été reçue, et dont la disparition sert de signal.
Les signaux à vérifier dans la politique de confidentialité
Cherchez des réponses explicites à cinq questions : le service conserve-t-il l'adresse IP source, et pendant combien de temps ; enregistre-t-il l'horodatage précis des sessions ; garde-t-il une trace individuelle du volume transféré ; qui opère la résolution DNS ; existe-t-il un audit indépendant publié et daté. Une politique qui répond clairement aux cinq est exploitable. Une politique qui les élude est, en pratique, une politique de journalisation dont on ignore l'étendue.
Ce qu'il faut retenir
« Sans journal » n'est une garantie que si la formule couvre les métadonnées de connexion, précise les durées de rétention, et repose sur un audit publié. Pour la plupart des VPN gratuits, aucune de ces trois conditions n'est réunie : il faut alors partir du principe que des journaux de connexion existent. Reste à savoir ce que le cadre légal du pays d'enregistrement impose au fournisseur : juridiction, rétention légale et audits.