Les audits de sécurité tiers et les politiques de non-journalisation sont deux outils d'évaluation distincts — avec des portées, des limites et des valeurs probantes très différentes. Cette page documente ce que ces mécanismes prouvent réellement, et ce qu'ils ne prouvent pas.
Un audit de sécurité tiers sur un fournisseur VPN peut couvrir plusieurs périmètres distincts. La valeur d'un audit dépend entièrement de ce périmètre — un audit d'application client ne dit rien sur la sécurité de l'infrastructure serveur, et vice versa.
| Type d'audit | Ce qui est vérifié | Ce qui n'est pas vérifié |
|---|---|---|
| Audit no-logs | Configuration des serveurs à l'instant T — absence de logs identifiants | Configuration future, logs hors périmètre, données upstream (hébergeur) |
| Pentest application client | Vulnérabilités dans les clients desktop/mobile, fuites DNS, kill switch | Infrastructure serveur, gestion des clés, accès backend |
| Audit d'infrastructure | Configuration des serveurs, gestion des secrets, accès administrateurs | Code source, gestion des incidents passés, politique interne |
| Audit de code source | Vulnérabilités dans le code, portes dérobées, implémentation crypto | Configuration de déploiement, pratiques opérationnelles |
| Audit SOC 2 Type II | Contrôles opérés sur une période (6-12 mois) — accès, incidents, logs | Qualité du code, configuration technique de bas niveau |
Rapport complet accessible publiquement (pas un résumé). Auditeur indépendant avec réputation établie. Périmètre clairement défini dans le rapport. Date récente (moins de 18 mois). Findings documentés avec leur statut de correction — un rapport qui ne documente aucune finding a moins de crédibilité qu'un rapport qui documente des findings corrigées.
La politique de non-journalisation est l'engagement d'un fournisseur à ne pas conserver de données permettant d'identifier les connexions des utilisateurs — adresses IP source et destination, timestamps de connexion, volume de données, contenu du trafic. La valeur de cet engagement dépend de trois dimensions indépendantes.
Les politiques no-logs varient considérablement dans leur périmètre. Certains fournisseurs ne conservent pas les logs de connexion mais conservent des données agrégées d'utilisation (bande passante par abonnement). D'autres ne journalisent pas le trafic mais journalisent les événements d'authentification. Lire la politique de confidentialité avec précision — les termes "connection logs", "activity logs", "metadata" ont des définitions distinctes selon les fournisseurs.
Un audit no-logs vérifie à un instant T que la configuration des serveurs ne produit pas de logs identifiants dans les emplacements inspectés. Il ne peut pas vérifier : les logs produits par l'hyperviseur ou le provider d'hébergement (couche hors contrôle du fournisseur VPN), les logs conservés en mémoire volatile avant écriture sur disque, ou les logs produits par des systèmes tiers dans la chaîne (CDN, anycast, DNS upstream).
Même en l'absence de logs, une injonction légale peut contraindre un fournisseur à commencer à journaliser les connexions d'un utilisateur ciblé, de façon prospective. Les lois sur la rétention des données varient significativement selon les juridictions :
| Juridiction | Mécanisme | Portée |
|---|---|---|
| États-Unis | CLOUD Act, NSL (National Security Letter) | Données contrôlées par entités US, mondiales. NSL avec interdiction de divulgation. |
| Union européenne | Entraide judiciaire internationale | Sur demande judiciaire nationale. Pas de rétention préventive généralisée post-CJUE 2022. |
| Royaume-Uni | Investigatory Powers Act (2016) | Rétention de métadonnées imposable aux fournisseurs. |
| Suisse | Droit suisse — entraide via MLAT | Procédure d'entraide judiciaire requise — délai significatif. |
| Îles Vierges Britanniques | Droit BVI — entraide limitée | Pas d'accords d'entraide automatique avec UE ou USA. |
Pour une entreprise dont le modèle de menace inclut une injonction légale, la politique no-logs est un facteur secondaire par rapport à la juridiction du fournisseur. Pour une entreprise dont le modèle de menace est limité à la confidentialité vis-à-vis d'observateurs réseau passifs, un audit no-logs récent par un cabinet reconnu est une garantie suffisante.
La sélection d'un fournisseur VPN managé pour une PME doit être traitée comme un exercice de due diligence fournisseur — pas comme un achat en ligne. Voici les critères techniques et contractuels à évaluer systématiquement.