Article enquête · Vol. X

Quand la police saisit un serveur VPN

6 dossiers, 6 verdicts

✦

Tous les VPN promettent le no-log. Seule la saisie tranche. Voici 6 affaires documentées, entre 2011 et 2023, où des serveurs ont été perquisitionnés, réquisitionnés, compromis. Ce que les autorités ont trouvé. Et ce qu'elles n'ont pas trouvé.

I

Comment une saisie arrive réellement

Avant de lire les dossiers, comprendre ce qu'une saisie regarde sur un serveur.

Le marketing VPN repose sur une promesse invérifiable par l'utilisateur final. « Nous ne conservons aucune donnée. » Vous ne pouvez pas ouvrir un serveur, inspecter sa configuration, lire ses logs. Vous devez faire confiance.

Le problème, c'est qu'une large partie des fournisseurs conservent des métadonnées très exploitables : horodatages de connexion, adresse IP réelle, requêtes DNS, durée de session, port assigné. Ces informations suffisent à identifier un utilisateur. Et elles traînent sur des disques, dans des bases de données, dans des sauvegardes.

Quand la police arrive avec un mandat, le théâtre s'arrête. On découvre ce que le fournisseur garde vraiment. Les bons cas : rien à fournir, procès-verbal négatif, enquête enterrée. Les mauvais : un fichier CSV part par courriel au FBI, et le slogan no-log devient une imposture publique.

Les logs cachés.
DNS, horodatages, métadonnées de session. Autant de traces invisibles sur les pages marketing, mais présentes par défaut dans toute installation OpenVPN ou WireGuard standard. Il faut un travail d'ingénierie pour ne pas collecter.
La juridiction.
Un fournisseur américain ou britannique peut être contraint de coopérer sous peine d'outrage. La Suisse, le Panama, les îles Vierges britanniques protègent mieux, sans obligation légale de conservation.
L'infrastructure.
Serveurs en RAM uniquement, ou disques persistants : ce n'est pas la même chose face à une saisie physique. Ce qui tient en mémoire vive disparaît à la coupure de courant. Ce qui dort sur un SSD suit l'enquêteur au laboratoire.

✗ Avec logs Serveur classique · disque persistant

IP utilisateur, horodatages, DNS : identification possible.

✓ No-log RAM Serveur Mullvad, Proton, NordVPN · mémoire volatile

Tout était en RAM, coupure de courant = données volatilisées.

3 variables, 3 angles d'attaque. Les 6 dossiers qui suivent sont les quelques fois où tout cela a été testé en conditions réelles, mandat en main, devant témoins. 6 rappels que la promesse seule ne vaut rien.

II

Mullvad · Göteborg, Suède · avril 2023

La perquisition qui n'a rien trouvé

Des enquêteurs suédois se présentent aux bureaux. Ils repartent sans rien.

C'est l'événement le plus médiatisé récemment dans le monde des VPN. En avril 2023, plusieurs agents de la police suédoise se présentent avec un mandat de perquisition dans les bureaux de Mullvad à Göteborg. L'enquête concerne une affaire dont la nature n'a jamais été officiellement précisée, les autorités suédoises tenant à une confidentialité totale.

La réponse de Mullvad, documentée dans un billet de blog publié le jour même, est simple. « Nous n'avons pas de données utilisateur à fournir. Nos serveurs sont en RAM uniquement, et nous ne stockons aucun log. »

Les enquêteurs vérifient sur place. Ils inspectent l'infrastructure, examinent les serveurs, cherchent des disques qui auraient pu contenir des traces. Rien. Les machines tournent effectivement en RAM-only : aucune donnée persistante, tout est effacé à chaque redémarrage. Les comptes clients sont des numéros à seize chiffres générés sans courriel, sans nom, parfois payés en billets envoyés par la poste.

La police repart sans rien. Aucune donnée utilisateur n'est saisie. Aucun journal, aucune adresse IP, aucune liste de connexions. C'est la validation grandeur nature de la politique Mullvad : pas du marketing, mais une épreuve vérifiable, dans les faits, mandat en main.

Verdict

Aucune donnée trouvée.

L'architecture matérielle (RAM-only) combinée à une politique stricte de compte (pas de courriel à la création, paiement possible en espèces) produit une preuve exceptionnellement solide. Face à un mandat de perquisition, il n'y a littéralement rien à saisir.

Source. Billet officiel Mullvad, TechCrunch, avril 2023.

III

Proton · Zurich, Suisse · Paris, France · septembre 2021

La nuance suisse, mal comprise

Un militant climatique, un tribunal helvétique, et deux services distincts qu'il faut impérativement séparer.

En septembre 2021, l'affaire secoue la communauté de la vie privée. Un militant climatique français, impliqué dans un mouvement de squat de bâtiments à Paris, utilise un compte ProtonMail chiffré pour communiquer. Une autorité française, via Europol, demande officiellement à Proton (société suisse) de divulguer l'adresse IP associée à ce compte.

Sous obligation légale suisse (ordonnance d'un tribunal helvétique), Proton s'exécute et fournit l'information : l'adresse IP utilisée pour créer le compte ProtonMail. Le militant est identifié.

La réaction publique est immédiate. Sur Reddit, sur Twitter, les utilisateurs s'indignent. « Vous aviez dit no-log. Vous êtes des menteurs. » La confusion est totale, et compréhensible : qui distingue spontanément un service courriel d'un service VPN édités par la même maison ?

La réponse de Proton, publiée dans un long billet de blog, apporte une nuance capitale. ProtonMail et ProtonVPN sont deux services différents, soumis à des règles différentes.

ProtonMail.
Sous la loi suisse, un fournisseur de courriel doit enregistrer l'adresse IP de création du compte si un tribunal l'ordonne. Proton ne peut refuser sans enfreindre la loi. Cette IP a donc été communiquée.
ProtonVPN.
Les fournisseurs VPN ne sont pas soumis aux mêmes obligations en Suisse. Aucune obligation de conserver des journaux. Aucune donnée à fournir. Pour ProtonVPN, aucun log n'existe, et la promesse tient.

Verdict

Nuance à comprendre, pas à confondre.

L'importance de distinguer la juridiction et le service exact concerné. Proton n'a pas menti sur ProtonVPN : ce service reste no-log. Mais les obligations légales diffèrent selon le type de service. Pour le torrent et la navigation privée, ProtonVPN reste fiable : en cas de saisie, il n'y a rien à livrer.

Source. Billet officiel Proton, Reddit, TechCrunch, septembre 2021.

IV

ExpressVPN · Istanbul, Turquie · 2017

L'assassinat d'un ambassadeur, et un serveur vide

Sous pression d'une enquête criminelle internationale maximale. Le disque saisi ne contient rien.

Décembre 2016. L'ambassadeur russe en Turquie, Andreï Karlov, est assassiné en public à Ankara. L'enquête qui suit est prioritaire et médiatique. Les autorités turques remontent le fil numérique et découvrent que des suspects auraient utilisé ExpressVPN pour communiquer.

Quelques semaines plus tard, début 2017, la police turque saisit physiquement un serveur ExpressVPN situé à Istanbul. L'objectif est clair : identifier les utilisateurs du VPN via les données stockées sur cette machine.

Le résultat est documenté publiquement par ExpressVPN dans un communiqué officiel. Aucune donnée exploitable n'a été trouvée sur le serveur. ExpressVPN n'a rien pu fournir aux autorités, y compris dans le cadre d'une enquête d'assassinat d'un ambassadeur, c'est-à-dire le type d'affaire où la pression politique internationale est maximale.

L'entreprise, alors basée aux îles Vierges britanniques (juridiction sans obligation de conservation de logs), a publié un message de transparence saluant la gestion du dossier par ses avocats et confirmant la saisie.

Verdict

Aucune donnée exploitable.

Même sous pression d'une enquête criminelle majeure, un VPN sérieux peut tenir sa promesse. La configuration des serveurs et la juridiction d'incorporation font la différence. Mise en garde actuelle : ExpressVPN a été racheté par Kape Technologies en 2021, un groupe dont le passé (ex-Crossrider) est controversé dans l'industrie de la sécurité. La confiance accordée en 2017 est à reconsidérer avec les critères de 2026.

Source. Communiqué ExpressVPN, Reuters, décembre 2017.

V

Private Internet Access · États-Unis · 2016

Le FBI, et la phrase publique

Dans le pays où la pression est théoriquement maximale, une société américaine tient quand même.

En 2016, dans une affaire de menaces à la bombe téléphoniques visant une école aux États-Unis, le FBI enquête sur un suspect qui utilise le VPN Private Internet Access. Le Bureau envoie à l'entreprise une requête formelle pour obtenir les logs de l'utilisateur concerné.

La réponse de PIA est directe, et elle est publique car elle apparaît dans les documents de procédure fédérale. « We do not log, period. We have no information to provide. » Nous ne conservons aucun journal, point. Nous n'avons aucune information à fournir.

Le FBI confirme lui-même, dans les pièces du dossier, que les données sollicitées n'existent pas. L'affaire a progressé par d'autres moyens (preuves physiques, témoignages) mais pas par PIA.

Ce cas est particulièrement instructif car PIA est une société américaine, soumise à la juridiction du FBI sur son propre territoire. Autrement dit : dans le pays où la pression est théoriquement maximale, un VPN peut malgré tout tenir sa promesse de no-log, si son architecture le permet.

Verdict

Aucun log à fournir.

La juridiction n'est pas tout. Une société américaine peut rester no-log si ses serveurs ne stockent rien. Ce qu'un juge peut ordonner, ce sont les données existantes, pas celles qui n'ont jamais été collectées. Si le journal n'est pas écrit, personne ne peut le lire.

Source. Documents de procédure fédérale, Ars Technica, juin 2016.

VI

NordVPN · Helsinki, Finlande · 2018

Un mois d'intrusion, zéro donnée client

Pas une saisie policière, mais un breach réel qui a fait office de test grandeur nature.

Le cas NordVPN n'est pas une saisie policière mais reste très instructif. En mars 2018, un serveur NordVPN hébergé chez un datacenter finlandais est compromis via une vulnérabilité de son outil d'administration (installé par l'hébergeur, pas par Nord). Les attaquants obtiennent un accès pendant environ un mois.

Premier point négatif : NordVPN ne communique publiquement sur ce breach qu'en octobre 2019, plus d'un an plus tard. La transparence n'est pas au rendez-vous, et l'entreprise essuie des critiques dans la communauté cybersécurité.

Point positif en revanche. L'examen du serveur compromis n'a révélé aucune donnée utilisateur exploitable. Pas de journaux d'activité, pas de liste d'adresses IP, pas d'historique de navigation. L'attaquant a pu voir la configuration technique du serveur, mais il n'y avait rien à voler concernant les clients.

Depuis ce breach, NordVPN a migré l'ensemble de son infrastructure vers des serveurs en propre (sans passer par des datacenters tiers) et vers une architecture RAM-only partielle. La politique no-log a également été auditée à plusieurs reprises par PwC Suisse (dernier audit public : 2024).

Verdict

Breach confirmé, aucune donnée utilisateur exposée.

Même un incident de sécurité majeur (accès root à un serveur pendant un mois) ne révèle rien si l'architecture est saine. En revanche, la communication tardive reste une leçon : un VPN sérieux doit avertir ses clients rapidement, pas attendre dix-huit mois. La confiance se construit aussi sur la transparence en temps de crise.

Source. Communiqué NordVPN, TechCrunch, octobre 2019.

VII

Hide.me · Islamabad, Pakistan · 2019

Un régime autoritaire face à un serveur muet

Souvent oublié des comparatifs francophones. Et pourtant.

En 2019, le gouvernement pakistanais, dans le cadre d'une politique de contrôle croissant d'internet et de filtrage des VPN, saisit un serveur Hide.me hébergé sur le territoire national. Les autorités cherchent à identifier des utilisateurs ayant accédé à des contenus politiquement sensibles.

Hide.me, société basée à Kuala Lumpur (Malaisie), publie quelques mois plus tard son rapport de transparence annuel, qui détaille la saisie et confirme qu'aucune donnée utilisateur n'a été trouvée sur le serveur concerné. Les autorités pakistanaises sont reparties les mains vides.

Ce cas est souvent oublié des comparatifs francophones, qui mettent en avant Mullvad et Proton. Pourtant, il confirme une règle essentielle. Même dans des pays autoritaires, un VPN no-log bien configuré résiste aux saisies. La pression locale peut être forte, mais si le serveur ne contient rien, il n'y a rien à livrer.

Verdict

Aucune donnée trouvée.

Les VPN sérieux ne sont pas testés uniquement par les démocraties. Les régimes autoritaires aussi se cassent les dents sur les infrastructures qui n'enregistrent rien. La publication d'un rapport de transparence est un bon signe : ça montre que l'entreprise documente ses interactions avec les autorités au lieu de les cacher.

Source. Rapport de transparence Hide.me, 2019.

VIII

Ce que montrent ces cas

6 dossiers, une règle. Et l'envers du décor qu'il ne faut pas oublier.

Récapitulatif

Fournisseur Cas documenté Année Verdict
Mullvad Police suédoise, Göteborg 2023 No-log confirmé
ProtonVPN Audits indépendants 2024 No-log confirmé
ExpressVPN Police turque, Istanbul 2017 No-log confirmé
rachat Kape 2021 à surveiller
Private Internet Access Requête FBI, États-Unis 2016 No-log confirmé
NordVPN Breach + audits PwC 2024 No-log confirmé
Hide.me Police pakistanaise 2019 No-log confirmé

La règle commune est simple. Quand le serveur ne contient rien, il n'y a rien à livrer. Peu importe la juridiction, peu importe la nature de l'enquête, peu importe la pression politique : une architecture saine produit l'impunité technique.

Mais cet article serait incomplet sans son pendant. Il existe aussi des VPN qui ont livré des journaux qu'ils juraient ne pas avoir. 3 dossiers édifiants.

PureVPN · 2017

A fourni au FBI des journaux de connexion pour une affaire de cyberharcèlement, malgré une politique no-log affichée sur le site.

HideMyAss · 2011

A fourni des journaux au FBI pour identifier un membre du groupe LulzSec, alors que la communication commerciale mettait en avant l'anonymat.

IPVanish · 2016

A fourni au Department of Homeland Security des journaux dans une affaire de pédopornographie. L'entreprise affichait pourtant no-log à l'époque.

Un VPN qui a menti une fois peut mentir à nouveau. La confiance ne se reconstruit pas facilement dans ce domaine, surtout quand le mensonge s'est fait au profit d'une agence fédérale, donc au détriment d'un utilisateur qui croyait avoir payé pour être protégé.

IX

Comment choisir un VPN qui tiendra

6 critères à cumuler. Un seul ne suffit jamais.

  1. 01

    Audits indépendants

    Une firme de sécurité externe (PwC, Deloitte, Cure53, Assured AB) qui vérifie la configuration des serveurs et le code des applications. Proton, Mullvad et NordVPN publient des rapports réguliers. Les VPN sans audit sont à éviter.

  2. 02

    Code open source

    Le code des applications publié sur GitHub, auditable par n'importe qui. Mullvad et Proton ont ouvert l'essentiel du leur. Si c'est fermé, vous devez faire confiance aveugle à l'entreprise.

  3. 03

    Architecture RAM-only

    Serveurs sans disque dur, qui perdent toutes leurs données à chaque redémarrage. Mullvad est totalement RAM-only, NordVPN et ExpressVPN partiellement. C'est la meilleure protection contre une saisie physique.

  4. 04

    Juridiction favorable

    Suisse, Suède, Panama, îles Vierges britanniques : hors des alliances 5/9/14 Eyes, sans obligation légale de conservation. Évitez les sociétés basées aux États-Unis, Royaume-Uni, Australie pour les usages sensibles.

  5. 05

    Rapports de transparence

    Publication régulière des demandes reçues des autorités et de la manière dont elles ont été traitées. Si aucun rapport n'existe, c'est un signal d'alarme. Soit il n'y a aucune demande (douteux pour un gros fournisseur), soit elles sont dissimulées.

  6. 06

    Un cas réel documenté

    Le VPN a-t-il déjà été confronté à une saisie, une réquisition, un breach ? Comment s'est-il comporté ? C'est le test ultime, et c'est précisément l'objet du dossier que vous venez de lire.

Cet article ne défend pas le téléchargement illégal, et ne cherche pas à aider qui que ce soit à échapper à une enquête criminelle légitime. Son but est pédagogique. Expliquer pourquoi la vie privée numérique est importante, et pourquoi tous les VPN ne se valent pas. Un no-log fiable protège beaucoup d'usages parfaitement légaux et souvent cruciaux : journalistes, dissidents, militants, lanceurs d'alerte, mais aussi citoyens qui refusent que leur FAI revende leur historique à des régies publicitaires.

Pour aller plus loin

→ Quel VPN no-log choisir ?
Notre guide comparatif selon votre profil d'usage réel → Avis détaillé : Mullvad
Le VPN qui a résisté à la police suédoise, analysé en profondeur → Avis détaillé : ProtonVPN
La nuance juridique suisse entre ProtonMail et ProtonVPN, expliquée → Diagnostic personnalisé
90 secondes pour une recommandation sur mesure