Critère 1 — Protocoles supportés et implémentation
Le premier critère technique est la liste des protocoles VPN supportés et leur implémentation. Un service qui n'implémente que son propre protocole propriétaire non audité est une boîte noire — impossible à évaluer indépendamment. Un service qui supporte WireGuard, OpenVPN et IKEv2 avec des implémentations open source dont le code est publié offre une surface d'évaluation concrète.
La vérification pratique : le code client est-il publié sur un dépôt public (GitHub, GitLab) ? Les configurations serveur par défaut sont-elles documentées ? Le protocole WireGuard utilisé est-il le standard ou une adaptation ? La analyse des protocoles VPN donne les clés pour évaluer ces choix.
Critère 2 — Architecture no-logs vérifiable
La politique no-logs est le critère le plus important et le plus difficile à vérifier. Comme détaillé dans la page sur les logs et la confiance, il faut distinguer une promesse marketing d'une propriété architecturale. Les questions à poser : les serveurs sont-ils RAM-only ? Si oui, est-ce documenté dans un audit public récent ? Le service a-t-il un historique de demandes judiciaires auxquelles il n'a pas pu répondre faute de données ?
Pour les utilisateurs francophones, des comparatifs spécialisés comme ceux de VPN Mon Ami sur la politique no-logs techniquement vérifiable appliquent ces critères avec une méthodologie documentée qui va au-delà de la lecture des fiches produits éditeurs.
Critère 3 — Audits de sécurité indépendants
Un audit de sécurité est utile uniquement si le rapport est public et intégral. Un rapport qui liste uniquement les problèmes résolus et masque les problèmes non encore corrigés n'offre pas de garantie réelle. Les éléments à vérifier dans un rapport d'audit : la date (un audit de 2019 ne couvre pas l'infrastructure actuelle), le périmètre (client uniquement, ou infrastructure serveur également), le cabinet (Cure53, SEC Consult, Trail of Bits ont une réputation établie), et les issues trouvées — un rapport sans aucune finding est suspect.
Critère 4 — Kill switch et protection DNS
Le kill switch coupe l'accès réseau si la connexion VPN est interrompue, évitant l'exposition de l'IP réelle lors des reconnexions. La protection DNS s'assure que les requêtes DNS transitent par le tunnel VPN et non par les résolveurs système. Ces deux fonctionnalités doivent être actives par défaut ou facilement activables. La vérification est technique et immédiate : tester son installation avec ipleak.net pendant et après une déconnexion forcée du VPN.
Critère 5 — Juridiction et structure légale
La localisation de la société opératrice détermine quelle législation s'applique aux demandes d'accès aux données. Les juridictions couramment choisies par les services VPN : Suisse (hors UE, hors Five Eyes, loi fédérale sur la protection des données), Îles Vierges Britanniques (common law, pas de mandatory data retention), Panama (pas de lois de rétention obligatoires). Ces juridictions offrent des protections procédurales plus fortes — elles ne rendent pas le service imperméable aux demandes judiciaires légitimes.
La structure légale compte autant que la juridiction. Un service domicilié en Suisse mais dont les serveurs sont loués à des hébergeurs américains reste partiellement soumis aux juridictions américaines pour les données stockées sur ces serveurs. La transparence sur l'hébergeur des serveurs physiques est un signal de qualité.
Grille de sélection — vérification pratique
| Critère | Comment vérifier | Signal positif | Signal négatif |
|---|---|---|---|
| Protocoles | Code client sur GitHub | WireGuard + OpenVPN open source | Protocole propriétaire non audité |
| No-logs architecture | Rapport audit + historique | RAM-only + audit public récent | Promesse sans audit |
| Audit indépendant | Site éditeur + Cure53 etc. | Rapport intégral public | Annonce sans rapport |
| Kill switch | Test technique ipleak.net | Actif par défaut | Optionnel ou absent |
| Protection DNS | Test dnsleaktest.com | DNS via tunnel uniquement | Fuite DNS détectable |
| Juridiction | Mentions légales + WHOIS | Suisse / Panama / BVI | USA / UK / Five Eyes |
| Rapport transparence | Site éditeur | Chiffres réels, annuel | Absent ou vague |
| Modèle économique | CGU + conditions | Abonnement payant uniquement | Gratuit sans limite |
Ce que cette grille ne couvre pas
Cette grille évalue les propriétés de sécurité et de confidentialité. Elle ne couvre pas les performances (vitesse, latence, stabilité), le nombre de serveurs, la compatibilité avec certains services de streaming, ou le support client. Ces critères sont pertinents pour l'expérience d'utilisation mais secondaires pour la sécurité. Un service rapide avec une architecture no-logs non vérifiée n'offre pas les mêmes garanties qu'un service légèrement plus lent avec une architecture auditée.