DuckDuckGo VPN a passé un audit indépendant de sa politique « sans journaux ». Le cabinet polonais Securitum a mené ce contrôle entre octobre 2025 et janvier 2026 sur le VPN inclus dans l’abonnement Privacy Pro. Il conclut donc que DuckDuckGo respecte ses engagements : aucune journalisation de l’activité des utilisateurs n’a été identifiée.
Pourtant, pour un responsable de traitement qui encadre le télétravail, la question dépasse ce fournisseur. Ce rapport montre à quoi ressemble une preuve vérifiable, et ce qu’elle ne prouve pas.
Ce que l’audit du DuckDuckGo VPN a vérifié
Le périmètre couvre les serveurs en production, les systèmes internes et le code source des composants propriétaires. Securitum a combiné une inspection technique approfondie, une revue de ce code et l’analyse des systèmes en fonctionnement. L’examen du code visait par exemple d’éventuels mécanismes de collecte masqués.
Selon le rapport, le VPN n’inspecte pas le trafic des utilisateurs et fonctionne sans fonction de journalisation activée. Aucune métadonnée de connexion rattachable à un utilisateur n’est conservée, y compris les requêtes DNS. En effet, le résolveur DNS interne garde ces requêtes dans un cache en mémoire vive, purgé après un délai défini, sans écriture sur disque.
Le point le plus intéressant tient à l’architecture. Les interfaces du VPN et celles de l’abonnement utilisent des jetons d’authentification distincts. Ainsi, l’autorisation d’accès ne se rattache ni à un utilisateur identifiable ni à une connexion précise. Le service tourne aussi sur des serveurs dédiés, non partagés avec d’autres entreprises.
Autrement dit, DuckDuckGo sépare l’identité du payeur et l’usage du tunnel. Cette séparation vaut mieux qu’une promesse commerciale, car elle se vérifie dans le code.
Un VPN sans journaux au regard du RGPD
Un VPN qui route des flux rattachables à des salariés traite des données personnelles au sens de l’article 4 du RGPD. Le choix du fournisseur entre par conséquent dans votre démonstration de conformité.
D’abord, l’article 5 consacre le principe de minimisation. Ensuite, l’article 32 exige des mesures de sécurité appropriées. Un fournisseur qui ne conserve pas de métadonnées réduit votre exposition en cas de réquisition, de compromission de ses serveurs ou de changement d’actionnaire. Toutefois, il ne vous dispense pas d’une analyse d’impact si l’outil sert à traiter des données sensibles à grande échelle. Il la facilite.
En cas d’incident chez ce prestataire, les articles 33 et 34 restent applicables. La notification à la CNIL dans les 72 heures s’impose dès que la violation présente un risque pour les personnes, même si le volume de données en jeu est faible. L’information individuelle suit lorsque le risque est élevé.
NIS2 et accès distants : le rapport d’audit comme pièce justificative
La directive NIS2, dont la transposition en droit français est encore en cours d’examen au Parlement, impose aux entités concernées une gestion rigoureuse de la sécurité des accès, notamment pour le télétravail. Un VPN fait d’ailleurs partie des mesures classiques.
Un rapport d’audit publié, daté et signé par un cabinet identifié alimente directement votre documentation. De plus, il répond aux questionnaires de sécurité des assureurs et des donneurs d’ordre. Exigez ce type de pièce de tous vos prestataires d’accès, et pas seulement du VPN : les preuves à exiger d’un hébergeur suivent la même logique.
Les limites d’un audit à un instant donné
Cet audit décrit l’état du service pendant la période contrôlée et porte sur la politique de non-journalisation. Il ne mesure ni les performances, ni la robustesse du chiffrement, ni l’absence de fuites. Une mise à jour peut ensuite ajouter un module de télémétrie, et un incident peut conduire à journaliser temporairement des événements.
DuckDuckGo s’engage à renouveler ces audits à intervalles réguliers, et Securitum avait déjà audité la sécurité du service en 2024. C’est pourquoi vous devez vérifier la date du dernier rapport à chaque revue annuelle de vos fournisseurs.
Avant d’inscrire un VPN dans votre politique de sécurité, demandez un rapport d’audit externe récent et vérifiez l’identité du cabinet. Ensuite, inscrivez le recours au VPN dans le registre des traitements avec sa finalité et ses flux. Encadrez par une politique interne l’usage personnel et professionnel, surtout sur les terminaux personnels des salariés. Enfin, gardez la maîtrise de l’authentification par l’annuaire de l’entreprise, même avec un VPN sans journaux. Pour structurer ces échanges, envoyez les bonnes questions aux bonnes personnes chez le prestataire.
Sources
La présentation de l’audit par DuckDuckGo se trouve sur la page DuckDuckGo VPN No-Log Policy Audit 2025-2026, et le rapport complet dans le document Securitum, DuckDuckGo VPN No-Log Policy Audit.
Le détail technique des constats est repris par Tom’s Guide dans DuckDuckGo VPN has undergone an independent no-logs audit, and your data is confirmed to be safe.
L’engagement de renouveler les audits et l’audit de 2024 figurent dans l’article de Clubic DuckDuckGo fait auditer son VPN par Securitum : il n’a rien à envier aux ténors du marché.
Questions fréquentes
Le VPN de DuckDuckGo conserve-t-il des journaux ?
Non, selon l’audit de Securitum mené entre octobre 2025 et janvier 2026, le VPN de DuckDuckGo ne journalise pas l’activité des utilisateurs. Les requêtes DNS restent dans un cache en mémoire purgé après un délai défini, sans écriture sur disque.
Qui a audité DuckDuckGo VPN ?
Le cabinet polonais Securitum a réalisé l’audit de la politique sans journaux. Il avait déjà audité la sécurité du service en 2024.
Un audit no-log garantit-il la sécurité d’un VPN ?
Non, un audit no-log vérifie l’absence de journalisation à un moment donné. Il ne mesure ni la robustesse du chiffrement, ni les performances, ni l’absence de fuites, et une mise à jour ultérieure peut changer le comportement du service.
Un VPN est-il un traitement de données personnelles ?
Oui, dès qu’il route des flux rattachables à des personnes, un VPN traite des données personnelles au sens de l’article 4 du RGPD. Son usage doit figurer dans le registre des traitements avec sa finalité.
Comment choisir un VPN pour le télétravail des salariés ?
Exigez un rapport d’audit externe récent et vérifiez l’identité du cabinet auditeur. Conservez l’authentification dans l’annuaire de l’entreprise et encadrez l’usage sur les terminaux personnels par une politique interne.
