CyberGhost VPN publie un nouvel audit indépendant pour défendre sa politique no-log

Troisième audit en quatre ans et nouveau rapport de transparence trimestriel. CyberGhost continue de documenter sa politique no-log, avec d’un côté une mission d’assurance menée par Deloitte Audit Romania, de l’autre un relevé détaillé des demandes légales reçues au quatrième trimestre 2025.

CyberGhost poursuit sa stratégie de transparence et annonce avoir achevé un nouvel audit indépendant portant sur la configuration de ses systèmes et la gestion de ses opérations IT, destiné à évaluer la mise en œuvre de sa politique no-log. En parallèle, le fournisseur VPN a dévoilé son dernier rapport de transparence, qui détaille les notifications DMCA et les requêtes policières reçues entre octobre et décembre 2025. Deux publications distinctes, mais guidées par un même objectif, à savoir documenter concrètement l’absence de conservation de données d’activité et d’identification.

Un examen pour vérifier la configuration des systèmes

L’audit a été réalisé par Deloitte Audit Romania selon la norme internationale ISAE 3000 Revised, un standard encadrant les missions d’examen indépendant portant sur des informations non financières. Pour le dire plus simplement, ce cadre permet à un cabinet externe d’évaluer si une organisation applique effectivement les pratiques qu’elle décrit publiquement.

Autre fait important, il s’agit ici d’une mission dite d’assurance limitée, ce qui signifie que l’examen repose sur des vérifications ciblées et sur l’analyse des éléments fournis, sans atteindre le niveau d’investigation d’un audit exhaustif.

Dans le détail, le périmètre de cet examen a couvert la configuration des systèmes IT et la gestion des opérations associées au 31 octobre 2025. Les auditeurs ont notamment mené des entretiens avec les équipes du fournisseur, inspecté les serveurs VPN et leurs infrastructures de déploiement, contrôlé les politiques d’accès, les procédures encadrant la maintenance des serveurs (mises à jour logicielles, modifications de configuration, déploiement de correctifs ou ajustements d’infrastructure) et la gestion des incidents, et analysé le fonctionnement du système d’IP dédiée reposant sur un jeton d’authentification isolé, présenté comme non associé à un compte utilisateur côté serveur.

À l’issue de cet examen, Deloitte a confirmé n’avoir rien relevé qui puisse remettre en cause la cohérence entre la configuration observée et la description fournie par CyberGhost concernant sa politique de non-journalisation. Il faut toutefois garder en tête que cet exercice ne constitue pas une certification de conformité légale et qu’il porte sur une situation observée à une date précise.

Plus de 56 000 notifications DMCA au quatrième trimestre

En parallèle, CyberGhost a publié son rapport de transparence couvrant le quatrième trimestre 2025, soit la période d’octobre à décembre. Sur ces trois mois, l’entreprise indique avoir reçu 56 053 notifications DMCA ainsi que deux demandes émanant des forces de l’ordre.

Des volumes élevés en valeur absolue, mais cohérents avec l’exposition d’un fournisseur VPN grand public disposant d’un large parc d’adresses IP partagées. Les notifications DMCA visent une adresse IP, non une identité, et leur multiplication n’a rien d’inhabituel dans ce secteur.

Dans tous les cas, CyberGhost affirme n’avoir transmis aucune donnée, invoquant sa politique no-log et une architecture serveur fonctionnant exclusivement en RAM, donc dépourvue de stockage persistant.

Comme pour l’ensemble des rapports de transparence publiés par des fournisseurs VPN, ces chiffres reposent sur les déclarations de l’entreprise elle-même. Ils documentent les demandes reçues et la réponse apportée, mais ne permettent pas, à eux seuls, d’en vérifier indépendamment l’exhaustivité ni la réalité technique sous-jacente. D’où l’intérêt des audits réguliers, qui examinent la configuration réelle des systèmes et la mise en œuvre de la politique no-log.

On rappellera encore une fois que ces contrôles restent limités dans le temps comme dans leur périmètre, et qu’en définitive, l’évaluation d’une politique de non-conservation des données repose autant sur ce qui est techniquement documenté que sur la confiance que les internautes accordent à leur fournisseur.

Sources : CyberGhost [1], CyberGhost [2]