Aucun journal, par construction. Un no-log comme je les aime.

Ce que je n'enregistre jamais

• Les sites que tu visites et le contenu de ton trafic.
• Tes requêtes DNS.
• Les horaires de tes connexions.
• Ton adresse IP d'origine.
• Ta consommation de données par utilisateur.

Pour faire passer ton trafic, mes serveurs traitent en mémoire vive ton adresse IP, tes requêtes DNS et l'état de tes connexions, le temps de la connexion. Ensuite, rien de tout cela n'est enregistré. Pas « anonymisé », pas « agrégé », pas « conservé 30 jours » : pas enregistré du tout, nulle part. Les réponses DNS restent un moment dans un cache commun à tous les utilisateurs du serveur, sans lien avec qui les a demandées.

Ce que je sais de toi

Une clé publique et une date d'expiration : c'est le cœur de ton dossier client. Autour, quelques données techniques de courte durée (protection contre le rejeu, émission de jetons, sauvegardes de 7 jours), toutes listées dans la politique de confidentialité. Seul un abus signalé sur un de tes ports peut y ajouter quelque chose, détaillé plus bas.

Ta clé est générée par l'app, sur ton appareil, sans nom, sans email, sans inscription. Quand tu ouvres le Warren, le serveur vérifie une seule chose : cette clé a-t-elle du temps ? Une copie de la base d'abonnés ne donnerait accès à aucune identité, parce qu'elle n'en contient aucune.

Ce qui est stocké, et pourquoi

Voici tout ce qui existe chez moi, ou chez nos prestataires :

• Un registre de facturation (montants, dates, pays de TVA, références de paiement), gardé 10 ans : obligation comptable et fiscale. Il ne contient pas ta clé, et ton nom seulement si tu demandes une facture nominative.
• Chez le prestataire de paiement (Stripe pour la carte) : les données bancaires classiques d'un achat. Elles ne croisent jamais ta clé : le paiement crédite un code, que ton app échange ensuite contre du temps. Ce chaînon manquant, c'est le plan.
• Si tu exerces ton droit de rétractation : la référence de paiement et l'adresse de remboursement que tu me donnes, et le statut de la demande, gardés 12 mois après la clôture.

Et le renouvellement automatique ?

Le renouvellement automatique est une option, désactivée par défaut. Il est piloté par ton application, pas par mes serveurs. L'autorisation de prélèvement vit chiffrée sur ton appareil : entre deux paiements, ma base ne contient rien qui dise que tu renouvelles automatiquement. Tu y laisses exactement les mêmes traces qu'en rachetant chaque mois à la main.

C'est un problème que nos amis les autres VPN n'avaient pas résolu. Mullvad a retiré les abonnements en 2022 parce que les faire tourner obligeait son serveur à garder le lien entre ton paiement et ton compte pendant toute la durée de l'abonnement. IVPN et Proton en proposent, mais en gardant le mandat de prélèvement sur leurs serveurs. Ici dans le warren, ce lien n'existe côté serveur à aucun moment : il vit dans ton app, et il disparaît quand tu l'arrêtes.

Les trois niveaux de discrétion demeurent :

• Cryptomonnaie ou voucher : pas de renouvellement automatique, puisque rien ne relie un achat au suivant.
• Carte bancaire, avec ou sans renouvellement automatique : Stripe voit un paiement vers une référence d'achat aléatoire, jamais ta clé. Le lien entre un paiement et le code qu'il crédite n'existe que le temps de la fenêtre de remboursement (20 jours), puis il est rompu. Activer le renouvellement automatique n'ajoute rien à ce que je stocke.
• Achats via Apple ou Google : le store est le commerçant et voit ton achat ; il ne voit jamais ta clé Warren, et le lien technique est rompu après la fenêtre de remboursement du store.

Des serveurs sans disque

Les serveurs de sortie tournent sur une image système immuable, entièrement en mémoire vive : le système de fichiers racine est en lecture seule, l'état vit en RAM, un redémarrage efface tout. Les allocations de port forwarding elles-mêmes ne vivent qu'en mémoire.

L'outil qui construit ces machines s'appelle alpineAnywhere. Je l'ai développé et publié en open source : tu peux vérifier exactement ce qui tourne.

La seule exception : un abus signalé sur un port

Il y a un seul cas où j'ajoute quelque chose à un compte. Quand un tiers me signale un abus venant d'un port encore ouvert, je ferme ce port, et personne ne peut le reprendre pendant 48 heures. C'est à ce moment-là, et seulement là, que je peux apprendre quel compte le détenait : ton app présente une étiquette chiffrée à chaque ouverture de port, et seul mon serveur central sait la lire. J'inscris alors un avertissement sur ce compte s'il tenait déjà le port à l'heure de l'abus signalé. Celui qui a récupéré le port après ne reçoit rien. Trois avertissements en 90 jours, et le compte est révoqué pour 12 mois.

Avant un signalement, rien ne relie un port à un compte, et je ne garde aucune liste des ports que tu as ouverts. Après un signalement, j'écris trois choses : le dossier du signalement (serveur, port, protocole, catégorie, source, dates, sans aucun identifiant de compte, gardé 12 mois puis anonymisé), l'avertissement (un identifiant pseudonyme de ton compte, la référence du dossier, la catégorie et le jour, gardé 90 jours) et, au troisième, la révocation (ton identifiant de compte et ses dates au jour près, le temps qu'elle dure). Quand elle se termine, je l'efface avec ta date d'expiration : ton compte redevient une clé sans temps, comme au premier jour, et le temps non consommé t'a été remboursé au prorata à la révocation, selon la section 12 de la politique de remboursement. Aucune destination, aucun contenu, aucune adresse IP. Tu vois chaque avertissement dans l'app, tu peux le contester en écrivant à abuse@warrenbrowse.com avec la référence du dossier, et un avertissement posé à tort est annulé, avec la révocation qu'il a pu entraîner.

C'est le prix du port forwarding. Mullvad et IVPN ont préféré supprimer la fonctionnalité en 2023 plutôt que de lier un port à un compte, même une seule fois. Respect. J'ai choisi de la garder et de te dire exactement ce qu'il en « coûte ».

Et si une autorité me demande des comptes ?

Une autorité peut exiger ce que je détiens, dans les formes prévues par la loi. Pour un compte jamais signalé, l'essentiel tient en deux colonnes : une clé publique, une date d'expiration. Un compte signalé y ajoute ses avertissements et, s'il en est arrivé là, sa révocation. Je ne peux pas fournir un historique que je n'ai jamais enregistré. Je peux en revanche être tenu, avec mes hébergeurs, de prêter mon concours à une interception ciblée et autorisée par la loi.