Aucun journal, par construction. Un no-log comme je les aime.

Ce que je ne vois jamais

• Les sites que tu visites et le contenu de ton trafic.
• Tes requêtes DNS.
• Les horaires de tes connexions.
• Ton adresse IP d'origine.
• Ta consommation de données par utilisateur.

Rien de tout cela n'est enregistré. Pas « anonymisé », pas « agrégé », pas « conservé 30 jours » : pas enregistré du tout, nulle part.

Ce que je sais de toi

Une clé publique et une date d'expiration. C'est la totalité de ton dossier client.

Ta clé est générée par l'app, sur ton appareil, sans nom, sans email, sans inscription. Quand tu ouvres le Warren, le serveur vérifie une seule chose : cette clé a-t-elle du temps ? Une copie de la base d'abonnés ne donnerait accès à aucune identité, parce qu'elle n'en contient aucune.

Ce qui est stocké, et pourquoi

Voici tout ce qui existe chez moi, ou chez nos prestataires :

• Un registre de facturation minimal (montants, dates, références de paiement) : obligation comptable et fiscale. Il ne contient ni clé, ni nom, ni email.
• Chez le prestataire de paiement (Stripe pour la carte) : les données bancaires classiques d'un achat. Elles ne croisent jamais ta clé : le paiement crédite un code, que ton app échange ensuite contre du temps. Ce chaînon manquant, c'est le plan.
• Si tu exerces ton droit de rétractation : la référence de paiement que tu me donnes, et le statut de la demande. Rien d'autre.

Et le renouvellement automatique ?

Le renouvellement automatique est une option, désactivée par défaut. Il est piloté par ton application, pas par mes serveurs. L'autorisation de prélèvement vit chiffrée sur ton appareil : entre deux paiements, ma base ne contient rien qui dise que tu renouvelles automatiquement. Tu y laisses exactement les mêmes traces qu'en rachetant chaque mois à la main.

C'est un problème que nos amis les autres VPN n'avaient pas résolu. Mullvad a retiré les abonnements en 2022 parce que les faire tourner obligeait son serveur à garder le lien entre ton paiement et ton compte pendant toute la durée de l'abonnement. IVPN et Proton en proposent, mais en gardant le mandat de prélèvement sur leurs serveurs. Ici dans le warren, ce lien n'existe côté serveur à aucun moment : il vit dans ton app, et il disparaît quand tu l'arrêtes.

Les trois niveaux de discrétion demeurent :

• Cryptomonnaie ou voucher : l'anonymat maximal. Aucun lien exploitable, et donc pas de renouvellement automatique possible : à ce niveau de discrétion, je ne peux même pas te reconnaître pour te facturer.
• Carte bancaire, avec ou sans renouvellement automatique : Stripe voit un paiement vers une référence d'achat aléatoire, jamais ta clé. Le lien entre un paiement et le code qu'il crédite n'existe que le temps de la fenêtre de remboursement (20 jours), puis il est rompu. Activer le renouvellement automatique n'ajoute rien à ce que je stocke.
• Achats via Apple ou Google : le store est le commerçant et voit ton achat ; il ne voit jamais ta clé Warren, et le lien technique est rompu après la fenêtre de remboursement du store.

Des serveurs sans disque

Les serveurs de sortie tournent sur une image système immuable, entièrement en mémoire vive : le système de fichiers racine est en lecture seule, l'état vit en RAM, un redémarrage efface tout. Les allocations de port forwarding elles-mêmes ne vivent qu'en mémoire.

L'outil qui construit ces machines s'appelle alpineAnywhere. Je l'ai développé et publié en open source : tu peux vérifier exactement ce qui tourne.

La seule exception, je l'expose clairement

Il y a un endroit où je compte quelque chose. Quand un tiers me signale un abus venant d'un port que tu as ouvert, je ferme ce port et je pose un avertissement sur le compte qui le détenait. Trois avertissements en 90 jours et le compte perd l'accès.

Ce compteur contient ton identifiant de compte, un nombre, et la catégorie du dernier signalement. Pas de destination, pas de port, pas d'horodatage, aucun historique. Il vit en mémoire vive et il disparaît à chaque redémarrage. Il ne répond à aucune question sur ce que tu as fait, et il me permet de répondre à un hébergeur qui menace de me couper.

C'est le prix du port forwarding. Mullvad et IVPN ont préféré supprimer la fonctionnalité en 2023 plutôt que de compter quoi que ce soit. Respect. J'ai choisi de la garder et de te dire exactement ce qu'il en « coûte ».

Et si une autorité me demande des comptes ?

Une autorité peut exiger ce que je détiens. La réponse tiendra toujours en deux colonnes : une clé publique, une date d'expiration. Je ne peux pas fournir ce que je n'ai jamais collecté.