Confiance

Centre de confidentialité d'ExpressVPN

ExpressVPN est avant tout une entreprise spécialisée dans les technologies de confidentialité sur internet. Nos utilisateurs nous font confiance pour protéger leurs données grâce à une combinaison de ressources matérielles, logicielles de pointe et à nos experts qualifiés. Découvrez comment nous avons gagné cette confiance.

Un randonneur avec un chien, un adulte, un enfant et quelqu'un qui tient son téléphone.

La sécurité chez ExpressVPN : Nos 4 stratégies clés
Innovation
Gouvernance opérationnelle (ISO)
Audits de sécurité indépendants
Rapport de transparence
Programme de chasse aux bugs
Leadership dans le secteur
Initiatives majeures en matière de protection de la vie privée
La sécurité chez ExpressVPN : Nos 4 stratégies clés
Innovation
Audits de sécurité indépendants
Rapport de transparence
Programme de chasse aux bugs
Leadership dans le secteur
Initiatives majeures en matière de protection de la vie privée

La sécurité chez ExpressVPN : Nos 4 stratégies clés
Innovation
Gouvernance opérationnelle (ISO)
Audits de sécurité indépendants
Rapport de transparence
Programme de chasse aux bugs
Leadership dans le secteur
Initiatives majeures en matière de protection de la vie privée
La sécurité chez ExpressVPN : Nos 4 stratégies clés
Innovation
Audits de sécurité indépendants
Rapport de transparence
Programme de chasse aux bugs
Leadership dans le secteur
Initiatives majeures en matière de protection de la vie privée

La sécurité chez ExpressVPN : Nos 4 stratégies clés

Découvrez ci-après comment nous procédons pour préserver la sécurité de nos systèmes et de nos utilisateurs.

1. Rendre les systèmes difficiles à hacker

Système de contrôle de versions (BVT)

Le logiciel ExpressVPN est protégé – dès sa conception à sa version définitive – contre toute infection par des codes malveillants, grâce à un système interne de contrôle de versions audité par un organisme indépendant.

Supports de sécurité matériels

Nous utilisons une paire de clés publique/privée pour divers objectifs de sécurité tels que : l'authentification à deux facteurs, la signature des Git commits et la connexion à un serveur via SSH. Nous diminuons le risque de vol de nos clés privées en les enregistrant dans des supports de sécurité matériels. Cela signifie que même si nos postes de travail sont exposés à un risque de sécurité, un hacker ne pourra pas dérober nos clés privées. Ces supports de sécurité matériels sont sécurisés avec des phrases secrètes complexes et sont configurés de manière à s'arrêter après plusieurs tentatives de déverrouillage échouées. Les appareils nécessitent une action physique pour fonctionner, ce qui signifie qu'un malware ne peut pas voler les clés sans l'intervention d'un humain.

Révision de code

Tout code en développement nécessite au moins l'intervention d'une deuxième personne pour agir en tant que réviseur. Cela rend difficile l'ajout de code malveillant provenant soit d'une menace interne soit d'un poste de travail compromis.

Le protocole SSH

Nous utilisons le protocole SSH comme moyen pour accéder à nos serveurs stratégiques à distance. Ces serveurs SSH sont configurés pour utiliser uniquement un ensemble de systèmes de chiffrement, d'algorithmes d'échange de clés et de MAC hautement sécurisés. Nous n'autorisons pas la connexion en tant qu'utilisateur root. De plus, l'authentification ne peut aboutir qu'avec l'utilisation de clés SSH complexes, les mots de passe étant refusés. Nous utilisons des hôtes bastions SSH intermédiaires pour séparer l'infrastructure de production du réseau internet. Ces machines autorisent uniquement le trafic provenant d'adresses figurant sur une liste blanche d'IP. Toute cette configuration est définie avec un code. Elle est donc reproductible et évaluée par des tiers.

Correctifs rapides

Pour les machines de production, les dépendances logicielles sont mises à jour automatiquement grâce à des mises à niveau automatiques.

2. Minimisation des dommages potentiels

Confiance zéro

Pour limiter la menace des clés volées et utilisées pour l'usurpation de serveurs VPN, l'appli ExpressVPN effectue des vérifications grâce à nos serveurs API dotés de paramètres de configuration à jour. Nos applications authentifient les serveurs auxquels elles se connectent en validant le nom commun et la signature de l'autorité de certification privée (CA). Un hacker ne pourra donc pas s'emparer de l'accès à nos systèmes.

Utilisation du chiffrement sans mémoire

Lorsque vous utilisez ExpressVPN, vos données sont protégées par un chiffrement AES-256 avancé. Il s'agit de la même norme de chiffrement utilisée par le gouvernement américain et considérée par les experts en sécurité du monde entier comme garantissant la protection des informations classifiées. Lorsque vous utilisez le gestionnaire de mots de passe (ExpressVPN Keys) d'ExpressVPN, vos données sensibles sont protégées par un chiffrement à connaissance nulle de sorte que personne (pas même nous) ne peut déchiffrer les informations conservées dans Keys. Toutes les informations sont déchiffrées uniquement sur l'appareil de l'utilisateur. Elles ne peuvent être décryptées qu'à l'aide des clés de chiffrement générées par le mot de passe principal de l'utilisateur, lequel est connu uniquement par lui. Afin de veiller à votre sécurité et au respect de la vie privée dans le cadre de la solution d'IP dédiée d'ExpressVPN (DIP), nous recourons à une attribution d'IP à connaissance nulle et de jetons anonymes pour empêcher les administrateurs d'ExpressVPN d'identifier un utilisateur à partir de son adresse IP dédiée.

Design sécurisé

La modélisation des menaces de sécurité et de confidentialité est intégrée dans la phase de design de tout système. Nous utilisons le framework MITRE ATT&CK afin d'identifier les menaces qui peuvent exister dans nos designs, de trouver des moyens pour les supprimer et de prendre les mesures nécessaires pour minimiser les risques.

Principe du moindre privilège

Tous nos utilisateurs, services et opérations suivent le modèle du moindre privilège. Nos employés ont une autorisation d'accès uniquement aux services et aux systèmes de production nécessaires à leurs fonctions. Nos agents de support client travaillent dans deux environnements, l'un répondant à un niveau de sécurité commun accessible via une navigation web sécurisée et l'autre hautement restrictif pour accéder à des systèmes sensibles. Dans le cas où des hackers réussissent à s'emparer de l'un de nos comptes, ces précédentes mesures permettront de minimiser l'impact des attaques.

3. Minimisation du temps d'exposition

Contrôles de sécurité

Nous surveillons continuellement nos services internes ainsi que notre infrastructure pour toute activité anormale ou non autorisée. De plus, notre équipe de sécurité disponible 24h/24 et 7j/7 effectue une surveillance en temps réel et un tri des alertes de sécurité.

Reconstructions automatiques

Une partie de nos systèmes est automatiquement détruite et reconstruite plusieurs fois par semaine, si ce n'est quotidiennement. Ce procédé limite le temps d'activité d'un hacker qui menace nos systèmes.

4. Validation de nos contrôles de sécurité

Validation interne : tests d'intrusion

Nous effectuons des tests d'intrusion de manière régulière pour évaluer nos systèmes et nos logiciels afin d'identifier des failles de sécurité. Nos testeurs ont un accès complet au code source, mais ils utilisent aussi une combinaison de tests manuels et automatiques afin d'assurer une évaluation approfondie de nos services et de nos produits.

Validation externe : audits de sécurité indépendants

Nous faisons appel à des auditeurs indépendants pour examiner la sécurité de nos services et de nos logiciels. Ces mandats servent à valider que nos contrôles internes sont suffisamment efficaces pour éliminer les vulnérabilités en matière de sécurité, tout en offrant aux utilisateurs une documentation sur l'exactitude des déclarations de sécurité que nous faisons au sujet de nos produits. Voir la liste complète des rapports d'audit

Innovation

Alors que nous nous efforçons d'atteindre et de porter plus haut les normes de sécurité du secteur, nous innovons également de manière constante dans la recherche de nouvelles technologies pour sécuriser nos produits et protéger la vie privée de nos utilisateurs. Découvrez ci-après deux technologies révolutionnaires conçues par ExpressVPN.

Lightway : notre protocole qui offre une expérience VPN supérieure

Lightway est un protocole VPN conçu par ExpressVPN. Un protocole VPN est la méthode par laquelle un appareil se connecte à un serveur VPN. La plupart des fournisseurs utilisent les mêmes protocoles standards, mais nous avons décidé d'en créer un protocole plus performant, afin que l'expérience VPN des utilisateurs soit non seulement plus rapide et plus fiable, mais aussi plus sûre.

Lightway utilise wolfSSL, dont la bibliothèque de cryptographie reconnue a fait l'objet d'une évaluation approfondie par des tiers, conformément à la norme FIPS 140-2.
Lightway préserve également la confidentialité persistante de nos systèmes, grâce à des clés de chiffrement dynamiques qui sont régulièrement supprimées et régénérées.
La base de code de Lightway a été rendue open source, ce qui assure son examen pour la sécurité de manière large et transparente.
Lightway inclut une prise en charge post-quantique, protégeant les utilisateurs contre les attaquants qui ont accès à la fois aux ordinateurs classiques et aux ordinateurs quantiques. ExpressVPN est un des premiers fournisseurs VPN à déployer une protection post-quantique, aidant les utilisateurs à rester en sécurité face au développement de l'informatique quantique.
Pour des vitesses encore plus rapides, nous avons créé Lightway Turbo, qui utilise la tunnelisation multi-voies pour envoyer davantage de données simultanément (actuellement disponible dans notre application pour Windows, avec d'autres plateformes en cours de développement).

En savoir plus sur Lightway ! Consultez notre blog pour obtenir des informations techniques provenant des développeurs web d'ExpressVPN sur le fonctionnement de Lightway et sur ses performances.

TrustedServer : toutes les données sont supprimées après chaque redémarrage

TrustedServer est une technologie VPN que nous avons développée et qui offre plus de sécurité à nos utilisateurs.

Elle fonctionne uniquement avec un système de mémoire vive ou RAM. Les données du système d'exploitation et les applis ne sont jamais enregistrées sur un disque dur, ce qui implique l'utilisation d'une RAM jusqu'à ce qu'elles soient supprimées. Étant donné que la RAM nécessite de l'énergie pour stocker des données, toutes les informations sur le serveur sont supprimées après chaque redémarrage, empêchant les données compromises et toute intrusion potentielle d'infecter nos systèmes.
Cela renforce la stabilité. Avec TrustedServer, chacun des serveurs d'ExpressVPN exécute le programme le plus récent, plutôt que chaque serveur reçoive une mise à jour à des moments différents selon les besoins. Cela signifie qu'ExpressVPN connait les programmes qui fonctionnent sur chaque serveur, minimisant ainsi le risque de failles ou de mauvaises configurations, tout en améliorant considérablement la sécurité VPN.
La technologie TrustedServer a été auditée par PwC.

Vous souhaitez en savoir davantage comment TrustedServer protège les utilisateurs ? Consultez notre article sur cette technologie, écrit par l'ingénieur qui a conçu le système.

ExpressKeys : un gestionnaire de mots de passe dédié à divulgation nulle de connaissance

ExpressKeys est un gestionnaire de mots de passe autonome qui conserve vos identifiants dans un emplacement sécurisé, distinct de votre connexion VPN. Anciennement connu sous le nom d'ExpressVPN Keys, cet outil a évolué pour devenir une application iOS et Android autonome, offrant un environnement spécialisé pour générer, stocker et protéger vos identifiants de connexion. À l’instar de notre VPN, ExpressKeys est sécurisé par conception. Il exploite un chiffrement à divulgation nulle de connaissance, ce qui signifie que vos mots de passe sont chiffrés sur votre appareil avant même d'atteindre nos serveurs. Nous ne disposons pas des compétences techniques nécessaires pour déchiffrer ou consulter les informations que vous stockez ; vous êtes le seul à détenir les clés de votre coffre-fort. ExpressKeys inclut un outil d'authentification à deux facteurs (MFA), une surveillance proactive des failles de sécurité et une synchronisation homogène entre les appareils mobiles et les extensions de navigateur. Il est fourni sans frais supplémentaires dans tous les abonnements Avancé, Pro et antérieurs.

IP dédiée d'ExpressVPN: une adresse IP statique avec une confidentialité inégalée

Le service d'IP dédiée d'ExpressVPN attribue une adresse IP unique exclusivement à un seul utilisateur, fournissant une identité en ligne cohérente tout en préservant la confidentialité. Généralement, les VPN permettent à de nombreux utilisateurs de partager la même adresse IP, laquelle est un élément clé du processus de confidentialité dans les réseaux privés virtuels. Avec une IP dédiée attribuée à un seul utilisateur, des mesures particulières sont nécessaires pour assurer l'anonymat. Bien qu'aujourd'hui les solutions présentent des vulnérabilités de sécurité et de confidentialité qui risquent de révéler la véritable adresse IP d'un utilisateur, nous avons pris des précautions supplémentaires pour maintenir l'anonymat de nos utilisateurs, comme expliqué dans notre livre blanc technique. Nous utilisons un système de jetons anonymes pour dissocier vos données de paiement de l'adresse IP que nous attribuons à un utilisateur. Nous ne pouvons jamais retracer une IP dédiée et l'associer à l'utilisateur.

Gouvernance opérationnelle (ISO)

La confiance nécessite une architecture rigoureuse. En 2025, ExpressVPN et le groupe Kape ont obtenu une série de certifications internationalement reconnues garantissant que la sécurité et la confidentialité font partie intégrante de nos opérations quotidiennes, de la gestion des risques à l'assistance que nous fournissons à nos utilisateurs.

ISO/IEC 27001 (gestion de sécurité de l'information) : valide notre approche systémique de la gestion des risques liés à la sécurité de l'information, tant au niveau humain que technologique.
ISO 9001 (gestion de la qualité) : garantit l'excellence constante et l'amélioration continue de nos prestations de services.
ISO 18295-1 et 18295-2 (contact avec la clientèle) : certifie que nos équipes d'assistance opèrent sous une surveillance stricte et selon des critères axés sur la priorité accordée au client.

Découvrez comment nous plaçons la barre toujours plus haut avec notre feuille de route en matière de sécurité pour 2026.

Audits de sécurité indépendants

Nous faisons régulièrement appel à des organismes tiers pour réaliser des audits approfondis de nos produits. Voici une liste complète de nos audits externes, classés par ordre chronologique :

Audit de sécurité mené par Cure53 sur ExpressMailGuard (mai 2026)
Audit de sécurité mené par Cure53 sur Identity Defender (mai 2026)
Audit de sécurité mené par Cure53 sur EventVPN (avril 2026)
Évaluation de la sécurité et de l’architecture d’ExpressKeys par Cure53 (mars 2026)
Audit de sécurité mené par Cure53 sur ExpressAI (mars 2026)
Troisième audit de sécurité réalisé par KPMG concernant nos engagements en matière de protection de la vie privée (juin 2025)
Le deuxième audit de sécurité par Cure53 de nos routeurs Aircove (novembre 2024)
Le quatrième audit de notre protocole VPN Lightway par Cure53 (octobre 2024)
Le troisième audit de notre protocole VPN Lightway par Praetorian (septembre 2024)
Un second audit par Cure53 de l'extension de navigateur ExpressVPN (juin 2024)
Un audit de l'application Windows pour confirmer la résolution d'un problème DNS lié au Split Tunneling (avril 2024)
Un audit par KPMG pour évaluer notre politique de confidentialité (décembre 2023)
Le deuxième audit de notre protocole VPN Lightway par Cure53 (novembre 2022)
Un audit par Cure53 de l'extension de navigateur ExpressVPN Keys (octobre 2022)
Un audit par Cure53 de l'extension de navigateur ExpressVPN (octobre 2022)
Un audit par KPMG de notre politique "No Logs" (septembre 2022)
Un audit de sécurité par Cure53 de notre appli pour iOS (septembre 2022)
Un audit de sécurité par Cure53 de notre appli pour Android (août 2022)
Un audit par Cure53 de notre appli pour Linux (août 2022)
Un audit par Cure53 de notre appli pour macOS (juillet 2022)
Un audit de sécurité par Cure53 de notre routeur Aircove (juillet 2022)
Un audit de sécurité par Cure53 de TrustedServer, notre technologie interne de serveur VPN (mai 2022)
Un audit par F-Secure de notre appli pour Windows v12 (avril 2022)
Un audit de sécurité par F-Secure de notre appli pour Windows v1 0 (mars 2022)
Un audit de sécurité par Cure53 de notre protocole VPN Lightway (août 2021)
Un audit par PwC Suisse sur notre processus de vérification de build (juin 2020)
Un audit par PwC Suisse de la conformité de notre politique de confidentialité et de notre technologie interne TrustedServer (juin 2019)
Un audit de sécurité par Cure53 de notre extension de navigateur (novembre 2018)

Rapport de transparence

Nos rapports de transparence biannuels fournissent des informations sur les demandes de données utilisateur reçues par notre service juridique. Bien que nous recevions régulièrement de telles demandes, notre politique des données personnelles garantit que nous n'avons jamais rien à partager. Nous n'enregistrons ni ne conserverons jamais vos activités en ligne ou vos informations personnelles, y compris votre historique de navigation, la destination du trafic ou les métadonnées, les requêtes DNS ou les adresses IP qui vous sont attribuées lorsque vous vous connectez à notre VPN. Nous ne pouvons jamais fournir ces données, car elles n'existent tout simplement pas. En publiant ces informations complémentaires sur les demandes que nous recevons, nous visons à offrir une transparence accrue sur la manière dont nous protégeons nos utilisateurs.

Demandes de données utilisateur

Période : juillet – décembre 2025

Type	Demandes reçues
Demandes émanant des pouvoirs publics, des forces de l'ordre et de procédures civiles	155
Requêtes DMCA	1 382 986
Mandats émis par une entité gouvernementale	3

Période : janvier – juin 2025

Type	Demandes reçues
Demandes émanant des pouvoirs publics, des forces de l'ordre et de procédures civiles	374
Requêtes DMCA	1 063 598
Mandats émis par une entité gouvernementale	0

À partir de cette période, les procédures-bâillons et les requêtes relatives à la sécurité nationale sont classées dans la catégorie « Demandes émanant des pouvoirs publics, des forces de l'ordre et de procédures civiles ». Aucune de ces demandes n'a abouti à la divulgation de données relatives aux utilisateurs.

Période : juillet – décembre 2024

Type	Demandes reçues
Demandes émanant des pouvoirs publics, des forces de l'ordre et de procédures civiles	163
Requêtes DMCA	807 788
Mandats émis par une entité gouvernementale	1
Procédures-bâillons	0
Requêtes relatives à la sécurité nationale	0

Aucune de ces demandes n'a abouti à la divulgation de données relatives aux utilisateurs.

Période : janvier – juin 2024

Type	Demandes reçues
Demandes émanant des pouvoirs publics, des forces de l'ordre et de procédures civiles	170
Requêtes DMCA	259 561
Mandats émis par une entité gouvernementale	2
Procédures-bâillons	0
Requêtes relatives à la sécurité nationale	0

Aucune de ces demandes n'a abouti à la divulgation de données relatives aux utilisateurs.

Programme de chasse aux bugs

À travers notre programme de chasse aux bugs, nous invitons les chercheurs en sécurité à tester nos systèmes et à recevoir des récompenses financières pour les problèmes qu'ils découvriront. Ce programme nous permet de collaborer avec un grand nombre de testeurs qui évaluent régulièrement la sécurité de notre infrastructure et de nos applications. Les résultats de recherche sont ainsi validés puis corrigés, ce qui garantit la sécurité de nos produits. Notre programme concerne notamment les vulnérabilités de nos serveurs VPN, de nos applications et extensions de navigateur, de notre site Web, et bien d'autres aspects. Nous garantissons aux personnes signalant des bugs une protection totale, conforme aux meilleures pratiques internationales en matière de recherche en sécurité. Notre programme de chasse aux bugs est géré par YesWeHack. Suivez ce lien pour en savoir plus ou pour signaler un bug.

A bar graph with an arrow on the highest bar.

Leadership dans le secteur

Même si nous nous imposons des normes rigoureuses pour augmenter la qualité de nos services, nous sommes également convaincus que notre travail qui consiste à bâtir un internet plus sûr et plus libre ne s'arrête pas là. C'est pourquoi nous collaborons avec d'autres sociétés VPN pour améliorer les standards de sécurité en ligne et mieux protéger les utilisateurs. Nous avons co-fondé et présidons la VPN Trust Initiative (VTI) avec l'i2Coalition (Internet Infrastructure Coalition) et de nombreux autres acteurs majeurs du secteur. En plus de son travail de sensibilisation et de défense des droits des internautes, cet organisme a lancé les Principes du VTI, des directives partagées par les fournisseurs VPN responsables dans le domaine de la sécurité, du respect de la vie privée, de la transparence, etc. Cette initiative s'appuie sur les travaux antérieurs d'ExpressVPN en matière de transparence en partenariat avec le Center for Democracy and Technology. Certaines des innovations que nous avons initiées ont aidé à faire avancer le secteur des VPN. Nous étions les premiers à créer TrustedServer, ce qui a permis à d'autres acteurs du secteur de lancer des technologies similaires. Lightway est un autre exemple. En le rendant open source, nous espérons qu'il aura une influence sur l'ensemble du secteur VPN.

Initiatives majeures en matière de protection de la vie privée

Découvrez comment nous protégeons la vie privée de nos utilisateurs.

Certification ioXT

ExpressVPN est l'une des rares applis VPN a être certifiées par l'Alliance ioXT pour les normes de sécurité, ce qui permet à nos utilisateurs d'utiliser nos services en toute confiance.
Protection avancée

Notre application inclut une protection avancée, une suite d’outils de sécurité qui bloque les publicités, les traceurs, les sites malveillants et permet de contrôler l’accès à des contenus adaptés à toute la famille.
Centre de sécurité numérique

Nous avons développé le centre de sécurité numérique pour se pencher en profondeur sur les problèmes de protection de la vie privée dans le monde réel. Découvrez nos outils de tests de fuites qui aident à valider la sécurité de notre VPN.

Confiance

Centre de confidentialité d'ExpressVPN

La sécurité chez ExpressVPN : Nos 4 stratégies clés
Innovation
Gouvernance opérationnelle (ISO)
Audits de sécurité indépendants
Rapport de transparence
Programme de chasse aux bugs
Leadership dans le secteur
Initiatives majeures en matière de protection de la vie privée
La sécurité chez ExpressVPN : Nos 4 stratégies clés
Innovation
Audits de sécurité indépendants
Rapport de transparence
Programme de chasse aux bugs
Leadership dans le secteur
Initiatives majeures en matière de protection de la vie privée

La sécurité chez ExpressVPN : Nos 4 stratégies clés
Innovation
Gouvernance opérationnelle (ISO)
Audits de sécurité indépendants
Rapport de transparence
Programme de chasse aux bugs
Leadership dans le secteur
Initiatives majeures en matière de protection de la vie privée
La sécurité chez ExpressVPN : Nos 4 stratégies clés
Innovation
Audits de sécurité indépendants
Rapport de transparence
Programme de chasse aux bugs
Leadership dans le secteur
Initiatives majeures en matière de protection de la vie privée

La sécurité chez ExpressVPN : Nos 4 stratégies clés

Découvrez ci-après comment nous procédons pour préserver la sécurité de nos systèmes et de nos utilisateurs.