Rapport de transparence 2025

00 / Pourquoi ce document

Troisième édition, même règle

Chaque mois de janvier depuis 2024, nous publions l'intégralité de ce que nous pouvons mesurer sans trahir notre promesse première : ne rien savoir de nos clients. Ce rapport est la contrepartie logique du modèle no-KYC — si nous ne vous demandons aucune pièce d'identité, le minimum est de montrer nos propres papiers.

Tous les chiffres ci-dessous sont agrégés, arrondis quand la précision pourrait indirectement identifier quelqu'un, et vérifiables de l'extérieur : historique d'uptime public depuis 2022, warrant canary trimestriel signé, archives du blog datées. Rien n'est audité par un tiers — nous n'existerons pas juridiquement assez longtemps pour cela, et nous préférons le dire — mais tout peut être recoupé.

« Zéro pièce d'identité exigée de nos clients. Toutes nos métriques publiées pour eux. La confiance ne se décrète pas, elle se documente. »

01 / Comptabilité & parc

Les chiffres de l'année

Le parc est passé de 7 318 VPS actifs fin 2024 à 9 842 fin 2025, soit +34,5 %. La croissance est restée organique : moteurs de recherche, bouche-à-oreille et programme d'affiliation, dans des proportions stables depuis 2023. Le taux de résiliation volontaire reste sous 2 % par trimestre — quand un serveur trouve sa juridiction, il y reste.

Sur les 38 214 factures soldées, 71 % couvrent une période plurimensuelle (trimestrielle, semestrielle ou annuelle). C'est le signe d'une clientèle d'infrastructure, pas d'essais : les VPS VPSPLEX hébergent des productions qui restent. Distinction utile : « actifs » compte les serveurs en cours au 31 décembre ; le cumul des VPS déployés depuis 2021 s'approche, lui, des 11 000 — un cap que nous franchirons au printemps : nous y reviendrons dans le bilan réseau du T1 2026.

02 / Trésorerie

Comment vous nous avez payés

Sept réseaux, zéro fiat. Monero reste la première devise de l'entreprise pour la troisième année consécutive — ses propriétés de confidentialité correspondent exactement au profil de notre clientèle. Le on-chain direct représente 58 % des paiements, Paymento 42 % (préféré pour les règlements USDT/TRX rapides).

L'écart factures/volume sur XMR et ETH s'explique simplement : les factures annuelles privilégient les réseaux à frais fixes faibles (XMR, LTC), les montants importants passent volontiers par ETH ou SOL. La trésorerie est conservée à 82 % en XMR et BTC ; les conversions nécessaires aux dépenses d'exploitation (baies, transit, matériel) sont exécutées de gré à gré (OTC), sans passer par une plateforme d'échange soumise au KYC.

03 / Contenus & plaintes

377 signalements, 377 rejets motivés

Nous avons reçu 377 avis de retrait de type DMCA ou équivalents européens en 2025 (341 en 2024). Tous ont été rejetés, chacun avec une réponse écrite et motivée, dans un délai moyen de 47 heures. Le modèle de réponse type est publié ; il n'a pas changé depuis 2024 et ne changera pas : le DMCA est une procédure américaine, sans effet juridique là où dorment nos serveurs.

Ce dernier cas de figure mérite d'être explicite, car c'est là que la nuance vit. « DMCA ignored » signifie que la procédure américaine du droit d'auteur ne produit aucun effet chez nous. Il ne signifie jamais « tout est permis » : notre politique d'abus prohibe le phishing, les malwares, le spam et toute exploitation d'enfants, et elle est appliquée — sur notre propre initiative ou sur décision d'une juridiction locale compétente, pas sur pression d'un formulaire automatisé.

Des 30 allégations d'abus reçues sous couvert de takedown : 12 ne correspondaient à rien de réel (rejet définitif), 12 ont abouti à un retrait volontaire du contenu par le client après notification, et 6 ont ouvert une procédure AUP approfondie — dont deux se sont conclues par une ordonnance judiciaire, détaillées ci-dessous. Voilà toute la chaîne, sans rien en cacher.

04 / Justice & forces de l'ordre

Deux ordonnances, deux exécutions

Nous n'ignorons pas la loi ; nous exigeons qu'elle passe par la porte prévue. Une décision d'un tribunal compétent de la juridiction où se trouve le serveur est examinée et, si elle est recevable, exécutée. C'est arrivé deux fois en 2025. C'est tout.

Cas n° 1 — Bucarest, 14 mai 2025. Ordonnance du tribunal roumain : kit de phishing ciblant les clients d'une banque européenne, hébergé sur un VPS-2. Suspension du service en 9 heures, snapshot conservé 90 jours à disposition de la justice roumaine, accès client révoqué. Le VPS n'a pas été « effacé en douce » : il a été gelé dans l'état, comme le prévoit la procédure.

Cas n° 2 — Moscou, 3 octobre 2025. Ordonnance du tribunal de la juridiction russe : serveur de commande d'un botnet de location DDoS, identifié par nos propres sondes avant même la plainte. Suspension en 25 heures après réception de la décision, infrastructure transmise aux enquêteurs. Détail que nous assumons : ce VPS avait été ouvert en janvier 2025 et n'avait jamais déclenché de signal jusqu'à son instrumentalisation.

Les 11 demandes informelles (cinq se présentant comme « urgentes », deux accompagnées d'une menace d'escalade médiatique) ont toutes reçu la même réponse : revenir avec une commission rogatoire ou une ordonnance d'un tribunal de la juridiction concernée. Aucune donnée transmise, aucune suspension « de bonne foi », aucune exception « juste cette fois ». C'est ce 0 que le warrant canary atteste chaque trimestre.

05 / Réseau

Disponibilité par juridiction

Objectif contractuel : 99,95 % par site. Tenu en Islande, aux Pays-Bas et en Suisse ; manqué de quelques centièmes en Roumanie, en Russie et à Panama — à chaque fois à cause d'un incident unique, détaillé dans le tableau. L'historique minute par minute est public depuis 2022 sur la page de statut ; voici la synthèse annuelle, incidents compris — parce qu'un rapport de transparence qui n'évoque que les beaux chiffres n'en est pas un.

L'incident de Bucarest du 4 octobre mérite une phrase de plus : 260 Gbps en entrée pendant un peu plus de deux heures, atténuation automatique en moins d'une minute, aucune null-route, aucun client injoignable plus de cinq minutes. C'est précisément pour ce scénario que l'anti-DDoS est monté en entrée de réseau depuis 2023.

06 / Gage & perspective

Canary valide, cap sur 2026

Le warrant canary a été renouvelé le 1er janvier 2026, signature valide. Il atteste pour le quatrième hiver consécutif : zéro injonction de silence (gag order), zéro demande d'insertion de porte dérobée, zéro accès matériel non consigné constaté en salle. Si un de ces chiffres bouge, vous le saurez par l'absence du canary — c'est tout son principe.

Pour 2026, quatre engagements publics :

• Publier l'édition n° 4 de ce rapport en janvier 2027, même format, même franchise.
• Mettre en ligne le modèle complet de réponse aux signalements, réutilisable par n'importe quel hébergeur.
• Tenir l'objectif de 99,95 % par site malgré la croissance du parc (+34 % cette année).
• Lancer l'option 10 Gbps — le premier jalon matériel de 2026 sera détaillé dans le bilan réseau du T1.

Merci à celles et ceux qui nous confient leur infrastructure depuis 2021. Nous ne connaissons pas vos noms ; nous connaissons votre exigence. — L'équipe NOC, 30 janvier 2026.