Hébergement No-KYC : serveurs sans pièce d'identité

L'hébergement no-KYC se définit simplement : louer et administrer un serveur sans transmettre la moindre information d'identité — ni nom, ni adresse, ni pièce d'identité, ni numéro de téléphone. Pas de compte nominatif, pas de facture à votre nom, pas de base clients associant une personne physique à une machine. Chez VPSPLEX, depuis 2021, l'identité d'un client se résume à un token de 160 bits généré dans son navigateur : c'est tout, et c'est voulu.

Le débat public oppose habituellement KYC et anonymat, comme s'il fallait choisir entre sécurité et vie privée. C'est faux. Une pièce d'identité ne protège ni un serveur, ni un réseau, ni une application : la sécurité d'une infrastructure tient à la virtualisation KVM, au durcissement des hyperviseurs, à l'anti-DDoS en entrée de réseau et à la réactivité d'un support compétent — pas à un passeport scanné. En revanche, chaque base KYC créée est un risque concret, reporté sur vous, client, pour des années.

Pourquoi ? Parce qu'une base de données centralisée finit toujours par sortir. Entre 2023 et 2026, le secteur n'a pas manqué d'exemples : en 2023, des scans de pièces d'identité et selfies de vérification d'un grand hébergeur européen ont été exposés par une API mal sécurisée ; en 2024, une base clients d'opérateur télécom — identités complètes et justificatifs — a été revendue sur un forum avant d'alimenter doxxing et fraude SIM-swap ; en 2025, des révélations successives ont montré que les requêtes gouvernementales adressées aux hébergeurs se comptent par milliers chaque année, très majoritairement sans mandat judiciaire, et presque toujours assorties d'une interdiction de divulgation qui vous empêche d'apprendre que vos données ont été consultées ; début 2026, plusieurs groupes de rançonnage ont précisément ciblé les bases KYC, exfiltrant des documents d'identité pour en faire un levier de chantage.

Notez le mécanisme commun : dans chaque cas, ce sont les clients — les plus nombreux, les moins protégés — qui absorbent le coût final. L'hébergeur écope d'une amende, parfois ; vous, vous portez une identité dévoilée pendant dix ans. L'argument « je n'ai rien à cacher » ne résiste pas à cette lecture : vous ne savez pas qui achètera la base demain, ni quelle sera la loi d'après-demain. Un journaliste couvrant la corruption, un lanceur d'alerte ou un chercheur en sécurité n'ont pas besoin d'être coupables pour avoir besoin d'être protégés : il leur suffit d'être visibles.

Le KYC n'est pas une mauvaise pratique en soi : c'est une pratique dont le coût est déplacé sur le client. Nous avons fait le choix inverse — ne rien collecter, pour n'avoir rien à perdre et rien à livrer.

Le token n'est pas un mot de passe de plus : c'est une identité délibérément amnésique. Un système classique associe login, mot de passe, email, facture et pièce d'identité ; casser ou convaincre un seul maillon suffit à remonter jusqu'à vous. Chez nous, le maillon final — la pièce d'identité — n'existe pas, et la chaîne s'arrête au hash.

Concrètement, le support ne peut pas « vérifier votre identité » avant de vous aider, parce qu'il n'y a aucune identité à vérifier : il vérifie la possession du token, via un défi cryptographique, c'est tout. C'est moins confortable — un token perdu est un compte perdu, services inclus — et c'est exactement le prix de la propriété qui vous intéresse. Si nous pouvions récupérer votre compte, quelqu'un d'autre pourrait le récupérer à votre place.

Menace modèle, en toute honnêteté

Soyons précis sur ce que le no-KYC protège — et ce qu'il ne protège pas. Il protège contre la fuite de base clients, la requête de masse, le recoupement par les courtiers de données et la dénonciation opportuniste : sans nom, sans email, sans log, il n'y a littéralement rien à corréler. Il ne protège pas contre une enquête ciblée sur vous en amont : si vous administrez votre serveur depuis une connexion nominative sans VPN ou Tor, votre FAI — pas nous — sait ce que vous faites. Il ne protège pas contre la compromission de votre poste de travail, ni contre l'analyse de trafic globale. Le no-KYC supprime le KYC ; il ne remplace pas une hygiène opérationnelle sérieuse. Nous documentons la nôtre dans les guides.