La mascotte ours polaire NordBastion derrière un podium judiciaire nordique en pierre avec un grand livre ouvert montrant des icônes d'identité barrées et des balances en laiton à côté, le bouclier-N cyan élevé par une magie cyan ténue

Explications·10 min de lecture · Mis à jour 2026

L'hébergement VPS no-KYC, expliqué.
Ce que c'est, ce que ce n'est pas, et comment identifier les vrais.

« No-KYC » est l'une des expressions les plus surexploitées dans l'hébergement privé. Ce guide explique ce qu'est réellement le KYC, ce que signifie no-KYC à chaque couche de la relation client, et quatre tests concrets qui distinguent un hébergeur vraiment soucieux de la vie privée d'une marque qui utilise ce terme comme ornement.

Chapitre 1

Ce qu'est réellement le KYC, et d'où il vient.

KYC — Know Your Customer (Connaître votre client) — est un ensemble de procédures de vérification d'identité initialement codifiées dans la réglementation des services financiers contre le blanchiment d'argent. La mise en œuvre canonique collecte quatre éléments : nom légal, adresse résidentielle, document d'identité émis par le gouvernement (passeport ou pièce d'identité nationale), et la preuve que le document appartient à la personne qui le soumet (le désormais omniprésent « selfie avec pièce d'identité »). Parfois une facture d'utilitaire ou un relevé bancaire ajoute une preuve d'adresse. L'obligation des services financiers est réelle, la documentation est bien définie, et les régulateurs qui l'appliquent (FinCEN aux États-Unis, la FCA au Royaume-Uni, BaFin en Allemagne, FINMA en Suisse, le GAFI mondialement) auditent régulièrement la conformité.

Ce qui est moins bien défini, c'est la façon dont le KYC a migré des services financiers vers des catégories adjacentes. L'hébergement en fait partie. Il n'existe aucune loi en Suède, en Finlande, en Norvège ou en Islande qui oblige un hébergeur à faire passer ses clients par le KYC. La pratique s'est répandue par convention — principalement parce que les hébergeurs qui acceptent les cartes de crédit héritent de la culture de prévention de la fraude des processeurs de paiement, et parce que les achats en entreprise s'attendent à être interrogés. Une petite fraction du marché de l'hébergement s'est consciemment affranchie de cette convention. C'est cette fraction que désigne « l'hébergement sans KYC ».

La distinction importe car le mot marketing « anonyme » peut désigner plusieurs couches différentes, et la suppression du KYC n'en est qu'une. Un hébergeur parfaitement sans KYC qui n'accepte pas les cryptomonnaies, refuse Tor, et partage votre adresse IP à quiconque le demande, continue de fuiter sur les deux autres couches. L'hébergement réellement privé est une pile ; la suppression du KYC n'en est qu'un élément.

Chapitre 2

Pourquoi la plupart des hébergeurs exigent le KYC. Trois vraies raisons.

Raison 1 — assurance contre les rétrofacturations. Les hébergeurs payés par carte subissent des rétrofacturations à des taux non négligeables — généralement 0,5 à 2 % des transactions, parfois pire pour les hébergeurs économiques. Vérifier le titulaire de la carte réduit cette exposition : si le client peut prouver qu'il est le propriétaire légitime de la carte avant que le débit soit validé, le risque de rétrofacturation diminue. Un hébergeur payé en crypto n'a aucune exposition aux rétrofacturations (les transactions crypto sont irréversibles), et perd donc toute cette raison de demander. NordBastion est uniquement en crypto et n'a donc aucune exposition aux rétrofacturations à défendre.

Raison 2 — réactivité face aux abus. Lorsqu'un serveur est signalé pour spam, hébergement de malware ou infrastructure de phishing, identifier le propriétaire légal accélère la procédure de fermeture — l'hébergeur peut avertir, suspendre ou résilier avec une documentation qu'un tribunal accepterait. Un hébergeur privé renonce à cela en étant explicite dans la politique d'utilisation acceptable sur ce qui cause exactement une suspension, et en suspendant pour des raisons opérationnelles (le serveur envoie du spam) plutôt que juridiques (l'opérateur est identifiable). Même résultat, mécanisme différent.

Raison 3 — légitimité pour les achats d'entreprise. Les clients entreprises s'attendent à ce qu'on leur demande une identité parce que leur propre conformité l'exige. Un fournisseur qui ne demande pas est, paradoxalement, plus difficile à intégrer via les achats d'entreprise. Un hébergeur de confidentialité se disqualifie lui-même de ce segment — la base de clients est composée d'individus, de petites équipes et de développeurs soucieux de la vie privée, pas d'achats Fortune 500.

Ces trois raisons sont légitimes pour leurs modèles commerciaux respectifs. Elles ne s'appliquent tout simplement pas à un hébergeur payé en crypto, orienté clients individuels, qui publie explicitement sa politique d'utilisation acceptable. Refuser le KYC dans ces conditions est opérationnellement cohérent, et non un arbitrage réglementaire.

Chapitre 3

Compromis. Ce à quoi vous renoncez.

Le no-KYC n'est pas gratuit. Le compromis le plus concret est la récupération de compte. Un hébergeur KYC peut réémettre votre mot de passe en vérifiant votre identité via les documents en dossier. Un hébergeur no-KYC ne peut pas — il n'y a rien en dossier contre quoi vérifier. Perdre le mot de passe (et, si activé, la graine TOTP) signifie perdre le compte.

Le bon modèle mental est de traiter le mot de passe du panel comme une phrase de récupération de portefeuille de cryptomonnaie : notez-la sur papier, stockez-la hors ligne, acceptez qu'il n'y a pas de chemin de récupération. Le secret 2FA doit être sauvegardé de la même manière (le QR code TOTP, ou la chaîne de graine de 25 caractères, notée au moment de la configuration). Les deux stockés ensemble dans une enveloppe scellée dans un tiroir constituent la configuration canonique. Perdre les deux = perdre le compte.

Le second compromis est que certains modes de paiement ne sont pas disponibles. Le virement bancaire et la carte de crédit sont exclus, car tous deux imposent le KYC au client à la source de financement. La cryptomonnaie est incluse. PayPal se trouve maladroitement au milieu — certains hébergeurs sans KYC l'acceptent, d'autres refusent en raison du risque de rétrofacturation et de l'exposition identitaire. NordBastion n'accepte pas PayPal pour l'une ou l'autre de ces raisons.

Le troisième compromis, plus subtil, est psychologique. Un client habitué à s'attendre à « vérifiez votre identité » dans toute relation commerciale peut trouver l'inscription sans KYC déstabilisante au premier abord — il y a un moment de « attendez, vous n'avez pas besoin de mon nom ? » que certains nouveaux clients rapportent. La déstabilisation s'estompe dans les quelques jours d'utilisation du service. Au deuxième mois, les clients notent généralement que l'absence d'exposition identitaire est en elle-même une forme de réconfort.

Chapitre 4

Quatre tests pour un vrai hébergeur no-KYC. Chacun est indépendant.

Lire le processus d'inscription

Ouvrez la page d'inscription dans une fenêtre privée et lisez chaque champ du formulaire. Si un champ demande le téléchargement d'un document, un numéro de téléphone, ou une affirmation « vérifiez votre nom légal », l'hébergeur applique le KYC, quoi que dise le marketing. Le flux d'inscription est la preuve la plus directe.

Lire les conditions d'utilisation

Un hébergeur sérieux nomme les limites d'utilisation acceptable explicitement et brièvement. Un hébergeur défensif se cache derrière une liste de 12 pages de clauses fourre-tout vagues rédigées par un avocat américain. La longueur et la précision sont des signaux ; la verbosité et le vague sont des anti-signaux.

Lire la politique de confidentialité

Une vraie politique de confidentialité liste ce qui est collecté ET ce qui est refusé. La liste « ce qui est refusé » est la plus difficile à rédiger et la plus informative à lire — un hébergeur qui a réfléchi à sa minimisation des données publiera les deux. Un hébergeur qui ne publie que « ce qui est collecté » ne l'a pas fait.

Cherchez un canari de mandat

Un canari est une déclaration attestant que l'hébergeur n'a pas reçu de demande légale secrète, réaffirmée selon un calendrier publié et signée avec une clé publique. Sa présence n'est pas une preuve, mais son absence est suggestive. Sa disparition — le canari cesse d'être mis à jour — est éloquente. Un hébergeur sérieux en publie un.

FAQ · No-KYC

Questions, réponses.

Les huit questions qu'un client sceptique pose avant de faire confiance à une promesse « sans KYC ».

Que signifie réellement « KYC » et qu'exige-t-il ?

Connaître votre client. L'ensemble des procédures de vérification d'identité initialement codifiées dans la réglementation des services financiers — nom, adresse, document d'identité émis par le gouvernement, parfois un contrôle de vivacité « selfie avec pièce d'identité », parfois une facture d'utilitaire comme preuve d'adresse. L'obligation des services financiers est réelle et s'applique aux banques, aux exchanges et aux entreprises de transfert d'argent. Le KYC s'est répandu à de nombreuses entreprises adjacentes par convention plutôt que par la loi ; les hébergeurs sont une telle classe adjacente, et une petite tranche du marché de l'hébergement a consciemment décidé de ne pas l'appliquer.

L'hébergement VPS no-KYC est-il réellement légal ?

Dans chaque juridiction où NordBastion opère — Suède, Finlande, Norvège, Islande — oui, clairement. Une société d'hébergement n'est pas une institution financière réglementée ; l'obligation légale d'appliquer le KYC à ses clients ne s'applique pas. Ce que l'hébergeur peut être tenu de faire, c'est répondre à des demandes légales licites concernant un serveur spécifique, mais en pratique, moins l'hébergeur détient de données sur son client dès le départ, moins il y a à remettre. Le no-KYC n'est donc pas une échappatoire réglementaire ; c'est une posture délibérée de minimisation des données dans un régime réglementaire qui le permet.

Pourquoi la plupart des hébergeurs exigent-ils le KYC alors ?

Trois raisons, dans un ordre globalement décroissant d'importance. (1) Assurance contre les rétrofacturations : les hébergeurs payés par carte subissent des rétrofacturations frauduleuses à des taux non négligeables, et la vérification du titulaire de carte réduit cette exposition. (2) Réactivité face aux abus : si un serveur commence à spammer ou à héberger du contenu illégal, connaître le propriétaire légal accélère la procédure de fermeture. (3) Légitimité pour les achats d'entreprise : les clients corporatifs s'attendent à ce qu'on leur demande une identité car leur propre conformité l'exige. Un hébergeur axé sur la confidentialité et payé en crypto a des réponses différentes aux trois (pas de rétrofacturations par carte, limites strictes dans la politique d'utilisation acceptable, auto-exclusion délibérée du segment des achats d'entreprise), ce qui explique pourquoi le sans-KYC est viable à petite échelle mais pas à grande.

Quel est le compromis pour le client ?

Un hébergeur no-KYC n'a généralement aucun moyen de récupérer un compte au-delà du mot de passe et (si activé) de la 2FA. Il n'existe pas de chemin « vérifiez votre identité pour réinitialiser votre mot de passe » car il n'y a pas d'identité enregistrée. Cela signifie que perdre les identifiants du compte = perdre le compte. Les clients doivent traiter le mot de passe comme ils traitent la phrase de récupération d'un portefeuille crypto — l'écrire sur papier, le stocker hors ligne, accepter qu'il n'y a pas de solution de secours. Le compromis est réel et c'est le prix de la minimisation des données.

Comment distinguer un vrai hébergeur no-KYC d'un hébergeur no-KYC uniquement en marketing ?

Quatre questions. (1) Lisez le flux d'inscription avant de payer — un champ demande-t-il le téléchargement d'un document, un numéro de téléphone, ou un nom légal ? (2) Lisez les conditions d'utilisation — liste-t-il les limites d'utilisation acceptable explicitement, ou se cache-t-il derrière des clauses fourre-tout vagues ? (3) Lisez la politique de confidentialité — indique-t-elle ce qui est collecté ET ce qui est refusé, ou seulement ce qui est collecté ? (4) Recherchez un canari de mandat publié — son absence est suggestive. Un hébergeur qui répond (1) non, (2) explicitement, (3) les deux listes, (4) oui, fait le travail. Un hébergeur qui échoue à l'un des quatre vend la marque et non le fond.

Le no-KYC signifie-t-il « tout est permis » ?

Non. Chaque hébergeur no-KYC sérieux a au moins une limite absolue, écrite explicitement. La politique d'utilisation acceptable de NordBastion en nomme exactement une — le matériel d'abus sexuel sur enfants — et décrit un petit ensemble de catégories de mauvais comportements opérationnels (spam massif, mise en scène DDoS délibérée, etc.) qui entraînent la suspension d'un client. Le but du no-KYC est de refuser la collecte de données routinière, pas d'abandonner le jugement de l'opérateur.

Que faire si mon pays exige que les fournisseurs VPS vérifient l'identité des clients ?

Certains pays imposent cette exigence ; la plupart ne le font pas. La question du côté client n'est pas « l'hébergeur est-il tenu de me vérifier selon la loi de mon pays » mais « l'hébergeur est-il tenu de me vérifier selon la loi du pays de l'hébergeur » — car c'est l'hébergeur qui applique la règle. NordBastion est enregistré en Estonie et opère depuis la Suède, la Finlande, la Norvège et l'Islande ; aucun de ces pays n'impose la vérification d'identité des clients aux hébergeurs. Si votre propre pays a des règles qui s'appliquent à vous indépendamment de qui vous héberge, c'est un problème distinct que l'hébergeur ne peut pas résoudre.

Puis-je utiliser un faux e-mail à l'inscription ?

Vous pouvez. Beaucoup de clients le font — une adresse fraîche de Tutanota, Proton, Cock.li, ou tout fournisseur respectueux de la vie privée, utilisée uniquement pour le compte NordBastion et rien d'autre. Le compte ne devient pas moins récupérable parce que l'email est fictif ; l'email n'est que le canal de réinitialisation du mot de passe. Si le compte héberge des charges de travail critiques, traitez l'email comme un identifiant de stockage à froid — une identité séparée que personne d'autre ne peut compromettre pour accéder au panel.

Lire les politiques