Ce que nous voyons
de vous.

Un mot sur les clics de parrainage

Quand quelqu'un ouvre un lien de parrainage, nous devons éviter qu'un même visiteur qui recharge la page vingt fois compte vingt fois. Nous enregistrons donc une empreinte de son adresse, calculée avec un secret conservé en dehors de la base de données. C'est ce détail qui fait la différence : une empreinte calculée sans secret se retourne en quelques secondes, il n'y a que quatre milliards d'adresses possibles, un ordinateur les essaie toutes. Avec un secret gardé ailleurs, quelqu'un qui obtiendrait une copie de la base n'en tirerait rien.

Cette empreinte ne sert qu'à écarter un doublon, ce qui n'a plus aucun sens passé quelques semaines : elle est détruite au-delà de trente jours par la même purge nocturne qui efface la mesure de fréquentation.

Un mot sur le pays d'où vient la commande

Nous avions besoin de savoir où sont nos clients : c'est ce qui décide de la prochaine ville où nous ouvrons une sortie, et de la prochaine langue que nous traduisons. La manière habituelle de le savoir consiste à garder l'adresse de connexion, ce que nous refusons. Nous avons donc pris l'autre chemin.

Au moment où une commande s'ouvre, votre adresse est comparée à une table de plages d'adresses installée sur notre propre machine : le jeu libre DB-IP Lite. Il en sort deux lettres, « VN », « BR », « DE ». Ces deux lettres incrémentent un compteur du mois en cours, et l'adresse disparaît avec la fin de la requête : elle n'est écrite nulle part.

Ce que cela implique, dit franchement. Personne d'autre n'est interrogé : votre adresse ne sort pas de la machine, aucun service tiers ne la voit passer. Le compteur est un total par pays et par mois, sans horodatage plus fin, sans lien avec votre compte, votre paiement ni votre tunnel, il ne permet pas de savoir d'où vient telle personne, seulement d'où viennent nos clients. Et si la table ne sait pas situer une adresse, ce qui arrive avec un relais Tor ou un autre VPN, la commande est comptée comme non située, sans autre conséquence.

Nous mesurons la lecture de ces pages publiques

Il faut le dire ici, sinon cette page mentirait. Depuis septembre 2026, les pages publiques du site, celle-ci comprise, enregistrent une ligne par visite, pour une seule raison : savoir à quel endroit les gens décrochent. Nous vendions un service dont personne n'arrivait au bout du parcours de commande, sans savoir pourquoi. Deviner coûtait plus cher que mesurer.

Cette mesure ne touche ni votre espace client, ni votre tunnel. Elle s'arrête aux pages de présentation. Ce qui est écrit tient en une ligne anonyme : quelles sections ont été affichées et combien de secondes, jusqu'où la page a été parcourue, si l'écran est celui d'un téléphone ou d'un ordinateur, la langue annoncée par le navigateur, le domaine du site qui vous a envoyé ici, et jusqu'à quelle étape de la commande vous êtes allé.

Ce qui n'y est pas, et qui compte davantage : aucun mouchard déposé sur votre appareil, aucun identifiant de visiteur, aucune adresse de connexion, pas même sous forme d'empreinte, aucune signature de navigateur, aucun texte que vous auriez saisi. Deux visites du même appareil restent deux lignes que rien ne relie. Nous ne pouvons pas reconstituer un parcours individuel, et nous ne le voulons pas : nous cherchons l'endroit qui bloque, pas la personne qui bloque.

Ces lignes sont détruites au bout de sept jours. Ne survivent que des compteurs par jour et par section, du type « quarante-huit visites ont affiché les tarifs » : des nombres qui ne décrivent plus personne. Et si votre navigateur signale « Ne pas me pister » ou refuse la revente de données, rien n'est envoyé du tout : aucune ligne n'est écrite pour votre visite.