AirVPN vs hide.me

Un élément notable de la pratique : des transcriptions publiques de tribunaux fédéraux américains dans United States v. Klyushin (D. Mass., dossier 61629108, documents n° 183 et n° 217, trouvées via CourtListener/RECAP) montrent qu'un pen register des forces de l'ordre a été placé directement chez l'entreprise d'hébergement (DediPath), et non chez AirVPN, afin de surveiller l'adresse IP d'un serveur AirVPN de janvier à février 2020 ; le personnel d'AirVPN, en réponse sur son forum, a confirmé que l'entreprise n'avait pas connaissance de cette interception et n'y avait pas participé, et que le dispositif avait dû être installé en dehors des propres systèmes d'AirVPN.

Cet élément est enregistré dans P12_case_history comme un événement court_order/nothing_produced, sur la base de la confirmation publiée sur le propre forum d'AirVPN (et non des PDF PACER eux-mêmes, qui ont renvoyé 403 aux récupérations automatisées et n'ont été lus que par l'intermédiaire d'un résumé secondaire).

Ce que montrent les fils du forum. Les fils du forum montrent que des utilisateurs demandent régulièrement à AirVPN un warrant canary, sans qu'aucun membre de l'équipe ne confirme qu'il en existe un ; cela est suggestif, mais ne constitue pas un démenti direct, si bien que P07 reste inconnu plutôt que « aucun ».

Les chiffres que personne ne publie. Les nombres de demandes et de transmissions de données sont par conséquent eux aussi inconnus (P08, P09), et le nombre total d'abonnés n'est jamais communiqué (M08 inconnu) — AirVPN publie uniquement un compteur en direct des utilisateurs connectés simultanément, et non un total d'utilisateurs enregistrés ou d'abonnés ; le silence ou l'ignorance ont donc ici un poids réel.

Builds et pentests. Les builds reproductibles ne sont pas documentés sur la page de compilation depuis les sources d'AirVPN (eddie.website/support/build/), et aucun pentest consacré au client ou à l'infrastructure n'a pu être trouvé (V13, V14 inconnu). Le périmètre du kill switch et le fonctionnement du split tunneling reposent sur l'avis d'un tiers plutôt que sur la documentation d'AirVPN (U08, U09 avec un niveau de confiance C), car les pages FAQ pertinentes n'ont pas pu être consultées directement via le routage du site (elles sont rendues par JavaScript et n'ont renvoyé qu'une coquille de chargement lors d'une requête simple).

Une couverture au-delà des affiliés. La couverture médiatique ne se limite pas aux affiliés : BleepingComputer, un média généraliste absent de la liste des agrégateurs affiliés, a publié une évaluation indépendante accompagnée de sa propre mention de divulgation d'affiliation, plutôt que de se limiter aux annuaires d'affiliés (X08=no). Cette même évaluation a également conclu qu'AirVPN avait échoué sur chaque service de streaming essayé — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — raison pour laquelle U12b_streaming_works indique désormais no, plutôt que partial, valeur issue auparavant de addictivetips.com avant que ce site ne soit déclaré interdit.

Le prix annuel. U04b_price_yearly=4.08 correspond au tarif mensuel effectif en EUR du forfait d'un an (49 EUR/an) sur airvpn.org/buy/, identique au renouvellement comme pour chaque forfait AirVPN.

Le logotype. AirVPN ne fournit son logotype qu'au format PNG (/static/img/logo/web_header.png, logo_horiz.png) et n'a pas de page presse ou de marque, donc logos/airvpn.svg reste absent conformément à AUDITOR.md §1 plutôt que de décalquer un fichier matriciel.

Hébergement dans des pays soumis au mandat. hide.me propose des emplacements de sortie dans trois pays signalés par le tableau des mandats de ce catalogue (AE, TR, VN) ; aucune des trois pages consacrées aux pays n'indique si le matériel qui s'y trouve est physique ou virtuel, de sorte que C09b_mandate_hosting est inconnu.

Affirmations concernant le contournement et le streaming. La page tarifaire annonce un « Streaming Support » non différencié et le site ne fournit aucune preuve mesurée de contournement ; U06_censorship_circumvention, U12a_p2p_allowed et U12b_streaming_works restent donc inconnus plutôt que de reposer sur des textes marketing.

Historique des audits avant 2024. Les propres pages du fournisseur affirment qu'un audit a eu lieu « back in 2015 » et décrivent les audits comme habituels, mais seul le PDF de Securitum de 2024 a pu être localisé et ouvert ; V09_audit_regularity et V10_audit_count sont chiffrés sur la base de l'unique document effectivement lu, et non de la série affirmée.