AirVPN vs Mullvad VPN

Ce que montrent les fils du forum. Les fils du forum montrent que des utilisateurs demandent régulièrement à AirVPN un warrant canary, sans qu'aucun membre de l'équipe ne confirme qu'il en existe un ; cela est suggestif, mais ne constitue pas un démenti direct, si bien que P07 reste inconnu plutôt que « aucun ».

Les chiffres que personne ne publie. Les nombres de demandes et de transmissions de données sont par conséquent eux aussi inconnus (P08, P09), et le nombre total d'abonnés n'est jamais communiqué (M08 inconnu) — AirVPN publie uniquement un compteur en direct des utilisateurs connectés simultanément, et non un total d'utilisateurs enregistrés ou d'abonnés ; le silence ou l'ignorance ont donc ici un poids réel.

Builds et pentests. Les builds reproductibles ne sont pas documentés sur la page de compilation depuis les sources d'AirVPN (eddie.website/support/build/), et aucun pentest consacré au client ou à l'infrastructure n'a pu être trouvé (V13, V14 inconnu). Le périmètre du kill switch et le fonctionnement du split tunneling reposent sur l'avis d'un tiers plutôt que sur la documentation d'AirVPN (U08, U09 avec un niveau de confiance C), car les pages FAQ pertinentes n'ont pas pu être consultées directement via le routage du site (elles sont rendues par JavaScript et n'ont renvoyé qu'une coquille de chargement lors d'une requête simple).

Une couverture au-delà des affiliés. La couverture médiatique ne se limite pas aux affiliés : BleepingComputer, un média généraliste absent de la liste des agrégateurs affiliés, a publié une évaluation indépendante accompagnée de sa propre mention de divulgation d'affiliation, plutôt que de se limiter aux annuaires d'affiliés (X08=no). Cette même évaluation a également conclu qu'AirVPN avait échoué sur chaque service de streaming essayé — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — raison pour laquelle U12b_streaming_works indique désormais no, plutôt que partial, valeur issue auparavant de addictivetips.com avant que ce site ne soit déclaré interdit.

Le prix annuel. U04b_price_yearly=4.08 correspond au tarif mensuel effectif en EUR du forfait d'un an (49 EUR/an) sur airvpn.org/buy/, identique au renouvellement comme pour chaque forfait AirVPN.

Le logotype. AirVPN ne fournit son logotype qu'au format PNG (/static/img/logo/web_header.png, logo_horiz.png) et n'a pas de page presse ou de marque, donc logos/airvpn.svg reste absent conformément à AUDITOR.md §1 plutôt que de décalquer un fichier matriciel.

Pourquoi le décompte est de huit. Le nombre d'audits est de huit parce que la revue de GotaTun est extérieure à la propre liste du dépôt de l'application. Auparavant, une revue X41 D-Sec de 30 jours-personne couvrant les cinq plateformes a trouvé six vulnérabilités — trois élevées, deux moyennes, une faible, aucune critique.

Ce qu'aucune mission ne couvre. Ce qu'aucune de ces missions ne couvre, c'est la flotte de serveurs : chacune examine l'application ou le protocole de tunnel, raison pour laquelle la couverture de la flotte est enregistrée comme non applicable plutôt que comme un échantillon. L'affirmation de non-conservation des journaux du côté de l'infrastructure repose donc sur le mandat de perquisition d'avril 2023 — la police suédoise est venue chercher les données des clients et est repartie sans elles — et non sur un audit.

Des versions reproductibles, sur Android uniquement. Les versions reproductibles concernent uniquement Android, à partir de la version 2025.2, donc le champ reste partiel ; les versions pour ordinateur et iOS ne sont pas vérifiables bit à bit. La Turquie est le seul pays soumis à un mandat sur la liste proposée et l'hébergement qui la sous-tend n'est pas établi.

Rien de publié sur les demandes. Rien dans la fiche ne repose sur ce que le fournisseur publie au sujet des demandes qu'il reçoit : il n'y a ni rapport de transparence ni warrant canary, de sorte que la saisie d'avril 2023 en constitue à elle seule le fondement. La couverture du kill switch et la politique P2P ne sont pas établies ; le dernier audit est une revue de code du protocole, et non une mission sur la non-conservation des journaux, donc V11 reste silencieux et la conservation repose sur la déclaration.

Un élément notable de la pratique : des transcriptions publiques de tribunaux fédéraux américains dans United States v. Klyushin (D. Mass., dossier 61629108, documents n° 183 et n° 217, trouvées via CourtListener/RECAP) montrent qu'un pen register des forces de l'ordre a été placé directement chez l'entreprise d'hébergement (DediPath), et non chez AirVPN, afin de surveiller l'adresse IP d'un serveur AirVPN de janvier à février 2020 ; le personnel d'AirVPN, en réponse sur son forum, a confirmé que l'entreprise n'avait pas connaissance de cette interception et n'y avait pas participé, et que le dispositif avait dû être installé en dehors des propres systèmes d'AirVPN.

Cet élément est enregistré dans P12_case_history comme un événement court_order/nothing_produced, sur la base de la confirmation publiée sur le propre forum d'AirVPN (et non des PDF PACER eux-mêmes, qui ont renvoyé 403 aux récupérations automatisées et n'ont été lus que par l'intermédiaire d'un résumé secondaire).