AirVPN vs NordVPN

Un élément notable de la pratique : des transcriptions publiques de tribunaux fédéraux américains dans United States v. Klyushin (D. Mass., dossier 61629108, documents n° 183 et n° 217, trouvées via CourtListener/RECAP) montrent qu'un pen register des forces de l'ordre a été placé directement chez l'entreprise d'hébergement (DediPath), et non chez AirVPN, afin de surveiller l'adresse IP d'un serveur AirVPN de janvier à février 2020 ; le personnel d'AirVPN, en réponse sur son forum, a confirmé que l'entreprise n'avait pas connaissance de cette interception et n'y avait pas participé, et que le dispositif avait dû être installé en dehors des propres systèmes d'AirVPN.

Cet élément est enregistré dans P12_case_history comme un événement court_order/nothing_produced, sur la base de la confirmation publiée sur le propre forum d'AirVPN (et non des PDF PACER eux-mêmes, qui ont renvoyé 403 aux récupérations automatisées et n'ont été lus que par l'intermédiaire d'un résumé secondaire).

La faille du centre de données en Finlande en 2018 était une intrusion par un tiers, et non une saisie par les autorités — elle est enregistrée sous P12_case_history avec kind=breach, et non sous P01_seizure_event. Le propre compte rendu de NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) et la couverture contemporaine de Bloomberg concordent pour dire que la divulgation a fait suite à des allégations sur Twitter par des chercheurs externes, et non à une initiative de NordVPN elle-même — d'où third_party_disclosed plutôt que self_disclosed_late.

NordVPN et Surfshark ont la même maison mère (Nord Security), mais l'annonce de fusion des deux entreprises indique une infrastructure et des feuilles de route produits distinctes ; M18 est défini comme séparé sur cette base.

Ce que montrent les fils du forum. Les fils du forum montrent que des utilisateurs demandent régulièrement à AirVPN un warrant canary, sans qu'aucun membre de l'équipe ne confirme qu'il en existe un ; cela est suggestif, mais ne constitue pas un démenti direct, si bien que P07 reste inconnu plutôt que « aucun ».

Les chiffres que personne ne publie. Les nombres de demandes et de transmissions de données sont par conséquent eux aussi inconnus (P08, P09), et le nombre total d'abonnés n'est jamais communiqué (M08 inconnu) — AirVPN publie uniquement un compteur en direct des utilisateurs connectés simultanément, et non un total d'utilisateurs enregistrés ou d'abonnés ; le silence ou l'ignorance ont donc ici un poids réel.

Builds et pentests. Les builds reproductibles ne sont pas documentés sur la page de compilation depuis les sources d'AirVPN (eddie.website/support/build/), et aucun pentest consacré au client ou à l'infrastructure n'a pu être trouvé (V13, V14 inconnu). Le périmètre du kill switch et le fonctionnement du split tunneling reposent sur l'avis d'un tiers plutôt que sur la documentation d'AirVPN (U08, U09 avec un niveau de confiance C), car les pages FAQ pertinentes n'ont pas pu être consultées directement via le routage du site (elles sont rendues par JavaScript et n'ont renvoyé qu'une coquille de chargement lors d'une requête simple).

Une couverture au-delà des affiliés. La couverture médiatique ne se limite pas aux affiliés : BleepingComputer, un média généraliste absent de la liste des agrégateurs affiliés, a publié une évaluation indépendante accompagnée de sa propre mention de divulgation d'affiliation, plutôt que de se limiter aux annuaires d'affiliés (X08=no). Cette même évaluation a également conclu qu'AirVPN avait échoué sur chaque service de streaming essayé — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — raison pour laquelle U12b_streaming_works indique désormais no, plutôt que partial, valeur issue auparavant de addictivetips.com avant que ce site ne soit déclaré interdit.

Le prix annuel. U04b_price_yearly=4.08 correspond au tarif mensuel effectif en EUR du forfait d'un an (49 EUR/an) sur airvpn.org/buy/, identique au renouvellement comme pour chaque forfait AirVPN.

Le logotype. AirVPN ne fournit son logotype qu'au format PNG (/static/img/logo/web_header.png, logo_horiz.png) et n'a pas de page presse ou de marque, donc logos/airvpn.svg reste absent conformément à AUDITOR.md §1 plutôt que de décalquer un fichier matriciel.

Le warrant canary et le trimestre qui l'a remplacé. La même page a retiré le warrant canary (P07=removed) au profit de rapports de transparence trimestriels ; le dernier trimestre complet (avr.–juin 2026) fait état de 85 demandes gouvernementales et de 0 divulgation, donc P08/P09 concernent cette période, et non le chiffre sur toute la durée.

L'Inde et le régime des injonctions secrètes. P04=withdrew_physical correspond au retrait d'Inde de juin 2022. P11=none_known repose sur l'affirmation de la page selon laquelle NordVPN n'a reçu aucune lettre contraignante de sécurité nationale ni injonction de silence, ainsi que sur l'absence d'un tel régime au Panama.

Un niveau d'assurance que personne ne peut vérifier. NordVPN décrit la mission de Deloitte Lithuania comme une mission d'assurance raisonnable selon la norme ISAE 3000 (Revised), ce qui serait la forme la plus forte ; le rapport de PIA, qui peut être consulté, énonce une conclusion d'assurance limitée.

Pourquoi la forme plus forte n'est pas créditée. Le modèle prend désormais cette différence en compte, et cette fiche n'en bénéficie pas : V15_assurance_strength est inconnu, car la seule déclaration du niveau vient de NordVPN et porte sur un rapport que personne en dehors d'un Nord Account ne peut ouvrir. Un document derrière une connexion n'est pas une preuve ici, quel que soit le niveau, et la mission est donc créditée au niveau de référence du marché plutôt qu'au niveau qu'elle est censée avoir atteint.

Un rapport derrière une connexion. Le rapport lui-même n'est lisible qu'après connexion à un Nord Account, de sorte que personne en dehors de cette relation n'en a vérifié la portée, et chaque champ d'audit ici repose sur le propre résumé qu'en fait NordVPN plutôt que sur le document. C'est cela, et non une constatation défavorable au service, qui explique pourquoi cette fiche est la moins étoffée du catalogue.