AirVPN vs Opera VPN

Ce que montrent les fils du forum. Les fils du forum montrent que des utilisateurs demandent régulièrement à AirVPN un warrant canary, sans qu'aucun membre de l'équipe ne confirme qu'il en existe un ; cela est suggestif, mais ne constitue pas un démenti direct, si bien que P07 reste inconnu plutôt que « aucun ».

Les chiffres que personne ne publie. Les nombres de demandes et de transmissions de données sont par conséquent eux aussi inconnus (P08, P09), et le nombre total d'abonnés n'est jamais communiqué (M08 inconnu) — AirVPN publie uniquement un compteur en direct des utilisateurs connectés simultanément, et non un total d'utilisateurs enregistrés ou d'abonnés ; le silence ou l'ignorance ont donc ici un poids réel.

Builds et pentests. Les builds reproductibles ne sont pas documentés sur la page de compilation depuis les sources d'AirVPN (eddie.website/support/build/), et aucun pentest consacré au client ou à l'infrastructure n'a pu être trouvé (V13, V14 inconnu). Le périmètre du kill switch et le fonctionnement du split tunneling reposent sur l'avis d'un tiers plutôt que sur la documentation d'AirVPN (U08, U09 avec un niveau de confiance C), car les pages FAQ pertinentes n'ont pas pu être consultées directement via le routage du site (elles sont rendues par JavaScript et n'ont renvoyé qu'une coquille de chargement lors d'une requête simple).

Une couverture au-delà des affiliés. La couverture médiatique ne se limite pas aux affiliés : BleepingComputer, un média généraliste absent de la liste des agrégateurs affiliés, a publié une évaluation indépendante accompagnée de sa propre mention de divulgation d'affiliation, plutôt que de se limiter aux annuaires d'affiliés (X08=no). Cette même évaluation a également conclu qu'AirVPN avait échoué sur chaque service de streaming essayé — Netflix, Hulu, HBO Max, Amazon Prime Video, Disney+, ABC, NBC, CBS — raison pour laquelle U12b_streaming_works indique désormais no, plutôt que partial, valeur issue auparavant de addictivetips.com avant que ce site ne soit déclaré interdit.

Le prix annuel. U04b_price_yearly=4.08 correspond au tarif mensuel effectif en EUR du forfait d'un an (49 EUR/an) sur airvpn.org/buy/, identique au renouvellement comme pour chaque forfait AirVPN.

Le logotype. AirVPN ne fournit son logotype qu'au format PNG (/static/img/logo/web_header.png, logo_horiz.png) et n'a pas de page presse ou de marque, donc logos/airvpn.svg reste absent conformément à AUDITOR.md §1 plutôt que de décalquer un fichier matriciel.

Pourquoi le score n'en dépend pas. Les prix établi et inconnu sont tous deux à 0,000 ; rien dans le score ne dépend donc de ce point. Ce qui manque est la fiche, pas le nombre, et la prochaine vérification devrait commencer par les documents déposés par Kunlun et le dossier fédéral, plutôt que par un résumé de ceux-ci.

Le rapport qui ferait évoluer quatre champs. Le rapport de Deloitte est l'autre document qui ferait évoluer plusieurs champs à la fois : V04, V07, V11 et V15 sont tous inconnus uniquement parce qu'il n'est pas publié, et V11 est en particulier le champ sur lequel repose toute l'allégation sans journaux.

Ce qui n'a aucun document. U07 n'a aucun document, et C13 qui en dépend non plus : Opera mentionne AES-256 et un « secure tunnel », mais jamais de protocole ; le transport le plus faible proposé n'est donc pas établi. U08, U09 et U12b ne sont pas renseignés pour la même raison : le tableau comparatif des fonctionnalités sur la page du produit marque les lignes de coches que le balisage récupéré ne contient pas, et lire des coches sur une image rendue ne constitue pas une source.

Des serveurs décrits, non étayés par des preuves. C02, C06 et C08 ne reposent sur rien : Opera affirme que les serveurs sont physiques et lui appartiennent, ce qui n'établit ni le disque, ni le DNS, ni l'identité du propriétaire du matériel. C09b ne peut pas recevoir de réponse tant que U02 est inconnu.

Un seul magasin, pas deux. Seul le formulaire Google Play sur la sécurité des données a été lu ; les mentions de confidentialité de l'App Store pour le navigateur iOS ne l'ont pas été, de sorte que X12 repose sur un seul magasin plutôt que sur le moins favorable des deux.

Deux interprétations plutôt que des déclarations. Linux dans U01 est déduit du manuel d'aide pour ordinateur de bureau, qui documente le VPN et couvre conjointement Windows, macOS et Linux sans ventilation par plateforme ; Android et iOS sont explicitement nommés dans l'annonce de l'audit. U10 est illimité parce qu'il n'y a ni compte ni limite d'appareils à faire respecter, ce qui constitue une interprétation du produit plutôt qu'un chiffre déclaré.

Un élément notable de la pratique : des transcriptions publiques de tribunaux fédéraux américains dans United States v. Klyushin (D. Mass., dossier 61629108, documents n° 183 et n° 217, trouvées via CourtListener/RECAP) montrent qu'un pen register des forces de l'ordre a été placé directement chez l'entreprise d'hébergement (DediPath), et non chez AirVPN, afin de surveiller l'adresse IP d'un serveur AirVPN de janvier à février 2020 ; le personnel d'AirVPN, en réponse sur son forum, a confirmé que l'entreprise n'avait pas connaissance de cette interception et n'y avait pas participé, et que le dispositif avait dû être installé en dehors des propres systèmes d'AirVPN.

Cet élément est enregistré dans P12_case_history comme un événement court_order/nothing_produced, sur la base de la confirmation publiée sur le propre forum d'AirVPN (et non des PDF PACER eux-mêmes, qui ont renvoyé 403 aux récupérations automatisées et n'ont été lus que par l'intermédiaire d'un résumé secondaire).

L'identité de ce tiers a évolué : l'annonce de l'audit de 2024 indique que les serveurs de VPN Pro sont « fournis en collaboration avec Nord », et l'explication de 2026 indique que VPN Pro est « équipé du protocole Lightway de nouvelle génération », qui est celui d'ExpressVPN. Aucun des deux documents n'indique que l'accord a changé.

X02 est le constat central, et les deux documents qui l'étayent émanent d'Opera. L'annonce de 2024 cite l'avis de Deloitte ainsi : « la configuration des systèmes informatiques et la gestion des opérations informatiques d'assistance ont été conçues et mises en œuvre de manière appropriée, à tous égards significatifs, sur la base des critères décrits dans la Management Assertion d'Opera, en date du 10 août 2024 », et attribue séparément à la propre Management Assertion d'Opera la phrase « Aucune fonctionnalité de journalisation des données n'est intégrée au service VPN, et aucune donnée quelle qu'elle soit n'est collectée ».

La publication de 2026 relate à nouveau la même mission, en indiquant que Deloitte a établi le constat : « nous avons donné à l'équipe de Deloitte un accès complet à notre VPN et à l'infrastructure de nos serveurs, et elle a pu vérifier notre affirmation... En fait, une fonction de journalisation des données n'est même pas intégrée au VPN à l'origine ». La même publication transforme une période que celle de 2024 date du 18 juin au 10 août 2024 en « accès complet ».

Opera décrit sa propre affirmation comme la conclusion de son auditeur. C'est pourquoi le bloc VERIFY se divise comme il le fait. V01 est yes_verified sur la base d'un rapport effectivement consulté — le propre résumé de gestion publié par Cure53 de son évaluation de mars 2022 — et non sur la base de l'annonce de Deloitte.

Le rapport de Deloitte lui-même n'est publié nulle part, donc V02 est press_only, et chaque champ qui constitue une conclusion de ce rapport plutôt qu'un fait relatif à la mission reste inconnu : couverture du parc (V04), norme d'assurance (V07), ce que le rapport indique comme faisant l'objet d'une conservation (V11) et solidité de l'opinion (V15).

Les faits relatifs à la mission — le cabinet, sa catégorie, la date, ce qui était indiqué comme ayant été testé — sont tirés de l'annonce. Un fournisseur qui a démontrablement requalifié cet audit une fois n'est pas une source de ce que l'audit a conclu. C01 est none_linkable parce que c'est la déclaration figurant dans la déclaration de confidentialité ; V11 est la conclusion, et il n'y a aucune conclusion à lire.

Le rapport de Cure53 est réel et c'est la raison pour laquelle V14 est yes_verified : sept testeurs, vingt-quatre jours-personnes, en boîte blanche sur quatre lots de travaux couvrant les clients VPN, la configuration et l'infrastructure des serveurs, ainsi que le protocole d'Opera Mini utilisé pour transmettre la configuration VPN. Quatorze problèmes liés à la sécurité, dont huit véritables vulnérabilités, cinq évalués comme étant de gravité élevée et aucun de gravité critique.