Face à face
L'écart
Le score de sécurité n'est pas une somme de bonnes choses. Il part de 100 et huit canaux prennent chacun une part de ce qui reste, si bien qu'un seul canal peut régler le sort d'une fiche à lui seul. Les deux fiches sont dessinées ici sur la même échelle — le plafond propre du modèle, 0.9 — plutôt que sur une échelle ajustée à cette paire, ce qui ferait paraître chaque comparaison également spectaculaire.
Ligne par ligne
Chaque champ que le contrat publie sur un fournisseur, selon les groupes propres au contrat, y compris les lignes où les deux s'accordent — un tableau qui n'imprimerait que les différences inventerait un désaccord, et un qui n'imprimerait que les lignes intéressantes reviendrait à nous choisir ce qui est intéressant. Ouvrez un groupe pour lire ses lignes ; chacune indique combien elle en contient et combien d'entre elles les deux fiches répondent différemment.
Une cellule verte signifie que la méthodologie elle-même chiffre cette valeur en dessous de l'autre, pas que nous la préférons. Les lignes que le modèle ne chiffre pas ne portent aucune marque : le prix n'est jamais marqué, car rien dans le modèle ne dit que moins cher est plus sûr, pas plus que la couverture, le nombre de plateformes ou les appareils. Là où une valeur n'a jamais été établie, la cellule le dit plutôt que d'afficher un zéro.
Ce qui s'est réellement passé
Autres paires
Les paires au sein du top 10 obtiennent une page — 80 comparaisons en tout. Les fiches en dessous ne sont pas appariées ici : une comparaison mérite une page là où le choix entre les deux est réel, et ce choix se fait près du sommet du registre.
Aucune demande sur la fiche publique
2 demandes avec preuve à l'appui, dont aucune n'a produit de données
Changements récents
Aucun changement enregistré sur cette fiche
Questions ouvertes
Encore ouvert sur cette fiche.
Juridiction. La page « à propos » indique que CactusVPN « a commencé comme une petite entreprise en Moldavie », mais il s'agit du récit de l'entreprise, pas d'une déclaration d'immatriculation, et les Conditions d'utilisation n'indiquent ni loi applicable ni pays d'immatriculation ; le rapport de Securitum ne nomme le client que comme « Cactus VPN LLC », sans juridiction associée. M06 et les champs qui en sont dérivés restent inconnus jusqu'à ce qu'une fiche de registre ou une clause de juridiction explicite soit trouvée.
Hébergement soumis à mandat. Les 25 pays de la liste de serveurs publiée sont tous associés à un mandat de conservation des données dans le propre tableau de ce catalogue ; C09b ne constitue donc pas ici une question étroite, mais la page consacrée aux emplacements des serveurs ne distingue pour aucun emplacement les points de sortie physiques des points virtuels, et aucun fait d'hébergement propre à un pays n'a été établi au cours de cette session.
Identifiants au niveau de l'application et déclarations des stores. C07a, C12 et X12 restent inconnus : aucun formulaire de sécurité des données de Play Store ni label de confidentialité Apple n'a été consulté au cours de cette session, et l'audit de Securitum portait sur la configuration côté serveur et la gestion du DNS et du trafic dans le cadre whitebox, et non sur ce que les clients mobiles ou les extensions transmettent de leur propre initiative aux stores d'applications ou aux SDK d'analytique.
Transparence et warrant canary. Aucun chemin /transparency, /transparency-report, /warrant-canary ou /canary ne se résout sur le site, et aucune page de ce type n'est apparue dans le sitemap ; il s'agit d'une absence constatée par recherche, et non d'un « aucun » étayé par une source, de sorte que les deux champs restent inconnus plutôt que d'être marqués comme aucun.
Encore ouvert sur cette fiche.
Ce que l'audit a réellement vérifié. La conclusion concernant l'absence de journaux est à la fois solide et étroite. Securitum a inspecté en personne les serveurs de production en août 2025 et le fait chaque année depuis 2022.
Les limites énoncées par le rapport lui-même. Il s'agit d'une vérification ponctuelle, d'un examen guidé des systèmes présentés par les ingénieurs de Proton plutôt que d'un examen forensique non supervisé, et d'un échantillon représentatif plutôt que de l'ensemble du parc. La CI/CD, le code source et les systèmes de gestion des comptes étaient explicitement hors périmètre ; rien ici ne renseigne donc sur ce que conserve le volet de facturation.
Le recours, et ce qu'il ne tranche pas. Le recours du 22 octobre 2021 est cité ici avec une réserve qu'il convient d'énoncer clairement : le Tribunal administratif fédéral a jugé que les services email ne sont pas des fournisseurs de services de télécommunications, et ni la couverture du jugement ni le propre récit de Proton à ce sujet ne mentionnent le VPN.
Ce qui établit réellement les deux champs. Ce qui établit C10 et C11, c'est que la Suisse ne porte aucun fondement de mandat dans la propre liste de pays du catalogue ; l'appel corrobore la manière dont les autorités suisses traitent Proton et ne constitue pas à lui seul une constatation concernant Proton VPN. Une décision concernant un service apparenté constitue un fondement plus mince que ne le laisse croire la citation.
La principale lacune restante. Proton propose des emplacements de sortie dans huit pays qui imposent un mandat de conservation. Que du matériel se trouve réellement dans l'un d'eux n'est pas établi : Proton a retiré les serveurs physiques d'Inde en 2022 et documente Smart Routing pour les emplacements qu'il dessert depuis ailleurs, ce qui indique des emplacements virtuels, mais cela n'a été vérifié que pour l'Inde. L'établissement de C09b_mandate_hosting est la principale lacune restante dans cette fiche.
Notes
Sur la fiche dans son ensemble.
La mission de Securitum (du 20 avr. au 7 mai 2026, neuf jours-personnes, whitebox) a inspecté quatre serveurs de production répartis dans quatre des ~25 pays de serveurs répertoriés par CactusVPN, ainsi que le comportement de connexion du client VPN (y compris une application Linux utilisée pour les tests, qui ne fait pas partie des plateformes actuellement répertoriées sur la page des téléchargements — apparemment un accès manuel ou à un client ancien plutôt qu'à un produit répertorié).
Le rapport est une évaluation de sécurité sur mesure réalisée par Securitum, et non une mission ISAE 3000 ou SOC 2 ; V07/V15 consignent donc ce fait plutôt que de supposer un niveau d'assurance.
La tarification comporte une garantie de tarif de renouvellement : les forfaits annuel (70 $/an) et de 2 ans (95 $/2 ans) sont tous deux présentés comme se renouvelant au même prix bloqué « à vie », ce qui est inhabituel parmi les fournisseurs de ce catalogue et ne constitue pas une formule à paiement unique à vie (X07=no).
Sur la fiche dans son ensemble.
L'ordonnance suisse de 2021 qui a imposé une conservation prospective visait Proton Mail, pas le VPN, et est délibérément absente de P12 : imputer au VPN l'ordonnance visant un produit apparenté serait un fait concernant Proton AG, et non ce service.
U08 est all_platforms, car le document d'assistance donne les étapes d'activation pour Windows, macOS, Linux (interface graphique et ligne de commande), Android et iOS/iPadOS — chaque plateforme disposant d'une application. Le même document énonce deux limitations que la valeur ne peut pas contenir et que cette note peut préciser : sur macOS, la véritable adresse IP peut être exposée brièvement lors du changement de serveur, et sur iOS, certaines requêtes DNS de services Apple peuvent contourner le tunnel lorsque le kill switch est activé.
U04b_price_yearly enregistre le montant de la première période du forfait VPN Plus d'un an : 53,88 $ pour les 12 premiers mois (4,49 $/mois), indiqué sur la page des tarifs à côté de sa propre ligne de renouvellement — « puis renouvellement à 83,88 $ tous les 12 mois » (6,99 $/mois) — qui n'est pas la valeur de ce champ.
Sécurité
Utilisabilité
Rang 1 sur 68 dans le registre
Suisse · VPN commercial
Sorties dans 147 pays
Sécurité
Utilisabilité
Rang 10 sur 68 dans le registre
Non publié · VPN commercial
Sorties dans 25 pays
| CanalPression prise sur ce qui restait | CactusVPNCanal dominant : Ignorance0 à 0.9, plus long est pire | Proton VPNCanal dominant : Hygiène0 à 0.9, plus long est pire |
|---|---|---|
| IgnoranceQuelle part de cela n'a jamais été établie ? | 0.333 | 0.071 |
| ConservationExiste-t-il une fiche reliant le trafic à une personne, et qui l'a vérifiée ? | 0.299 | 0.079 |
| HygièneQuels éléments identifiants sont collectés au passage, et le client peut-il seulement être vérifié ? | 0.280 | 0.088 |
| SilenceDix ans, des millions d'utilisateurs et rien dans la fiche ? | 0.225 | 0.000 |
| IntégritéA-t-il été pris à dire une chose et à en faire une autre ? | 0.155 | 0.000 |
| JuridictionQuelqu'un peut-il contraindre à divulguer ce qui existe, sans que le fournisseur ait son mot à dire ? | 0.079 | 0.050 |
| ArchitectureQui exploite la sortie, et que fait-elle au trafic ? | 0.000 | 0.050 |
| DivulgationA-t-il déjà remis quelque chose ? | 0.000 | 0.000 |
| Ce qu'il reste de 100Les canaux se multiplient : chacun prend une part de ce que le précédent a laissé debout | 20 | 70 |
| CactusVPN | Proton VPN | |
|---|---|---|
| Sécurité | 20 insuffisante · rang 10 sur 68 | 70 acceptable · rang 1 sur 68 |
| Utilisabilité | 66 sur 100 | 78 sur 100 |
| Complétude de la fiche | 63% utilisabilité 100% | 89% utilisabilité 83% |
| CactusVPN | Proton VPN | |
|---|---|---|
| Qui exploite la sortie | Exploité par le fournisseur lui-même provider_operated | Exploité par le fournisseur lui-même provider_operated |
| Conservation telle que déclarée | Rien qui relie le trafic à une personne none_linkable | Rien qui relie le trafic à une personne none_linkable |
| Serveurs sans disque, avec RAM uniquement | — non établiaucune source publiée | Non, les serveurs écrivent sur disque noCprotonvpn.com · |
| Modèle d'attribution des adresses IP | Adresse de sortie partagée entre les utilisateurs shared | Adresse de sortie partagée entre les utilisateurs shared |
| Inscription sans adresse e-mail | Non, une adresse e-mail est requise noBcactusvpn.com · | Oui, sur la parole du fournisseur yes_declaredCprotonvpn.com · |
| Options de paiement anonymes | Cryptomonnaie via un prestataire de paiementBcactusvpn.com · | Espèces · Cryptomonnaie via un prestataire de paiementCprotonvpn.com · |
| DNS propre à l'intérieur du tunnel | Oui, vérifié par une personne indépendante yes_verifiedAsecuritum.com · | Oui, sur la parole du fournisseur yes_declaredCprotonvpn.com · |
| Catégorie de SDK tiers la plus intrusive dans l'application | — non établiaucune source publiée | Aucun SDK tiers noneCprotonvpn.com · |
| Catégorie de traceur tiers la plus intrusive sur le site | Analytique analyticsBcactusvpn.com · | — non établiaucune source publiée |
| Qui possède le matériel | — non établiaucune source publiée | À la fois détenu et loué mixedCprotonvpn.com · |
| Pays proposés relevant d'un mandat de conservation | 2 Inde, RussieBcactusvpn.com · | 8 Émirats arabes unis, Biélorussie, Inde, Irak, Kazakhstan, Russie, Turquie, Viêt NamDprotonvpn.com · |
| Hébergement dans les pays relevant du mandat qu'il propose | — non établi | — non établi |
| Le pays d'immatriculation impose la conservation | — non établiaucune source publiée | Aucun mandat de ce type noBprotonvpn.com · 2 sources · |
| Le propriétaire effectif relève d'un régime de conservation | — non établiaucune source publiée | Aucun régime de ce type noBprotonvpn.com · 2 sources · |
| Identifiant d'appareil persistant | — non établiaucune source publiée | Aucun détenu noneBplay.google.com · |
| Le protocole le plus faible encore proposé | PPTP pptpBcactusvpn.com · | — la question ne se pose pasBprotonvpn.com · |
| Ce que la sortie fait au trafic qui la traverse | Le trafic passe sans modification noneBcactusvpn.com · | — non établiaucune source publiée |
| CactusVPN | Proton VPN | |
|---|---|---|
| Au moins un audit indépendant | Oui, et le rapport a été lu yes_verified | Oui, et le rapport a été lu yes_verified |
| Comment le rapport est publié | Le rapport complet est publié full_pdf | Le rapport complet est publié full_pdf |
| Objet de l'audit | L'affirmation d'absence de journaux elle-même · InfrastructureAsecuritum.com · | L'affirmation d'absence de journaux elle-mêmeAsecuritum.com · |
| Couverture du parc de serveurs | Un échantillon de serveurs sample | Un échantillon de serveurs sample |
| Nom de l'auditeur | SecuritumAsecuritum.com · | Securitum (Martin Matyja, Maciej Szymczak) |
| CactusVPN | Proton VPN | |
|---|---|---|
| Saisie de serveurs par les autorités chargées de l'application de la loi | Aucune saisie dans les fiches none_known | Aucune saisie dans les fiches none_known |
| Historique réel des divulgations | Aucune divulgation dans la fiche none_known | Aucune divulgation dans la fiche none_known |
| Fiche judiciaire d'une production forcée | Aucune fiche judiciaire none_knownaucune source publiée · | A déclaré au tribunal n'avoir rien à produire unable_to_produceBprotonvpn.com · |
| Réponse à un mandat national de conservation | — non établiaucune source publiée | A retiré ses serveurs plutôt que de se conformer withdrew_physicalBprotonvpn.com · |
| Rapport de transparence | — |
| CactusVPN | Proton VPN | |
|---|---|---|
| Écart documenté entre l'affirmation et le comportement | — non établiaucune source publiée | Aucun mensonge documenté noneCswissinfo.ch · 2 sources · |
| Marketing face aux constats de l'audit | Aucune lacune consignée none | Aucune lacune consignée none |
| Transparence de la structure de propriété | La propriété est indiquée et vérifiable clear | La propriété est indiquée et vérifiable clear |
| Événements défavorables dans la fiche du groupe propriétaire | — non établiaucune source publiée | Rien de défavorable dans la fiche cleanCen.wikipedia.org · 2 sources · |
| Mode de financement du service | Abonnements payants uniquement paid_only |
| CactusVPN | Proton VPN | |
|---|---|---|
| Entité juridique | Cactus VPN LLCAsecuritum.com · | Proton AG, Plan-les-Ouates, Geneva, SwitzerlandCen.wikipedia.org · 2 sources · |
| Où siège l'entreprise | — non établiaucune source publiée | Suisse CHCen.wikipedia.org · 2 sources · |
| Année de lancement du service | 2011Bcactusvpn.com · | 2017Cen.wikipedia.org · 2 sources · |
| Échelle de la base d'utilisateurs (mass >=10M, mid >=1M, niche <1M) |
| CactusVPN | Proton VPN | |
|---|---|---|
| Plateformes avec un client | 7 Windows, macOS, Android, iOS, Android TV, Fire TV, Extension de navigateurBcactusvpn.com · | 9 Android, Android TV, Apple TV, Extension de navigateur, Fire TV, iOS, Linux, macOS, WindowsBprotonvpn.com · |
| Pays avec une sortie | 25 paysBcactusvpn.com · | 147 paysDprotonvpn.com · |
| Paiement mensuel | $15.00 par moisBcactusvpn.com · | $9.99 par mois |
CactusVPN et Proton VPN ont été évalués par l'équipe HushFleet : CactusVPN obtient 20/100 en sécurité, dans la tranche Insuffisante, et Proton VPN 70/100, dans la tranche Acceptable. Ils partagent un audit indépendant et une propriété indépendante. L'écart de 50 points s'ouvre le plus largement sur Ignorance — « Quelle part de cela n'a jamais été établie ? » — prenant 33% à CactusVPN et 7% à Proton VPN.
Par circonstance
| CactusVPN | Proton VPN | |
|---|---|---|
| Torrenting | Autorisé yes | — non établi |
| Streaming | Accessible yes | — non établi |
| Appareils à la fois | unlimited | 10 |
| Sous censure | Affirmé comme fonctionnant claimed | Affirmé comme fonctionnant claimed |
| Sorties dans des pays sous mandat | 2 Inde, Russie | 8 Émirats arabes unis, Biélorussie, Inde, Irak, Kazakhstan, Russie, Turquie, Viêt Nam |
| Hébergement dans ces pays | — non établi | — non établi |
| Entreprise sous mandat | — non établi | Aucun mandat de ce type no |
| Ordonnances secrètes | Aucun régime d'injonctions secrètes établi none_known | Les injonctions passent par un juge judicial_only |
| Catégorie de l'auditeur | Un spécialiste de la sécurité security_specialist | Un spécialiste de la sécurité security_specialist |
|---|
| Norme d'assurance | Une autre norme other | Une autre norme other |
|---|
| Date du dernier rapport | 2026-05-08Asecuritum.com · | 2026-05-27Cprotonvpn.com · |
|---|
| Cadence des audits | Ponctuel one_offAsecuritum.com · | Une série annuelle annual_seriesCprotonvpn.com · |
|---|
| Total des audits publiés | 1Asecuritum.com · | 5Cprotonvpn.com · |
|---|
| Conservation telle que l'indique le rapport | Rien qui relie le trafic à une personne none_linkable | Rien qui relie le trafic à une personne none_linkable |
|---|
| Code source du client publié | Aucun noneAsecuritum.com · | Chaque client allCprotonvpn.com · |
|---|
| Compilations reproductibles | — non établi | — non établi |
|---|
| Test d'intrusion séparé | — non établiaucune source publiée | Oui, sur la parole du fournisseur yes_declaredCprotonvpn.com · |
|---|
| Force de la conclusion d'assurance | — non établiaucune source publiée | — la question ne se pose pasaucune source publiée |
|---|
À jour, avec le nombre de demandes fresh_with_numbersBprotonvpn.com · |
| Chiffres publiés plausibles à cette échelle | — non établiaucune source publiée | Les chiffres sont plausibles à cette échelle plausibleBprotonvpn.com · |
|---|
| Discipline du warrant canary | — non établiaucune source publiée | N'en a jamais eu noneBprotonvpn.com · |
|---|
| Demandes reçues | — non établiaucune source publiée | 458Bprotonvpn.com · |
|---|
| Demandes ayant produit des données | — non établiaucune source publiée | 0Bprotonvpn.com · |
|---|
| Régime des injonctions secrètes | Aucun régime d'injonctions secrètes établi none_knownaucune source publiée · | Les injonctions passent par un juge judicial_onlyCswissinfo.ch · 2 sources · |
|---|
| Chronologie des événements d'application documentés | — non établiaucune source publiée | 2 demandes avec preuve à l'appuiCswissinfo.ch · 2 sources · |
|---|
Offre gratuite financée par l'offre payante freemium_fundedCprotonvpn.com · |
| Affirmations d'anonymat à 100 % ou de cryptographie de niveau militaire | Prétend offrir un anonymat total ou un chiffrement de niveau militaire yesBcactusvpn.com · | — non établiaucune source publiée |
|---|
| Abonnements à vie poussés de manière agressive | Non no | Non no |
|---|
| La couverture n'existe que sur des sites affiliés | Couvert uniquement sur des sites rémunérés pour en parler yesCcactusvpn.com · | Couvert aussi sur des sites autres qu'affiliés noCen.wikipedia.org · 2 sources · |
|---|
| Incident de sécurité et manière dont il a été divulgué | Aucun incident dans la fiche none_known | Aucun incident dans la fiche none_known |
|---|
| Programme d'affiliation et niveau de rémunération | Une rémunération standard standardBcactusvpn.com · | — non établiaucune source publiée |
|---|
| Le média d'avis géré par le propriétaire divulgue le lien | — non établiaucune source publiée | — la question ne se pose pasaucune source publiée |
|---|
| Déclaration sur la boutique d'applications | — non établiaucune source publiée | Le formulaire de la boutique correspond à la politique publiée matches_policyBapps.apple.com · 3 sources · |
|---|
| — non établiaucune source publiée |
Mass : 10 millions d'utilisateurs ou plus massCen.wikipedia.org · 2 sources · |
| Propriétaire bénéficiaire ultime tel qu'écrit | Independent; founded and run by co-founders (Sergiu Candja, Pavel Bodeanu, and colleagues), who state they have refused outside buyout offersBcactusvpn.com · | Proton Foundation (Swiss non-profit, controlling shareholder since 06/2024); employees; FONGITCen.wikipedia.org · 2 sources · |
|---|
| Autres entreprises du groupe du propriétaire | Aucun élément communiquéBcactusvpn.com · | Un portefeuille d'autres applicationsCen.wikipedia.org · 2 sources · |
|---|
| Pays du propriétaire bénéficiaire ultime | — non établiaucune source publiée | CHCen.wikipedia.org · 2 sources · |
|---|
| Groupe propriétaire | independent | independent |
|---|
| Date à laquelle le propriétaire actuel a pris le contrôle | — la question ne se pose pasaucune source publiée | 2024-06Cen.wikipedia.org · 2 sources · |
|---|
| Rôle de cette marque au sein du groupe | La marque principale du groupe principal | La marque principale du groupe principal |
|---|
| Infrastructure partagée avec les autres membres du groupe | Infrastructure distincte separate | Infrastructure distincte separate |
|---|
| Paiement annuel | $70.00 par an au renouvellement, facturé une foisBcactusvpn.com · | $53.88 par an au renouvellement, facturé une foisBprotonvpn.com · |
|---|
| Formule gratuite utilisable | Aucune formule gratuite noneBcactusvpn.com · | Une formule gratuite avec des limites limited_freeBprotonvpn.com · |
|---|
| Fonctionne sous une censure active | Affirmé comme fonctionnant claimed | Affirmé comme fonctionnant claimed |
|---|
| Protocoles proposés | 8 OpenVPN, WireGuard, IKEv2, L2TP, PPTP, SSTP, Un protocole du fournisseur avec source publiée, Un protocole obfusquéBcactusvpn.com · | 4 WireGuard, OpenVPN, IKEv2, Un protocole obfusquéBprotonvpn.com · |
|---|
| Couverture du kill switch | Sur toutes les plateformes all_platforms | Sur toutes les plateformes all_platforms |
|---|
| Split tunneling disponible | Disponible yes | Disponible yes |
|---|
| Connexions simultanées | unlimitedBcactusvpn.com · | 10Bprotonvpn.com · |
|---|
| Difficulté pour commencer à l'utiliser | Une adresse e-mail uniquement email_only | Une adresse e-mail uniquement email_only |
|---|
| P2P autorisé | Autorisé yesBcactusvpn.com · | — non établiaucune source publiée |
|---|
| Principaux services de streaming accessibles | Accessible yesBcactusvpn.com · | — non établiaucune source publiée |
|---|
12 sept. 20265 changements
Score de sécuritésecurity.score
75 remplacé par 70
Verdict de sécuritésecurity.verdict
strong remplacé par acceptable
Plateformes avec un clientU01_platforms
android, android-tv, apple-tv, fire-tv, ios, linux, macos, windows remplacé par android, android-tv, apple-tv, browser-extension, fire-tv, ios, linux, macos, windows
Difficulté pour commencer à l'utiliserU11_signup_friction
no_account remplacé par email_only
Score d'utilisabilitéusability.score
80 remplacé par 78
