ExpressVPN vs Opera VPN

Le rapport de transparence. P05/P06/P08/P09 reposent désormais sur le rapport de transparence semestriel d'ExpressVPN (juillet-décembre 2025 : 155 demandes des autorités et des services répressifs, 0 communication, 3 mandats répertoriés séparément), consulté via le Trust Center — l'examen précédent n'avait trouvé aucun des deux.

Le canary, et le reste du bloc. Aucun warrant canary d'ExpressVPN n'a pu être trouvé et aucune déclaration primaire n'en nie l'existence ; P07 reste donc inconnu. P02/P03=none_known reposent sur la série de rapports de transparence et la position de la politique de confidentialité en matière de contentieux ; P11=none_known repose sur l'affirmation de la politique selon laquelle toutes les demandes passent par les tribunaux des BVI. P04=withdrew_physical correspond à la sortie d'Inde de juin 2022.

Ce qui n'est jamais publié. Le nombre d'abonnés (M08) et le nombre total de serveurs (U03) ne sont pas publiés. La propriété du matériel des serveurs (C08 : détenu ou loué) et les identifiants d'appareils au niveau de l'application (C12) n'ont pu être établis à partir d'aucune page vérifiée.

106 pays contre une affirmation de 113. U02_server_countries reflète les 105 pages d'atterrissage par pays du sitemap d'ExpressVPN lui-même, plus la Chine (confirmée comme « Available - Virtual Locations » sur la page /vpn-server en ligne, mais dépourvue de page d'atterrissage dédiée) — 106 codes au total, contre l'affirmation marketing du site de « 113 Countries » ; la page en ligne des emplacements de serveurs est un très grand tableau par protocole qui n'a pas été analysé de manière exhaustive, de sorte que l'écart entre 106 et 113 est signalé plutôt que résolu.

Un résultat d'audit entre deux catégories. V11_audit_findings est enregistré comme session_metadata plutôt que none_linkable ou aggregates_only : le rapport KPMG de 2025 décrit un enregistrement structuré par connexion (pays, FAI, date, protocole, volume de données, pseudonyme stable sous forme de hachage salé) qui dépasse le simple agrégat, mais ne contient ni adresse IP ni heure précise — un cas véritablement ambigu pour les quatre catégories intermédiaires de ce champ.

Non vérifié lors de ce passage. La question de savoir si la couverture d'ExpressVPN existe en dehors des sites affiliés (X08), son niveau de rémunération des affiliés (X10) et la question de savoir si les médias d'avis gérés par le propriétaire signalent le lien de propriété (X11) n'ont pas été vérifiées lors de ce passage.

P2P, recherché et absent. U12a_p2p_allowed reste inconnu pour une raison différente du reste : le sujet a été recherché et n'est pas publié. Ni le sitemap (578 URL de pages et d'assistance) ni les conditions d'utilisation ne mentionnent P2P, BitTorrent ou le partage de fichiers, tandis que chaque autre fournisseur catalogué indique sa position dans ses propres documents. Un article d'assistance ou une clause des conditions permettrait de le trancher ; un site d'avis affirmant que cela fonctionne ne le permettrait pas.

Pourquoi le score n'en dépend pas. Les prix établi et inconnu sont tous deux à 0,000 ; rien dans le score ne dépend donc de ce point. Ce qui manque est la fiche, pas le nombre, et la prochaine vérification devrait commencer par les documents déposés par Kunlun et le dossier fédéral, plutôt que par un résumé de ceux-ci.

Le rapport qui ferait évoluer quatre champs. Le rapport de Deloitte est l'autre document qui ferait évoluer plusieurs champs à la fois : V04, V07, V11 et V15 sont tous inconnus uniquement parce qu'il n'est pas publié, et V11 est en particulier le champ sur lequel repose toute l'allégation sans journaux.

Ce qui n'a aucun document. U07 n'a aucun document, et C13 qui en dépend non plus : Opera mentionne AES-256 et un « secure tunnel », mais jamais de protocole ; le transport le plus faible proposé n'est donc pas établi. U08, U09 et U12b ne sont pas renseignés pour la même raison : le tableau comparatif des fonctionnalités sur la page du produit marque les lignes de coches que le balisage récupéré ne contient pas, et lire des coches sur une image rendue ne constitue pas une source.

Des serveurs décrits, non étayés par des preuves. C02, C06 et C08 ne reposent sur rien : Opera affirme que les serveurs sont physiques et lui appartiennent, ce qui n'établit ni le disque, ni le DNS, ni l'identité du propriétaire du matériel. C09b ne peut pas recevoir de réponse tant que U02 est inconnu.

Un seul magasin, pas deux. Seul le formulaire Google Play sur la sécurité des données a été lu ; les mentions de confidentialité de l'App Store pour le navigateur iOS ne l'ont pas été, de sorte que X12 repose sur un seul magasin plutôt que sur le moins favorable des deux.

Deux interprétations plutôt que des déclarations. Linux dans U01 est déduit du manuel d'aide pour ordinateur de bureau, qui documente le VPN et couvre conjointement Windows, macOS et Linux sans ventilation par plateforme ; Android et iOS sont explicitement nommés dans l'annonce de l'audit. U10 est illimité parce qu'il n'y a ni compte ni limite d'appareils à faire respecter, ce qui constitue une interprétation du produit plutôt qu'un chiffre déclaré.

En 2017, les autorités turques ont saisi un serveur ExpressVPN dans le cadre de l'enquête sur l'assassinat de l'ambassadeur russe Andrei Karlov et n'ont trouvé aucun journal exploitable (TorrentFreak, qui affiche un avis de sponsoring pour ExpressVPN — signalé, et non exclu, puisque les faits peuvent être vérifiés de manière externe et que la propre page de déclaration d'ExpressVPN renvoie depuis lors HTTP 410 sans instantané de Wayback Machine).

En septembre 2021, l'accord de poursuite différée du DOJ avec Daniel Gericke, Chief Information Officer d'ExpressVPN, concernant son rôle antérieur de 2016 à 2018 dans l'opération de piratage « Project Raven » des Émirats arabes unis est devenu public ; le document principal de l'accord lui-même ne nomme jamais ExpressVPN (il ne porte que sur son emploi antérieur aux Émirats arabes unis) — le lien avec ExpressVPN vient des déclarations d'ExpressVPN et de la presse. ExpressVPN a maintenu Gericke dans ses fonctions et publié une défense publique de cette décision.

C12 est resettable_ad_id dans le propre texte du fournisseur plutôt que dans une catégorie de boutique. Le paragraphe marketing de la politique de confidentialité indique qu'un Installation ID et un XV User ID sont toujours collectés et que les identifiants publicitaires — IDFA ou Android Advertising ID — sont ensuite collectés après consentement explicite, l'ensemble étant transmis à AppsFlyer ; le formulaire de sécurité des données de Play déclare indépendamment des identifiants d'appareil ou autres à des fins publicitaires ou marketing.

La demande de consentement et une mesure d'atténuation que personne d'autre ici ne propose — le trafic associé à AppsFlyer acheminé par un pool d'adresses IP ExpressVPN dédié afin que l'attribution ne puisse pas corréler par adresse IP — sont réelles et sont consignées ici, car le plancher évalue ce qui peut être conservé, pas la qualité de l'explication.

U07_protocols couvre tout le sélecteur : Lightway UDP et TCP comme vendor_open, aux côtés de WireGuard, OpenVPN UDP/TCP et IKEv2. Lightway est le protocole propre à ExpressVPN et son code source est publié avec un examen indépendant à l'appui (Cure53, 2021 et 2024), ce qui constitue la distinction pour laquelle vendor_open existe — proprietary évalue l'impossibilité de déterminer si un transport est faible, et ici cela peut être déterminé.

PPTP est retiré des applications ExpressVPN selon la propre page des protocoles du fournisseur, et L2TP et SSTP y sont expliqués sans être proposés.

L'identité de ce tiers a évolué : l'annonce de l'audit de 2024 indique que les serveurs de VPN Pro sont « fournis en collaboration avec Nord », et l'explication de 2026 indique que VPN Pro est « équipé du protocole Lightway de nouvelle génération », qui est celui d'ExpressVPN. Aucun des deux documents n'indique que l'accord a changé.

X02 est le constat central, et les deux documents qui l'étayent émanent d'Opera. L'annonce de 2024 cite l'avis de Deloitte ainsi : « la configuration des systèmes informatiques et la gestion des opérations informatiques d'assistance ont été conçues et mises en œuvre de manière appropriée, à tous égards significatifs, sur la base des critères décrits dans la Management Assertion d'Opera, en date du 10 août 2024 », et attribue séparément à la propre Management Assertion d'Opera la phrase « Aucune fonctionnalité de journalisation des données n'est intégrée au service VPN, et aucune donnée quelle qu'elle soit n'est collectée ».

La publication de 2026 relate à nouveau la même mission, en indiquant que Deloitte a établi le constat : « nous avons donné à l'équipe de Deloitte un accès complet à notre VPN et à l'infrastructure de nos serveurs, et elle a pu vérifier notre affirmation... En fait, une fonction de journalisation des données n'est même pas intégrée au VPN à l'origine ». La même publication transforme une période que celle de 2024 date du 18 juin au 10 août 2024 en « accès complet ».

Opera décrit sa propre affirmation comme la conclusion de son auditeur. C'est pourquoi le bloc VERIFY se divise comme il le fait. V01 est yes_verified sur la base d'un rapport effectivement consulté — le propre résumé de gestion publié par Cure53 de son évaluation de mars 2022 — et non sur la base de l'annonce de Deloitte.

Le rapport de Deloitte lui-même n'est publié nulle part, donc V02 est press_only, et chaque champ qui constitue une conclusion de ce rapport plutôt qu'un fait relatif à la mission reste inconnu : couverture du parc (V04), norme d'assurance (V07), ce que le rapport indique comme faisant l'objet d'une conservation (V11) et solidité de l'opinion (V15).