ExpressVPN vs Surfshark

Le rapport de transparence. P05/P06/P08/P09 reposent désormais sur le rapport de transparence semestriel d'ExpressVPN (juillet-décembre 2025 : 155 demandes des autorités et des services répressifs, 0 communication, 3 mandats répertoriés séparément), consulté via le Trust Center — l'examen précédent n'avait trouvé aucun des deux.

Le canary, et le reste du bloc. Aucun warrant canary d'ExpressVPN n'a pu être trouvé et aucune déclaration primaire n'en nie l'existence ; P07 reste donc inconnu. P02/P03=none_known reposent sur la série de rapports de transparence et la position de la politique de confidentialité en matière de contentieux ; P11=none_known repose sur l'affirmation de la politique selon laquelle toutes les demandes passent par les tribunaux des BVI. P04=withdrew_physical correspond à la sortie d'Inde de juin 2022.

Ce qui n'est jamais publié. Le nombre d'abonnés (M08) et le nombre total de serveurs (U03) ne sont pas publiés. La propriété du matériel des serveurs (C08 : détenu ou loué) et les identifiants d'appareils au niveau de l'application (C12) n'ont pu être établis à partir d'aucune page vérifiée.

106 pays contre une affirmation de 113. U02_server_countries reflète les 105 pages d'atterrissage par pays du sitemap d'ExpressVPN lui-même, plus la Chine (confirmée comme « Available - Virtual Locations » sur la page /vpn-server en ligne, mais dépourvue de page d'atterrissage dédiée) — 106 codes au total, contre l'affirmation marketing du site de « 113 Countries » ; la page en ligne des emplacements de serveurs est un très grand tableau par protocole qui n'a pas été analysé de manière exhaustive, de sorte que l'écart entre 106 et 113 est signalé plutôt que résolu.

Un résultat d'audit entre deux catégories. V11_audit_findings est enregistré comme session_metadata plutôt que none_linkable ou aggregates_only : le rapport KPMG de 2025 décrit un enregistrement structuré par connexion (pays, FAI, date, protocole, volume de données, pseudonyme stable sous forme de hachage salé) qui dépasse le simple agrégat, mais ne contient ni adresse IP ni heure précise — un cas véritablement ambigu pour les quatre catégories intermédiaires de ce champ.

Non vérifié lors de ce passage. La question de savoir si la couverture d'ExpressVPN existe en dehors des sites affiliés (X08), son niveau de rémunération des affiliés (X10) et la question de savoir si les médias d'avis gérés par le propriétaire signalent le lien de propriété (X11) n'ont pas été vérifiées lors de ce passage.

P2P, recherché et absent. U12a_p2p_allowed reste inconnu pour une raison différente du reste : le sujet a été recherché et n'est pas publié. Ni le sitemap (578 URL de pages et d'assistance) ni les conditions d'utilisation ne mentionnent P2P, BitTorrent ou le partage de fichiers, tandis que chaque autre fournisseur catalogué indique sa position dans ses propres documents. Un article d'assistance ou une clause des conditions permettrait de le trancher ; un site d'avis affirmant que cela fonctionne ne le permettrait pas.

L'Inde et le régime des injonctions secrètes. P04_mandate_response=withdrew_physical correspond au retrait d'Inde de juin 2022, rétabli à partir du blog de Surfshark (surfshark.com/blog/surfshark-servers-certin-india) après que l'analyse précédente a constaté que la page /trust-center ne le mentionnait plus. P11=judicial_only repose sur le rapport de transparence, qui montre que le mandat de l'Amsterdam District Court d'avril 2026 ainsi que ses compteurs de lettres de sécurité nationale et d'injonctions de silence sont à zéro.

Deux rapports trouvés, peut-être pas tous. Seuls deux rapports Deloitte sur l'absence de conservation des journaux (décembre 2022, juin 2025) ont été trouvés publiés ; il peut en exister d'autres non liés depuis robots.txt que cet audit n'a pas recherchés par d'autres moyens.

En 2017, les autorités turques ont saisi un serveur ExpressVPN dans le cadre de l'enquête sur l'assassinat de l'ambassadeur russe Andrei Karlov et n'ont trouvé aucun journal exploitable (TorrentFreak, qui affiche un avis de sponsoring pour ExpressVPN — signalé, et non exclu, puisque les faits peuvent être vérifiés de manière externe et que la propre page de déclaration d'ExpressVPN renvoie depuis lors HTTP 410 sans instantané de Wayback Machine).

En septembre 2021, l'accord de poursuite différée du DOJ avec Daniel Gericke, Chief Information Officer d'ExpressVPN, concernant son rôle antérieur de 2016 à 2018 dans l'opération de piratage « Project Raven » des Émirats arabes unis est devenu public ; le document principal de l'accord lui-même ne nomme jamais ExpressVPN (il ne porte que sur son emploi antérieur aux Émirats arabes unis) — le lien avec ExpressVPN vient des déclarations d'ExpressVPN et de la presse. ExpressVPN a maintenu Gericke dans ses fonctions et publié une défense publique de cette décision.

C12 est resettable_ad_id dans le propre texte du fournisseur plutôt que dans une catégorie de boutique. Le paragraphe marketing de la politique de confidentialité indique qu'un Installation ID et un XV User ID sont toujours collectés et que les identifiants publicitaires — IDFA ou Android Advertising ID — sont ensuite collectés après consentement explicite, l'ensemble étant transmis à AppsFlyer ; le formulaire de sécurité des données de Play déclare indépendamment des identifiants d'appareil ou autres à des fins publicitaires ou marketing.

La demande de consentement et une mesure d'atténuation que personne d'autre ici ne propose — le trafic associé à AppsFlyer acheminé par un pool d'adresses IP ExpressVPN dédié afin que l'attribution ne puisse pas corréler par adresse IP — sont réelles et sont consignées ici, car le plancher évalue ce qui peut être conservé, pas la qualité de l'explication.

U07_protocols couvre tout le sélecteur : Lightway UDP et TCP comme vendor_open, aux côtés de WireGuard, OpenVPN UDP/TCP et IKEv2. Lightway est le protocole propre à ExpressVPN et son code source est publié avec un examen indépendant à l'appui (Cure53, 2021 et 2024), ce qui constitue la distinction pour laquelle vendor_open existe — proprietary évalue l'impossibilité de déterminer si un transport est faible, et ici cela peut être déterminé.

PPTP est retiré des applications ExpressVPN selon la propre page des protocoles du fournisseur, et L2TP et SSTP y sont expliqués sans être proposés.

Cette fiche avait déjà été lue deux fois — connection_timestamps dans V11 d'après la formulation de l'audit, source_ip dans C01 d'après la formulation de la politique — et notée selon le moins favorable des deux, ce qui faisait coûter davantage les quinze minutes de conservation que le fait de ne rien dire du tout : une valeur vide pour C01 correspond au prior du marché de 0,550 et source_ip vaut 0,750.

R29 trace désormais la ligne : l'état supprimé dans un délai déclaré lié à la fin de la session relève de la connexion, et non d'une fiche de celle-ci ; les deux champs sont donc connection_timestamps dans la même phrase. Ce qui reste pris en compte est ce qui survit à la session — la date de dernière connexion dans la section 2.3.1 de la politique et les connection timestamps nommés par l'auditeur.

Surfshark et NordVPN ont le même propriétaire (Nord Security, depuis 2022), mais la page de présentation de Surfshark indique que les marques ont fusionné « tout en opérant indépendamment », avec une infrastructure distincte — M18 est donc défini comme séparé sur cette base, conformément à la fiche nordvpn.com.

U12a est partiel plutôt que oui dans la propre colonne P2P du tableau des serveurs : 88 des 100 pays listés la portent et douze ne la portent pas (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). La colonne est générée côté client ; elle a donc été relevée dans le tableau rendu plutôt que dans le HTML statique, où chaque ligne porte chaque libellé.

Le rapport de transparence à l'adresse /transparency-report — vers laquelle /warrant-canary redirige désormais — présente le trimestre avril-juin 2026 sous forme de tableau : 374,719 notifications DMCA, 33 demandes d'institutions gouvernementales, 1 mandat, 0 lettres de sécurité nationale et 0 injonctions de silence. P08 compte les 34 demandes légales et exclut les notifications DMCA : il s'agit de plaintes pour atteinte aux droits d'auteur concernant le trafic, et non de demandes de données d'un utilisateur.