hide.me vs IVPN

Hébergement dans des pays soumis au mandat. hide.me propose des emplacements de sortie dans trois pays signalés par le tableau des mandats de ce catalogue (AE, TR, VN) ; aucune des trois pages consacrées aux pays n'indique si le matériel qui s'y trouve est physique ou virtuel, de sorte que C09b_mandate_hosting est inconnu.

Affirmations concernant le contournement et le streaming. La page tarifaire annonce un « Streaming Support » non différencié et le site ne fournit aucune preuve mesurée de contournement ; U06_censorship_circumvention, U12a_p2p_allowed et U12b_streaming_works restent donc inconnus plutôt que de reposer sur des textes marketing.

Historique des audits avant 2024. Les propres pages du fournisseur affirment qu'un audit a eu lieu « back in 2015 » et décrivent les audits comme habituels, mais seul le PDF de Securitum de 2024 a pu être localisé et ouvert ; V09_audit_regularity et V10_audit_count sont chiffrés sur la base de l'unique document effectivement lu, et non de la série affirmée.

L'audit pas encore publié. Le huitième audit annuel de Cure53 était prévu pour juillet 2026 et aucun rapport pour 2025 ou 2026 n'est encore publié, ce qui explique que la date du dernier rapport soit celle d'avril 2024.

L'incident d'août 2026. En août 2026, un attaquant a exploité une vulnérabilité du BTCPay Server auto-hébergé, avant qu'elle ne soit publique, et a pris les fonds d'exploitation Lightning d'IVPN. IVPN a rendu compte des faits quatre jours plus tard, sans y être invité, et en a circonscrit la portée à cette machine : les passerelles VPN n'étaient pas concernées, aucun dossier client n'a été consulté et aucun fonds de client n'a été perdu.

Pourquoi cela ne coûte rien. Le modèle ne facture rien pour cela, ce qui est précisément le point — un opérateur qui le dit rapidement se comporte comme le secteur est censé le récompenser, et la fiche est ici pour qu'un lecteur sache que cela s'est produit, plutôt que pour modifier un chiffre.

Ce que couvraient les missions. Le test d'intrusion des applications (iOS, Android, Electron, le démon) date de mars 2022 et l'examen des passerelles et des systèmes d'exploitation des serveurs de février 2023 ; aucun des deux n'a testé l'affirmation d'absence de journaux elle-même, comme l'indique explicitement le rapport de 2023, de sorte que la conservation repose uniquement sur la déclaration de la politique de confidentialité.

Le dernier rapport n'est pas celui qui convient. L'engagement d'avril 2024, le sixième de Cure53 avec IVPN, a testé le site web du compte client, l'API et l'hébergement ; sa propre page de périmètre indique que les applications clientes et les serveurs VPN sont hors périmètre, donc il n'étend ni les preuves relatives à l'application ni celles relatives à la passerelle, et V03_audit_subject indique unknown pour cet engagement au lieu de lui reporter ce crédit. Le septième engagement, portant sur les nouveaux services de messagerie et DNS, n'a été annoncé que pour mai 2025 ; aucun rapport le concernant n'est publié.

Ce que le site principal n'établit jamais. RAM uniquement est enregistré comme partiel, car IVPN le décrit comme une transition avec des déploiements de test en cours et n'a pas annoncé son achèvement. La propriété du matériel des serveurs (loué ou détenu), la modification du trafic à la sortie et la juridiction personnelle du bénéficiaire effectif ne sont pas établies : aucune page principale d'IVPN n'en indique une seule, pas plus qu'elle n'indique la taille de la base d'utilisateurs.

Trois champs auxquels répond la base de connaissances, et non les pages consultées lors de la première saisie.