Face à face
L'écart
Le score de sécurité n'est pas une somme de bonnes choses. Il part de 100 et huit canaux prennent chacun une part de ce qui reste, si bien qu'un seul canal peut régler le sort d'une fiche à lui seul. Les deux fiches sont dessinées ici sur la même échelle — le plafond propre du modèle, 0.9 — plutôt que sur une échelle ajustée à cette paire, ce qui ferait paraître chaque comparaison également spectaculaire.
Ligne par ligne
Chaque champ que le contrat publie sur un fournisseur, selon les groupes propres au contrat, y compris les lignes où les deux s'accordent — un tableau qui n'imprimerait que les différences inventerait un désaccord, et un qui n'imprimerait que les lignes intéressantes reviendrait à nous choisir ce qui est intéressant. Ouvrez un groupe pour lire ses lignes ; chacune indique combien elle en contient et combien d'entre elles les deux fiches répondent différemment.
Une cellule verte signifie que la méthodologie elle-même chiffre cette valeur en dessous de l'autre, pas que nous la préférons. Les lignes que le modèle ne chiffre pas ne portent aucune marque : le prix n'est jamais marqué, car rien dans le modèle ne dit que moins cher est plus sûr, pas plus que la couverture, le nombre de plateformes ou les appareils. Là où une valeur n'a jamais été établie, la cellule le dit plutôt que d'afficher un zéro.
Ce qui s'est réellement passé
Autres paires
Les paires au sein du top 10 obtiennent une page — 80 comparaisons en tout. Les fiches en dessous ne sont pas appariées ici : une comparaison mérite une page là où le choix entre les deux est réel, et ce choix se fait près du sommet du registre.
Sécurité
Utilisabilité
Rang 5 sur 68 dans le registre
Malaisie · VPN commercial
Sorties dans 57 pays
Sécurité
Utilisabilité
Rang 2 sur 68 dans le registre
Suède · VPN commercial
Sorties dans 50 pays
Aucune demande sur la fiche publique
1 demande avec preuve à l'appui, dont aucune n'a produit de données
Questions ouvertes
Encore ouvert sur cette fiche.
Propriétaire bénéficiaire ultime. eVenture Ltd. est nommée et immatriculée (Malaisie, LL09685) avec une adresse postale, mais aucun propriétaire individuel ni structure de groupe n'est révélé dans les propres documents du fournisseur ; M09, M11 et le canal de juridiction du propriétaire restent inconnus.
Historique des saisies et des dossiers judiciaires. Le rapport de transparence indique que les demandes des autorités ont chaque année depuis 2013 reçu pour réponse qu'il n'y avait rien à remettre, ce qui étaye P02_disclosure_history, mais aucune saisie datée ni ordonnance judiciaire n'est documentée avec sa propre fiche ; P01_seizure_event et P03_court_record restent donc inconnus, plutôt que de recevoir la valeur favorable none_known/unable_to_produce qu'aurait rapportée un événement P12.
Hébergement dans des pays soumis au mandat. hide.me propose des emplacements de sortie dans trois pays signalés par le tableau des mandats de ce catalogue (AE, TR, VN) ; aucune des trois pages consacrées aux pays n'indique si le matériel qui s'y trouve est physique ou virtuel, de sorte que C09b_mandate_hosting est inconnu.
Affirmations concernant le contournement et le streaming. La page tarifaire annonce un « Streaming Support » non différencié et le site ne fournit aucune preuve mesurée de contournement ; U06_censorship_circumvention, U12a_p2p_allowed et U12b_streaming_works restent donc inconnus plutôt que de reposer sur des textes marketing.
Historique des audits avant 2024. Les propres pages du fournisseur affirment qu'un audit a eu lieu « back in 2015 » et décrivent les audits comme habituels, mais seul le PDF de Securitum de 2024 a pu être localisé et ouvert ; V09_audit_regularity et V10_audit_count sont chiffrés sur la base de l'unique document effectivement lu, et non de la série affirmée.
Encore ouvert sur cette fiche.
La fréquence des audits. Mullvad publie un index des audits dans le dépôt de l'application et il est explicite sur la fréquence : l'index indique clairement que les audits principaux de l'application ont lieu tous les deux ans, avec des audits supplémentaires entre-temps, raison pour laquelle la régularité est enregistrée comme répétée sans intervalle fixe plutôt que comme une série annuelle — personne ne revendique une fréquence annuelle.
Deux rapports, une date. Deux missions distinctes partagent la date du 17/02/2026 et la fiche les nomme toutes les deux : la revue de code d'Assured sur GotaTun, l'implémentation WireGuard en espace utilisateur (aucun problème critique, élevé ou moyen ; deux problèmes faibles et neuf remarques), et l'évaluation Mobile App Profile de Leviathan sur l'application Android, dont le rapport de conformité donne le 17 février 2026 comme date d'évaluation et AL2 comme niveau d'assurance. Une date, deux rapports, aucune contradiction.
Pourquoi le décompte est de huit. Le nombre d'audits est de huit parce que la revue de GotaTun est extérieure à la propre liste du dépôt de l'application. Auparavant, une revue X41 D-Sec de 30 jours-personne couvrant les cinq plateformes a trouvé six vulnérabilités — trois élevées, deux moyennes, une faible, aucune critique.
Ce qu'aucune mission ne couvre. Ce qu'aucune de ces missions ne couvre, c'est la flotte de serveurs : chacune examine l'application ou le protocole de tunnel, raison pour laquelle la couverture de la flotte est enregistrée comme non applicable plutôt que comme un échantillon. L'affirmation de non-conservation des journaux du côté de l'infrastructure repose donc sur le mandat de perquisition d'avril 2023 — la police suédoise est venue chercher les données des clients et est repartie sans elles — et non sur un audit.
Des versions reproductibles, sur Android uniquement. Les versions reproductibles concernent uniquement Android, à partir de la version 2025.2, donc le champ reste partiel ; les versions pour ordinateur et iOS ne sont pas vérifiables bit à bit. La Turquie est le seul pays soumis à un mandat sur la liste proposée et l'hébergement qui la sous-tend n'est pas établi.
Rien de publié sur les demandes. Rien dans la fiche ne repose sur ce que le fournisseur publie au sujet des demandes qu'il reçoit : il n'y a ni rapport de transparence ni warrant canary, de sorte que la saisie d'avril 2023 en constitue à elle seule le fondement. La couverture du kill switch et la politique P2P ne sont pas établies ; le dernier audit est une revue de code du protocole, et non une mission sur la non-conservation des journaux, donc V11 reste silencieux et la conservation repose sur la déclaration.
Notes
Sur la fiche dans son ensemble.
Les tarifs ne comportent pas de tranche simple de 12 mois ; l'équivalent le plus proche d'un forfait annuel est une durée de 13 mois (12 mois plus 1 mois offert), facturée 54,99 USD, consignée dans U04b avec cette note conformément à la règle du premier terme du schéma. Une durée de 26 mois (24+2 mois offerts) existe également à 69,99 USD, mais ce n'est pas le forfait annuel demandé par le champ. C05_payment_anonymous répertorie aussi Visa/Mastercard/Amex/PayPal sur la même page ; seule l'option crypto Coinpayments est proche de l'anonymat.
C07b_site_trackers est un script d'analyse de type Plausible hébergé par le fournisseur et servi depuis le domaine de hide.me (data-api https://hide.me/api/event), plutôt que depuis un domaine tiers ; il est codé comme analytics puisqu'il s'agit malgré tout d'un produit d'analyse distinct, et non d'un journal de première partie.
La mise à jour de U07_protocols (14/09/2026) a trouvé SoftEther ajouté à la liste des protocoles aux côtés de WireGuard, IKEv2, SSTP et OpenVPN ; SoftEther est un logiciel open source tiers (et non le protocole propre de hide.me) doté d'une implémentation publiée et vérifiable, il est donc codé vendor_open plutôt que propriétaire.
Sur la fiche dans son ensemble.
Le mandat de perquisition d'avril 2023 est l'élément unique le plus solide de cette fiche : la police s'est rendue au bureau et n'est repartie avec rien, ce qui constitue une preuve de la pratique plutôt que du papier et vieillit bien plus lentement qu'un audit. Le tarif est forfaitairement de 5 EUR/mois pour toute durée ; U04_price_monthly contient 5,80 (l'équivalent en USD indiqué par Mullvad sur sa propre page) ; U04b_price_yearly est de 69,60, soit l'année complète à ce tarif.
Changements récents
1 changement enregistré, le 14 sept. 2026
14 sept. 20261 changement
Protocoles proposésU07_protocols
wireguard, ikev2, sstp, openvpn remplacé par wireguard, ikev2, sstp, openvpn, vendor_open
25 sept. 20261 changement
Prix mensuel en USD, formule mensuelle, tel que facturéU04_price_monthly
5.8 remplacé par 5.69
12 sept. 20264 changements
Score de sécuritésecurity.score
65 remplacé par 64
Score de sécuritésecurity.score
64 remplacé par 60
Fonctionne sous une censure activeU06_censorship_circumvention
none remplacé par claimed
Score d'utilisabilitéusability.score
55 remplacé par 64
hide.me et Mullvad VPN ont été évalués par l'équipe HushFleet : hide.me obtient 28/100 en sécurité, dans la tranche Insuffisante, et Mullvad VPN 60/100, dans la tranche Acceptable. Ils partagent un audit indépendant et une propriété indépendante. L'écart de 32 points s'ouvre le plus largement sur Conservation — « Existe-t-il une fiche reliant le trafic à une personne, et qui l'a vérifiée ? » — prenant 52% à hide.me et 22% à Mullvad VPN.
| CanalPression prise sur ce qui restait | hide.meCanal dominant : Conservation0 à 0.9, plus long est pire | Mullvad VPNCanal dominant : Conservation0 à 0.9, plus long est pire |
|---|---|---|
| ConservationExiste-t-il une fiche reliant le trafic à une personne, et qui l'a vérifiée ? | 0.518 | 0.218 |
| IgnoranceQuelle part de cela n'a jamais été établie ? | 0.149 | 0.103 |
| HygièneQuels éléments identifiants sont collectés au passage, et le client peut-il seulement être vérifié ? | 0.146 | 0.050 |
| JuridictionQuelqu'un peut-il contraindre à divulguer ce qui existe, sans que le fournisseur ait son mot à dire ? | 0.125 | 0.050 |
| ArchitectureQui exploite la sortie, et que fait-elle au trafic ? | 0.050 | 0.050 |
| IntégritéA-t-il été pris à dire une chose et à en faire une autre ? | 0.040 | 0.000 |
| DivulgationA-t-il déjà remis quelque chose ? | 0.000 | 0.000 |
| SilenceDix ans, des millions d'utilisateurs et rien dans la fiche ? | 0.000 | 0.000 |
| Ce qu'il reste de 100Les canaux se multiplient : chacun prend une part de ce que le précédent a laissé debout | 28 | 60 |
Par circonstance
| hide.me | Mullvad VPN | |
|---|---|---|
| Torrenting | — non établi | — non établi |
| Streaming | — non établi | — non établi |
| Appareils à la fois | 10 | 5 |
| Sous censure | — non établi | Affirmé comme fonctionnant claimed |
| Sorties dans des pays sous mandat | 3 Émirats arabes unis, Turquie, Viêt Nam | 1 Turquie |
| Hébergement dans ces pays | — non établi | — non établi |
| Entreprise sous mandat | Aucun mandat de ce type no | Aucun mandat de ce type no |
| Ordonnances secrètes | — non établi | Les injonctions passent par un juge judicial_only |
| hide.me | Mullvad VPN | |
|---|---|---|
| Sécurité | 28 insuffisante · rang 5 sur 68 | 60 acceptable · rang 2 sur 68 |
| Utilisabilité | 81 sur 100 | 64 sur 100 |
| Complétude de la fiche | 77% utilisabilité 75% | 87% utilisabilité 75% |
| hide.me | Mullvad VPN | |
|---|---|---|
| Qui exploite la sortie | Exploité par le fournisseur lui-même provider_operated | Exploité par le fournisseur lui-même provider_operated |
| Conservation telle que déclarée | Métadonnées de session session_metadataBhide.me · | Rien qui relie le trafic à une personne none_linkableBmullvad.net · |
| Serveurs sans disque, avec RAM uniquement | Oui, vérifié par une personne indépendante yes_verifiedAhide.me · | Oui, sur la parole du fournisseur yes_declaredBmullvad.net · |
| Modèle d'attribution des adresses IP | Adresse dédiée proposée en option dedicated_optionBhide.me · | Adresse de sortie partagée entre les utilisateurs sharedBmullvad.net · |
| Inscription sans adresse e-mail | Non, une adresse e-mail est requise noBhide.me · | Oui, sur la parole du fournisseur yes_declaredBmullvad.net · |
| Options de paiement anonymes | Cryptomonnaie via un prestataire de paiementBhide.me · | Espèces · Cryptomonnaie payée directement · Bon prépayé ou carte-cadeauBmullvad.net · |
| DNS propre à l'intérieur du tunnel | Oui, vérifié par une personne indépendante yes_verifiedAhide.me · | Oui, sur la parole du fournisseur yes_declaredBmullvad.net · |
| Catégorie de SDK tiers la plus intrusive dans l'application | Aucun SDK tiers none | Aucun SDK tiers none |
| Catégorie de traceur tiers la plus intrusive sur le site | Analytique analyticsBhide.me · | Aucun traceur tiers noneBmullvad.net · |
| Qui possède le matériel | Détenu par le fournisseur ownedBhide.me · | À la fois détenu et loué mixedBmullvad.net · |
| Pays proposés relevant d'un mandat de conservation | 3 Émirats arabes unis, Turquie, Viêt NamBhide.me · | 1 TurquieBmullvad.net · |
| Hébergement dans les pays relevant du mandat qu'il propose | — non établi | — non établi |
| Le pays d'immatriculation impose la conservation | Aucun mandat de ce type no | Aucun mandat de ce type no |
| Le propriétaire effectif relève d'un régime de conservation | — non établiaucune source publiée | Aucun régime de ce type noCmullvad.net · |
| Identifiant d'appareil persistant | Aucun détenu none | Aucun détenu none |
| Le protocole le plus faible encore proposé | SSTP sstpBhide.me · | — la question ne se pose pasBmullvad.net · 2 sources · |
| Ce que la sortie fait au trafic qui la traverse | — non établi | — non établi |
| hide.me | Mullvad VPN | |
|---|---|---|
| Au moins un audit indépendant | Oui, et le rapport a été lu yes_verified | Oui, et le rapport a été lu yes_verified |
| Comment le rapport est publié | Le rapport complet est publié full_pdf | Le rapport complet est publié full_pdf |
| Objet de l'audit | L'affirmation d'absence de journaux elle-mêmeAhide.me · | Protocole · Sécurité de l'applicationAassured.se · 2 sources · |
| Couverture du parc de serveurs | Un échantillon de serveurs sampleAhide.me · | — la question ne se pose pasaucune source publiée |
| Nom de l'auditeur | Securitum (Pawel Rozanski, Maciej Szymczak) |
| hide.me | Mullvad VPN | |
|---|---|---|
| Saisie de serveurs par les autorités chargées de l'application de la loi | — non établiaucune source publiée | Saisis, et aucune donnée exploitable ne s'y trouvait seizure_no_dataBmullvad.net · |
| Historique réel des divulgations | Aucune divulgation dans la fiche none_known | Aucune divulgation dans la fiche none_known |
| Fiche judiciaire d'une production forcée | — non établiaucune source publiée | Aucune fiche judiciaire none_knownBmullvad.net · |
| Réponse à un mandat national de conservation | A retiré ses serveurs plutôt que de se conformer withdrew_physicalBhide.me · |
| hide.me | Mullvad VPN | |
|---|---|---|
| Écart documenté entre l'affirmation et le comportement | — non établiaucune source publiée | Aucun mensonge documenté noneCgithub.com · |
| Marketing face aux constats de l'audit | Aucune lacune consignée none | Aucune lacune consignée none |
| Transparence de la structure de propriété | La propriété est indiquée et vérifiable clear | La propriété est indiquée et vérifiable clear |
| Événements défavorables dans la fiche du groupe propriétaire | — non établiaucune source publiée | Rien de défavorable dans la fiche cleanCmullvad.net · |
| Mode de financement du service | Offre gratuite financée par l'offre payante freemium_funded |
| hide.me | Mullvad VPN | |
|---|---|---|
| Entité juridique | eVenture Ltd. (eVenture Limited), registered in Malaysia under registration number LL09685Bhide.me · | Mullvad VPN AB, Box 53049, 400 14 Gothenburg, SwedenBmullvad.net · |
| Où siège l'entreprise | Malaisie MYBhide.me · | Suède SEBmullvad.net · |
| Année de lancement du service | 2012Bhide.me · | 2009Bmullvad.net |
| hide.me | Mullvad VPN | |
|---|---|---|
| Plateformes avec un client | 10 Windows, macOS, Linux, iOS, Android, Apple TV, Android TV, Fire TV, Extension de navigateur, RouteursBhide.me · | 5 Android, iOS, Linux, macOS, WindowsBmullvad.net · |
| Pays avec une sortie | 57 paysBhide.me · | 50 paysBmullvad.net · |
| Paiement mensuel | $11.99 par moisBhide.me · | $5.69 par moisBmullvad.net · |
| Assured Security Consultants (GotaTun code review) and Leviathan Security Group (Android Mobile App Profile assessment) — two engagements, both reports dated 2026-02-17Aassured.se · 3 sources · |
| Catégorie de l'auditeur | Un spécialiste de la sécurité security_specialist | Un spécialiste de la sécurité security_specialist |
|---|
| Norme d'assurance | Une autre norme other | Une autre norme other |
|---|
| Date du dernier rapport | 2024-06-07Ahide.me · | 2026-02-17Aassured.se · 2 sources · |
|---|
| Cadence des audits | Ponctuel one_offAhide.me · 2 sources · | Répétés, sans intervalle fixe repeated_irregularBgithub.com · |
|---|
| Total des audits publiés | 1Ahide.me · 2 sources · | 8Bgithub.com · 2 sources · |
|---|
| Conservation telle que l'indique le rapport | Rien qui relie le trafic à une personne none_linkableAhide.me · | Le rapport ne traite pas de la conservation not_statedBgithub.com · |
|---|
| Code source du client publié | Certains clients partialBgithub.com · | Chaque client allBgithub.com · |
|---|
| Compilations reproductibles | — non établiaucune source publiée | Sur certaines plateformes partialBmullvad.net · |
|---|
| Test d'intrusion séparé | — non établiaucune source publiée | Oui, et le rapport a été lu yes_verifiedAx41-dsec.de · 2 sources · |
|---|
| Force de la conclusion d'assurance | — la question ne se pose pas | — la question ne se pose pas |
|---|
no_presence| Rapport de transparence | À jour, avec le nombre de demandes fresh_with_numbersAhide.me · | — non établiaucune source publiée |
|---|
| Chiffres publiés plausibles à cette échelle | — non établiaucune source publiée | — la question ne se pose pasaucune source publiée |
|---|
| Discipline du warrant canary | — non établi | — non établi |
|---|
| Demandes reçues | 9Ahide.me · | — non établiaucune source publiée |
|---|
| Demandes ayant produit des données | 0Ahide.me · | — non établiaucune source publiée |
|---|
| Régime des injonctions secrètes | — non établiaucune source publiée | Les injonctions passent par un juge judicial_onlyBmullvad.net · |
|---|
| Chronologie des événements d'application documentés | 0 Aucune demande sur la fiche publiqueAhide.me · 2 sources · | 1 demande avec preuve à l'appuiBmullvad.net · |
|---|
Abonnements payants uniquement paid_onlyBmullvad.net · |
| Affirmations d'anonymat à 100 % ou de cryptographie de niveau militaire | Prétend offrir un anonymat total ou un chiffrement de niveau militaire yesBhide.me · | — non établiaucune source publiée |
|---|
| Abonnements à vie poussés de manière agressive | Non no | Non no |
|---|
| La couverture n'existe que sur des sites affiliés | — non établiaucune source publiée | Couvert aussi sur des sites autres qu'affiliés noBmullvad.net · |
|---|
| Incident de sécurité et manière dont il a été divulgué | Aucun incident dans la fiche none_knownBhide.me · | Divulgué par le fournisseur, rapidement self_disclosed_promptBmullvad.net · |
|---|
| Programme d'affiliation et niveau de rémunération | Une rémunération élevée high_payoutBhide.me · | Aucun programme d'affiliation noneBmullvad.net · |
|---|
| Le média d'avis géré par le propriétaire divulgue le lien | — non établiaucune source publiée | — la question ne se pose pasaucune source publiée |
|---|
| Déclaration sur la boutique d'applications | Le formulaire de la boutique correspond à la politique publiée matches_policy | Le formulaire de la boutique correspond à la politique publiée matches_policy |
|---|
| Échelle de la base d'utilisateurs (mass >=10M, mid >=1M, niche <1M) | Mass : 10 millions d'utilisateurs ou plus massBhide.me · | Mid : un million d'utilisateurs ou plus midBmullvad.net · |
|---|
| Propriétaire bénéficiaire ultime tel qu'écrit | — non établiaucune source publiée | Amagicom AB, 100% owned by founders Fredrik Stromberg and Daniel BerntssonBmullvad.net · |
|---|
| Autres entreprises du groupe du propriétaire | Aucun élément communiqué | Aucun élément communiqué |
|---|
| Pays du propriétaire bénéficiaire ultime | — non établiaucune source publiée | SEBmullvad.net · |
|---|
| Groupe propriétaire | independent | independent |
|---|
| Date à laquelle le propriétaire actuel a pris le contrôle | 2012Bhide.me · 2 sources · | — la question ne se pose pasaucune source publiée |
|---|
| Rôle de cette marque au sein du groupe | La marque principale du groupe principal | La marque principale du groupe principal |
|---|
| Infrastructure partagée avec les autres membres du groupe | Infrastructure distincte separate | Infrastructure distincte separate |
|---|
| Paiement annuel | $54.99 par an au renouvellement, facturé une foisBhide.me · | $69.60 par an au renouvellement, facturé une foisBmullvad.net · |
|---|
| Formule gratuite utilisable | Une formule gratuite avec des limites limited_freeBhide.me · | Aucune formule gratuite noneBmullvad.net · |
|---|
| Fonctionne sous une censure active | — non établiaucune source publiée | Affirmé comme fonctionnant claimedBmullvad.net · |
|---|
| Protocoles proposés | 5 WireGuard, IKEv2, SSTP, OpenVPN, Un protocole du fournisseur avec source publiéeBhide.me · | 1 WireGuardBmullvad.net · 2 sources · |
|---|
| Couverture du kill switch | Sur toutes les plateformes all_platformsBhide.me · | — non établiaucune source publiée |
|---|
| Split tunneling disponible | Disponible yes | Disponible yes |
|---|
| Connexions simultanées | 10Bhide.me · | 5Bmullvad.net · |
|---|
| Difficulté pour commencer à l'utiliser | Une adresse e-mail uniquement email_onlyBhide.me · | Aucun compte nécessaire no_accountBmullvad.net · |
|---|
| P2P autorisé | — non établi | — non établi |
|---|
| Principaux services de streaming accessibles | — non établi | — non établi |
|---|
