IVPN vs Mullvad VPN

L'audit pas encore publié. Le huitième audit annuel de Cure53 était prévu pour juillet 2026 et aucun rapport pour 2025 ou 2026 n'est encore publié, ce qui explique que la date du dernier rapport soit celle d'avril 2024.

L'incident d'août 2026. En août 2026, un attaquant a exploité une vulnérabilité du BTCPay Server auto-hébergé, avant qu'elle ne soit publique, et a pris les fonds d'exploitation Lightning d'IVPN. IVPN a rendu compte des faits quatre jours plus tard, sans y être invité, et en a circonscrit la portée à cette machine : les passerelles VPN n'étaient pas concernées, aucun dossier client n'a été consulté et aucun fonds de client n'a été perdu.

Pourquoi cela ne coûte rien. Le modèle ne facture rien pour cela, ce qui est précisément le point — un opérateur qui le dit rapidement se comporte comme le secteur est censé le récompenser, et la fiche est ici pour qu'un lecteur sache que cela s'est produit, plutôt que pour modifier un chiffre.

Ce que couvraient les missions. Le test d'intrusion des applications (iOS, Android, Electron, le démon) date de mars 2022 et l'examen des passerelles et des systèmes d'exploitation des serveurs de février 2023 ; aucun des deux n'a testé l'affirmation d'absence de journaux elle-même, comme l'indique explicitement le rapport de 2023, de sorte que la conservation repose uniquement sur la déclaration de la politique de confidentialité.

Le dernier rapport n'est pas celui qui convient. L'engagement d'avril 2024, le sixième de Cure53 avec IVPN, a testé le site web du compte client, l'API et l'hébergement ; sa propre page de périmètre indique que les applications clientes et les serveurs VPN sont hors périmètre, donc il n'étend ni les preuves relatives à l'application ni celles relatives à la passerelle, et V03_audit_subject indique unknown pour cet engagement au lieu de lui reporter ce crédit. Le septième engagement, portant sur les nouveaux services de messagerie et DNS, n'a été annoncé que pour mai 2025 ; aucun rapport le concernant n'est publié.

Ce que le site principal n'établit jamais. RAM uniquement est enregistré comme partiel, car IVPN le décrit comme une transition avec des déploiements de test en cours et n'a pas annoncé son achèvement. La propriété du matériel des serveurs (loué ou détenu), la modification du trafic à la sortie et la juridiction personnelle du bénéficiaire effectif ne sont pas établies : aucune page principale d'IVPN n'en indique une seule, pas plus qu'elle n'indique la taille de la base d'utilisateurs.

Trois champs auxquels répond la base de connaissances, et non les pages consultées lors de la première saisie. L'allocation des adresses IP est partagée par conception — le « crowding » regroupe les utilisateurs sur une même adresse pour limiter l'attribution. Le P2P est autorisé partout, mais IVPN demande aux clients d'éviter les sorties aux États-Unis, en invoquant la pression DMCA en amont. Le streaming ne fait l'objet d'aucune garantie, bien que l'entreprise indique que de nombreux clients y accèdent.

Pourquoi le décompte est de huit. Le nombre d'audits est de huit parce que la revue de GotaTun est extérieure à la propre liste du dépôt de l'application. Auparavant, une revue X41 D-Sec de 30 jours-personne couvrant les cinq plateformes a trouvé six vulnérabilités — trois élevées, deux moyennes, une faible, aucune critique.

Ce qu'aucune mission ne couvre. Ce qu'aucune de ces missions ne couvre, c'est la flotte de serveurs : chacune examine l'application ou le protocole de tunnel, raison pour laquelle la couverture de la flotte est enregistrée comme non applicable plutôt que comme un échantillon. L'affirmation de non-conservation des journaux du côté de l'infrastructure repose donc sur le mandat de perquisition d'avril 2023 — la police suédoise est venue chercher les données des clients et est repartie sans elles — et non sur un audit.

Des versions reproductibles, sur Android uniquement. Les versions reproductibles concernent uniquement Android, à partir de la version 2025.2, donc le champ reste partiel ; les versions pour ordinateur et iOS ne sont pas vérifiables bit à bit. La Turquie est le seul pays soumis à un mandat sur la liste proposée et l'hébergement qui la sous-tend n'est pas établi.

Rien de publié sur les demandes. Rien dans la fiche ne repose sur ce que le fournisseur publie au sujet des demandes qu'il reçoit : il n'y a ni rapport de transparence ni warrant canary, de sorte que la saisie d'avril 2023 en constitue à elle seule le fondement. La couverture du kill switch et la politique P2P ne sont pas établies ; le dernier audit est une revue de code du protocole, et non une mission sur la non-conservation des journaux, donc V11 reste silencieux et la conservation repose sur la déclaration.