IVPN vs Opera VPN

L'audit pas encore publié. Le huitième audit annuel de Cure53 était prévu pour juillet 2026 et aucun rapport pour 2025 ou 2026 n'est encore publié, ce qui explique que la date du dernier rapport soit celle d'avril 2024.

L'incident d'août 2026. En août 2026, un attaquant a exploité une vulnérabilité du BTCPay Server auto-hébergé, avant qu'elle ne soit publique, et a pris les fonds d'exploitation Lightning d'IVPN. IVPN a rendu compte des faits quatre jours plus tard, sans y être invité, et en a circonscrit la portée à cette machine : les passerelles VPN n'étaient pas concernées, aucun dossier client n'a été consulté et aucun fonds de client n'a été perdu.

Pourquoi cela ne coûte rien. Le modèle ne facture rien pour cela, ce qui est précisément le point — un opérateur qui le dit rapidement se comporte comme le secteur est censé le récompenser, et la fiche est ici pour qu'un lecteur sache que cela s'est produit, plutôt que pour modifier un chiffre.

Ce que couvraient les missions. Le test d'intrusion des applications (iOS, Android, Electron, le démon) date de mars 2022 et l'examen des passerelles et des systèmes d'exploitation des serveurs de février 2023 ; aucun des deux n'a testé l'affirmation d'absence de journaux elle-même, comme l'indique explicitement le rapport de 2023, de sorte que la conservation repose uniquement sur la déclaration de la politique de confidentialité.

Le dernier rapport n'est pas celui qui convient. L'engagement d'avril 2024, le sixième de Cure53 avec IVPN, a testé le site web du compte client, l'API et l'hébergement ; sa propre page de périmètre indique que les applications clientes et les serveurs VPN sont hors périmètre, donc il n'étend ni les preuves relatives à l'application ni celles relatives à la passerelle, et V03_audit_subject indique unknown pour cet engagement au lieu de lui reporter ce crédit. Le septième engagement, portant sur les nouveaux services de messagerie et DNS, n'a été annoncé que pour mai 2025 ; aucun rapport le concernant n'est publié.

Ce que le site principal n'établit jamais. RAM uniquement est enregistré comme partiel, car IVPN le décrit comme une transition avec des déploiements de test en cours et n'a pas annoncé son achèvement. La propriété du matériel des serveurs (loué ou détenu), la modification du trafic à la sortie et la juridiction personnelle du bénéficiaire effectif ne sont pas établies : aucune page principale d'IVPN n'en indique une seule, pas plus qu'elle n'indique la taille de la base d'utilisateurs.

Trois champs auxquels répond la base de connaissances, et non les pages consultées lors de la première saisie. L'allocation des adresses IP est partagée par conception — le « crowding » regroupe les utilisateurs sur une même adresse pour limiter l'attribution. Le P2P est autorisé partout, mais IVPN demande aux clients d'éviter les sorties aux États-Unis, en invoquant la pression DMCA en amont. Le streaming ne fait l'objet d'aucune garantie, bien que l'entreprise indique que de nombreux clients y accèdent.

Pourquoi le score n'en dépend pas. Les prix établi et inconnu sont tous deux à 0,000 ; rien dans le score ne dépend donc de ce point. Ce qui manque est la fiche, pas le nombre, et la prochaine vérification devrait commencer par les documents déposés par Kunlun et le dossier fédéral, plutôt que par un résumé de ceux-ci.

Le rapport qui ferait évoluer quatre champs. Le rapport de Deloitte est l'autre document qui ferait évoluer plusieurs champs à la fois : V04, V07, V11 et V15 sont tous inconnus uniquement parce qu'il n'est pas publié, et V11 est en particulier le champ sur lequel repose toute l'allégation sans journaux.

Ce qui n'a aucun document. U07 n'a aucun document, et C13 qui en dépend non plus : Opera mentionne AES-256 et un « secure tunnel », mais jamais de protocole ; le transport le plus faible proposé n'est donc pas établi. U08, U09 et U12b ne sont pas renseignés pour la même raison : le tableau comparatif des fonctionnalités sur la page du produit marque les lignes de coches que le balisage récupéré ne contient pas, et lire des coches sur une image rendue ne constitue pas une source.

Des serveurs décrits, non étayés par des preuves. C02, C06 et C08 ne reposent sur rien : Opera affirme que les serveurs sont physiques et lui appartiennent, ce qui n'établit ni le disque, ni le DNS, ni l'identité du propriétaire du matériel. C09b ne peut pas recevoir de réponse tant que U02 est inconnu.

Un seul magasin, pas deux. Seul le formulaire Google Play sur la sécurité des données a été lu ; les mentions de confidentialité de l'App Store pour le navigateur iOS ne l'ont pas été, de sorte que X12 repose sur un seul magasin plutôt que sur le moins favorable des deux.

Deux interprétations plutôt que des déclarations. Linux dans U01 est déduit du manuel d'aide pour ordinateur de bureau, qui documente le VPN et couvre conjointement Windows, macOS et Linux sans ventilation par plateforme ; Android et iOS sont explicitement nommés dans l'annonce de l'audit. U10 est illimité parce qu'il n'y a ni compte ni limite d'appareils à faire respecter, ce qui constitue une interprétation du produit plutôt qu'un chiffre déclaré.

L'identité de ce tiers a évolué : l'annonce de l'audit de 2024 indique que les serveurs de VPN Pro sont « fournis en collaboration avec Nord », et l'explication de 2026 indique que VPN Pro est « équipé du protocole Lightway de nouvelle génération », qui est celui d'ExpressVPN. Aucun des deux documents n'indique que l'accord a changé.

X02 est le constat central, et les deux documents qui l'étayent émanent d'Opera. L'annonce de 2024 cite l'avis de Deloitte ainsi : « la configuration des systèmes informatiques et la gestion des opérations informatiques d'assistance ont été conçues et mises en œuvre de manière appropriée, à tous égards significatifs, sur la base des critères décrits dans la Management Assertion d'Opera, en date du 10 août 2024 », et attribue séparément à la propre Management Assertion d'Opera la phrase « Aucune fonctionnalité de journalisation des données n'est intégrée au service VPN, et aucune donnée quelle qu'elle soit n'est collectée ».

La publication de 2026 relate à nouveau la même mission, en indiquant que Deloitte a établi le constat : « nous avons donné à l'équipe de Deloitte un accès complet à notre VPN et à l'infrastructure de nos serveurs, et elle a pu vérifier notre affirmation... En fait, une fonction de journalisation des données n'est même pas intégrée au VPN à l'origine ». La même publication transforme une période que celle de 2024 date du 18 juin au 10 août 2024 en « accès complet ».

Opera décrit sa propre affirmation comme la conclusion de son auditeur. C'est pourquoi le bloc VERIFY se divise comme il le fait. V01 est yes_verified sur la base d'un rapport effectivement consulté — le propre résumé de gestion publié par Cure53 de son évaluation de mars 2022 — et non sur la base de l'annonce de Deloitte.

Le rapport de Deloitte lui-même n'est publié nulle part, donc V02 est press_only, et chaque champ qui constitue une conclusion de ce rapport plutôt qu'un fait relatif à la mission reste inconnu : couverture du parc (V04), norme d'assurance (V07), ce que le rapport indique comme faisant l'objet d'une conservation (V11) et solidité de l'opinion (V15).

Les faits relatifs à la mission — le cabinet, sa catégorie, la date, ce qui était indiqué comme ayant été testé — sont tirés de l'annonce. Un fournisseur qui a démontrablement requalifié cet audit une fois n'est pas une source de ce que l'audit a conclu. C01 est none_linkable parce que c'est la déclaration figurant dans la déclaration de confidentialité ; V11 est la conclusion, et il n'y a aucune conclusion à lire.

Le rapport de Cure53 est réel et c'est la raison pour laquelle V14 est yes_verified : sept testeurs, vingt-quatre jours-personnes, en boîte blanche sur quatre lots de travaux couvrant les clients VPN, la configuration et l'infrastructure des serveurs, ainsi que le protocole d'Opera Mini utilisé pour transmettre la configuration VPN. Quatorze problèmes liés à la sécurité, dont huit véritables vulnérabilités, cinq évalués comme étant de gravité élevée et aucun de gravité critique.

En mars 2022, neuf avaient été corrigés, les corrections ayant été vérifiées, un l'avait été partiellement, trois risques avaient été acceptés, un cas était une fausse alerte et un autre était toujours en cours. Le blog d'Opera indique que les sept éléments concernant directement le VPN du navigateur ont été « tous résolus par la suite », et le tableau le confirme : le reste se situe dans le lot de travaux Opera Mini, et non dans le VPN lui-même.

La propriété est entièrement déclarée et s'arrête dans un pays du mandat, ce qui explique pourquoi X03 et C11 pointent dans des directions opposées sans se contredire.

Le responsable du traitement nommé dans la propre déclaration de confidentialité d'Opera est Opera Norway AS, une société norvégienne, et le rapport de transparence est déposé sous ce nom.

La société holding est Opera Limited, une société exemptée constituée aux îles Caïmans en mars 2018, sans activités substantielles propres. Le Form 20-F pour 2025 désigne Hong Kong Kunlun Tech Holding Limited comme actionnaire principal à 68,0 %, une filiale de Kunlun Tech Co., Ltd. constituée en PRC, et indique que Kunlun « est la société mère ultime d'Opera et est contrôlée par le président exécutif d'Opera ».

Ainsi, M06 est NO et C10 est no, tandis que M11 est CN et C11 est yes.

C12 est la lacune la plus nette entre la déclaration du VPN et l'application dans laquelle il est intégré. La section VPN de la déclaration de confidentialité affirme l'absence de journalisation ; une autre section du même document indique que lorsqu'une application Opera est installée, « un ID d'installation aléatoire est généré. Nous recueillons cet identifiant, ainsi que le Machine ID, les caractéristiques matérielles (modèle, date de sortie, etc.), le système d'exploitation, la configuration de l'environnement et les données d'utilisation des fonctionnalités », conservés pendant jusqu'à trois ans.

Un Machine ID est dérivé du matériel ; l'identifiant détenu par le fournisseur est donc persistent_hardware_id et non un identifiant aléatoire limité à l'application, quelle que soit la journalisation effectuée ou non par le tunnel.

X12 compare deux documents déposés par Opera elle-même. Le formulaire Play sur la sécurité des données pour com.opera.browser déclare que Installed apps est recueilli à des fins d'Analytics, et la déclaration de confidentialité ne mentionne jamais la collecte des applications installées sur l'appareil. Installed apps relève du comportement, et non d'un identifiant ; il s'agit donc de undisclosed_behaviour.

Le même formulaire déclare que Device or other IDs sont partagés avec d'autres entreprises à des fins publicitaires, ce qui place C07a dans ads. C07b repose sur un élément plus limité et est marqué B pour cette raison : le seul hôte tiers présent dans le balisage diffusé pour la page du produit est Google Tag Manager, et ce que ce conteneur charge au moment de l'exécution n'a pas été énuméré.

U02 est inconnu en raison de la conception du produit, et non d'un échec de la recherche : le VPN gratuit propose trois régions — Opera les nomme America, Asia et Europe — et jamais de pays. C09 et C09b en découlent et ne peuvent pas être établis tant que cette situation perdure.

X05 est ads_supported dans la propre page explicative d'Opera, qui place la publicité en premier parmi trois sources de revenus et décrit Opera Ads recueillant un identifiant utilisateur généré aléatoirement, la ville ou le pays et de grandes catégories de sites consultés, conservés pendant jusqu'à un an ; avec U05 = unlimited_free, c'est exactement le cas que R15 vise à signaler.

X06 est l'affirmation du billet de 2026 selon laquelle l'AES-256 « demanderait à un pirate informatique, même équipé de l'ordinateur le plus rapide, plus d'un milliard d'années pour être cassé ». X09 est self_disclosed_prompt dans deux billets de 2026 où Opera a publié des vulnérabilités que des chercheurs externes lui avaient signalées, ainsi que l'analyse et la version corrigée — il s'agit de vulnérabilités du navigateur plutôt que d'incidents VPN, et aucun incident VPN n'est connu.

C05 est not_sold. Le VPN gratuit ne comporte aucune étape de paiement — ni abonnement ni compte — et il n'y a donc rien à payer, anonymement ou autrement.

Cette fiche avait d'abord été écrite comme none, ce qui se lit comme « seuls les moyens de paiement identifiés sont proposés » et qui est faux ici, car le vocabulaire ne comportait aucun jeton pour un service qui ne prend pas d'argent ; inconnu aurait affirmé que la recherche avait échoué, ce qui était également faux, et entre deux interprétations erronées, celle qui joue en défaveur du fournisseur a été enregistrée. Le jeton existe désormais et le prix est nul, ce qui est la réponse honnête : là où il n'y a pas de paiement, il n'y a pas d'identité de paiement à divulguer.