IVPN vs Proton VPN

L'audit pas encore publié. Le huitième audit annuel de Cure53 était prévu pour juillet 2026 et aucun rapport pour 2025 ou 2026 n'est encore publié, ce qui explique que la date du dernier rapport soit celle d'avril 2024.

L'incident d'août 2026. En août 2026, un attaquant a exploité une vulnérabilité du BTCPay Server auto-hébergé, avant qu'elle ne soit publique, et a pris les fonds d'exploitation Lightning d'IVPN. IVPN a rendu compte des faits quatre jours plus tard, sans y être invité, et en a circonscrit la portée à cette machine : les passerelles VPN n'étaient pas concernées, aucun dossier client n'a été consulté et aucun fonds de client n'a été perdu.

Pourquoi cela ne coûte rien. Le modèle ne facture rien pour cela, ce qui est précisément le point — un opérateur qui le dit rapidement se comporte comme le secteur est censé le récompenser, et la fiche est ici pour qu'un lecteur sache que cela s'est produit, plutôt que pour modifier un chiffre.

Ce que couvraient les missions. Le test d'intrusion des applications (iOS, Android, Electron, le démon) date de mars 2022 et l'examen des passerelles et des systèmes d'exploitation des serveurs de février 2023 ; aucun des deux n'a testé l'affirmation d'absence de journaux elle-même, comme l'indique explicitement le rapport de 2023, de sorte que la conservation repose uniquement sur la déclaration de la politique de confidentialité.

Le dernier rapport n'est pas celui qui convient. L'engagement d'avril 2024, le sixième de Cure53 avec IVPN, a testé le site web du compte client, l'API et l'hébergement ; sa propre page de périmètre indique que les applications clientes et les serveurs VPN sont hors périmètre, donc il n'étend ni les preuves relatives à l'application ni celles relatives à la passerelle, et V03_audit_subject indique unknown pour cet engagement au lieu de lui reporter ce crédit. Le septième engagement, portant sur les nouveaux services de messagerie et DNS, n'a été annoncé que pour mai 2025 ; aucun rapport le concernant n'est publié.

Ce que le site principal n'établit jamais. RAM uniquement est enregistré comme partiel, car IVPN le décrit comme une transition avec des déploiements de test en cours et n'a pas annoncé son achèvement. La propriété du matériel des serveurs (loué ou détenu), la modification du trafic à la sortie et la juridiction personnelle du bénéficiaire effectif ne sont pas établies : aucune page principale d'IVPN n'en indique une seule, pas plus qu'elle n'indique la taille de la base d'utilisateurs.

Trois champs auxquels répond la base de connaissances, et non les pages consultées lors de la première saisie. L'allocation des adresses IP est partagée par conception — le « crowding » regroupe les utilisateurs sur une même adresse pour limiter l'attribution. Le P2P est autorisé partout, mais IVPN demande aux clients d'éviter les sorties aux États-Unis, en invoquant la pression DMCA en amont. Le streaming ne fait l'objet d'aucune garantie, bien que l'entreprise indique que de nombreux clients y accèdent.

Le recours, et ce qu'il ne tranche pas. Le recours du 22 octobre 2021 est cité ici avec une réserve qu'il convient d'énoncer clairement : le Tribunal administratif fédéral a jugé que les services email ne sont pas des fournisseurs de services de télécommunications, et ni la couverture du jugement ni le propre récit de Proton à ce sujet ne mentionnent le VPN.

Ce qui établit réellement les deux champs. Ce qui établit C10 et C11, c'est que la Suisse ne porte aucun fondement de mandat dans la propre liste de pays du catalogue ; l'appel corrobore la manière dont les autorités suisses traitent Proton et ne constitue pas à lui seul une constatation concernant Proton VPN. Une décision concernant un service apparenté constitue un fondement plus mince que ne le laisse croire la citation.

La principale lacune restante. Proton propose des emplacements de sortie dans huit pays qui imposent un mandat de conservation. Que du matériel se trouve réellement dans l'un d'eux n'est pas établi : Proton a retiré les serveurs physiques d'Inde en 2022 et documente Smart Routing pour les emplacements qu'il dessert depuis ailleurs, ce qui indique des emplacements virtuels, mais cela n'a été vérifié que pour l'Inde. L'établissement de C09b_mandate_hosting est la principale lacune restante dans cette fiche.