IVPN vs Surfshark

Cette fiche avait déjà été lue deux fois — connection_timestamps dans V11 d'après la formulation de l'audit, source_ip dans C01 d'après la formulation de la politique — et notée selon le moins favorable des deux, ce qui faisait coûter davantage les quinze minutes de conservation que le fait de ne rien dire du tout : une valeur vide pour C01 correspond au prior du marché de 0,550 et source_ip vaut 0,750.

R29 trace désormais la ligne : l'état supprimé dans un délai déclaré lié à la fin de la session relève de la connexion, et non d'une fiche de celle-ci ; les deux champs sont donc connection_timestamps dans la même phrase. Ce qui reste pris en compte est ce qui survit à la session — la date de dernière connexion dans la section 2.3.1 de la politique et les connection timestamps nommés par l'auditeur.

Surfshark et NordVPN ont le même propriétaire (Nord Security, depuis 2022), mais la page de présentation de Surfshark indique que les marques ont fusionné « tout en opérant indépendamment », avec une infrastructure distincte — M18 est donc défini comme séparé sur cette base, conformément à la fiche nordvpn.com.

U12a est partiel plutôt que oui dans la propre colonne P2P du tableau des serveurs : 88 des 100 pays listés la portent et douze ne la portent pas (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). La colonne est générée côté client ; elle a donc été relevée dans le tableau rendu plutôt que dans le HTML statique, où chaque ligne porte chaque libellé.

Le rapport de transparence à l'adresse /transparency-report — vers laquelle /warrant-canary redirige désormais — présente le trimestre avril-juin 2026 sous forme de tableau : 374,719 notifications DMCA, 33 demandes d'institutions gouvernementales, 1 mandat, 0 lettres de sécurité nationale et 0 injonctions de silence. P08 compte les 34 demandes légales et exclut les notifications DMCA : il s'agit de plaintes pour atteinte aux droits d'auteur concernant le trafic, et non de demandes de données d'un utilisateur.

La même page indique que Surfshark retire son warrant canary au profit de rapports trimestriels, raison pour laquelle P07 est supprimé plutôt que considéré comme absent — le canary existait et a été retiré délibérément.

U07_protocols porte proprietary pour Dausos selon les propres termes de Surfshark — sa page consacrée aux protocoles qualifie Dausos de « protocole propriétaire de Surfshark » et ne publie aucune source à son sujet — et cette valeur unique définit C13_weakest_protocol ainsi que la pénalité d'hygiène qui suit. IKEv2 est conservé parce que Surfshark le documente toujours, bien que son propre blog consigne son retrait de l'application Windows ; Shadowsocks a disparu de l'index d'assistance et n'y est pas listé.

L'audit pas encore publié. Le huitième audit annuel de Cure53 était prévu pour juillet 2026 et aucun rapport pour 2025 ou 2026 n'est encore publié, ce qui explique que la date du dernier rapport soit celle d'avril 2024.

L'incident d'août 2026. En août 2026, un attaquant a exploité une vulnérabilité du BTCPay Server auto-hébergé, avant qu'elle ne soit publique, et a pris les fonds d'exploitation Lightning d'IVPN. IVPN a rendu compte des faits quatre jours plus tard, sans y être invité, et en a circonscrit la portée à cette machine : les passerelles VPN n'étaient pas concernées, aucun dossier client n'a été consulté et aucun fonds de client n'a été perdu.

Pourquoi cela ne coûte rien. Le modèle ne facture rien pour cela, ce qui est précisément le point — un opérateur qui le dit rapidement se comporte comme le secteur est censé le récompenser, et la fiche est ici pour qu'un lecteur sache que cela s'est produit, plutôt que pour modifier un chiffre.

Ce que couvraient les missions. Le test d'intrusion des applications (iOS, Android, Electron, le démon) date de mars 2022 et l'examen des passerelles et des systèmes d'exploitation des serveurs de février 2023 ; aucun des deux n'a testé l'affirmation d'absence de journaux elle-même, comme l'indique explicitement le rapport de 2023, de sorte que la conservation repose uniquement sur la déclaration de la politique de confidentialité.

Le dernier rapport n'est pas celui qui convient. L'engagement d'avril 2024, le sixième de Cure53 avec IVPN, a testé le site web du compte client, l'API et l'hébergement ; sa propre page de périmètre indique que les applications clientes et les serveurs VPN sont hors périmètre, donc il n'étend ni les preuves relatives à l'application ni celles relatives à la passerelle, et