IVPN vs Windscribe

L'audit pas encore publié. Le huitième audit annuel de Cure53 était prévu pour juillet 2026 et aucun rapport pour 2025 ou 2026 n'est encore publié, ce qui explique que la date du dernier rapport soit celle d'avril 2024.

L'incident d'août 2026. En août 2026, un attaquant a exploité une vulnérabilité du BTCPay Server auto-hébergé, avant qu'elle ne soit publique, et a pris les fonds d'exploitation Lightning d'IVPN. IVPN a rendu compte des faits quatre jours plus tard, sans y être invité, et en a circonscrit la portée à cette machine : les passerelles VPN n'étaient pas concernées, aucun dossier client n'a été consulté et aucun fonds de client n'a été perdu.

Pourquoi cela ne coûte rien. Le modèle ne facture rien pour cela, ce qui est précisément le point — un opérateur qui le dit rapidement se comporte comme le secteur est censé le récompenser, et la fiche est ici pour qu'un lecteur sache que cela s'est produit, plutôt que pour modifier un chiffre.

Ce que couvraient les missions. Le test d'intrusion des applications (iOS, Android, Electron, le démon) date de mars 2022 et l'examen des passerelles et des systèmes d'exploitation des serveurs de février 2023 ; aucun des deux n'a testé l'affirmation d'absence de journaux elle-même, comme l'indique explicitement le rapport de 2023, de sorte que la conservation repose uniquement sur la déclaration de la politique de confidentialité.

Le dernier rapport n'est pas celui qui convient. L'engagement d'avril 2024, le sixième de Cure53 avec IVPN, a testé le site web du compte client, l'API et l'hébergement ; sa propre page de périmètre indique que les applications clientes et les serveurs VPN sont hors périmètre, donc il n'étend ni les preuves relatives à l'application ni celles relatives à la passerelle, et V03_audit_subject indique unknown pour cet engagement au lieu de lui reporter ce crédit. Le septième engagement, portant sur les nouveaux services de messagerie et DNS, n'a été annoncé que pour mai 2025 ; aucun rapport le concernant n'est publié.

Ce que le site principal n'établit jamais. RAM uniquement est enregistré comme partiel, car IVPN le décrit comme une transition avec des déploiements de test en cours et n'a pas annoncé son achèvement. La propriété du matériel des serveurs (loué ou détenu), la modification du trafic à la sortie et la juridiction personnelle du bénéficiaire effectif ne sont pas établies : aucune page principale d'IVPN n'en indique une seule, pas plus qu'elle n'indique la taille de la base d'utilisateurs.

Trois champs auxquels répond la base de connaissances, et non les pages consultées lors de la première saisie. L'allocation des adresses IP est partagée par conception — le « crowding » regroupe les utilisateurs sur une même adresse pour limiter l'attribution. Le P2P est autorisé partout, mais IVPN demande aux clients d'éviter les sorties aux États-Unis, en invoquant la pression DMCA en amont. Le streaming ne fait l'objet d'aucune garantie, bien que l'entreprise indique que de nombreux clients y accèdent.

Pourquoi la conservation est chiffrée sur la base du constat. La conservation est donc chiffrée sur la base de ce qu'un auditeur a démontré comme accessible, plutôt que sur ce que la politique déclare, et le canal d'intégrité rend compte de l'écart entre les deux. Il faut l'interpréter comme un constat datant de deux ans sur un nœud, et non comme une mesure actuelle : le périmètre se limitait à ca-023.windscribe.com, et une mission plus récente couvrant une plus grande partie du parc permettrait de trancher.

La liste qui n'a jamais été consultée. La liste de pays proposée n'a jamais été consultée, de sorte que ni le score d'utilisabilité par pays ni l'intersection avec le mandat ne peuvent être calculés — Windscribe publie une distinction entre physique et virtuel, ce qui rend C09b évaluable ici dès que la liste le sera. L'ampleur des utilisateurs n'est pas non plus établie, ce qui laisse la tranche d'exposition reposer sur moins d'éléments qu'il ne faudrait.

Les sources désormais citées par les trois événements. AIN.UA mentionne toujours les serveurs ukrainiens saisis le 24 juin 2021, et le blog de Windscribe lui-même l'affaire grecque classée le 11 avril 2025. La saisie néerlandaise et le champ de saisie lui-même citent désormais la propre page de Windscribe sur l'absence de journaux, plutôt que la presse rémunérée par l'affiliation qui l'avait signalée en premier : le récit par une entreprise de sa propre saisie est une source primaire, et non le récit par quelqu'un d'autre de celle-ci. L'événement ukrainien est daté de la saisie elle-même, et non du compte rendu.