Mullvad VPN vs Opera VPN

L'identité de ce tiers a évolué : l'annonce de l'audit de 2024 indique que les serveurs de VPN Pro sont « fournis en collaboration avec Nord », et l'explication de 2026 indique que VPN Pro est « équipé du protocole Lightway de nouvelle génération », qui est celui d'ExpressVPN. Aucun des deux documents n'indique que l'accord a changé.

X02 est le constat central, et les deux documents qui l'étayent émanent d'Opera. L'annonce de 2024 cite l'avis de Deloitte ainsi : « la configuration des systèmes informatiques et la gestion des opérations informatiques d'assistance ont été conçues et mises en œuvre de manière appropriée, à tous égards significatifs, sur la base des critères décrits dans la Management Assertion d'Opera, en date du 10 août 2024 », et attribue séparément à la propre Management Assertion d'Opera la phrase « Aucune fonctionnalité de journalisation des données n'est intégrée au service VPN, et aucune donnée quelle qu'elle soit n'est collectée ».

La publication de 2026 relate à nouveau la même mission, en indiquant que Deloitte a établi le constat : « nous avons donné à l'équipe de Deloitte un accès complet à notre VPN et à l'infrastructure de nos serveurs, et elle a pu vérifier notre affirmation... En fait, une fonction de journalisation des données n'est même pas intégrée au VPN à l'origine ». La même publication transforme une période que celle de 2024 date du 18 juin au 10 août 2024 en « accès complet ».

Opera décrit sa propre affirmation comme la conclusion de son auditeur. C'est pourquoi le bloc VERIFY se divise comme il le fait. V01 est yes_verified sur la base d'un rapport effectivement consulté — le propre résumé de gestion publié par Cure53 de son évaluation de mars 2022 — et non sur la base de l'annonce de Deloitte.

Le rapport de Deloitte lui-même n'est publié nulle part, donc V02 est press_only, et chaque champ qui constitue une conclusion de ce rapport plutôt qu'un fait relatif à la mission reste inconnu : couverture du parc (V04), norme d'assurance (V07), ce que le rapport indique comme faisant l'objet d'une conservation (V11) et solidité de l'opinion (V15).

Les faits relatifs à la mission — le cabinet, sa catégorie, la date, ce qui était indiqué comme ayant été testé — sont tirés de l'annonce. Un fournisseur qui a démontrablement requalifié cet audit une fois n'est pas une source de ce que l'audit a conclu. C01 est none_linkable parce que c'est la déclaration figurant dans la déclaration de confidentialité ; V11 est la conclusion, et il n'y a aucune conclusion à lire.

Le rapport de Cure53 est réel et c'est la raison pour laquelle V14 est yes_verified : sept testeurs, vingt-quatre jours-personnes, en boîte blanche sur quatre lots de travaux couvrant les clients VPN, la configuration et l'infrastructure des serveurs, ainsi que le protocole d'Opera Mini utilisé pour transmettre la configuration VPN. Quatorze problèmes liés à la sécurité, dont huit véritables vulnérabilités, cinq évalués comme étant de gravité élevée et aucun de gravité critique.

En mars 2022, neuf avaient été corrigés, les corrections ayant été vérifiées, un l'avait été partiellement, trois risques avaient été acceptés, un cas était une fausse alerte et un autre était toujours en cours. Le blog d'Opera indique que les sept éléments concernant directement le VPN du navigateur ont été « tous résolus par la suite », et le tableau le confirme : le reste se situe dans le lot de travaux Opera Mini, et non dans le VPN lui-même.

La propriété est entièrement déclarée et s'arrête dans un pays du mandat, ce qui explique pourquoi X03 et C11 pointent dans des directions opposées sans se contredire.

Le responsable du traitement nommé dans la propre déclaration de confidentialité d'Opera est Opera Norway AS, une société norvégienne, et le rapport de transparence est déposé sous ce nom.

La société holding est Opera Limited, une société exemptée constituée aux îles Caïmans en mars 2018, sans activités substantielles propres. Le Form 20-F pour 2025 désigne Hong Kong Kunlun Tech Holding Limited comme actionnaire principal à 68,0 %, une filiale de Kunlun Tech Co., Ltd. constituée en PRC, et indique que Kunlun « est la société mère ultime d'Opera et est contrôlée par le président exécutif d'Opera ».

Ainsi, M06 est NO et C10 est no, tandis que M11 est CN et C11 est yes.

C12 est la lacune la plus nette entre la déclaration du VPN et l'application dans laquelle il est intégré. La section VPN de la déclaration de confidentialité affirme l'absence de journalisation ; une autre section du même document indique que lorsqu'une application Opera est installée, « un ID d'installation aléatoire est généré. Nous recueillons cet identifiant, ainsi que le Machine ID, les caractéristiques matérielles (modèle, date de sortie, etc.), le système d'exploitation, la configuration de l'environnement et les données d'utilisation des fonctionnalités », conservés pendant jusqu'à trois ans.

Un Machine ID est dérivé du matériel ; l'identifiant détenu par le fournisseur est donc persistent_hardware_id et non un identifiant aléatoire limité à l'application, quelle que soit la journalisation effectuée ou non par le tunnel.

X12 compare deux documents déposés par Opera elle-même. Le formulaire Play sur la sécurité des données pour com.opera.browser déclare que Installed apps est recueilli à des fins d'Analytics, et la déclaration de confidentialité ne mentionne jamais la collecte des applications installées sur l'appareil. Installed apps relève du comportement, et non d'un identifiant ; il s'agit donc de undisclosed_behaviour.

Le même formulaire déclare que Device or other IDs sont partagés avec d'autres entreprises à des fins publicitaires, ce qui place C07a dans ads. C07b repose sur un élément plus limité et est marqué B pour cette raison : le seul hôte tiers présent dans le balisage diffusé pour la page du produit est Google Tag Manager, et ce que ce conteneur charge au moment de l'exécution n'a pas été énuméré.

U02 est inconnu en raison de la conception du produit, et non d'un échec de la recherche : le VPN gratuit propose trois régions — Opera les nomme America, Asia et Europe — et jamais de pays. C09 et C09b en découlent et ne peuvent pas être établis tant que cette situation perdure.

X05 est ads_supported dans la propre page explicative d'Opera, qui place la publicité en premier parmi trois sources de revenus et décrit Opera Ads recueillant un identifiant utilisateur généré aléatoirement, la ville ou le pays et de grandes catégories de sites consultés, conservés pendant jusqu'à un an ; avec U05 = unlimited_free, c'est exactement le cas que R15 vise à signaler.

X06 est l'affirmation du billet de 2026 selon laquelle l'AES-256 « demanderait à un pirate informatique, même équipé de l'ordinateur le plus rapide, plus d'un milliard d'années pour être cassé ». X09 est self_disclosed_prompt dans deux billets de 2026 où Opera a publié des vulnérabilités que des chercheurs externes lui avaient signalées, ainsi que l'analyse et la version corrigée — il s'agit de vulnérabilités du navigateur plutôt que d'incidents VPN, et aucun incident VPN n'est connu.

C05 est not_sold. Le VPN gratuit ne comporte aucune étape de paiement — ni abonnement ni compte — et il n'y a donc rien à payer, anonymement ou autrement.

Cette fiche avait d'abord été écrite comme none, ce qui se lit comme « seuls les moyens de paiement identifiés sont proposés » et qui est faux ici, car le vocabulaire ne comportait aucun jeton pour un service qui ne prend pas d'argent ; inconnu aurait affirmé que la recherche avait échoué, ce qui était également faux, et entre deux interprétations erronées, celle qui joue en défaveur du fournisseur a été enregistrée. Le jeton existe désormais et le prix est nul, ce qui est la réponse honnête : là où il n'y a pas de paiement, il n'y a pas d'identité de paiement à divulguer.

Pourquoi le décompte est de huit. Le nombre d'audits est de huit parce que la revue de GotaTun est extérieure à la propre liste du dépôt de l'application. Auparavant, une revue X41 D-Sec de 30 jours-personne couvrant les cinq plateformes a trouvé six vulnérabilités — trois élevées, deux moyennes, une faible, aucune critique.

Ce qu'aucune mission ne couvre. Ce qu'aucune de ces missions ne couvre, c'est la flotte de serveurs : chacune examine l'application ou le protocole de tunnel, raison pour laquelle la couverture de la flotte est enregistrée comme non applicable plutôt que comme un échantillon. L'affirmation de non-conservation des journaux du côté de l'infrastructure repose donc sur le mandat de perquisition d'avril 2023 — la police suédoise est venue chercher les données des clients et est repartie sans elles — et non sur un audit.

Des versions reproductibles, sur Android uniquement. Les versions reproductibles concernent uniquement Android, à partir de la version 2025.2, donc le champ reste partiel ; les versions pour ordinateur et iOS ne sont pas vérifiables bit à bit. La Turquie est le seul pays soumis à un mandat sur la liste proposée et l'hébergement qui la sous-tend n'est pas établi.

Rien de publié sur les demandes. Rien dans la fiche ne repose sur ce que le fournisseur publie au sujet des demandes qu'il reçoit : il n'y a ni rapport de transparence ni warrant canary, de sorte que la saisie d'avril 2023 en constitue à elle seule le fondement. La couverture du kill switch et la politique P2P ne sont pas établies ; le dernier audit est une revue de code du protocole, et non une mission sur la non-conservation des journaux, donc V11 reste silencieux et la conservation repose sur la déclaration.