Face à face
L'écart
Le score de sécurité n'est pas une somme de bonnes choses. Il part de 100 et huit canaux prennent chacun une part de ce qui reste, si bien qu'un seul canal peut régler le sort d'une fiche à lui seul. Les deux fiches sont dessinées ici sur la même échelle — le plafond propre du modèle, 0.9 — plutôt que sur une échelle ajustée à cette paire, ce qui ferait paraître chaque comparaison également spectaculaire.
Ligne par ligne
Chaque champ que le contrat publie sur un fournisseur, selon les groupes propres au contrat, y compris les lignes où les deux s'accordent — un tableau qui n'imprimerait que les différences inventerait un désaccord, et un qui n'imprimerait que les lignes intéressantes reviendrait à nous choisir ce qui est intéressant. Ouvrez un groupe pour lire ses lignes ; chacune indique combien elle en contient et combien d'entre elles les deux fiches répondent différemment.
Une cellule verte signifie que la méthodologie elle-même chiffre cette valeur en dessous de l'autre, pas que nous la préférons. Les lignes que le modèle ne chiffre pas ne portent aucune marque : le prix n'est jamais marqué, car rien dans le modèle ne dit que moins cher est plus sûr, pas plus que la couverture, le nombre de plateformes ou les appareils. Là où une valeur n'a jamais été établie, la cellule le dit plutôt que d'afficher un zéro.
Ce qui s'est réellement passé
Autres paires
Les paires au sein du top 10 obtiennent une page — 80 comparaisons en tout. Les fiches en dessous ne sont pas appariées ici : une comparaison mérite une page là où le choix entre les deux est réel, et ce choix se fait près du sommet du registre.
Sécurité
Utilisabilité
Rang 2 sur 68 dans le registre
Suède · VPN commercial
Sorties dans 50 pays
Sécurité
Utilisabilité
Rang 8 sur 68 dans le registre
États-Unis · VPN commercial
Sorties dans 20 pays
1 demande avec preuve à l'appui, dont aucune n'a produit de données
1 demande avec preuve à l'appui, dont aucune n'a produit de données
Changements récents
1 changement enregistré, le 13 sept. 2026
Notes
Sur la fiche dans son ensemble.
Le mandat de perquisition d'avril 2023 est l'élément unique le plus solide de cette fiche : la police s'est rendue au bureau et n'est repartie avec rien, ce qui constitue une preuve de la pratique plutôt que du papier et vieillit bien plus lentement qu'un audit. Le tarif est forfaitairement de 5 EUR/mois pour toute durée ; U04_price_monthly contient 5,80 (l'équivalent en USD indiqué par Mullvad sur sa propre page) ; U04b_price_yearly est de 69,60, soit l'année complète à ce tarif.
Questions ouvertes
Encore ouvert sur cette fiche.
La fréquence des audits. Mullvad publie un index des audits dans le dépôt de l'application et il est explicite sur la fréquence : l'index indique clairement que les audits principaux de l'application ont lieu tous les deux ans, avec des audits supplémentaires entre-temps, raison pour laquelle la régularité est enregistrée comme répétée sans intervalle fixe plutôt que comme une série annuelle — personne ne revendique une fréquence annuelle.
Deux rapports, une date. Deux missions distinctes partagent la date du 17/02/2026 et la fiche les nomme toutes les deux : la revue de code d'Assured sur GotaTun, l'implémentation WireGuard en espace utilisateur (aucun problème critique, élevé ou moyen ; deux problèmes faibles et neuf remarques), et l'évaluation Mobile App Profile de Leviathan sur l'application Android, dont le rapport de conformité donne le 17 février 2026 comme date d'évaluation et AL2 comme niveau d'assurance. Une date, deux rapports, aucune contradiction.
Pourquoi le décompte est de huit. Le nombre d'audits est de huit parce que la revue de GotaTun est extérieure à la propre liste du dépôt de l'application. Auparavant, une revue X41 D-Sec de 30 jours-personne couvrant les cinq plateformes a trouvé six vulnérabilités — trois élevées, deux moyennes, une faible, aucune critique.
Ce qu'aucune mission ne couvre. Ce qu'aucune de ces missions ne couvre, c'est la flotte de serveurs : chacune examine l'application ou le protocole de tunnel, raison pour laquelle la couverture de la flotte est enregistrée comme non applicable plutôt que comme un échantillon. L'affirmation de non-conservation des journaux du côté de l'infrastructure repose donc sur le mandat de perquisition d'avril 2023 — la police suédoise est venue chercher les données des clients et est repartie sans elles — et non sur un audit.
Des versions reproductibles, sur Android uniquement. Les versions reproductibles concernent uniquement Android, à partir de la version 2025.2, donc le champ reste partiel ; les versions pour ordinateur et iOS ne sont pas vérifiables bit à bit. La Turquie est le seul pays soumis à un mandat sur la liste proposée et l'hébergement qui la sous-tend n'est pas établi.
Rien de publié sur les demandes. Rien dans la fiche ne repose sur ce que le fournisseur publie au sujet des demandes qu'il reçoit : il n'y a ni rapport de transparence ni warrant canary, de sorte que la saisie d'avril 2023 en constitue à elle seule le fondement. La couverture du kill switch et la politique P2P ne sont pas établies ; le dernier audit est une revue de code du protocole, et non une mission sur la non-conservation des journaux, donc V11 reste silencieux et la conservation repose sur la déclaration.
Encore ouvert sur cette fiche.
Aucun audit indépendant. Aucun audit de sécurité, d'infrastructure ou sans conservation de données réalisé par un tiers sur les propres systèmes d'OVPN n'a été trouvé sur son site, dans la presse ou dans sa documentation d'aide ; le test contradictoire le plus proche de son affirmation de non-conservation des données est la procédure judiciaire suédoise de 2020, qui n'est pas un audit et ne traite pas en détail de la pile WireGuard/OpenVPN actuelle.
L'historique du groupe propriétaire est antérieur à l'acquisition d'OVPN. Le constat défavorable à l'origine de l'inclusion de cette fiche (X04) est une plainte déposée en 2017 contre AnchorFree, le prédécesseur de Pango, au sujet du partage de données du réseau publicitaire de Hotspot Shield — six ans avant l'acquisition d'OVPN par Pango. La FTC n'a jamais statué sur cette plainte, et les propres infrastructures et politiques d'OVPN sont documentées séparément dans cette fiche.
Structure d'entreprise répartie entre deux entités. Les Conditions d'utilisation et l'Avis de confidentialité actuels d'OVPN désignent OVPN Inc. (Redwood City, California) comme partie contractante, tandis que le propre centre d'aide d'OVPN désigne OVPN Integritet AB (Sweden, org. no. 556999-4469) comme exploitant. Les deux sont décrites comme relevant du même propriétaire ultime, Pango ; l'entité qui détient l'infrastructure et la responsabilité juridique pour un utilisateur donné n'a pas été déterminée davantage.
25 sept. 20261 changement
Prix mensuel en USD, formule mensuelle, tel que facturéU04_price_monthly
5.8 remplacé par 5.69
12 sept. 20264 changements
Score de sécuritésecurity.score
65 remplacé par 64
Score de sécuritésecurity.score
64 remplacé par 60
Fonctionne sous une censure activeU06_censorship_circumvention
none remplacé par claimed
Score d'utilisabilitéusability.score
55 remplacé par 64
13 sept. 20261 changement
Score de sécuritésecurity.score
25 remplacé par 24
Mullvad VPN et OVPN ont été évalués par l'équipe HushFleet : Mullvad VPN obtient 60/100 en sécurité, dans la tranche Acceptable, et OVPN 24/100, dans la tranche Insuffisante. Ils partagent une inscription sans compte. L'écart de 36 points s'ouvre le plus largement sur Intégrité — « A-t-il été pris à dire une chose et à en faire une autre ? » — prenant 0% à Mullvad VPN et 32% à OVPN.
| CanalPression prise sur ce qui restait | Mullvad VPNCanal dominant : Conservation0 à 0.9, plus long est pire | OVPNCanal dominant : Conservation0 à 0.9, plus long est pire |
|---|---|---|
| ConservationExiste-t-il une fiche reliant le trafic à une personne, et qui l'a vérifiée ? | 0.218 | 0.329 |
| IntégritéA-t-il été pris à dire une chose et à en faire une autre ? | 0.000 | 0.323 |
| IgnoranceQuelle part de cela n'a jamais été établie ? | 0.103 | 0.227 |
| JuridictionQuelqu'un peut-il contraindre à divulguer ce qui existe, sans que le fournisseur ait son mot à dire ? | 0.050 | 0.200 |
| HygièneQuels éléments identifiants sont collectés au passage, et le client peut-il seulement être vérifié ? | 0.050 | 0.104 |
| ArchitectureQui exploite la sortie, et que fait-elle au trafic ? | 0.050 | 0.050 |
| DivulgationA-t-il déjà remis quelque chose ? | 0.000 | 0.000 |
| SilenceDix ans, des millions d'utilisateurs et rien dans la fiche ? | 0.000 | 0.000 |
| Ce qu'il reste de 100Les canaux se multiplient : chacun prend une part de ce que le précédent a laissé debout | 60 | 24 |
Par circonstance
| Mullvad VPN | OVPN | |
|---|---|---|
| Torrenting | — non établi | Autorisé yes |
| Streaming | — non établi | Accessible yes |
| Appareils à la fois | 5 | 4 |
| Sous censure | Affirmé comme fonctionnant claimed | Affirmé comme fonctionnant claimed |
| Sorties dans des pays sous mandat | 1 Turquie | Aucun |
| Hébergement dans ces pays | — non établi | — la question ne se pose pas |
| Entreprise sous mandat | Aucun mandat de ce type no | — non établi |
| Ordonnances secrètes | Les injonctions passent par un juge judicial_only | Lettres de sécurité nationale ou leur équivalent nsl_equivalent |
| Mullvad VPN | OVPN | |
|---|---|---|
| Sécurité | 60 acceptable · rang 2 sur 68 | 24 insuffisante · rang 8 sur 68 |
| Utilisabilité | 64 sur 100 | 62 sur 100 |
| Complétude de la fiche | 87% utilisabilité 75% | 70% utilisabilité 100% |
| Mullvad VPN | OVPN | |
|---|---|---|
| Qui exploite la sortie | Exploité par le fournisseur lui-même provider_operated | Exploité par le fournisseur lui-même provider_operated |
| Conservation telle que déclarée | Rien qui relie le trafic à une personne none_linkable | Rien qui relie le trafic à une personne none_linkable |
| Serveurs sans disque, avec RAM uniquement | Oui, sur la parole du fournisseur yes_declared | Oui, sur la parole du fournisseur yes_declared |
| Modèle d'attribution des adresses IP | Adresse de sortie partagée entre les utilisateurs sharedBmullvad.net · | Adresse dédiée proposée en option dedicated_optionBsupport.ovpn.com · |
| Inscription sans adresse e-mail | Oui, sur la parole du fournisseur yes_declared | Oui, sur la parole du fournisseur yes_declared |
| Options de paiement anonymes | Espèces · Cryptomonnaie payée directement · Bon prépayé ou carte-cadeauBmullvad.net · | Cryptomonnaie via un prestataire de paiementBsupport.ovpn.com · |
| DNS propre à l'intérieur du tunnel | Oui, sur la parole du fournisseur yes_declared | Oui, sur la parole du fournisseur yes_declared |
| Catégorie de SDK tiers la plus intrusive dans l'application | Aucun SDK tiers noneBmullvad.net · | Rapports de plantage crashBapps.apple.com · |
| Catégorie de traceur tiers la plus intrusive sur le site | Aucun traceur tiers noneBmullvad.net · | Analytique analyticsBovpn.com · |
| Qui possède le matériel | À la fois détenu et loué mixedBmullvad.net · | Détenu par le fournisseur ownedBovpn.com · |
| Pays proposés relevant d'un mandat de conservation | 1 TurquieBmullvad.net · | AucunBovpn.com · |
| Hébergement dans les pays relevant du mandat qu'il propose | — non établiaucune source publiée | — la question ne se pose pasBovpn.com · |
| Le pays d'immatriculation impose la conservation | Aucun mandat de ce type noBmullvad.net · | — non établiaucune source publiée |
| Le propriétaire effectif relève d'un régime de conservation | Aucun régime de ce type noCmullvad.net · | — non établiaucune source publiée |
| Identifiant d'appareil persistant | Aucun détenu none | Aucun détenu none |
| Le protocole le plus faible encore proposé | — la question ne se pose pas | — la question ne se pose pas |
| Ce que la sortie fait au trafic qui la traverse | — non établi | — non établi |
| Mullvad VPN | OVPN | |
|---|---|---|
| Au moins un audit indépendant | Oui, et le rapport a été lu yes_verifiedBgithub.com · | — non établiaucune source publiée |
| Comment le rapport est publié | Le rapport complet est publié full_pdfBgithub.com · | — non établiaucune source publiée |
| Objet de l'audit | Protocole · Sécurité de l'applicationAassured.se · 2 sources · | — non établiaucune source publiée |
| Couverture du parc de serveurs | — la question ne se pose pasaucune source publiée | — non établiaucune source publiée |
| Mullvad VPN | OVPN | |
|---|---|---|
| Saisie de serveurs par les autorités chargées de l'application de la loi | Saisis, et aucune donnée exploitable ne s'y trouvait seizure_no_dataBmullvad.net · | Aucune saisie dans les fiches none_knownBovpn.com · |
| Historique réel des divulgations | Aucune divulgation dans la fiche none_known | Aucune divulgation dans la fiche none_known |
| Fiche judiciaire d'une production forcée | Aucune fiche judiciaire none_knownBmullvad.net · | A déclaré au tribunal n'avoir rien à produire unable_to_produceBovpn.com · |
| Mullvad VPN | OVPN | |
|---|---|---|
| Écart documenté entre l'affirmation et le comportement | Aucun mensonge documenté none | Aucun mensonge documenté none |
| Marketing face aux constats de l'audit | Aucune lacune consignée none | Aucune lacune consignée none |
| Transparence de la structure de propriété | La propriété est indiquée et vérifiable clear | La propriété est indiquée et vérifiable clear |
| Événements défavorables dans la fiche du groupe propriétaire | Rien de défavorable dans la fiche cleanCmullvad.net · | Historique d'adwares ou de malwares adware_malware_historyAcdt.org · |
| Mode de financement du service | Abonnements payants uniquement paid_only | Abonnements payants uniquement paid_only |
| Affirmations d'anonymat à 100 % ou de cryptographie de niveau militaire |
| Mullvad VPN | OVPN | |
|---|---|---|
| Entité juridique | Mullvad VPN AB, Box 53049, 400 14 Gothenburg, SwedenBmullvad.net · | OVPN Inc.Bovpn.com · |
| Où siège l'entreprise | Suède SEBmullvad.net · | États-Unis USBovpn.com · |
| Année de lancement du service | 2009Bmullvad.net · | 2014Bovpn.com · |
| Mullvad VPN | OVPN | |
|---|---|---|
| Plateformes avec un client | 5 Android, iOS, Linux, macOS, WindowsBmullvad.net · | 6 Windows, macOS, Linux, Android, iOS, RouteursBovpn.com · |
| Pays avec une sortie | 50 paysBmullvad.net · | 20 paysBovpn.com · |
| Paiement mensuel | $5.69 par moisBmullvad.net · | $12.00 par moisBovpn.com · |
| Nom de l'auditeur | Assured Security Consultants (GotaTun code review) and Leviathan Security Group (Android Mobile App Profile assessment) — two engagements, both reports dated 2026-02-17Aassured.se · 3 sources · | — non établiaucune source publiée |
|---|
| Catégorie de l'auditeur | Un spécialiste de la sécurité security_specialistBgithub.com · | — non établiaucune source publiée |
|---|
| Norme d'assurance | Une autre norme otherBgithub.com · | — non établiaucune source publiée |
|---|
| Date du dernier rapport | 2026-02-17Aassured.se · 2 sources · | — non établiaucune source publiée |
|---|
| Cadence des audits | Répétés, sans intervalle fixe repeated_irregularBgithub.com · | — non établiaucune source publiée |
|---|
| Total des audits publiés | 8Bgithub.com · 2 sources · | — non établiaucune source publiée |
|---|
| Conservation telle que l'indique le rapport | Le rapport ne traite pas de la conservation not_statedBgithub.com · | — non établiaucune source publiée |
|---|
| Code source du client publié | Chaque client allBgithub.com · | — non établiaucune source publiée |
|---|
| Compilations reproductibles | Sur certaines plateformes partialBmullvad.net · | — non établiaucune source publiée |
|---|
| Test d'intrusion séparé | Oui, et le rapport a été lu yes_verifiedAx41-dsec.de · 2 sources · | — non établiaucune source publiée |
|---|
| Force de la conclusion d'assurance | — la question ne se pose pasaucune source publiée | — non établiaucune source publiée |
|---|
| Réponse à un mandat national de conservation | N'a jamais été présent dans ce pays no_presenceBmullvad.net · | — non établiaucune source publiée |
|---|
| Rapport de transparence | — non établiaucune source publiée | À jour, avec le nombre de demandes fresh_with_numbersBovpn.com · |
|---|
| Chiffres publiés plausibles à cette échelle | — la question ne se pose pasaucune source publiée | — non établiaucune source publiée |
|---|
| Discipline du warrant canary | — non établi | — non établi |
|---|
| Demandes reçues | — non établiaucune source publiée | 0Bovpn.com · |
|---|
| Demandes ayant produit des données | — non établiaucune source publiée | 0Bovpn.com · |
|---|
| Régime des injonctions secrètes | Les injonctions passent par un juge judicial_onlyBmullvad.net · | Lettres de sécurité nationale ou leur équivalent nsl_equivalentBeff.org · |
|---|
| Chronologie des événements d'application documentés | 1 demande avec preuve à l'appuiBmullvad.net · | 1 demande avec preuve à l'appuiBovpn.com · |
|---|
| — non établiaucune source publiée |
Prétend offrir un anonymat total ou un chiffrement de niveau militaire yesBsupport.ovpn.com · |
| Abonnements à vie poussés de manière agressive | Non no | Non no |
|---|
| La couverture n'existe que sur des sites affiliés | Couvert aussi sur des sites autres qu'affiliés no | Couvert aussi sur des sites autres qu'affiliés no |
|---|
| Incident de sécurité et manière dont il a été divulgué | Divulgué par le fournisseur, rapidement self_disclosed_promptBmullvad.net · | Aucun incident dans la fiche none_knownBovpn.com · |
|---|
| Programme d'affiliation et niveau de rémunération | Aucun programme d'affiliation noneBmullvad.net · | Une rémunération standard standardBovpn.com · |
|---|
| Le média d'avis géré par le propriétaire divulgue le lien | — la question ne se pose pas | — la question ne se pose pas |
|---|
| Déclaration sur la boutique d'applications | Le formulaire de la boutique correspond à la politique publiée matches_policy | Le formulaire de la boutique correspond à la politique publiée matches_policy |
|---|
| Échelle de la base d'utilisateurs (mass >=10M, mid >=1M, niche <1M) | Mid : un million d'utilisateurs ou plus midBmullvad.net · | — non établiaucune source publiée |
|---|
| Propriétaire bénéficiaire ultime tel qu'écrit | Amagicom AB, 100% owned by founders Fredrik Stromberg and Daniel BerntssonBmullvad.net · | PangoBsupport.ovpn.com · |
|---|
| Autres entreprises du groupe du propriétaire | Aucun élément communiquéBmullvad.net · | Un portefeuille d'autres applicationsCen.wikipedia.org · |
|---|
| Pays du propriétaire bénéficiaire ultime | SEBmullvad.net · | USBovpn.com · |
|---|
| Groupe propriétaire | independentBmullvad.net · | pangoBsupport.ovpn.com · 2 sources · |
|---|
| Date à laquelle le propriétaire actuel a pris le contrôle | — la question ne se pose pasaucune source publiée | 2023-05-08Bovpn.com · |
|---|
| Rôle de cette marque au sein du groupe | La marque principale du groupe principalBmullvad.net · | Une marque acquise par le groupe acquired_brandBovpn.com · |
|---|
| Infrastructure partagée avec les autres membres du groupe | Infrastructure distincte separate | Infrastructure distincte separate |
|---|
| Paiement annuel | $69.60 par an au renouvellement, facturé une foisBmullvad.net · | $59.88 par an au renouvellement, facturé une foisBovpn.com · |
|---|
| Formule gratuite utilisable | Aucune formule gratuite none | Aucune formule gratuite none |
|---|
| Fonctionne sous une censure active | Affirmé comme fonctionnant claimed | Affirmé comme fonctionnant claimed |
|---|
| Protocoles proposés | 1 WireGuardBmullvad.net · 2 sources · | 3 OpenVPN, WireGuard, Un protocole obfusquéBovpn.com · 2 sources · |
|---|
| Couverture du kill switch | — non établiaucune source publiée | Sur ordinateur uniquement desktop_onlyBsupport.ovpn.com · |
|---|
| Split tunneling disponible | Disponible yes | Disponible yes |
|---|
| Connexions simultanées | 5Bmullvad.net · | 4Bsupport.ovpn.com · |
|---|
| Difficulté pour commencer à l'utiliser | Aucun compte nécessaire no_account | Aucun compte nécessaire no_account |
|---|
| P2P autorisé | — non établiaucune source publiée | Autorisé yesBsupport.ovpn.com · |
|---|
| Principaux services de streaming accessibles | — non établiaucune source publiée | Accessible yesBsupport.ovpn.com · |
|---|
