NordVPN vs Opera VPN

Le warrant canary et le trimestre qui l'a remplacé. La même page a retiré le warrant canary (P07=removed) au profit de rapports de transparence trimestriels ; le dernier trimestre complet (avr.–juin 2026) fait état de 85 demandes gouvernementales et de 0 divulgation, donc P08/P09 concernent cette période, et non le chiffre sur toute la durée.

L'Inde et le régime des injonctions secrètes. P04=withdrew_physical correspond au retrait d'Inde de juin 2022. P11=none_known repose sur l'affirmation de la page selon laquelle NordVPN n'a reçu aucune lettre contraignante de sécurité nationale ni injonction de silence, ainsi que sur l'absence d'un tel régime au Panama.

Un niveau d'assurance que personne ne peut vérifier. NordVPN décrit la mission de Deloitte Lithuania comme une mission d'assurance raisonnable selon la norme ISAE 3000 (Revised), ce qui serait la forme la plus forte ; le rapport de PIA, qui peut être consulté, énonce une conclusion d'assurance limitée.

Pourquoi la forme plus forte n'est pas créditée. Le modèle prend désormais cette différence en compte, et cette fiche n'en bénéficie pas : V15_assurance_strength est inconnu, car la seule déclaration du niveau vient de NordVPN et porte sur un rapport que personne en dehors d'un Nord Account ne peut ouvrir. Un document derrière une connexion n'est pas une preuve ici, quel que soit le niveau, et la mission est donc créditée au niveau de référence du marché plutôt qu'au niveau qu'elle est censée avoir atteint.

Un rapport derrière une connexion. Le rapport lui-même n'est lisible qu'après connexion à un Nord Account, de sorte que personne en dehors de cette relation n'en a vérifié la portée, et chaque champ d'audit ici repose sur le propre résumé qu'en fait NordVPN plutôt que sur le document. C'est cela, et non une constatation défavorable au service, qui explique pourquoi cette fiche est la moins étoffée du catalogue.

Les champs du propriétaire. M11_owner_jurisdiction et X04_owner_group_history sont inconnus : nordvpn.com et nordsecurity.com désignent Nord Security comme propriétaire, mais aucun des deux ne précise la propre juridiction d'immatriculation de Nord Security ni un quelconque historique antérieur du groupe ; la presse secondaire rattache une entité holding « Cyberspace » aux Pays-Bas depuis la fusion de 2022, mais cela n'a pas été confirmé par une page primaire de Nord Security ou de NordVPN dans le temps disponible.

Ce qui n'a pas pu être lu du tout. Le texte intégral du rapport Deloitte de 2025 ne peut pas être lu du tout (accès conditionné par une connexion), de sorte qu'aucune conclusion relative à la conservation n'est enregistrée au-delà de l'affirmation propre à la politique dans C01_linkable_retention.

Le tableau des serveurs qui ne s'ouvrait pas. C09b_mandate_hosting est inconnu : le tableau des serveurs par pays en ligne n'affiche le statut physique/virtuel que pour la région des Amériques dans l'état de l'accordéon que cet audit a pu afficher ; les sections Europe, Asie-Pacifique et Afrique/Moyen-Orient (qui comprennent plusieurs pays soumis au mandat desservis par le parc, par exemple AE, IN, TR, VN, IQ, KZ selon l'API des serveurs) se chargent côté client lors du clic et n'ont pas été développées.

Laissé inconnu plutôt qu'affirmé. C04-C07, U06 (preuve de censure), U11, V12-V14, X06, X07, X10 et X11 n'ont pas été confirmés indépendamment par un document primaire et sont laissés inconnus plutôt qu'affirmés à partir d'une couverture secondaire.

Un doute laissé ouvert, sans être imputé. Un doute reste ouvert concernant X12 sans être imputé : le formulaire de sécurité des données de Play pour com.nordvpn.android déclare les applications installées dans la catégorie analytics sur Android, tandis que l'avis de confidentialité de NordVPN ne mentionne les applications installées qu'à un seul endroit — l'analyse de vulnérabilité anti-malware — et limite le traitement des noms et versions des applications à Windows.

Pourquoi cela reste considéré comme une correspondance. La catégorie est déclarée plutôt qu'absente, et R28 ne tire pas de conclusion d'une différence de portée entre plateformes, de sorte que la valeur est matches_policy ; mais la finalité Android n'est pas celle décrite dans l'avis, et seul NordVPN peut dire laquelle des deux formulations est erronée.

Pourquoi le score n'en dépend pas. Les prix établi et inconnu sont tous deux à 0,000 ; rien dans le score ne dépend donc de ce point. Ce qui manque est la fiche, pas le nombre, et la prochaine vérification devrait commencer par les documents déposés par Kunlun et le dossier fédéral, plutôt que par un résumé de ceux-ci.

Le rapport qui ferait évoluer quatre champs. Le rapport de Deloitte est l'autre document qui ferait évoluer plusieurs champs à la fois : V04, V07, V11 et V15 sont tous inconnus uniquement parce qu'il n'est pas publié, et V11 est en particulier le champ sur lequel repose toute l'allégation sans journaux.

Ce qui n'a aucun document. U07 n'a aucun document, et C13 qui en dépend non plus : Opera mentionne AES-256 et un « secure tunnel », mais jamais de protocole ; le transport le plus faible proposé n'est donc pas établi. U08, U09 et U12b ne sont pas renseignés pour la même raison : le tableau comparatif des fonctionnalités sur la page du produit marque les lignes de coches que le balisage récupéré ne contient pas, et lire des coches sur une image rendue ne constitue pas une source.

Des serveurs décrits, non étayés par des preuves. C02, C06 et C08 ne reposent sur rien : Opera affirme que les serveurs sont physiques et lui appartiennent, ce qui n'établit ni le disque, ni le DNS, ni l'identité du propriétaire du matériel. C09b ne peut pas recevoir de réponse tant que U02 est inconnu.

Un seul magasin, pas deux. Seul le formulaire Google Play sur la sécurité des données a été lu ; les mentions de confidentialité de l'App Store pour le navigateur iOS ne l'ont pas été, de sorte que X12 repose sur un seul magasin plutôt que sur le moins favorable des deux.

Deux interprétations plutôt que des déclarations. Linux dans U01 est déduit du manuel d'aide pour ordinateur de bureau, qui documente le VPN et couvre conjointement Windows, macOS et Linux sans ventilation par plateforme ; Android et iOS sont explicitement nommés dans l'annonce de l'audit. U10 est illimité parce qu'il n'y a ni compte ni limite d'appareils à faire respecter, ce qui constitue une interprétation du produit plutôt qu'un chiffre déclaré.

La faille du centre de données en Finlande en 2018 était une intrusion par un tiers, et non une saisie par les autorités — elle est enregistrée sous P12_case_history avec kind=breach, et non sous P01_seizure_event. Le propre compte rendu de NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) et la couverture contemporaine de Bloomberg concordent pour dire que la divulgation a fait suite à des allégations sur Twitter par des chercheurs externes, et non à une initiative de NordVPN elle-même — d'où third_party_disclosed plutôt que self_disclosed_late.

NordVPN et Surfshark ont la même maison mère (Nord Security), mais l'annonce de fusion des deux entreprises indique une infrastructure et des feuilles de route produits distinctes ; M18 est défini comme séparé sur cette base.

L'identité de ce tiers a évolué : l'annonce de l'audit de 2024 indique que les serveurs de VPN Pro sont « fournis en collaboration avec Nord », et l'explication de 2026 indique que VPN Pro est « équipé du protocole Lightway de nouvelle génération », qui est celui d'ExpressVPN. Aucun des deux documents n'indique que l'accord a changé.

X02 est le constat central, et les deux documents qui l'étayent émanent d'Opera. L'annonce de 2024 cite l'avis de Deloitte ainsi : « la configuration des systèmes informatiques et la gestion des opérations informatiques d'assistance ont été conçues et mises en œuvre de manière appropriée, à tous égards significatifs, sur la base des critères décrits dans la Management Assertion d'Opera, en date du 10 août 2024 », et attribue séparément à la propre Management Assertion d'Opera la phrase « Aucune fonctionnalité de journalisation des données n'est intégrée au service VPN, et aucune donnée quelle qu'elle soit n'est collectée ».

La publication de 2026 relate à nouveau la même mission, en indiquant que Deloitte a établi le constat : « nous avons donné à l'équipe de Deloitte un accès complet à notre VPN et à l'infrastructure de nos serveurs, et elle a pu vérifier notre affirmation... En fait, une fonction de journalisation des données n'est même pas intégrée au VPN à l'origine ». La même publication transforme une période que celle de 2024 date du 18 juin au 10 août 2024 en « accès complet ».

Opera décrit sa propre affirmation comme la conclusion de son auditeur. C'est pourquoi le bloc VERIFY se divise comme il le fait. V01 est yes_verified sur la base d'un rapport effectivement consulté — le propre résumé de gestion publié par Cure53 de son évaluation de mars 2022 — et non sur la base de l'annonce de Deloitte.

Le rapport de Deloitte lui-même n'est publié nulle part, donc V02 est press_only, et chaque champ qui constitue une conclusion de ce rapport plutôt qu'un fait relatif à la mission reste inconnu : couverture du parc (V04), norme d'assurance (V07), ce que le rapport indique comme faisant l'objet d'une conservation (V11) et solidité de l'opinion (V15).

Les faits relatifs à la mission — le cabinet, sa catégorie, la date, ce qui était indiqué comme ayant été testé — sont tirés de l'annonce. Un fournisseur qui a démontrablement requalifié cet audit une fois n'est pas une source de ce que l'audit a conclu. C01 est none_linkable parce que c'est la déclaration figurant dans la déclaration de confidentialité ; V11 est la conclusion, et il n'y a aucune conclusion à lire.

Le rapport de Cure53 est réel et c'est la raison pour laquelle V14 est yes_verified : sept testeurs, vingt-quatre jours-personnes, en boîte blanche sur quatre lots de travaux couvrant les clients VPN, la configuration et l'infrastructure des serveurs, ainsi que le protocole d'Opera Mini utilisé pour transmettre la configuration VPN. Quatorze problèmes liés à la sécurité, dont huit véritables vulnérabilités, cinq évalués comme étant de gravité élevée et aucun de gravité critique.