NordVPN vs Private Internet Access

Le warrant canary et le trimestre qui l'a remplacé. La même page a retiré le warrant canary (P07=removed) au profit de rapports de transparence trimestriels ; le dernier trimestre complet (avr.–juin 2026) fait état de 85 demandes gouvernementales et de 0 divulgation, donc P08/P09 concernent cette période, et non le chiffre sur toute la durée.

L'Inde et le régime des injonctions secrètes. P04=withdrew_physical correspond au retrait d'Inde de juin 2022. P11=none_known repose sur l'affirmation de la page selon laquelle NordVPN n'a reçu aucune lettre contraignante de sécurité nationale ni injonction de silence, ainsi que sur l'absence d'un tel régime au Panama.

Un niveau d'assurance que personne ne peut vérifier. NordVPN décrit la mission de Deloitte Lithuania comme une mission d'assurance raisonnable selon la norme ISAE 3000 (Revised), ce qui serait la forme la plus forte ; le rapport de PIA, qui peut être consulté, énonce une conclusion d'assurance limitée.

Pourquoi la forme plus forte n'est pas créditée. Le modèle prend désormais cette différence en compte, et cette fiche n'en bénéficie pas : V15_assurance_strength est inconnu, car la seule déclaration du niveau vient de NordVPN et porte sur un rapport que personne en dehors d'un Nord Account ne peut ouvrir. Un document derrière une connexion n'est pas une preuve ici, quel que soit le niveau, et la mission est donc créditée au niveau de référence du marché plutôt qu'au niveau qu'elle est censée avoir atteint.

Un rapport derrière une connexion. Le rapport lui-même n'est lisible qu'après connexion à un Nord Account, de sorte que personne en dehors de cette relation n'en a vérifié la portée, et chaque champ d'audit ici repose sur le propre résumé qu'en fait NordVPN plutôt que sur le document. C'est cela, et non une constatation défavorable au service, qui explique pourquoi cette fiche est la moins étoffée du catalogue.

Les champs du propriétaire. M11_owner_jurisdiction et X04_owner_group_history sont inconnus : nordvpn.com et nordsecurity.com désignent Nord Security comme propriétaire, mais aucun des deux ne précise la propre juridiction d'immatriculation de Nord Security ni un quelconque historique antérieur du groupe ; la presse secondaire rattache une entité holding « Cyberspace » aux Pays-Bas depuis la fusion de 2022, mais cela n'a pas été confirmé par une page primaire de Nord Security ou de NordVPN dans le temps disponible.

Ce qui n'a pas pu être lu du tout. Le texte intégral du rapport Deloitte de 2025 ne peut pas être lu du tout (accès conditionné par une connexion), de sorte qu'aucune conclusion relative à la conservation n'est enregistrée au-delà de l'affirmation propre à la politique dans C01_linkable_retention.

Le tableau des serveurs qui ne s'ouvrait pas. C09b_mandate_hosting est inconnu : le tableau des serveurs par pays en ligne n'affiche le statut physique/virtuel que pour la région des Amériques dans l'état de l'accordéon que cet audit a pu afficher ; les sections Europe, Asie-Pacifique et Afrique/Moyen-Orient (qui comprennent plusieurs pays soumis au mandat desservis par le parc, par exemple AE, IN, TR, VN, IQ, KZ selon l'API des serveurs) se chargent côté client lors du clic et n'ont pas été développées.

Laissé inconnu plutôt qu'affirmé. C04-C07, U06 (preuve de censure), U11, V12-V14, X06, X07, X10 et X11 n'ont pas été confirmés indépendamment par un document primaire et sont laissés inconnus plutôt qu'affirmés à partir d'une couverture secondaire.

Un doute laissé ouvert, sans être imputé. Un doute reste ouvert concernant X12 sans être imputé : le formulaire de sécurité des données de Play pour com.nordvpn.android déclare les applications installées dans la catégorie analytics sur Android, tandis que l'avis de confidentialité de NordVPN ne mentionne les applications installées qu'à un seul endroit — l'analyse de vulnérabilité anti-malware — et limite le traitement des noms et versions des applications à Windows.

Pourquoi cela reste considéré comme une correspondance. La catégorie est déclarée plutôt qu'absente, et R28 ne tire pas de conclusion d'une différence de portée entre plateformes, de sorte que la valeur est matches_policy ; mais la finalité Android n'est pas celle décrite dans l'avis, et seul NordVPN peut dire laquelle des deux formulations est erronée.

Ce qui n'a pas été examiné. Le rapport couvre uniquement l'infrastructure. C07a_app_sdk et C12_device_identifier sont des éléments côté application qu'il n'a jamais examinés ; ils citent désormais la politique de confidentialité, qui décrit les analyses concernant les visiteurs du site et les rapports de diagnostic envoyés avec consentement, contenant la plateforme et la version de l'application. Interpréter l'un ou l'autre comme une déclaration concernant les SDK compilés dans l'application constitue le maillon le plus faible de cette fiche, et c'est dans les clients open source que la question serait réellement tranchée.

L'assignation de 2016 repose sur la propre déclaration de PIA, pas sur le dossier judiciaire. Le seul compte rendu détaillé de l'affaire McWaters (S.D. Fla., 9:16-cr-80043) se trouve sur un site affilié que cette fiche ne peut pas citer ; le registre de CourtListener pour cette affaire ne mentionne ni assignation, ni fournisseur, ni issue. P03_court_record et P12_case_history reposent désormais sur la déclaration du propre rapport de transparence de PIA, selon laquelle elle a reçu une assignation en 2016-2017 et n'a rien produit — une auto-déclaration de niveau B, pas un dossier judiciaire vérifié.

La faille du centre de données en Finlande en 2018 était une intrusion par un tiers, et non une saisie par les autorités — elle est enregistrée sous P12_case_history avec kind=breach, et non sous P01_seizure_event. Le propre compte rendu de NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) et la couverture contemporaine de Bloomberg concordent pour dire que la divulgation a fait suite à des allégations sur Twitter par des chercheurs externes, et non à une initiative de NordVPN elle-même — d'où third_party_disclosed plutôt que self_disclosed_late.

NordVPN et Surfshark ont la même maison mère (Nord Security), mais l'annonce de fusion des deux entreprises indique une infrastructure et des feuilles de route produits distinctes ; M18 est défini comme séparé sur cette base.

M08_user_scale, P02_disclosure_history, P03_court_record et P12_case_history ont été relus à partir des mêmes sources et restent inchangés ; la page principale des rapports de transparence ne mentionne toujours aucune affaire au-delà des assignations de 2016-2017 déjà consignées. La relecture des prix à partir de la même page buy-vpn-online a établi que les deux montants étaient inchangés : 11,95 $ au mois, 47,88 $ pour le forfait d'un an facturé pour la première année et reconduit automatiquement au même montant de 47,88 $, sans écart entre le tarif initial et celui du renouvellement, conformément à la tarification forfaitaire de PIA relevée ailleurs dans le catalogue.

Sources : les propres pages et le blog de privateinternetaccess.com, les deux PDF « Independent Limited Assurance Report » Deloitte ISAE 3000 (Revised) (avril 2024 et décembre 2025, tous deux ouverts et lus directement), le propre site de Kape Technologies, les informations issues de l'Isle of Man/Companies House sur le retrait de la cote de Kape en 2023 par Unikmind Holdings (Teddy Sagi), et l'organisation GitHub officielle pia-foss pour les clients open source.

Le registre public de CourtListener pour United States v. McWaters (9:16-cr-80043, S.D. Fla.) a été ouvert, mais ne mentionne ni assignation, ni fournisseur de VPN, ni issue ; le compte rendu affilié (vpncompare.co.uk) qui décrit cette assignation en détail a été écarté comme source interdite, et la couverture de TorrentFreak a renvoyé HTTP 403 à chaque tentative de récupération lors de cette vérification, curl compris. P03/P12 reposent désormais sur l'auto-déclaration de PIA dans son rapport de transparence.

Wikipedia a été écarté de V12 au profit de l'organisation GitHub elle-même. Aucun site affilié ni agrégateur « best VPN » n'a été utilisé comme source factuelle nulle part dans cette fiche, bien que plusieurs soient apparus à plusieurs reprises dans les résultats de recherche avec des chiffres apparemment plausibles (nombres de serveurs, nombres d'utilisateurs, dates d'audit) qui ne pouvaient pas être recoupés avec une page primaire et ont été écartés plutôt qu'utilisés.