NordVPN vs Proton VPN

Le warrant canary et le trimestre qui l'a remplacé. La même page a retiré le warrant canary (P07=removed) au profit de rapports de transparence trimestriels ; le dernier trimestre complet (avr.–juin 2026) fait état de 85 demandes gouvernementales et de 0 divulgation, donc P08/P09 concernent cette période, et non le chiffre sur toute la durée.

L'Inde et le régime des injonctions secrètes. P04=withdrew_physical correspond au retrait d'Inde de juin 2022. P11=none_known repose sur l'affirmation de la page selon laquelle NordVPN n'a reçu aucune lettre contraignante de sécurité nationale ni injonction de silence, ainsi que sur l'absence d'un tel régime au Panama.

Un niveau d'assurance que personne ne peut vérifier. NordVPN décrit la mission de Deloitte Lithuania comme une mission d'assurance raisonnable selon la norme ISAE 3000 (Revised), ce qui serait la forme la plus forte ; le rapport de PIA, qui peut être consulté, énonce une conclusion d'assurance limitée.

Pourquoi la forme plus forte n'est pas créditée. Le modèle prend désormais cette différence en compte, et cette fiche n'en bénéficie pas : V15_assurance_strength est inconnu, car la seule déclaration du niveau vient de NordVPN et porte sur un rapport que personne en dehors d'un Nord Account ne peut ouvrir. Un document derrière une connexion n'est pas une preuve ici, quel que soit le niveau, et la mission est donc créditée au niveau de référence du marché plutôt qu'au niveau qu'elle est censée avoir atteint.

Un rapport derrière une connexion. Le rapport lui-même n'est lisible qu'après connexion à un Nord Account, de sorte que personne en dehors de cette relation n'en a vérifié la portée, et chaque champ d'audit ici repose sur le propre résumé qu'en fait NordVPN plutôt que sur le document. C'est cela, et non une constatation défavorable au service, qui explique pourquoi cette fiche est la moins étoffée du catalogue.

Les champs du propriétaire. M11_owner_jurisdiction et X04_owner_group_history sont inconnus : nordvpn.com et nordsecurity.com désignent Nord Security comme propriétaire, mais aucun des deux ne précise la propre juridiction d'immatriculation de Nord Security ni un quelconque historique antérieur du groupe ; la presse secondaire rattache une entité holding « Cyberspace » aux Pays-Bas depuis la fusion de 2022, mais cela n'a pas été confirmé par une page primaire de Nord Security ou de NordVPN dans le temps disponible.

Ce qui n'a pas pu être lu du tout. Le texte intégral du rapport Deloitte de 2025 ne peut pas être lu du tout (accès conditionné par une connexion), de sorte qu'aucune conclusion relative à la conservation n'est enregistrée au-delà de l'affirmation propre à la politique dans C01_linkable_retention.

Le tableau des serveurs qui ne s'ouvrait pas. C09b_mandate_hosting est inconnu : le tableau des serveurs par pays en ligne n'affiche le statut physique/virtuel que pour la région des Amériques dans l'état de l'accordéon que cet audit a pu afficher ; les sections Europe, Asie-Pacifique et Afrique/Moyen-Orient (qui comprennent plusieurs pays soumis au mandat desservis par le parc, par exemple AE, IN, TR, VN, IQ, KZ selon l'API des serveurs) se chargent côté client lors du clic et n'ont pas été développées.

Laissé inconnu plutôt qu'affirmé. C04-C07, U06 (preuve de censure), U11, V12-V14, X06, X07, X10 et X11 n'ont pas été confirmés indépendamment par un document primaire et sont laissés inconnus plutôt qu'affirmés à partir d'une couverture secondaire.

Un doute laissé ouvert, sans être imputé. Un doute reste ouvert concernant X12 sans être imputé : le formulaire de sécurité des données de Play pour com.nordvpn.android déclare les applications installées dans la catégorie analytics sur Android, tandis que l'avis de confidentialité de NordVPN ne mentionne les applications installées qu'à un seul endroit — l'analyse de vulnérabilité anti-malware — et limite le traitement des noms et versions des applications à Windows.

Pourquoi cela reste considéré comme une correspondance. La catégorie est déclarée plutôt qu'absente, et R28 ne tire pas de conclusion d'une différence de portée entre plateformes, de sorte que la valeur est matches_policy ; mais la finalité Android n'est pas celle décrite dans l'avis, et seul NordVPN peut dire laquelle des deux formulations est erronée.

Le recours, et ce qu'il ne tranche pas. Le recours du 22 octobre 2021 est cité ici avec une réserve qu'il convient d'énoncer clairement : le Tribunal administratif fédéral a jugé que les services email ne sont pas des fournisseurs de services de télécommunications, et ni la couverture du jugement ni le propre récit de Proton à ce sujet ne mentionnent le VPN.

Ce qui établit réellement les deux champs. Ce qui établit C10 et C11, c'est que la Suisse ne porte aucun fondement de mandat dans la propre liste de pays du catalogue ; l'appel corrobore la manière dont les autorités suisses traitent Proton et ne constitue pas à lui seul une constatation concernant Proton VPN. Une décision concernant un service apparenté constitue un fondement plus mince que ne le laisse croire la citation.

La principale lacune restante. Proton propose des emplacements de sortie dans huit pays qui imposent un mandat de conservation. Que du matériel se trouve réellement dans l'un d'eux n'est pas établi : Proton a retiré les serveurs physiques d'Inde en 2022 et documente Smart Routing pour les emplacements qu'il dessert depuis ailleurs, ce qui indique des emplacements virtuels, mais cela n'a été vérifié que pour l'Inde. L'établissement de C09b_mandate_hosting est la principale lacune restante dans cette fiche.

La faille du centre de données en Finlande en 2018 était une intrusion par un tiers, et non une saisie par les autorités — elle est enregistrée sous P12_case_history avec kind=breach, et non sous P01_seizure_event. Le propre compte rendu de NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) et la couverture contemporaine de Bloomberg concordent pour dire que la divulgation a fait suite à des allégations sur Twitter par des chercheurs externes, et non à une initiative de NordVPN elle-même — d'où third_party_disclosed plutôt que self_disclosed_late.

NordVPN et Surfshark ont la même maison mère (Nord Security), mais l'annonce de fusion des deux entreprises indique une infrastructure et des feuilles de route produits distinctes ; M18 est défini comme séparé sur cette base.