NordVPN vs Surfshark

La faille du centre de données en Finlande en 2018 était une intrusion par un tiers, et non une saisie par les autorités — elle est enregistrée sous P12_case_history avec kind=breach, et non sous P01_seizure_event. Le propre compte rendu de NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) et la couverture contemporaine de Bloomberg concordent pour dire que la divulgation a fait suite à des allégations sur Twitter par des chercheurs externes, et non à une initiative de NordVPN elle-même — d'où third_party_disclosed plutôt que self_disclosed_late.

NordVPN et Surfshark ont la même maison mère (Nord Security), mais l'annonce de fusion des deux entreprises indique une infrastructure et des feuilles de route produits distinctes ; M18 est défini comme séparé sur cette base.

Cette fiche avait déjà été lue deux fois — connection_timestamps dans V11 d'après la formulation de l'audit, source_ip dans C01 d'après la formulation de la politique — et notée selon le moins favorable des deux, ce qui faisait coûter davantage les quinze minutes de conservation que le fait de ne rien dire du tout : une valeur vide pour C01 correspond au prior du marché de 0,550 et source_ip vaut 0,750.

R29 trace désormais la ligne : l'état supprimé dans un délai déclaré lié à la fin de la session relève de la connexion, et non d'une fiche de celle-ci ; les deux champs sont donc connection_timestamps dans la même phrase. Ce qui reste pris en compte est ce qui survit à la session — la date de dernière connexion dans la section 2.3.1 de la politique et les connection timestamps nommés par l'auditeur.

Surfshark et NordVPN ont le même propriétaire (Nord Security, depuis 2022), mais la page de présentation de Surfshark indique que les marques ont fusionné « tout en opérant indépendamment », avec une infrastructure distincte — M18 est donc défini comme séparé sur cette base, conformément à la fiche nordvpn.com.

U12a est partiel plutôt que oui dans la propre colonne P2P du tableau des serveurs : 88 des 100 pays listés la portent et douze ne la portent pas (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). La colonne est générée côté client ; elle a donc été relevée dans le tableau rendu plutôt que dans le HTML statique, où chaque ligne porte chaque libellé.

Le rapport de transparence à l'adresse /transparency-report — vers laquelle /warrant-canary redirige désormais — présente le trimestre avril-juin 2026 sous forme de tableau : 374,719 notifications DMCA, 33 demandes d'institutions gouvernementales, 1 mandat, 0 lettres de sécurité nationale et 0 injonctions de silence. P08 compte les 34 demandes légales et exclut les notifications DMCA : il s'agit de plaintes pour atteinte aux droits d'auteur concernant le trafic, et non de demandes de données d'un utilisateur.

La même page indique que Surfshark retire son warrant canary au profit de rapports trimestriels, raison pour laquelle P07 est supprimé plutôt que considéré comme absent — le canary existait et a été retiré délibérément.

U07_protocols porte proprietary pour Dausos selon les propres termes de Surfshark — sa page consacrée aux protocoles qualifie Dausos de « protocole propriétaire de Surfshark » et ne publie aucune source à son sujet — et cette valeur unique définit C13_weakest_protocol ainsi que la pénalité d'hygiène qui suit. IKEv2 est conservé parce que Surfshark le documente toujours, bien que son propre blog consigne son retrait de l'application Windows ; Shadowsocks a disparu de l'index d'assistance et n'y est pas listé.

Le warrant canary et le trimestre qui l'a remplacé. La même page a retiré le warrant canary (P07=removed) au profit de rapports de transparence trimestriels ; le dernier trimestre complet (avr.–juin 2026) fait état de 85 demandes gouvernementales et de 0 divulgation, donc P08/P09 concernent cette période, et non le chiffre sur toute la durée.

L'Inde et le régime des injonctions secrètes. P04=withdrew_physical correspond au retrait d'Inde de juin 2022. P11=none_known repose sur l'affirmation de la page selon laquelle NordVPN n'a reçu aucune lettre contraignante de sécurité nationale ni injonction de silence, ainsi que sur l'absence d'un tel régime au Panama.

Un niveau d'assurance que personne ne peut vérifier. NordVPN décrit la mission de Deloitte Lithuania comme une mission d'assurance raisonnable selon la norme ISAE 3000 (Revised), ce qui serait la forme la plus forte ; le rapport de PIA, qui peut être consulté, énonce une conclusion d'assurance limitée.

Pourquoi la forme plus forte n'est pas créditée. Le modèle prend désormais cette différence en compte, et cette fiche n'en bénéficie pas : V15_assurance_strength est inconnu, car la seule déclaration du niveau vient de NordVPN et porte sur un rapport que personne en dehors d'un Nord Account ne peut ouvrir. Un document derrière une connexion n'est pas une preuve ici, quel que soit le niveau, et la mission est donc créditée au niveau de référence du marché plutôt qu'au niveau qu'elle est censée avoir atteint.