NordVPN vs Windscribe

Le warrant canary et le trimestre qui l'a remplacé. La même page a retiré le warrant canary (P07=removed) au profit de rapports de transparence trimestriels ; le dernier trimestre complet (avr.–juin 2026) fait état de 85 demandes gouvernementales et de 0 divulgation, donc P08/P09 concernent cette période, et non le chiffre sur toute la durée.

L'Inde et le régime des injonctions secrètes. P04=withdrew_physical correspond au retrait d'Inde de juin 2022. P11=none_known repose sur l'affirmation de la page selon laquelle NordVPN n'a reçu aucune lettre contraignante de sécurité nationale ni injonction de silence, ainsi que sur l'absence d'un tel régime au Panama.

Un niveau d'assurance que personne ne peut vérifier. NordVPN décrit la mission de Deloitte Lithuania comme une mission d'assurance raisonnable selon la norme ISAE 3000 (Revised), ce qui serait la forme la plus forte ; le rapport de PIA, qui peut être consulté, énonce une conclusion d'assurance limitée.

Pourquoi la forme plus forte n'est pas créditée. Le modèle prend désormais cette différence en compte, et cette fiche n'en bénéficie pas : V15_assurance_strength est inconnu, car la seule déclaration du niveau vient de NordVPN et porte sur un rapport que personne en dehors d'un Nord Account ne peut ouvrir. Un document derrière une connexion n'est pas une preuve ici, quel que soit le niveau, et la mission est donc créditée au niveau de référence du marché plutôt qu'au niveau qu'elle est censée avoir atteint.

Un rapport derrière une connexion. Le rapport lui-même n'est lisible qu'après connexion à un Nord Account, de sorte que personne en dehors de cette relation n'en a vérifié la portée, et chaque champ d'audit ici repose sur le propre résumé qu'en fait NordVPN plutôt que sur le document. C'est cela, et non une constatation défavorable au service, qui explique pourquoi cette fiche est la moins étoffée du catalogue.

Les champs du propriétaire. M11_owner_jurisdiction et X04_owner_group_history sont inconnus : nordvpn.com et nordsecurity.com désignent Nord Security comme propriétaire, mais aucun des deux ne précise la propre juridiction d'immatriculation de Nord Security ni un quelconque historique antérieur du groupe ; la presse secondaire rattache une entité holding « Cyberspace » aux Pays-Bas depuis la fusion de 2022, mais cela n'a pas été confirmé par une page primaire de Nord Security ou de NordVPN dans le temps disponible.

Ce qui n'a pas pu être lu du tout. Le texte intégral du rapport Deloitte de 2025 ne peut pas être lu du tout (accès conditionné par une connexion), de sorte qu'aucune conclusion relative à la conservation n'est enregistrée au-delà de l'affirmation propre à la politique dans C01_linkable_retention.

Le tableau des serveurs qui ne s'ouvrait pas. C09b_mandate_hosting est inconnu : le tableau des serveurs par pays en ligne n'affiche le statut physique/virtuel que pour la région des Amériques dans l'état de l'accordéon que cet audit a pu afficher ; les sections Europe, Asie-Pacifique et Afrique/Moyen-Orient (qui comprennent plusieurs pays soumis au mandat desservis par le parc, par exemple AE, IN, TR, VN, IQ, KZ selon l'API des serveurs) se chargent côté client lors du clic et n'ont pas été développées.

Laissé inconnu plutôt qu'affirmé. C04-C07, U06 (preuve de censure), U11, V12-V14, X06, X07, X10 et X11 n'ont pas été confirmés indépendamment par un document primaire et sont laissés inconnus plutôt qu'affirmés à partir d'une couverture secondaire.

Un doute laissé ouvert, sans être imputé. Un doute reste ouvert concernant X12 sans être imputé : le formulaire de sécurité des données de Play pour com.nordvpn.android déclare les applications installées dans la catégorie analytics sur Android, tandis que l'avis de confidentialité de NordVPN ne mentionne les applications installées qu'à un seul endroit — l'analyse de vulnérabilité anti-malware — et limite le traitement des noms et versions des applications à Windows.

Pourquoi cela reste considéré comme une correspondance. La catégorie est déclarée plutôt qu'absente, et R28 ne tire pas de conclusion d'une différence de portée entre plateformes, de sorte que la valeur est matches_policy ; mais la finalité Android n'est pas celle décrite dans l'avis, et seul NordVPN peut dire laquelle des deux formulations est erronée.

Pourquoi la conservation est chiffrée sur la base du constat. La conservation est donc chiffrée sur la base de ce qu'un auditeur a démontré comme accessible, plutôt que sur ce que la politique déclare, et le canal d'intégrité rend compte de l'écart entre les deux. Il faut l'interpréter comme un constat datant de deux ans sur un nœud, et non comme une mesure actuelle : le périmètre se limitait à ca-023.windscribe.com, et une mission plus récente couvrant une plus grande partie du parc permettrait de trancher.

La liste qui n'a jamais été consultée. La liste de pays proposée n'a jamais été consultée, de sorte que ni le score d'utilisabilité par pays ni l'intersection avec le mandat ne peuvent être calculés — Windscribe publie une distinction entre physique et virtuel, ce qui rend C09b évaluable ici dès que la liste le sera. L'ampleur des utilisateurs n'est pas non plus établie, ce qui laisse la tranche d'exposition reposer sur moins d'éléments qu'il ne faudrait.

Les sources désormais citées par les trois événements. AIN.UA mentionne toujours les serveurs ukrainiens saisis le 24 juin 2021, et le blog de Windscribe lui-même l'affaire grecque classée le 11 avril 2025. La saisie néerlandaise et le champ de saisie lui-même citent désormais la propre page de Windscribe sur l'absence de journaux, plutôt que la presse rémunérée par l'affiliation qui l'avait signalée en premier : le récit par une entreprise de sa propre saisie est une source primaire, et non le récit par quelqu'un d'autre de celle-ci. L'événement ukrainien est daté de la saisie elle-même, et non du compte rendu.

La faille du centre de données en Finlande en 2018 était une intrusion par un tiers, et non une saisie par les autorités — elle est enregistrée sous P12_case_history avec kind=breach, et non sous P01_seizure_event. Le propre compte rendu de NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) et la couverture contemporaine de Bloomberg concordent pour dire que la divulgation a fait suite à des allégations sur Twitter par des chercheurs externes, et non à une initiative de NordVPN elle-même — d'où third_party_disclosed plutôt que self_disclosed_late.

NordVPN et Surfshark ont la même maison mère (Nord Security), mais l'annonce de fusion des deux entreprises indique une infrastructure et des feuilles de route produits distinctes ; M18 est défini comme séparé sur cette base.