Opera VPN vs Private Internet Access

Pourquoi le score n'en dépend pas. Les prix établi et inconnu sont tous deux à 0,000 ; rien dans le score ne dépend donc de ce point. Ce qui manque est la fiche, pas le nombre, et la prochaine vérification devrait commencer par les documents déposés par Kunlun et le dossier fédéral, plutôt que par un résumé de ceux-ci.

Le rapport qui ferait évoluer quatre champs. Le rapport de Deloitte est l'autre document qui ferait évoluer plusieurs champs à la fois : V04, V07, V11 et V15 sont tous inconnus uniquement parce qu'il n'est pas publié, et V11 est en particulier le champ sur lequel repose toute l'allégation sans journaux.

Ce qui n'a aucun document. U07 n'a aucun document, et C13 qui en dépend non plus : Opera mentionne AES-256 et un « secure tunnel », mais jamais de protocole ; le transport le plus faible proposé n'est donc pas établi. U08, U09 et U12b ne sont pas renseignés pour la même raison : le tableau comparatif des fonctionnalités sur la page du produit marque les lignes de coches que le balisage récupéré ne contient pas, et lire des coches sur une image rendue ne constitue pas une source.

Des serveurs décrits, non étayés par des preuves. C02, C06 et C08 ne reposent sur rien : Opera affirme que les serveurs sont physiques et lui appartiennent, ce qui n'établit ni le disque, ni le DNS, ni l'identité du propriétaire du matériel. C09b ne peut pas recevoir de réponse tant que U02 est inconnu.

Un seul magasin, pas deux. Seul le formulaire Google Play sur la sécurité des données a été lu ; les mentions de confidentialité de l'App Store pour le navigateur iOS ne l'ont pas été, de sorte que X12 repose sur un seul magasin plutôt que sur le moins favorable des deux.

Deux interprétations plutôt que des déclarations. Linux dans U01 est déduit du manuel d'aide pour ordinateur de bureau, qui documente le VPN et couvre conjointement Windows, macOS et Linux sans ventilation par plateforme ; Android et iOS sont explicitement nommés dans l'annonce de l'audit. U10 est illimité parce qu'il n'y a ni compte ni limite d'appareils à faire respecter, ce qui constitue une interprétation du produit plutôt qu'un chiffre déclaré.

Ce qui n'a pas été examiné. Le rapport couvre uniquement l'infrastructure. C07a_app_sdk et C12_device_identifier sont des éléments côté application qu'il n'a jamais examinés ; ils citent désormais la politique de confidentialité, qui décrit les analyses concernant les visiteurs du site et les rapports de diagnostic envoyés avec consentement, contenant la plateforme et la version de l'application. Interpréter l'un ou l'autre comme une déclaration concernant les SDK compilés dans l'application constitue le maillon le plus faible de cette fiche, et c'est dans les clients open source que la question serait réellement tranchée.

L'assignation de 2016 repose sur la propre déclaration de PIA, pas sur le dossier judiciaire. Le seul compte rendu détaillé de l'affaire McWaters (S.D. Fla., 9:16-cr-80043) se trouve sur un site affilié que cette fiche ne peut pas citer ; le registre de CourtListener pour cette affaire ne mentionne ni assignation, ni fournisseur, ni issue. P03_court_record et P12_case_history reposent désormais sur la déclaration du propre rapport de transparence de PIA, selon laquelle elle a reçu une assignation en 2016-2017 et n'a rien produit — une auto-déclaration de niveau B, pas un dossier judiciaire vérifié.

L'identité de ce tiers a évolué : l'annonce de l'audit de 2024 indique que les serveurs de VPN Pro sont « fournis en collaboration avec Nord », et l'explication de 2026 indique que VPN Pro est « équipé du protocole Lightway de nouvelle génération », qui est celui d'ExpressVPN. Aucun des deux documents n'indique que l'accord a changé.

X02 est le constat central, et les deux documents qui l'étayent émanent d'Opera. L'annonce de 2024 cite l'avis de Deloitte ainsi : « la configuration des systèmes informatiques et la gestion des opérations informatiques d'assistance ont été conçues et mises en œuvre de manière appropriée, à tous égards significatifs, sur la base des critères décrits dans la Management Assertion d'Opera, en date du 10 août 2024 », et attribue séparément à la propre Management Assertion d'Opera la phrase « Aucune fonctionnalité de journalisation des données n'est intégrée au service VPN, et aucune donnée quelle qu'elle soit n'est collectée ».

La publication de 2026 relate à nouveau la même mission, en indiquant que Deloitte a établi le constat : « nous avons donné à l'équipe de Deloitte un accès complet à notre VPN et à l'infrastructure de nos serveurs, et elle a pu vérifier notre affirmation... En fait, une fonction de journalisation des données n'est même pas intégrée au VPN à l'origine ». La même publication transforme une période que celle de 2024 date du 18 juin au 10 août 2024 en « accès complet ».

Opera décrit sa propre affirmation comme la conclusion de son auditeur. C'est pourquoi le bloc VERIFY se divise comme il le fait. V01 est yes_verified sur la base d'un rapport effectivement consulté — le propre résumé de gestion publié par Cure53 de son évaluation de mars 2022 — et non sur la base de l'annonce de Deloitte.

Le rapport de Deloitte lui-même n'est publié nulle part, donc V02 est press_only, et chaque champ qui constitue une conclusion de ce rapport plutôt qu'un fait relatif à la mission reste inconnu : couverture du parc (V04), norme d'assurance (V07), ce que le rapport indique comme faisant l'objet d'une conservation (V11) et solidité de l'opinion (V15).

Les faits relatifs à la mission — le cabinet, sa catégorie, la date, ce qui était indiqué comme ayant été testé — sont tirés de l'annonce. Un fournisseur qui a démontrablement requalifié cet audit une fois n'est pas une source de ce que l'audit a conclu. C01 est none_linkable parce que c'est la déclaration figurant dans la déclaration de confidentialité ; V11 est la conclusion, et il n'y a aucune conclusion à lire.

Le rapport de Cure53 est réel et c'est la raison pour laquelle V14 est yes_verified : sept testeurs, vingt-quatre jours-personnes, en boîte blanche sur quatre lots de travaux couvrant les clients VPN, la configuration et l'infrastructure des serveurs, ainsi que le protocole d'Opera Mini utilisé pour transmettre la configuration VPN. Quatorze problèmes liés à la sécurité, dont huit véritables vulnérabilités, cinq évalués comme étant de gravité élevée et aucun de gravité critique.

En mars 2022, neuf avaient été corrigés, les corrections ayant été vérifiées, un l'avait été partiellement, trois risques avaient été acceptés, un cas était une fausse alerte et un autre était toujours en cours. Le blog d'Opera indique que les sept éléments concernant directement le VPN du navigateur ont été « tous résolus par la suite », et le tableau le confirme : le reste se situe dans le lot de travaux Opera Mini, et non dans le VPN lui-même.

La propriété est entièrement déclarée et s'arrête dans un pays du mandat, ce qui explique pourquoi X03 et C11 pointent dans des directions opposées sans se contredire.

Le responsable du traitement nommé dans la propre déclaration de confidentialité d'Opera est Opera Norway AS, une société norvégienne, et le rapport de transparence est déposé sous ce nom.

La société holding est Opera Limited, une société exemptée constituée aux îles Caïmans en mars 2018, sans activités substantielles propres. Le Form 20-F pour 2025 désigne Hong Kong Kunlun Tech Holding Limited comme actionnaire principal à 68,0 %, une filiale de Kunlun Tech Co., Ltd. constituée en PRC, et indique que Kunlun « est la société mère ultime d'Opera et est contrôlée par le président exécutif d'Opera ».

Ainsi, M06 est NO et C10 est no, tandis que M11 est CN et C11 est yes.

C12 est la lacune la plus nette entre la déclaration du VPN et l'application dans laquelle il est intégré. La section VPN de la déclaration de confidentialité affirme l'absence de journalisation ; une autre section du même document indique que lorsqu'une application Opera est installée, « un ID d'installation aléatoire est généré. Nous recueillons cet identifiant, ainsi que le Machine ID, les caractéristiques matérielles (modèle, date de sortie, etc.), le système d'exploitation, la configuration de l'environnement et les données d'utilisation des fonctionnalités », conservés pendant jusqu'à trois ans.

Un Machine ID est dérivé du matériel ; l'identifiant détenu par le fournisseur est donc persistent_hardware_id et non un identifiant aléatoire limité à l'application, quelle que soit la journalisation effectuée ou non par le tunnel.

X12 compare deux documents déposés par Opera elle-même. Le formulaire Play sur la sécurité des données pour com.opera.browser déclare que Installed apps est recueilli à des fins d'Analytics, et la déclaration de confidentialité ne mentionne jamais la collecte des applications installées sur l'appareil. Installed apps relève du comportement, et non d'un identifiant ; il s'agit donc de undisclosed_behaviour.

Le même formulaire déclare que Device or other IDs sont partagés avec d'autres entreprises à des fins publicitaires, ce qui place C07a dans ads. C07b repose sur un élément plus limité et est marqué B pour cette raison : le seul hôte tiers présent dans le balisage diffusé pour la page du produit est Google Tag Manager, et ce que ce conteneur charge au moment de l'exécution n'a pas été énuméré.

U02 est inconnu en raison de la conception du produit, et non d'un échec de la recherche : le VPN gratuit propose trois régions — Opera les nomme America, Asia et Europe — et jamais de pays. C09 et C09b en découlent et ne peuvent pas être établis tant que cette situation perdure.

X05 est ads_supported dans la propre page explicative d'Opera, qui place la publicité en premier parmi trois sources de revenus et décrit Opera Ads recueillant un identifiant utilisateur généré aléatoirement, la ville ou le pays et de grandes catégories de sites consultés, conservés pendant jusqu'à un an ; avec U05 = unlimited_free, c'est exactement le cas que R15 vise à signaler.

X06 est l'affirmation du billet de 2026 selon laquelle l'AES-256 « demanderait à un pirate informatique, même équipé de l'ordinateur le plus rapide, plus d'un milliard d'années pour être cassé ». X09 est self_disclosed_prompt dans deux billets de 2026 où Opera a publié des vulnérabilités que des chercheurs externes lui avaient signalées, ainsi que l'analyse et la version corrigée — il s'agit de vulnérabilités du navigateur plutôt que d'incidents VPN, et aucun incident VPN n'est connu.

C05 est not_sold. Le VPN gratuit ne comporte aucune étape de paiement — ni abonnement ni compte — et il n'y a donc rien à payer, anonymement ou autrement.

Cette fiche avait d'abord été écrite comme none, ce qui se lit comme « seuls les moyens de paiement identifiés sont proposés » et qui est faux ici, car le vocabulaire ne comportait aucun jeton pour un service qui ne prend pas d'argent ; inconnu aurait affirmé que la recherche avait échoué, ce qui était également faux, et entre deux interprétations erronées, celle qui joue en défaveur du fournisseur a été enregistrée. Le jeton existe désormais et le prix est nul, ce qui est la réponse honnête : là où il n'y a pas de paiement, il n'y a pas d'identité de paiement à divulguer.

M08_user_scale, P02_disclosure_history, P03_court_record et P12_case_history ont été relus à partir des mêmes sources et restent inchangés ; la page principale des rapports de transparence ne mentionne toujours aucune affaire au-delà des assignations de 2016-2017 déjà consignées. La relecture des prix à partir de la même page buy-vpn-online a établi que les deux montants étaient inchangés : 11,95 $ au mois, 47,88 $ pour le forfait d'un an facturé pour la première année et reconduit automatiquement au même montant de 47,88 $, sans écart entre le tarif initial et celui du renouvellement, conformément à la tarification forfaitaire de PIA relevée ailleurs dans le catalogue.

Sources : les propres pages et le blog de privateinternetaccess.com, les deux PDF « Independent Limited Assurance Report » Deloitte ISAE 3000 (Revised) (avril 2024 et décembre 2025, tous deux ouverts et lus directement), le propre site de Kape Technologies, les informations issues de l'Isle of Man/Companies House sur le retrait de la cote de Kape en 2023 par Unikmind Holdings (Teddy Sagi), et l'organisation GitHub officielle pia-foss pour les clients open source.

Le registre public de CourtListener pour United States v. McWaters (9:16-cr-80043, S.D. Fla.) a été ouvert, mais ne mentionne ni assignation, ni fournisseur de VPN, ni issue ; le compte rendu affilié (vpncompare.co.uk) qui décrit cette assignation en détail a été écarté comme source interdite, et la couverture de TorrentFreak a renvoyé HTTP 403 à chaque tentative de récupération lors de cette vérification, curl compris. P03/P12 reposent désormais sur l'auto-déclaration de PIA dans son rapport de transparence.

Wikipedia a été écarté de V12 au profit de l'organisation GitHub elle-même. Aucun site affilié ni agrégateur « best VPN » n'a été utilisé comme source factuelle nulle part dans cette fiche, bien que plusieurs soient apparus à plusieurs reprises dans les résultats de recherche avec des chiffres apparemment plausibles (nombres de serveurs, nombres d'utilisateurs, dates d'audit) qui ne pouvaient pas être recoupés avec une page primaire et ont été écartés plutôt qu'utilisés.