Opera VPN vs Windscribe

Pourquoi le score n'en dépend pas. Les prix établi et inconnu sont tous deux à 0,000 ; rien dans le score ne dépend donc de ce point. Ce qui manque est la fiche, pas le nombre, et la prochaine vérification devrait commencer par les documents déposés par Kunlun et le dossier fédéral, plutôt que par un résumé de ceux-ci.

Le rapport qui ferait évoluer quatre champs. Le rapport de Deloitte est l'autre document qui ferait évoluer plusieurs champs à la fois : V04, V07, V11 et V15 sont tous inconnus uniquement parce qu'il n'est pas publié, et V11 est en particulier le champ sur lequel repose toute l'allégation sans journaux.

Ce qui n'a aucun document. U07 n'a aucun document, et C13 qui en dépend non plus : Opera mentionne AES-256 et un « secure tunnel », mais jamais de protocole ; le transport le plus faible proposé n'est donc pas établi. U08, U09 et U12b ne sont pas renseignés pour la même raison : le tableau comparatif des fonctionnalités sur la page du produit marque les lignes de coches que le balisage récupéré ne contient pas, et lire des coches sur une image rendue ne constitue pas une source.

Des serveurs décrits, non étayés par des preuves. C02, C06 et C08 ne reposent sur rien : Opera affirme que les serveurs sont physiques et lui appartiennent, ce qui n'établit ni le disque, ni le DNS, ni l'identité du propriétaire du matériel. C09b ne peut pas recevoir de réponse tant que U02 est inconnu.

Un seul magasin, pas deux. Seul le formulaire Google Play sur la sécurité des données a été lu ; les mentions de confidentialité de l'App Store pour le navigateur iOS ne l'ont pas été, de sorte que X12 repose sur un seul magasin plutôt que sur le moins favorable des deux.

Deux interprétations plutôt que des déclarations. Linux dans U01 est déduit du manuel d'aide pour ordinateur de bureau, qui documente le VPN et couvre conjointement Windows, macOS et Linux sans ventilation par plateforme ; Android et iOS sont explicitement nommés dans l'annonce de l'audit. U10 est illimité parce qu'il n'y a ni compte ni limite d'appareils à faire respecter, ce qui constitue une interprétation du produit plutôt qu'un chiffre déclaré.

Pourquoi la conservation est chiffrée sur la base du constat. La conservation est donc chiffrée sur la base de ce qu'un auditeur a démontré comme accessible, plutôt que sur ce que la politique déclare, et le canal d'intégrité rend compte de l'écart entre les deux. Il faut l'interpréter comme un constat datant de deux ans sur un nœud, et non comme une mesure actuelle : le périmètre se limitait à ca-023.windscribe.com, et une mission plus récente couvrant une plus grande partie du parc permettrait de trancher.

La liste qui n'a jamais été consultée. La liste de pays proposée n'a jamais été consultée, de sorte que ni le score d'utilisabilité par pays ni l'intersection avec le mandat ne peuvent être calculés — Windscribe publie une distinction entre physique et virtuel, ce qui rend C09b évaluable ici dès que la liste le sera. L'ampleur des utilisateurs n'est pas non plus établie, ce qui laisse la tranche d'exposition reposer sur moins d'éléments qu'il ne faudrait.

Les sources désormais citées par les trois événements. AIN.UA mentionne toujours les serveurs ukrainiens saisis le 24 juin 2021, et le blog de Windscribe lui-même l'affaire grecque classée le 11 avril 2025. La saisie néerlandaise et le champ de saisie lui-même citent désormais la propre page de Windscribe sur l'absence de journaux, plutôt que la presse rémunérée par l'affiliation qui l'avait signalée en premier : le récit par une entreprise de sa propre saisie est une source primaire, et non le récit par quelqu'un d'autre de celle-ci. L'événement ukrainien est daté de la saisie elle-même, et non du compte rendu.

L'identité de ce tiers a évolué : l'annonce de l'audit de 2024 indique que les serveurs de VPN Pro sont « fournis en collaboration avec Nord », et l'explication de 2026 indique que VPN Pro est « équipé du protocole Lightway de nouvelle génération », qui est celui d'ExpressVPN. Aucun des deux documents n'indique que l'accord a changé.

X02 est le constat central, et les deux documents qui l'étayent émanent d'Opera. L'annonce de 2024 cite l'avis de Deloitte ainsi : « la configuration des systèmes informatiques et la gestion des opérations informatiques d'assistance ont été conçues et mises en œuvre de manière appropriée, à tous égards significatifs, sur la base des critères décrits dans la Management Assertion d'Opera, en date du 10 août 2024 », et attribue séparément à la propre Management Assertion d'Opera la phrase « Aucune fonctionnalité de journalisation des données n'est intégrée au service VPN, et aucune donnée quelle qu'elle soit n'est collectée ».

La publication de 2026 relate à nouveau la même mission, en indiquant que Deloitte a établi le constat : « nous avons donné à l'équipe de Deloitte un accès complet à notre VPN et à l'infrastructure de nos serveurs, et elle a pu vérifier notre affirmation... En fait, une fonction de journalisation des données n'est même pas intégrée au VPN à l'origine ». La même publication transforme une période que celle de 2024 date du 18 juin au 10 août 2024 en « accès complet ».

Opera décrit sa propre affirmation comme la conclusion de son auditeur. C'est pourquoi le bloc VERIFY se divise comme il le fait. V01 est yes_verified sur la base d'un rapport effectivement consulté — le propre résumé de gestion publié par Cure53 de son évaluation de mars 2022 — et non sur la base de l'annonce de Deloitte.

Le rapport de Deloitte lui-même n'est publié nulle part, donc V02 est press_only, et chaque champ qui constitue une conclusion de ce rapport plutôt qu'un fait relatif à la mission reste inconnu : couverture du parc (V04), norme d'assurance (V07), ce que le rapport indique comme faisant l'objet d'une conservation (V11) et solidité de l'opinion (V15).

Les faits relatifs à la mission — le cabinet, sa catégorie, la date, ce qui était indiqué comme ayant été testé — sont tirés de l'annonce. Un fournisseur qui a démontrablement requalifié cet audit une fois n'est pas une source de ce que l'audit a conclu. C01 est none_linkable parce que c'est la déclaration figurant dans la déclaration de confidentialité ; V11 est la conclusion, et il n'y a aucune conclusion à lire.

Le rapport de Cure53 est réel et c'est la raison pour laquelle V14 est yes_verified : sept testeurs, vingt-quatre jours-personnes, en boîte blanche sur quatre lots de travaux couvrant les clients VPN, la configuration et l'infrastructure des serveurs, ainsi que le protocole d'Opera Mini utilisé pour transmettre la configuration VPN. Quatorze problèmes liés à la sécurité, dont huit véritables vulnérabilités, cinq évalués comme étant de gravité élevée et aucun de gravité critique.

En mars 2022, neuf avaient été corrigés, les corrections ayant été vérifiées, un l'avait été partiellement, trois risques avaient été acceptés, un cas était une fausse alerte et un autre était toujours en cours. Le blog d'Opera indique que les sept éléments concernant directement le VPN du navigateur ont été « tous résolus par la suite », et le tableau le confirme : le reste se situe dans le lot de travaux Opera Mini, et non dans le VPN lui-même.

La propriété est entièrement déclarée et s'arrête dans un pays du mandat, ce qui explique pourquoi X03 et C11 pointent dans des directions opposées sans se contredire.

Le responsable du traitement nommé dans la propre déclaration de confidentialité d'Opera est Opera Norway AS, une société norvégienne, et le rapport de transparence est déposé sous ce nom.

La société holding est Opera Limited, une société exemptée constituée aux îles Caïmans en mars 2018, sans activités substantielles propres. Le Form 20-F pour 2025 désigne Hong Kong Kunlun Tech Holding Limited comme actionnaire principal à 68,0 %, une filiale de Kunlun Tech Co., Ltd. constituée en PRC, et indique que Kunlun « est la société mère ultime d'Opera et est contrôlée par le président exécutif d'Opera ».

Ainsi, M06 est NO et C10 est no, tandis que M11 est CN et C11 est yes.

C12 est la lacune la plus nette entre la déclaration du VPN et l'application dans laquelle il est intégré. La section VPN de la déclaration de confidentialité affirme l'absence de journalisation ; une autre section du même document indique que lorsqu'une application Opera est installée, « un ID d'installation aléatoire est généré. Nous recueillons cet identifiant, ainsi que le Machine ID, les caractéristiques matérielles (modèle, date de sortie, etc.), le système d'exploitation, la configuration de l'environnement et les données d'utilisation des fonctionnalités », conservés pendant jusqu'à trois ans.

Un Machine ID est dérivé du matériel ; l'identifiant détenu par le fournisseur est donc persistent_hardware_id et non un identifiant aléatoire limité à l'application, quelle que soit la journalisation effectuée ou non par le tunnel.

X12 compare deux documents déposés par Opera elle-même. Le formulaire Play sur la sécurité des données pour com.opera.browser déclare que Installed apps est recueilli à des fins d'Analytics, et la déclaration de confidentialité ne mentionne jamais la collecte des applications installées sur l'appareil. Installed apps relève du comportement, et non d'un identifiant ; il s'agit donc de undisclosed_behaviour.

Le même formulaire déclare que Device or other IDs sont partagés avec d'autres entreprises à des fins publicitaires, ce qui place C07a dans ads. C07b repose sur un élément plus limité et est marqué B pour cette raison : le seul hôte tiers présent dans le balisage diffusé pour la page du produit est Google Tag Manager, et ce que ce conteneur charge au moment de l'exécution n'a pas été énuméré.

U02 est inconnu en raison de la conception du produit, et non d'un échec de la recherche : le VPN gratuit propose trois régions — Opera les nomme America, Asia et Europe — et jamais de pays. C09 et C09b en découlent et ne peuvent pas être établis tant que cette situation perdure.

X05 est ads_supported dans la propre page explicative d'Opera, qui place la publicité en premier parmi trois sources de revenus et décrit Opera Ads recueillant un identifiant utilisateur généré aléatoirement, la ville ou le pays et de grandes catégories de sites consultés, conservés pendant jusqu'à un an ; avec U05 = unlimited_free, c'est exactement le cas que R15 vise à signaler.

X06 est l'affirmation du billet de 2026 selon laquelle l'AES-256 « demanderait à un pirate informatique, même équipé de l'ordinateur le plus rapide, plus d'un milliard d'années pour être cassé ». X09 est self_disclosed_prompt dans deux billets de 2026 où Opera a publié des vulnérabilités que des chercheurs externes lui avaient signalées, ainsi que l'analyse et la version corrigée — il s'agit de vulnérabilités du navigateur plutôt que d'incidents VPN, et aucun incident VPN n'est connu.

C05 est not_sold. Le VPN gratuit ne comporte aucune étape de paiement — ni abonnement ni compte — et il n'y a donc rien à payer, anonymement ou autrement.

Cette fiche avait d'abord été écrite comme none, ce qui se lit comme « seuls les moyens de paiement identifiés sont proposés » et qui est faux ici, car le vocabulaire ne comportait aucun jeton pour un service qui ne prend pas d'argent ; inconnu aurait affirmé que la recherche avait échoué, ce qui était également faux, et entre deux interprétations erronées, celle qui joue en défaveur du fournisseur a été enregistrée. Le jeton existe désormais et le prix est nul, ce qui est la réponse honnête : là où il n'y a pas de paiement, il n'y a pas d'identité de paiement à divulguer.