Surfshark vs Windscribe

L'Inde et le régime des injonctions secrètes. P04_mandate_response=withdrew_physical correspond au retrait d'Inde de juin 2022, rétabli à partir du blog de Surfshark (surfshark.com/blog/surfshark-servers-certin-india) après que l'analyse précédente a constaté que la page /trust-center ne le mentionnait plus. P11=judicial_only repose sur le rapport de transparence, qui montre que le mandat de l'Amsterdam District Court d'avril 2026 ainsi que ses compteurs de lettres de sécurité nationale et d'injonctions de silence sont à zéro.

Deux rapports trouvés, peut-être pas tous. Seuls deux rapports Deloitte sur l'absence de conservation des journaux (décembre 2022, juin 2025) ont été trouvés publiés ; il peut en exister d'autres non liés depuis robots.txt que cet audit n'a pas recherchés par d'autres moyens.

Pourquoi la conservation est chiffrée sur la base du constat. La conservation est donc chiffrée sur la base de ce qu'un auditeur a démontré comme accessible, plutôt que sur ce que la politique déclare, et le canal d'intégrité rend compte de l'écart entre les deux. Il faut l'interpréter comme un constat datant de deux ans sur un nœud, et non comme une mesure actuelle : le périmètre se limitait à ca-023.windscribe.com, et une mission plus récente couvrant une plus grande partie du parc permettrait de trancher.

La liste qui n'a jamais été consultée. La liste de pays proposée n'a jamais été consultée, de sorte que ni le score d'utilisabilité par pays ni l'intersection avec le mandat ne peuvent être calculés — Windscribe publie une distinction entre physique et virtuel, ce qui rend C09b évaluable ici dès que la liste le sera. L'ampleur des utilisateurs n'est pas non plus établie, ce qui laisse la tranche d'exposition reposer sur moins d'éléments qu'il ne faudrait.

Les sources désormais citées par les trois événements. AIN.UA mentionne toujours les serveurs ukrainiens saisis le 24 juin 2021, et le blog de Windscribe lui-même l'affaire grecque classée le 11 avril 2025. La saisie néerlandaise et le champ de saisie lui-même citent désormais la propre page de Windscribe sur l'absence de journaux, plutôt que la presse rémunérée par l'affiliation qui l'avait signalée en premier : le récit par une entreprise de sa propre saisie est une source primaire, et non le récit par quelqu'un d'autre de celle-ci. L'événement ukrainien est daté de la saisie elle-même, et non du compte rendu.

Cette fiche avait déjà été lue deux fois — connection_timestamps dans V11 d'après la formulation de l'audit, source_ip dans C01 d'après la formulation de la politique — et notée selon le moins favorable des deux, ce qui faisait coûter davantage les quinze minutes de conservation que le fait de ne rien dire du tout : une valeur vide pour C01 correspond au prior du marché de 0,550 et source_ip vaut 0,750.

R29 trace désormais la ligne : l'état supprimé dans un délai déclaré lié à la fin de la session relève de la connexion, et non d'une fiche de celle-ci ; les deux champs sont donc connection_timestamps dans la même phrase. Ce qui reste pris en compte est ce qui survit à la session — la date de dernière connexion dans la section 2.3.1 de la politique et les connection timestamps nommés par l'auditeur.

Surfshark et NordVPN ont le même propriétaire (Nord Security, depuis 2022), mais la page de présentation de Surfshark indique que les marques ont fusionné « tout en opérant indépendamment », avec une infrastructure distincte — M18 est donc défini comme séparé sur cette base, conformément à la fiche nordvpn.com.

U12a est partiel plutôt que oui dans la propre colonne P2P du tableau des serveurs : 88 des 100 pays listés la portent et douze ne la portent pas (AU, CL, CO, HR, GR, IE, JP, MX, NZ, TW, TR, AE). La colonne est générée côté client ; elle a donc été relevée dans le tableau rendu plutôt que dans le HTML statique, où chaque ligne porte chaque libellé.

Le rapport de transparence à l'adresse /transparency-report — vers laquelle /warrant-canary redirige désormais — présente le trimestre avril-juin 2026 sous forme de tableau : 374,719 notifications DMCA, 33 demandes d'institutions gouvernementales, 1 mandat, 0 lettres de sécurité nationale et 0 injonctions de silence. P08 compte les 34 demandes légales et exclut les notifications DMCA : il s'agit de plaintes pour atteinte aux droits d'auteur concernant le trafic, et non de demandes de données d'un utilisateur.

La même page indique que Surfshark retire son warrant canary au profit de rapports trimestriels, raison pour laquelle P07 est supprimé plutôt que considéré comme absent — le canary existait et a été retiré délibérément.

U07_protocols porte proprietary pour Dausos selon les propres termes de Surfshark — sa page consacrée aux protocoles qualifie Dausos de « protocole propriétaire de Surfshark » et ne publie aucune source à son sujet — et cette valeur unique définit C13_weakest_protocol ainsi que la pénalité d'hygiène qui suit. IKEv2 est conservé parce que Surfshark le documente toujours, bien que son propre blog consigne son retrait de l'application Windows ; Shadowsocks a disparu de l'index d'assistance et n'y est pas listé.