Les termes d’une fiche

Aucune donnée usability.state

Une affirmation concernant la recherche plutôt que le fournisseur, dans l'un ou l'autre axe. Un verdict no_data de sécurité signifie que trop peu d'éléments sont publiés pour positionner la fiche : 0 des 77 en portent un, aucune liste ne les classe et chacun conserve sa fiche. Lorsque usability.state vaut no_data, le score d'utilisabilité est un plancher plutôt qu'un positionnement — trop peu d'éléments ont été publiés pour déterminer où se situe réellement le fournisseur. 10 des 77 sont dans cette situation. Ils restent dans le registre et dans chaque filtre, signalés plutôt que masqués.

Canal breakdown.channels

Une voie par laquelle un utilisateur pourrait être identifié, assortie d’une probabilité comprise entre 0 et 1. Chaque fiche de fournisseur présente les huit canaux ainsi que les champs qui les alimentent, ce qui rend le calcul arithmétique vérifiable plutôt que simplement affirmé.

Catégorie de service service_class

De quel type de service il s'agit, affiché avec chaque score, car les deux n'ont pas de sens séparément : commercial_vpn, censorship_tool, browser_proxy, p2p_exit, decentralized. 59 des 77 sont des VPN commerciaux, et decentralized est actuellement vide.

Le verdict et les cinq tranches verdict

Un terme lu directement à partir de l'entier de sécurité, afin qu'un fournisseur ne puisse pas porter une étiquette qui ne concorde pas avec son nombre : fort 75 et plus, acceptable 55–74, faible 35–54, insuffisant 15–34, non recommandé moins de 15.

Plafond et plancher

Aucun canal ne peut dépasser 0.9 : la certitude n'est pas accessible à partir d'un examen de documents, et un modèle atteignant 1.0 la revendiquerait. À l'inverse, un seul constat peut fixer le plancher d'un canal — un identifiant matériel persistant détenu par le fournisseur fixe un plancher à la conservation qu'aucun audit ne peut relever.

Score d'utilisabilité

De 0 à 100, à partir de douze champs pondérés — notamment la couverture, le prix, l'offre gratuite, le contournement, les protocoles, le kill switch, les appareils, le streaming et le P2P. Il s'agit d'une moyenne pondérée des champs auxquels une valeur est attribuée, de sorte qu'un fournisseur n'est pas pénalisé pour un champ que personne n'a renseigné pour aucun fournisseur. Il n'est jamais moyenné avec le score de sécurité et ne fait jamais passer un fournisseur devant un autre ayant un meilleur score : la seule chose qu'il détermine est lequel de deux fiches ayant le même score de sécurité est classé en premier.

Score de sécurité

De 0 à 100, et c'est le seul élément que suit le classement. Il est calculé à partir de huit canaux de risque, chacun correspondant à la probabilité que cette route précise identifie l'utilisateur, combinés selon la formule 100 × ∏(1 − risk). Un risque élevé sur un canal pèse à lui seul sur l'ensemble du produit ; les petits risques s'accumulent progressivement au lieu d'être éliminés par l'arrondi.

Architecture

Qui exploite la sortie ? Cela ne coûte généralement rien et, à l'occasion, décide de l'ensemble de la fiche : un service qui achemine le trafic via les appareils de tiers sans lien avec lui présente ici un risque qu'aucune bonne politique ailleurs ne peut compenser.

Conservation

Existe-t-il une trace reliant le trafic à une personne, et qui l’a vérifiée ? Le canal le plus pondéré du modèle. Il examine le champ de conservation, l’identifiant de l’appareil et tout ce qui concerne l’audit qui permettrait de confirmer ou de remettre en cause cette affirmation — la catégorie de l’auditeur, la norme d’assurance, la manière dont le rapport a été publié, et si le périmètre couvrait l’ensemble du parc ou un échantillon.

Divulgation

A-t-il déjà remis quelque chose ? Le seul canal fondé entièrement sur des événements plutôt que sur des politiques : saisies lors desquelles des données ont été obtenues, décisions de justice ordonnant une production, historique des divulgations. La divulgation de contenu est presque éliminatoire ; les seules données de compte sont pénalisées bien moins lourdement.

Hygiène

Quelles données permettant l’identification sont collectées au passage, et est-il seulement possible de vérifier le client ? Dix petits champs — serveurs utilisant uniquement de la RAM, partage d’IP, inscription sans adresse e-mail, paiement anonyme, DNS dans le tunnel, SDK tiers, propriété des serveurs, code source ouvert, compilations reproductibles, tests d’intrusion. Peu coûteux individuellement, plafonnés ensemble, et révélateurs de manière fiable de l’attention portée à ces questions.

Ignorance

Quelle part de ces éléments n’a été établie par personne ? Le canal qui chiffre nos propres angles morts, déterminé par l’ampleur des lacunes de la fiche. C’est la raison pour laquelle un fournisseur non examiné est classé derrière un fournisseur documenté, plutôt qu’à son niveau.

Le comportement permet un allègement : un warrant canary tenu à jour, un rapport de transparence récent avec des chiffres, un incident signalé rapidement ou un retrait physique d’un pays ayant imposé un mandat de conservation des journaux. Aucun de ces éléments n’est une affirmation sur la conservation des journaux — chacun correspond à un comportement qu’il serait difficile de simuler.

Intégrité

A-t-il été pris à dire une chose et à en faire une autre ? Les mensonges documentés, les écarts entre le marketing et les conclusions des audits, l’opacité de la structure de propriété, les antécédents du groupe propriétaire et la façon dont l’offre gratuite est financée. Les petits indices marketing — affirmations d’anonymat absolu, incitations à souscrire à vie, couverture qui n’existe que sur des sites affiliés — comptent chacun un peu.

Juridiction

Quelqu'un peut-il contraindre à produire ce qui existe, sans que le fournisseur ait son mot à dire ? Examinez le lieu où l'entreprise est enregistrée et celui où se trouve son propriétaire bénéficiaire — un mandat visant le propriétaire pèse moins qu'un mandat visant l'entreprise, mais il compte.

Silence

Dix ans, des millions d’utilisateurs et rien dans la fiche ? Un fournisseur réellement exposé — années d’activité × volume d’utilisateurs × juridictions hostiles — sans saisie, sans dossier judiciaire et sans rapport de transparence n’est pas pour autant prouvé irréprochable. Une faible exposition ne coûte rien ici ; une forte exposition avec une fiche vide coûte un peu.

Adresses IP partagées et dédiées C03_ip_sharing

Une adresse de sortie partagée place de nombreux utilisateurs derrière une même IP, ce qui correspond en partie à la raison d’être d’un VPN. Une IP dédiée n’appartient qu’à vous — mieux pour les services qui bloquent les plages partagées, mais moins adaptée à ce que vous êtes venu chercher.

Compilations reproductibles V13_reproducible_builds

La possibilité pour quiconque de reconstruire l’application publiée à partir du code source publié et d’obtenir un binaire identique octet par octet. L’open source indique ce que fait le code ; les compilations reproductibles montrent que le code correspond bien à celui que vous exécutez.

Conservation pouvant être mise en relation C01_linkable_retention

Quelle fiche existe qui pourrait relier le trafic à une personne — question posée à partir des preuves au dossier plutôt que de ce qu’un fournisseur affirme au sujet de sa conservation des données. Cinq réponses, dans l’ordre de ce qu’elles coûtent : none_linkable, aggregates_only, session_metadata, source_ip, activity.

DNS à l'intérieur du tunnel C06_own_dns_in_tunnel

Si les résolutions de noms sont effectuées par les propres résolveurs du fournisseur à l'intérieur du tunnel. Si elles fuient vers le résolveur par défaut du réseau, un observateur apprend chaque site que vous consultez sans jamais voir votre trafic.

Identifiant d'appareil C12_device_identifier

Un identifiant persistant sur votre appareil que le fournisseur détient lui-même, allant d'un identifiant limité à l'application à un identifiant publicitaire réinitialisable, jusqu'à un identifiant matériel persistant. C'est le champ qui peut rendre hors sujet un rapport irréprochable sans journaux : rien n'a été consigné concernant votre trafic, et vous pouvez malgré tout être identifié nominativement.

kill switch U08_kill_switch

Bloque le trafic lorsque le tunnel tombe, au lieu de le laisser discrètement passer par la connexion ordinaire. Il évite une défaillance dont personne ne remarque la survenue.

Mandat de conservation des données C09, C10, C11

Une exigence nationale imposant aux opérateurs de VPN de conserver les données des utilisateurs. Certains des pays répertoriés en imposent un. Cette exigence compte à deux endroits : le pays où l'entreprise est enregistrée et les pays où son parc de serveurs est présent — deux questions distinctes, aux conséquences différentes.

Nœuds de sortie P2P C00_architecture

Une architecture où le trafic sort par les appareils d'autres utilisateurs plutôt que par les serveurs de l'opérateur, généralement en échange d'une offre gratuite. Personne n'exploite la sortie, ce qui constitue à la fois toute la proposition et tout le problème — et signifie que le trafic de quelqu'un d'autre peut sortir par votre appareil.

Pays des serveurs U02_server_countries

Les pays qu’un fournisseur énumère effectivement comme comptant une sortie — la liste, pas un nombre. Lorsqu’un fournisseur ne publie aucune liste, le champ est inconnu plutôt que complété à partir de son marketing : tout nombre affiché ici correspond donc à la longueur d’une liste que vous pouvez vérifier. 27 des 77 ne publient aucune liste ; les 41 qui en publient couvrent à eux tous 180 pays.

Périmètre de l’audit V04_scope_servers

Indique si un audit a couvert l’ensemble du parc ou seulement un échantillon. Une conclusion d’absence de journaux portant sur un échantillon concerne les serveurs qui ont été présentés à l’auditeur. Le modèle chiffre la différence au lieu de traiter les deux comme “audités”.

Protocoles U07_protocols

Tous les protocoles de tunneling utilisés par un client, sous forme de liste. Le champ servait à contenir le plus rapide d'entre eux ; depuis le schéma 3.4.0, il les contient tous, ce qui rend visible le plus faible. WireGuard est compact, rapide et moderne ; OpenVPN est plus ancien, plus lent et encore proposé presque partout ; L2TP, PPTP et SSTP sont obsolètes, et le fait d'en proposer un est ce que nomme C13_weakest_protocol et ce qui fixe le prix plancher du protocole. Les noms commerciaux — NordLynx, Lightway, Hydra, Chameleon — désignent des implémentations plutôt que des protocoles ; NordLynx est compté comme WireGuard, ce qu'il est.

Rapport de transparence P05_transparency_report

Un décompte périodique des demandes reçues et du nombre de celles auxquelles il a été répondu par la transmission de données. Évalué selon sa fraîcheur et la présence de chiffres — et vérifié quant à sa plausibilité, car zéro demande à grande échelle sur plusieurs années est une affirmation sur le monde, pas sur la politique appliquée.

Serveurs en RAM uniquement C02_ram_only

Serveurs fonctionnant à partir d'une mémoire volatile, sans disque : une saisie ne permet donc de récupérer aucune donnée ayant survécu à la coupure de l'alimentation. Facile à affirmer et difficile à vérifier, ce qui explique pourquoi le champ distingue yes_verified de yes_declared.

Split tunneling U09_split_tunneling

Faire passer certaines applications par le tunnel et d’autres à côté. Pratique, mais cela revient à décider ce qui reste exposé — c’est pourquoi cette fonction relève de l’axe de l’utilisabilité plutôt que de celui de la sécurité.

Warrant canary P07_warrant_canary

Déclaration publiée selon laquelle aucun mandat secret n’a été reçu, mise à jour selon un calendrier afin que son absence transmette le message que l’opérateur n’est pas autorisé à envoyer. Utile uniquement si elle est tenue à jour : stale et removed sont enregistrés séparément, et un canary qui s’est discrètement arrêté n’est pas un événement neutre.