Mullvad VPN a été évalué par l'équipe HushFleet et placé dans la tranche Acceptable, avec un score de sécurité de 60/100 et un score d'utilisabilité de 64/100. Dans le classement général de sécurité des fournisseurs VPN, il se classe 2 sur 68. VPN commercial, juridiction de l'entreprise : Suède. Il dispose d'un audit de sécurité indépendant : le rapport complet est publié, niveau de preuve B.

Méthodologie: 3.7.0
Schéma: 3.7.0
Publié: 8 septembre 2026
Mis à jour: 25 septembre 2026

Spécification

Porté, jamais noté

7 champs figurent sur cette fiche sans entrer dans le score, et le contrat le dit dans le champ lui-même : scored: false. Ils sont ici parce qu'un lecteur qui demande qui possède cette entreprise, ou qui a signé l'audit, pose une question à laquelle la fiche répond — et parce qu'une valeur qui ne touche jamais au calcul doit rester visiblement en dehors plutôt que d'être discrètement mélangée.

Pays avec une sortie

Chaque pays où le fournisseur propose un point de sortie, compté à partir de sa propre page de serveurs : 50. Il n'y a ici aucun décompte de serveurs par pays et aucun total de parc nulle part sur le site — le contrat ne porte ni l'un ni l'autre, et un chiffre que personne ne peut sourcer est pire qu'un chiffre absent. Les 1 pays marqués mandat imposent une conservation des données ; cette marque vient de la table de pays propre à la méthodologie, non du fournisseur.

Classe : VPN commercial Tranche : Acceptable Juridiction : Suède Conservation : Rien qui relie le trafic à une personne Protocole : WireGuard Groupe propriétaire : Indépendant

Par l'équipe HushFleet35 changements enregistrés sur cette fiche

Ce qui a changé

Alternatives

Si celui-ci ne convient pas

Mullvad VPN — évaluation de sécurité par HushFleet

Classe de service	VPN commercial — la sécurité prime
Score de sécurité	60 sur 100 · Acceptable
Score d'utilisabilité	64 sur 100 · état établi · 75% établi · 79,4% du poids lu
Entité juridique	Mullvad VPN AB, Box 53049, 400 14 Gothenburg, Sweden
Juridiction	Suède
Propriétaire final	Amagicom AB, 100% owned by founders Fredrik Stromberg and Daniel Berntsson
Exposition	Moyen · canal dominant : conservation
Conservation	Rien qui relie le trafic à une personne
Dernier audit	Assured Security Consultants (GotaTun code review) and Leviathan Security Group (Android Mobile App Profile assessment) — two engagements, both reports dated 2026-02-17 · 17 févr. 2026 · Répétés, sans intervalle fixe · Oui, et le rapport a été lu
Pays avec des sorties	50
Protocoles	WireGuard
Fonctionne sous censure active	Affirmé comme fonctionnant
Protocole le plus faible encore proposé	non applicable
DNS propre à l'intérieur du tunnel	Oui, sur la parole du fournisseur
Plateformes	Android iOS Linux macOS Windows
Appareils simultanés	5
Kill switch	inconnu
Split tunneling	Disponible
Inscription	Aucun compte nécessaire
Offre gratuite	Aucune formule gratuite
P2P autorisé	inconnu
Accès aux principaux services de streaming	inconnu
Prix, mensuel	$5.69 par mois
Prix, annuel	$69.60 par an au renouvellement, facturé une fois

Pays proposés relevant d'un mandat de conservationC09_mandate_countries	Turquie
Pays du propriétaire bénéficiaire ultimeM11_owner_jurisdiction	SE
Clé de regroupement du groupe du propriétaireM15_owner_group	Indépendant
Date à laquelle le propriétaire actuel a pris le contrôleM16_control_since	non applicable
Rôle de cette marque au sein du groupeM17_brand_role	principal
Infrastructure partagée avec les autres membres du groupeM18_shared_infrastructure	separate
Total des audits publiésV10_audit_count	8

D'où vient le score de sécurité

Huit canaux, chacun posant une question à la fiche publiée et lisant un ensemble nommé de champs pour y répondre. Ils se multiplient plutôt qu'ils ne s'additionnent — le facteur à côté d'un canal est ce qui reste après la pression qu'il a trouvée, et ouvrez un canal pour voir chaque champ qu'il a lu, tel qu'il est stocké. Comment fonctionne le modèle

Champs de sécurité

67 55 d'entre eux alimentent un canal

Établis

54 7 restent inconnu, 6 non applicable(s)

Complétude

87% la part que le modèle a pu pondérer

Citations

74 sur 25 documents

Chaque valeur porte ce sur quoi elle repose, et le modèle pondère différemment les quatre niveaux. Le poids, puis le nombre de citations de cette fiche à ce niveau :

A pèse 1,00 · 9 iciB pèse 0,85 · 61 iciC pèse 0,70 · 4 ici

Les poids sont ceux de methodology.json lui-même ; une affirmation vue dans l’artefact lui-même compte plus que la même affirmation rapportée de seconde main. La date à la fin d’une ligne est le jour où cette valeur a été lue pour la dernière fois.

Un canal ne chiffre pas chaque champ qu'il lit. Ceux qu'il a chiffrés sont marqués sur leur bord et indiquent ce qu'ils ont ajouté ; tout le reste a été lu sans rien coûter. Seul un canal qui se compose champ par champ peut marquer un champ — les autres se chiffrent eux-mêmes par les paramètres affichés au-dessus de leurs lignes.

Encore ouvert sur cette fiche.

La fréquence des audits. Mullvad publie un index des audits dans le dépôt de l'application et il est explicite sur la fréquence : l'index indique clairement que les audits principaux de l'application ont lieu tous les deux ans, avec des audits supplémentaires entre-temps, raison pour laquelle la régularité est enregistrée comme répétée sans intervalle fixe plutôt que comme une série annuelle — personne ne revendique une fréquence annuelle.

Deux rapports, une date. Deux missions distinctes partagent la date du 17/02/2026 et la fiche les nomme toutes les deux : la revue de code d'Assured sur GotaTun, l'implémentation WireGuard en espace utilisateur (aucun problème critique, élevé ou moyen ; deux problèmes faibles et neuf remarques), et l'évaluation Mobile App Profile de Leviathan sur l'application Android, dont le rapport de conformité donne le 17 février 2026 comme date d'évaluation et AL2 comme niveau d'assurance. Une date, deux rapports, aucune contradiction.

le reste de ce qui est ouvert — 289 mots de plus

Pourquoi le décompte est de huit. Le nombre d'audits est de huit parce que la revue de GotaTun est extérieure à la propre liste du dépôt de l'application. Auparavant, une revue X41 D-Sec de 30 jours-personne couvrant les cinq plateformes a trouvé six vulnérabilités — trois élevées, deux moyennes, une faible, aucune critique.

Ce qu'aucune mission ne couvre. Ce qu'aucune de ces missions ne couvre, c'est la flotte de serveurs : chacune examine l'application ou le protocole de tunnel, raison pour laquelle la couverture de la flotte est enregistrée comme non applicable plutôt que comme un échantillon. L'affirmation de non-conservation des journaux du côté de l'infrastructure repose donc sur le mandat de perquisition d'avril 2023 — la police suédoise est venue chercher les données des clients et est repartie sans elles — et non sur un audit.

Des versions reproductibles, sur Android uniquement. Les versions reproductibles concernent uniquement Android, à partir de la version 2025.2, donc le champ reste partiel ; les versions pour ordinateur et iOS ne sont pas vérifiables bit à bit. La Turquie est le seul pays soumis à un mandat sur la liste proposée et l'hébergement qui la sous-tend n'est pas établi.

Rien de publié sur les demandes. Rien dans la fiche ne repose sur ce que le fournisseur publie au sujet des demandes qu'il reçoit : il n'y a ni rapport de transparence ni warrant canary, de sorte que la saisie d'avril 2023 en constitue à elle seule le fondement. La couverture du kill switch et la politique P2P ne sont pas établies ; le dernier audit est une revue de code du protocole, et non une mission sur la non-conservation des journaux, donc V11 reste silencieux et la conservation repose sur la déclaration.

Sur la fiche dans son ensemble.

Le mandat de perquisition d'avril 2023 est l'élément unique le plus solide de cette fiche : la police s'est rendue au bureau et n'est repartie avec rien, ce qui constitue une preuve de la pratique plutôt que du papier et vieillit bien plus lentement qu'un audit. Le tarif est forfaitairement de 5 EUR/mois pour toute durée ; U04_price_monthly contient 5,80 (l'équivalent en USD indiqué par Mullvad sur sa propre page) ; U04b_price_yearly est de 69,60, soit l'année complète à ce tarif.

ConservationExiste-t-il une fiche reliant le trafic à une personne, et qui l'a vérifiée ?13 champs lus · 2 non applicables · 21,8 points de pression×0,782

Composé plutôt qu'additionné : un a priori de 0.55 sur la branche silent, déplacé par ce que dit le document (0.0687) et par ce que montre la pratique (0.608), avec une crédence de 0.6389 venant de l'audit et 0.855 selon l'engagement du fournisseur, contre une sévérité de 0.03 pour ce qui est réellement conservé.

Conservation permettant d'identifier une personne, comme déclarésignificatifC01_linkable_retention

none_linkable

Bmullvad.net13 août 2026

Signaler un problème avec C01_linkable_retention

Identifiant persistant de l'appareil détenu par le fournisseurC12_device_identifier

none

Bplay.google.com15 août 2026

Signaler un problème avec C12_device_identifier

Au moins un audit indépendantsignificatifV01_audit_exists

yes_verified

Bgithub.com

Calculé

×0,601 d'une fiche irréprochable complétude 87%

D'où vient la chute : Conservation. C'est le canal où se concentre le risque de cette fiche — à lui seul, il ramène une fiche irréprochable à ×0,782, et sa barre ci-dessus est remplie jusque-là.

L'exposition est enregistrée comme medium et le statut d'intégrité comme clean.

Cette fiche se situe au-dessus de la moyenne du registre sur les 8 canaux. La marge la plus étroite est Divulgation, ×1,000 contre ×0,970.

Score publié

Chaque ligne ci-dessus est un champ de la fiche publiée, et chacune peut être contestée : chaque ligne porte Signaler, ou signaler quelque chose sur la fiche dans son ensemble. Une correction appuyée par une source est effectuée le jour même, et si elle fait bouger le score, elle fait bouger le rang.

Spécification

Porté, jamais noté

Pays avec une sortie

Ce qui a changé

Si celui-ci ne convient pas

Comparé avec

Mullvad VPN

D'où vient le score de sécurité

Proton VPN

IVPN

AirVPN