NordVPN a été évalué par l'équipe HushFleet et placé dans la tranche Insuffisante, avec un score de sécurité de 17/100 et un score d'utilisabilité de 70/100. Dans le classement général de sécurité des fournisseurs VPN, il se classe 12 sur 68. VPN commercial, juridiction de l'entreprise : Panama. Il déclare un audit de sécurité indépendant sur sa seule parole : le rapport est protégé par un accord de non-divulgation, niveau de preuve B.

Méthodologie: 3.7.0
Schéma: 3.7.0
Publié: 8 septembre 2026

Spécification

Porté, jamais noté

7 champs figurent sur cette fiche sans entrer dans le score, et le contrat le dit dans le champ lui-même : scored: false. Ils sont ici parce qu'un lecteur qui demande qui possède cette entreprise, ou qui a signé l'audit, pose une question à laquelle la fiche répond — et parce qu'une valeur qui ne touche jamais au calcul doit rester visiblement en dehors plutôt que d'être discrètement mélangée.

Pays avec une sortie

Chaque pays où le fournisseur propose un point de sortie, compté à partir de sa propre page de serveurs : 149. Il n'y a ici aucun décompte de serveurs par pays et aucun total de parc nulle part sur le site — le contrat ne porte ni l'un ni l'autre, et un chiffre que personne ne peut sourcer est pire qu'un chiffre absent. Les 6 pays marqués mandat imposent une conservation des données ; cette marque vient de la table de pays propre à la méthodologie, non du fournisseur.

Classe : VPN commercial Tranche : Insuffisante Juridiction : Panama Conservation : Comptages agrégés uniquement Protocole : Un protocole dérivé de WireGuard Groupe propriétaire : Nord Security

Par l'équipe HushFleet33 changements enregistrés sur cette fiche

Ce qui a changé

Alternatives

Si celui-ci ne convient pas

NordVPN — évaluation de sécurité par HushFleet

Classe de service	VPN commercial — la sécurité prime
Score de sécurité	17 sur 100 · Insuffisante
Score d'utilisabilité	70 sur 100 · état établi · 83% établi · 88,2% du poids lu
Entité juridique	nordvpn S.A.
Juridiction	Panama
Propriétaire final	Nord Security
Exposition	Moyen · canal dominant : conservation
Conservation	Comptages agrégés uniquement
Dernier audit	Deloitte Audit Lithuania · 12 déc. 2025 · Une série annuelle · inconnu
Pays avec des sorties	149
Protocoles	Un protocole dérivé de WireGuard OpenVPN Un protocole obfusqué
Fonctionne sous censure active	Affirmé comme fonctionnant
Protocole le plus faible encore proposé	non applicable
DNS propre à l'intérieur du tunnel	inconnu
Plateformes	Windows macOS Linux Android iOS Extension de navigateur Android TV Apple TV
Appareils simultanés	10
Kill switch	Sur toutes les plateformes
Split tunneling	Disponible
Inscription	inconnu
Offre gratuite	Aucune formule gratuite
P2P autorisé	Autorisé
Accès aux principaux services de streaming	inconnu
Prix, mensuel	$14.99 par mois
Prix, annuel	$139.08 par an au renouvellement, facturé une fois

Pays proposés relevant d'un mandat de conservationC09_mandate_countries	Émirats arabes unis Inde Irak Kazakhstan Turquie Viêt Nam
Pays du propriétaire bénéficiaire ultimeM11_owner_jurisdiction	inconnu
Clé de regroupement du groupe du propriétaireM15_owner_group	Nord Security
Date à laquelle le propriétaire actuel a pris le contrôleM16_control_since	2012
Rôle de cette marque au sein du groupeM17_brand_role	principal
Infrastructure partagée avec les autres membres du groupeM18_shared_infrastructure	separate
Total des audits publiésV10_audit_count	6

D'où vient le score de sécurité

Huit canaux, chacun posant une question à la fiche publiée et lisant un ensemble nommé de champs pour y répondre. Ils se multiplient plutôt qu'ils ne s'additionnent — le facteur à côté d'un canal est ce qui reste après la pression qu'il a trouvée, et ouvrez un canal pour voir chaque champ qu'il a lu, tel qu'il est stocké. Comment fonctionne le modèle

Champs de sécurité

67 55 d'entre eux alimentent un canal

Établis

47 19 restent inconnu, 1 non applicable(s)

Complétude

69% la part que le modèle a pu pondérer

Citations

65 sur 21 documents

Chaque valeur porte ce sur quoi elle repose, et le modèle pondère différemment les quatre niveaux. Le poids, puis le nombre de citations de cette fiche à ce niveau :

B pèse 0,85 · 58 iciC pèse 0,70 · 7 ici

Les poids sont ceux de methodology.json lui-même ; une affirmation vue dans l’artefact lui-même compte plus que la même affirmation rapportée de seconde main. La date à la fin d’une ligne est le jour où cette valeur a été lue pour la dernière fois.

Un canal ne chiffre pas chaque champ qu'il lit. Ceux qu'il a chiffrés sont marqués sur leur bord et indiquent ce qu'ils ont ajouté ; tout le reste a été lu sans rien coûter. Seul un canal qui se compose champ par champ peut marquer un champ — les autres se chiffrent eux-mêmes par les paramètres affichés au-dessus de leurs lignes.

Encore ouvert sur cette fiche.

Les deux prix. U04b_price_yearly=139.08 et U04_price_monthly=14.99 sont les montants de renouvellement de la formule Basic en USD, relevés sur nordvpn.com/pricing depuis une adresse IP américaine (la page verrouille la devise selon la géolocalisation ; la formule d'un an affiche 5,49 $/mois pendant les 12 premiers mois, puis 139,08 $/an).

La page de transparence, relue. Le bloc P a été relu par rapport à la page de transparence de NordVPN (nordvpn.com/blog/nordvpn-introduces-transparency-reports/, mise à jour quotidiennement) : en octobre 2024, un mandat contraignant du bureau du procureur panaméen a contraint NordVPN à transmettre des données de paiement et la confirmation qu'un compte existait pour une adresse e-mail donnée — la seule divulgation sur toute la durée figurant au dossier (P02/P03/P12).

le reste de ce qui est ouvert — 670 mots de plus

Le warrant canary et le trimestre qui l'a remplacé. La même page a retiré le warrant canary (P07=removed) au profit de rapports de transparence trimestriels ; le dernier trimestre complet (avr.–juin 2026) fait état de 85 demandes gouvernementales et de 0 divulgation, donc P08/P09 concernent cette période, et non le chiffre sur toute la durée.

L'Inde et le régime des injonctions secrètes. P04=withdrew_physical correspond au retrait d'Inde de juin 2022. P11=none_known repose sur l'affirmation de la page selon laquelle NordVPN n'a reçu aucune lettre contraignante de sécurité nationale ni injonction de silence, ainsi que sur l'absence d'un tel régime au Panama.

Un niveau d'assurance que personne ne peut vérifier. NordVPN décrit la mission de Deloitte Lithuania comme une mission d'assurance raisonnable selon la norme ISAE 3000 (Revised), ce qui serait la forme la plus forte ; le rapport de PIA, qui peut être consulté, énonce une conclusion d'assurance limitée.

Pourquoi la forme plus forte n'est pas créditée. Le modèle prend désormais cette différence en compte, et cette fiche n'en bénéficie pas : V15_assurance_strength est inconnu, car la seule déclaration du niveau vient de NordVPN et porte sur un rapport que personne en dehors d'un Nord Account ne peut ouvrir. Un document derrière une connexion n'est pas une preuve ici, quel que soit le niveau, et la mission est donc créditée au niveau de référence du marché plutôt qu'au niveau qu'elle est censée avoir atteint.

Un rapport derrière une connexion. Le rapport lui-même n'est lisible qu'après connexion à un Nord Account, de sorte que personne en dehors de cette relation n'en a vérifié la portée, et chaque champ d'audit ici repose sur le propre résumé qu'en fait NordVPN plutôt que sur le document. C'est cela, et non une constatation défavorable au service, qui explique pourquoi cette fiche est la moins étoffée du catalogue.

Les champs du propriétaire. M11_owner_jurisdiction et X04_owner_group_history sont inconnus : nordvpn.com et nordsecurity.com désignent Nord Security comme propriétaire, mais aucun des deux ne précise la propre juridiction d'immatriculation de Nord Security ni un quelconque historique antérieur du groupe ; la presse secondaire rattache une entité holding « Cyberspace » aux Pays-Bas depuis la fusion de 2022, mais cela n'a pas été confirmé par une page primaire de Nord Security ou de NordVPN dans le temps disponible.

Ce qui n'a pas pu être lu du tout. Le texte intégral du rapport Deloitte de 2025 ne peut pas être lu du tout (accès conditionné par une connexion), de sorte qu'aucune conclusion relative à la conservation n'est enregistrée au-delà de l'affirmation propre à la politique dans C01_linkable_retention.

Sur la fiche dans son ensemble.

nordvpn.com lui-même renvoie un défi anti-bot Cloudflare (403) pour chaque récupération sans navigateur utilisée dans cet audit, y compris avec un outil headless-fetch ; chaque citation d'une page nordvpn.com dans cette fiche a été récupérée par l'intermédiaire d'un proxy de lecture tiers (r.jina.ai) qui restitue la page côté serveur, et non par une requête directe au domaine.

Les documents juridiques (avis de confidentialité, conditions) se trouvent sur un domaine distinct, my.nordaccount.com, qui n'est pas repérable dans le sitemap de nordvpn.com lui-même — ils n'ont été atteints qu'en suivant le lien du pied de page d'une page rendue. Le sixième rapport d'assurance no-logs de Deloitte (publié le 12/12/2025) est explicitement protégé par une connexion, selon un article de blog de NordVPN lui-même (« nous ne publions pas d'extraits publiquement... connectez-vous à votre Nord Account ») ; V11_audit_findings est donc enregistré comme not_stated plutôt que d'inférer un constat de conservation à partir du résumé de l'annonce, conformément à R23.

le reste de ce qui est ouvert — 116 mots de plus

La faille du centre de données en Finlande en 2018 était une intrusion par un tiers, et non une saisie par les autorités — elle est enregistrée sous P12_case_history avec kind=breach, et non sous P01_seizure_event. Le propre compte rendu de NordVPN (nordvpn.com/blog/official-response-datacenter-breach/) et la couverture contemporaine de Bloomberg concordent pour dire que la divulgation a fait suite à des allégations sur Twitter par des chercheurs externes, et non à une initiative de NordVPN elle-même — d'où third_party_disclosed plutôt que self_disclosed_late.

NordVPN et Surfshark ont la même maison mère (Nord Security), mais l'annonce de fusion des deux entreprises indique une infrastructure et des feuilles de route produits distinctes ; M18 est défini comme séparé sur cette base.

ConservationExiste-t-il une fiche reliant le trafic à une personne, et qui l'a vérifiée ?13 champs lus · 1 laissés inconnus · 45,0 points de pression×0,550

Composé plutôt qu'additionné : un a priori de 0.55 sur la branche silent, déplacé par ce que dit le document (0.0374) et par ce que montre la pratique (0.3005), avec une crédence de 0.3173 venant de l'audit et 0.85 selon l'engagement du fournisseur, contre une sévérité de 0.08 pour ce qui est réellement conservé.

Conservation permettant d'identifier une personne, comme déclarésignificatifC01_linkable_retention

aggregates_only

Bmy.nordaccount.com28 août 2026

Signaler un problème avec C01_linkable_retention

Identifiant persistant de l'appareil détenu par le fournisseurC12_device_identifier

resettable_ad_id

Bmy.nordaccount.com27 août 2026

Signaler un problème avec C12_device_identifier

Au moins un audit indépendantsignificatifV01_audit_exists

yes_declared

Bnordvpn.com

Calculé

×0,172 d'une fiche irréprochable complétude 69%

D'où vient la chute : Conservation. C'est le canal où se concentre le risque de cette fiche — à lui seul, il ramène une fiche irréprochable à ×0,550, et sa barre ci-dessus est remplie jusque-là.

L'exposition est enregistrée comme medium et le statut d'intégrité comme clean.

Par rapport au reste du registre, cette fiche se situe le plus au-dessus sur Juridiction — ×0,921 là où le registre atteint en moyenne ×0,680 — et le plus en dessous sur Divulgation, ×0,780 contre ×0,970.

Score publié

Chaque ligne ci-dessus est un champ de la fiche publiée, et chacune peut être contestée : chaque ligne porte Signaler, ou signaler quelque chose sur la fiche dans son ensemble. Une correction appuyée par une source est effectuée le jour même, et si elle fait bouger le score, elle fait bouger le rang.

13 sept. 20261 changement

Pourquoi ce fournisseur figure dans le catalogueM14_inclusion_basis

hand_picked remplacé par adverse_record

30 août 20261 changement

Le protocole le plus faible encore proposéC13_weakest_protocol

wireguard_derived remplacé par absent de la fiche

29 août 20268 changements

Le protocole le plus faible encore proposéC13_weakest_protocol

absent de la fiche remplacé par wireguard_derived

Serveurs dans le parc, selon les déclarationsU03_network_size

8250 remplacé par absent de la fiche

Protocole le plus rapide proposéU07_modern_protocol

wireguard_derived remplacé par absent de la fiche

Protocoles proposésU07_protocols

absent de la fiche remplacé par wireguard_derived

Historique réel des divulgationsP02_disclosure_history

absent de la fiche remplacé par account_data_disclosed

Fiche judiciaire d'une production forcéeP03_court_record

absent de la fiche remplacé par produced_account_data

Réponse à un mandat national de conservationP04_mandate_response

absent de la fiche remplacé par withdrew_physical

Rapport de transparenceP05_transparency_report

absent de la fiche remplacé par fresh_with_numbers

23 changements antérieurs

29 août 202615 changements

Chiffres publiés plausibles à cette échelleP06_report_plausibility

absent de la fiche remplacé par plausible

Discipline du warrant canaryP07_warrant_canary

absent de la fiche remplacé par removed

Demandes reçues pendant la périodeP08_requests_received

absent de la fiche remplacé par 85

Demandes pour lesquelles des données ont été fourniesP09_data_provided

absent de la fiche remplacé par 0

Régime d'injonctions secrètes dans le pays d'immatriculationP11_gag_order_regime

absent de la fiche remplacé par none_known

Chronologie des événements d'application documentésP12_case_history

{"date":"2018-03","kind":"breach","outcome":"nothing_produced","source_url":"https://nordvpn.com/blog/official-response-datacenter-breach/"} remplacé par {"date":"2018-03","kind":"breach","outcome":"nothing_produced","source_url":"https://nordvpn.com/blog/official-response-datacenter-breach/"}, {"date":"2024-10","kind":"court_order","outcome":"account_data","source_url":"https://nordvpn.com/blog/nordvpn-introduces-transparency-reports/"}

Spécification

Porté, jamais noté

Pays avec une sortie

Ce qui a changé

Si celui-ci ne convient pas

Comparé avec

NordVPN

D'où vient le score de sécurité

Proton VPN

Mullvad VPN

IVPN