Windscribe — évaluation de sécurité par HushFleet

Classe de service	VPN commercial — la sécurité prime
Score de sécurité	11 sur 100 · Déconseillée
Score d'utilisabilité	68 sur 100 · état établi · 83% établi · 82,4% du poids lu
Entité juridique	Windscribe Limited, Toronto, Ontario, Canada
Juridiction	Canada
Propriétaire final	Founder-owned: Yegor Sak (CEO), Alex Paguis (CTO), Mark Ulicki (CIO); self-funded, no outside investors
Exposition	Moyen · canal dominant : conservation
Conservation	Horodatages des connexions
Dernier audit	Packetlabs (June 2024 retest, one production node); Leviathan Security Group (desktop 2021, mobile 2022) · 26 juin 2024 · Répétés, sans intervalle fixe · Oui, et le rapport a été lu
Pays avec des sorties	non publié
Protocoles	WireGuard OpenVPN IKEv2 Un protocole obfusqué
Fonctionne sous censure active	Affirmé comme fonctionnant
Protocole le plus faible encore proposé	non applicable
DNS propre à l'intérieur du tunnel	Oui, sur la parole du fournisseur
Plateformes	Android Apple TV Extension de navigateur Fire TV iOS Linux macOS Routeurs Windows
Appareils simultanés	inconnu
Kill switch	Sur ordinateur uniquement
Split tunneling	Disponible
Inscription	Aucun compte nécessaire
Offre gratuite	Une formule gratuite avec des limites
P2P autorisé	Autorisé sur certains serveurs
Accès aux principaux services de streaming	Certains services accessibles
Prix, mensuel	$9.00 par mois
Prix, annuel	$69.00 par an au renouvellement, facturé une fois

Pays proposés relevant d'un mandat de conservationC09_mandate_countries	inconnu
Pays du propriétaire bénéficiaire ultimeM11_owner_jurisdiction	CA
Clé de regroupement du groupe du propriétaireM15_owner_group	Indépendant
Date à laquelle le propriétaire actuel a pris le contrôleM16_control_since	non applicable
Rôle de cette marque au sein du groupeM17_brand_role	principal
Infrastructure partagée avec les autres membres du groupeM18_shared_infrastructure	separate
Total des audits publiésV10_audit_count	3

D'où vient le score de sécurité

Huit canaux, chacun posant une question à la fiche publiée et lisant un ensemble nommé de champs pour y répondre. Ils se multiplient plutôt qu'ils ne s'additionnent — le facteur à côté d'un canal est ce qui reste après la pression qu'il a trouvée, et ouvrez un canal pour voir chaque champ qu'il a lu, tel qu'il est stocké. Comment fonctionne le modèle

Champs de sécurité

67 55 d'entre eux alimentent un canal

Établis

54 10 restent inconnu, 3 non applicable(s)

Complétude

84% la part que le modèle a pu pondérer

Citations

73 sur 23 documents

Chaque valeur porte ce sur quoi elle repose, et le modèle pondère différemment les quatre niveaux. Le poids, puis le nombre de citations de cette fiche à ce niveau :

A pèse 1,00 · 13 iciB pèse 0,85 · 51 iciC pèse 0,70 · 9 ici

Les poids sont ceux de methodology.json lui-même ; une affirmation vue dans l’artefact lui-même compte plus que la même affirmation rapportée de seconde main. La date à la fin d’une ligne est le jour où cette valeur a été lue pour la dernière fois.

Un canal ne chiffre pas chaque champ qu'il lit. Ceux qu'il a chiffrés sont marqués sur leur bord et indiquent ce qu'ils ont ajouté ; tout le reste a été lu sans rien coûter. Seul un canal qui se compose champ par champ peut marquer un champ — les autres se chiffrent eux-mêmes par les paramètres affichés au-dessus de leurs lignes.

Encore ouvert sur cette fiche.

Ce que le test d'intrusion a établi. Le score de sécurité repose sur le rapport de Packetlabs de juin 2024 et l'interprète dans le sens défavorable. Le test d'intrusion a établi que le service IKEv2 stockait l'adresse IP d'origine des utilisateurs qui se connectaient ainsi que les heures de début et de fin de session, en mémoire volatile et également sur disque, et que les journaux des microservices contenaient des identifiants OpenVPN, des clés prépartagées WireGuard et des noms d'utilisateur IKEv2.

Le retest, et sa propre réserve. Le retest effectué trois semaines plus tard a vérifié que tous ces éléments avaient été corrigés — mais la conclusion du rapport lui-même précise que cela « ne couvre pas chaque découverte relevée dans le constat », et attribue une partie du constat à une configuration déployée de manière incorrecte sur le nœud de test.

le reste de ce qui est ouvert — 262 mots de plus

Pourquoi la conservation est chiffrée sur la base du constat. La conservation est donc chiffrée sur la base de ce qu'un auditeur a démontré comme accessible, plutôt que sur ce que la politique déclare, et le canal d'intégrité rend compte de l'écart entre les deux. Il faut l'interpréter comme un constat datant de deux ans sur un nœud, et non comme une mesure actuelle : le périmètre se limitait à ca-023.windscribe.com, et une mission plus récente couvrant une plus grande partie du parc permettrait de trancher.

La liste qui n'a jamais été consultée. La liste de pays proposée n'a jamais été consultée, de sorte que ni le score d'utilisabilité par pays ni l'intersection avec le mandat ne peuvent être calculés — Windscribe publie une distinction entre physique et virtuel, ce qui rend C09b évaluable ici dès que la liste le sera. L'ampleur des utilisateurs n'est pas non plus établie, ce qui laisse la tranche d'exposition reposer sur moins d'éléments qu'il ne faudrait.

Les sources désormais citées par les trois événements. AIN.UA mentionne toujours les serveurs ukrainiens saisis le 24 juin 2021, et le blog de Windscribe lui-même l'affaire grecque classée le 11 avril 2025. La saisie néerlandaise et le champ de saisie lui-même citent désormais la propre page de Windscribe sur l'absence de journaux, plutôt que la presse rémunérée par l'affiliation qui l'avait signalée en premier : le récit par une entreprise de sa propre saisie est une source primaire, et non le récit par quelqu'un d'autre de celle-ci. L'événement ukrainien est daté de la saisie elle-même, et non du compte rendu.

Sur la fiche dans son ensemble.

Trois demandes distinctes dans trois juridictions, dont aucune n'a produit de données, et toutes trois datées. C'est la fiche que le parcours en pratique a été conçu pour chiffrer : elle pèse davantage que l'audit, qui est un test d'intrusion plutôt qu'une mission sur l'absence de journaux.

U08 est desktop_only sur la propre page des fonctionnalités de Windscribe : le Firewall est fourni dans les applications Windows, Mac et Linux, et sur Android et iOS la page oriente plutôt l'utilisateur vers le Always-On VPN propre au système d'exploitation. Il s'agit d'une fonctionnalité de la plateforme plutôt que du fournisseur, et c'est cette distinction que le champ comptabilise.

U12b est partiel sur la même base — la page marketing promet le déblocage, tandis que l'article d'assistance indique que l'entreprise ne peut pas garantir que tous les services de streaming fonctionneront et qu'un second article attribue le fait que Netflix n'affiche que les contenus Originals à la propre détection des VPN de Netflix.

ConservationExiste-t-il une fiche reliant le trafic à une personne, et qui l'a vérifiée ?13 champs lus · 1 laissés inconnus · 75,0 points de pression×0,250

Composé plutôt qu'additionné : un a priori de 0.55 sur la branche stated, déplacé par ce que dit le document (0.2215) et par ce que montre la pratique (0.85), avec une crédence de 0.9497 venant de l'audit et 0.5652 selon l'engagement du fournisseur, contre une sévérité de 0.75 pour ce qui est réellement conservé.

Conservation permettant d'identifier une personne, comme déclarésignificatifC01_linkable_retention

connection_timestamps

Bwindscribe.com28 août 2026

Signaler un problème avec C01_linkable_retention

Identifiant persistant de l'appareil détenu par le fournisseurC12_device_identifier

app_scoped_id

Bplay.google.com15 août 2026

Signaler un problème avec C12_device_identifier

Au moins un audit indépendantsignificatifV01_audit_exists

yes_verified

Adrive.google.com

Calculé

×0,113 d'une fiche irréprochable complétude 84%

D'où vient la chute : Conservation. C'est le canal où se concentre le risque de cette fiche — à lui seul, il ramène une fiche irréprochable à ×0,250, et sa barre ci-dessus est remplie jusque-là.

L'exposition est enregistrée comme medium et le statut d'intégrité comme caught_lying.

Par rapport au reste du registre, cette fiche se situe le plus au-dessus sur Ignorance — ×0,896 là où le registre atteint en moyenne ×0,662 — et le plus en dessous sur Conservation, ×0,250 contre ×0,432.

Score publié

Chaque ligne ci-dessus est un champ de la fiche publiée, et chacune peut être contestée : chaque ligne porte Signaler, ou signaler quelque chose sur la fiche dans son ensemble. Une correction appuyée par une source est effectuée le jour même, et si elle fait bouger le score, elle fait bouger le rang.

13 sept. 20261 changement

Pourquoi ce fournisseur figure dans le catalogueM14_inclusion_basis

hand_picked remplacé par adverse_record

12 sept. 20264 changements

Plateformes avec un clientU01_platforms

android, browser-extension, ios, linux, macos, windows remplacé par android, apple-tv, browser-extension, fire-tv, ios, linux, macos, routers, windows

Score d'utilisabilitéusability.score

65 remplacé par 68

Chronologie des événements d'application documentésP12_case_history

{"date":"2021-06","kind":"seizure","outcome":"nothing_produced","source_url":"https://en.ain.ua/2021/07/28/ukrainian-authorities-seize-windscribe-vpn-servers/"}, {"date":"2025-04","kind":"court_order","outcome":"nothing_produced","source_url":"https://windscribe.com/blog/windscribe-greek-court-case/"}, {"date":"2026-02","kind":"seizure","outcome":"nothing_produced","source_url":"https://www.tomshardware.com/software/vpn/dutch-authorities-allegedly-seize-vpn-server-without-a-warrant-company-claims-that-law-enforcement-will-return-it-after-analyzing-the-device-fully"} remplacé par {"date":"2021-06","kind":"seizure","outcome":"nothing_produced","source_url":"https://en.ain.ua/2021/07/28/ukrainian-authorities-seize-windscribe-vpn-servers/"}, {"date":"2025-04","kind":"court_order","outcome":"nothing_produced","source_url":"https://windscribe.com/blog/windscribe-greek-court-case/"}, {"date":"2026-02","kind":"seizure","outcome":"nothing_produced","source_url":"https://windscribe.com/features/no-identifying-logs"}

Score de sécuritésecurity.score

12 remplacé par 11

30 août 20261 changement

Le protocole le plus faible encore proposéC13_weakest_protocol

wireguard remplacé par absent de la fiche

29 août 20264 changements

Le protocole le plus faible encore proposéC13_weakest_protocol

absent de la fiche remplacé par wireguard

Protocole le plus rapide proposéU07_modern_protocol

wireguard remplacé par absent de la fiche

Protocoles proposésU07_protocols

absent de la fiche remplacé par wireguard

Prix de la formule annuelle en USD, première période telle que facturéeU04b_price_yearly

absent de la fiche remplacé par 5.75

27 changements antérieurs

29 août 20267 changements

Prix de la formule annuelle en USD, première période telle que facturéeU04b_price_yearly

5.75 remplacé par 69

Le protocole le plus faible encore proposéC13_weakest_protocol

wireguard remplacé par absent de la fiche

Protocoles proposésU07_protocols

wireguard remplacé par absent de la fiche

Score d'utilisabilitéusability.score

65 remplacé par 61

Le protocole le plus faible encore proposéC13_weakest_protocol

absent de la fiche remplacé par wireguard

Protocoles proposésU07_protocols

absent de la fiche remplacé par wireguard, openvpn, ikev2, obfuscated

Score d'utilisabilitéusability.score

61 remplacé par 65

28 août 20269 changements

27 août 202611 changements

Conservation permettant d'identifier une personne, comme déclaréC01_linkable_retention

aggregates_only remplacé par source_ip

Serveurs sans disque, avec RAM uniquementC02_ram_only

yes_declared remplacé par partial

Chronologie des événements d'application documentésP12_case_history

{"date":"2021-07","kind":"seizure","outcome":"nothing_produced","source_url":"https://windscribe.com/features/no-identifying-logs"}, {"date":"2025-04","kind":"court_order","outcome":"nothing_produced","source_url":"https://windscribe.com/features/no-identifying-logs"}, {"date":"2026-02","kind":"seizure","outcome":"nothing_produced","source_url":"https://windscribe.com/features/no-identifying-logs"} remplacé par {"date":"2021-07","kind":"seizure","outcome":"nothing_produced","source_url":"https://windscribe.com/features/no-identifying-logs"}, {"date":"2025-04","kind":"court_order","outcome":"nothing_produced","source_url":"https://windscribe.com/blog/windscribe-greek-court-case/"}, {"date":"2026-02","kind":"seizure","outcome":"nothing_produced","source_url":"https://windscribe.com/features/no-identifying-logs"}

Couverture du parc de serveursV04_scope_servers

absent de la fiche remplacé par sample

Nom de l'auditeurV05_audit_firm

Packetlabs (FreshScribe server stack, June 2024); Leviathan Security (earlier engagements) remplacé par Packetlabs (June 2024 retest, one production node); Leviathan Security Group (desktop 2021, mobile 2022)

Date du dernier rapportV08_audit_date_latest

2024-06-01 remplacé par 2024-06-26

Ce que le rapport indique être conservéV11_audit_findings

not_stated remplacé par source_ip

Marketing par rapport aux constatations de l'auditX02_claim_gap

none remplacé par policy_contradicts_audit

Score de sécuritésecurity.score

59 remplacé par 14

Verdict de sécuritésecurity.verdict

acceptable remplacé par not_recommended

Chronologie des événements d'application documentésP12_case_history

{"date":"2021-07","kind":"seizure","outcome":"nothing_produced","source_url":"https://windscribe.com/features/no-identifying-logs"}, {"date":"2025-04","kind":"court_order","outcome":"nothing_produced","source_url":"https://windscribe.com/blog/windscribe-greek-court-case/"}, {"date":"2026-02","kind":"seizure","outcome":"nothing_produced","source_url":"https://windscribe.com/features/no-identifying-logs"} remplacé par {"date":"2021-06","kind":"seizure","outcome":"nothing_produced","source_url":"https://en.ain.ua/2021/07/28/ukrainian-authorities-seize-windscribe-vpn-servers/"}, {"date":"2025-04","kind":"court_order","outcome":"nothing_produced","source_url":"https://windscribe.com/blog/windscribe-greek-court-case/"}, {"date":"2026-02","kind":"seizure","outcome":"nothing_produced","source_url":"https://www.tomshardware.com/software/vpn/dutch-authorities-allegedly-seize-vpn-server-without-a-warrant-company-claims-that-law-enforcement-will-return-it-after-analyzing-the-device-fully"}

Spécification

Porté, jamais noté

Comparé avec

Ce qui a changé

Si celui-ci ne convient pas

Windscribe

D'où vient le score de sécurité

Proton VPN

IVPN

Mullvad VPN