Proton VPN vs ExpressVPN vs NordVPN vs IVPN : qui protège quoi ?

Sources et limites de cette comparaison

Un VPN se choisit rarement après lecture de sa politique de confidentialité. C’est pourtant là que les différences commencent. « Aucun journal » peut décrire le trafic dans le tunnel tout en laissant de côté le compte client, les statistiques de l’application et les paiements.

Ce dossier repose sur les politiques, les documents techniques, les dépôts officiels et les audits accessibles au 1er octobre 2026. Nous avons lu le rapport Securitum 2026 de Proton et le rapport KPMG 2025 d’ExpressVPN. Pour l’assurance Deloitte de NordVPN, nous avons consulté l’annonce du fournisseur : le rapport complet exige un accès Nord Account. Le statut de chaque preuve est précisé plus bas.

SecuFocus n’a pas mesuré le débit, la latence, les fuites réseau ni la consommation de ces quatre applications pour cet article. Les nombres présentés sont des paramètres documentés, des délais annoncés et des dates d’audit. Ils ne proviennent pas d’un banc d’essai. Aucun lien de cet article n’est affilié.

À qui confiez-vous votre trafic ?

Imaginez que vous consultiez votre banque depuis le Wi-Fi d’un hôtel. HTTPS protège déjà le contenu de la connexion jusqu’à la banque. Le VPN ajoute un tunnel entre votre appareil et son serveur : le réseau local voit une connexion vers le VPN plutôt que chaque destination empruntant ce tunnel.

À l’autre bout, l’opérateur du VPN occupe une position sensible. Il traite votre adresse réseau et le trafic sortant. Les adresses de destination, les horaires et les volumes restent des informations utiles à un observateur ; les domaines peuvent aussi être visibles par le DNS ou d’autres métadonnées. Cela ne signifie pas qu’il peut lire le contenu d’une connexion HTTPS correctement établie.

Connectez-vous ensuite à Google, Instagram ou votre compte marchand : ces services vous reconnaissent toujours. Un changement d’IP n’efface ni les cookies, ni les comptes, ni l’empreinte du navigateur. Pour un risque d’identification ciblée, il faut travailler aussi ces éléments. Ajouter Tor au VPN sans comprendre le montage n’est pas un raccourci fiable ; le Tor Project déconseille cette combinaison aux utilisateurs qui n’en maîtrisent pas les conséquences.

Les données conservées autour du tunnel

Les quatre fournisseurs annoncent ne pas conserver d’historique de navigation VPN. Leurs politiques diffèrent sur les données du compte, les diagnostics et les paiements. Le tableau reprend leurs déclarations ; SecuFocus n’a pas accès à leurs serveurs pour les confirmer.

L’adresse e-mail et la facture comptent aussi

Une bonne architecture de tunnel ne rend pas anonyme l’achat de l’abonnement. Une carte bancaire associe généralement le paiement à une identité chez un prestataire. Une cryptomonnaie n’efface pas automatiquement cette association : l’origine des fonds et les données de la plateforme utilisée peuvent la rétablir.

Nord Account indique une conservation des informations de paiement et de facturation pendant dix ans après la dernière transaction. C’est une catégorie distincte de l’activité VPN. Confondre les deux ferait croire, à tort, que dix ans d’historique de navigation sont conservés.

Distinguez l’identité du payeur, son lien avec le compte et le lien entre ce compte et une activité réseau passée. Connaître le payeur ne permet pas nécessairement de retrouver sa navigation. Un compte qui demande peu de renseignements réduit néanmoins ce qui pourrait être exposé en cas de fuite.

Autre détail pratique : une IP dédiée crée un point de repère stable pour les sites visités. Chez NordVPN, cette option est reliée au compte dans la notice. À moins d’en avoir un besoin précis, elle répond mal à un objectif de discrétion par partage d’une même IP entre de nombreux utilisateurs.

Ce que les audits ont examiné

Le mot « audité » ne suffit pas pour comparer des services. Cherchez la période, l’accès de l’auditeur, les systèmes examinés et les exclusions. Un audit d’application peut rechercher des vulnérabilités sans vérifier la conservation des données sur les serveurs.

Chez Proton, Securitum a examiné des échantillons de serveurs Free et Paid avec l’assistance des ingénieurs de l’opérateur. La conclusion est cohérente avec la politique no logs dans ce périmètre. Comptes, facturation, support, serveurs B2B et revue formelle du code sont exclus. Cette précision empêche d’étendre le résultat à tout l’écosystème.

Le rapport KPMG d’ExpressVPN porte sur la description et la conception des contrôles à une date donnée. Son niveau d’assurance ne doit pas être confondu avec une observation continue de leur efficacité. Il apporte des éléments utiles sur TrustedServer, mais pas une certification de toute collecte dans toutes les applications.

WireGuard : adresses, clés et traces de connexion

WireGuard utilise notamment ChaCha20-Poly1305 pour le chiffrement authentifié et Curve25519 pour l’échange de clés. C’est une base technique connue. Elle ne dit pas, à elle seule, comment un service commercial associe un abonnement, une clé publique, une adresse de tunnel et l’adresse réseau du client.

Le serveur doit connaître un point de retour pour envoyer les paquets. Cet état vivant en mémoire n’est pas la même chose qu’un fichier conservant les connexions de la veille. La question pertinente est de savoir comment cet état est créé, renouvelé et supprimé.

Proton documente une adresse interne initiale commune, 10.2.0.2, puis un double NAT qui attribue une adresse interne propre à la session avant la sortie vers Internet. NordLynx, fondé sur WireGuard, documente aussi un double NAT. Ces montages visent à éviter qu’une adresse interne stable devienne un identifiant durable ; ils ne retirent pas à l’opérateur sa position d’intermédiaire.

IVPN décrit un autre détail vérifiable : son gestionnaire réinitialise l’association d’un pair dont le dernier handshake remonte à plus de 180 secondes. La rotation par défaut de la clé et de l’adresse interne est de 24 heures. Attention au sens du chiffre : 180 secondes depuis le handshake ne veut pas dire exactement trois minutes après votre dernier clic. La cadence de vérification et le comportement du protocole comptent aussi.

Où en est le chiffrement postquantique ?

Le chiffre « 256 bits » ne suffit pas. Le chiffrement des données et l’établissement du secret sont deux problèmes différents. Un adversaire peut enregistrer du trafic chiffré aujourd’hui et espérer retrouver les clés plus tard. Les protections postquantiques visent notamment ce scénario.

ML-KEM a été standardisé par le NIST dans FIPS 203 le 13 août 2024. Sa présence dans un protocole ne certifie pas l’application entière. Une combinaison hybride conserve un mécanisme classique tout en ajoutant un mécanisme conçu pour résister aux attaques quantiques.

Dans le mécanisme décrit par IVPN, le secret supplémentaire est renouvelé avec les clés WireGuard. Le simple fait de voir « WireGuard » dans un routeur ne prouve donc pas qu’il bénéficie de la même protection que l’application officielle. Le guide de configuration manuelle explique désormais comment préparer les clés nécessaires.

RAM, disques chiffrés et double saut : trois protections différentes

ExpressVPN documente dans son rapport KPMG un système de fichiers modifiable en mémoire, dont l’état est perdu au redémarrage. NordVPN présente également une infrastructure fonctionnant en RAM. Proton indique un chiffrement complet des disques de ses serveurs. Ce sont des conceptions différentes ; écrire que tous sont « RAM-only » serait inexact.

La RAM réduit ce qui reste sur un disque après arrêt. Le chiffrement du disque protège des données au repos. Aucun des deux ne neutralise, à lui seul, un attaquant capable d’agir sur une machine en fonctionnement ou de copier des informations ailleurs. La maîtrise du déploiement, les accès administrateurs et la surveillance des changements restent déterminants.

Secure Core de Proton ajoute un premier serveur contrôlé par Proton en Suisse, en Suède ou en Islande avant la sortie. Son intérêt est de limiter ce qu’un serveur de sortie compromis peut directement relier à l’adresse du client. Deux sauts restent néanmoins sous la responsabilité du même fournisseur. Un observateur capable de surveiller les deux côtés peut aussi chercher des correspondances de temps et de volume.

Il faut donc choisir un double saut pour un risque précis. Il ajoute du trajet et des points de passage ; sans mesure, nous ne chiffrons pas son coût sur votre connexion. Il ne remplace pas le cloisonnement des comptes ni un système conçu pour l’anonymat.

Le kill switch après une coupure

Une connexion qui affiche « protégé » au repos ne raconte qu’une partie de l’histoire. Les moments intéressants sont la sortie de veille, le changement de Wi-Fi, la disparition du serveur et le redémarrage de l’application. C’est là qu’il faut vérifier si le trafic reste bloqué ou reprend hors du tunnel.

IVPN documente sur Linux un pare-feu activable à la demande ou en permanence. Cette distinction est utile : un blocage persistant peut couvrir des situations où l’application n’a pas encore établi de tunnel. Mais les fonctions varient selon le système ; une propriété de Linux ne devient pas une garantie pour iOS.

Le split tunneling demande la même attention. Exclure une application signifie autoriser une partie du trafic à suivre un autre chemin. Il faut vérifier séparément les paquets de cette application, ses requêtes DNS et l’IPv6. Un test affichant la bonne IP publique dans le navigateur ne suffit pas à valider tous ces chemins.

Le DNS chiffré du navigateur peut également changer le résolveur qui reçoit vos requêtes. Cela ne signifie pas forcément qu’elles quittent le tunnel, mais cela change le tiers auquel vous les confiez. Un résultat DNS différent de celui du VPN doit être expliqué avant d’être qualifié de fuite.

Quelles parties du code sont publiques ?

Proton publie le code de ses applications. IVPN publie notamment celui de ses clients de bureau. NordVPN publie son client Linux. ExpressVPN publie Lightway, dont l’implémentation Rust expose les couches client, serveur et TLS/DTLS. Ces éléments sont utiles, mais leurs périmètres ne sont pas interchangeables.

Le code d’un protocole ouvert ne signifie pas que tous les écrans et toutes les fonctions d’une application commerciale sont ouverts. De même, un dépôt public ne prouve pas que le binaire installé a été compilé exactement depuis ce dépôt. Pour une vérification poussée, cherchez les versions correspondantes, les signatures de distribution et la reproductibilité annoncée des builds.

Rust réduit certaines classes d’erreurs mémoire dans le code qui respecte ses garanties. Il ne décide pas de la politique de journalisation, ne corrige pas une mauvaise règle de pare-feu et n’empêche pas une erreur de conception. Le langage est un élément de sécurité, pas un verdict.

Les incidents documentés

Trois incidents décrits par les opérateurs montrent des problèmes de nature différente. Cette sélection n’est pas exhaustive : l’absence d’un fournisseur dans ce tableau ne signifie pas qu’il n’a jamais connu d’incident.

NordVPN a reconnu la compromission d’un serveur loué en Finlande en mars 2018. Le compte rendu met en cause l’accès distant du prestataire. L’enseignement pour cette comparaison est concret : le fournisseur du centre de données fait partie de la chaîne de confiance, même si l’application VPN est correctement chiffrée.

ExpressVPN a corrigé un problème DNS lié au split tunneling de son application Windows en 2024. Son billet, mis à jour le 16 avril, mentionne une vérification de la correction par Nettitude. Un engagement no logs côté serveur n’empêche donc pas une régression côté client.

IVPN a publié le 11 août 2026 un incident concernant son serveur de paiement Bitcoin : 0,6168 BTC de fonds propres ont été volés. Selon son enquête, l’infrastructure VPN et les données clients n’ont pas été atteintes. Nous rapportons cette conclusion comme celle de l’opérateur. Cela rappelle que la sécurité des paiements, du compte et du tunnel doit être évaluée séparément.

Juridiction et demandes d’accès

Les entités indiquées dans les documents consultés sont Proton AG en Suisse, Express Technologies Ltd aux îles Vierges britanniques, nordvpn S.A. au Panama et IVPN Limited à Gibraltar. ExpressVPN indique aussi appartenir au groupe Kape. Ces informations décrivent des responsabilités ; elles ne constituent pas un classement automatique de confidentialité.

Le siège de l’entreprise, le pays du serveur, le prestataire de paiement et le lieu d’une éventuelle saisie sont des questions différentes. Un drapeau suisse ou une implantation hors d’une alliance de renseignement ne prouve pas qu’aucune donnée ne peut être obtenue.

La quantité de données conservées reste déterminante : un opérateur qui ne détient pas de lien entre une personne et sa navigation ne peut pas remettre cet historique. Cela ne préjuge pas des obligations qui pourraient lui être imposées à l’avenir.

Comment vérifier le comportement sur votre appareil

Un débit isolé sur une connexion inconnue donne surtout une belle barre dans un graphique. Pour comparer sérieusement, il faut publier la machine, le système, les versions des clients, le protocole, les serveurs et les options activées. Le résultat doit pouvoir être reproduit, et ses limites comprises.

Le protocole ci-dessous propose des vérifications à effectuer sur votre installation. Il n’a pas été exécuté par SecuFocus pour ce comparatif.

1. Établir une référence sans VPN sur le même appareil relié en Ethernet. Noter le débit de la ligne, la latence et l’heure ; éviter les téléchargements concurrents.
2. Choisir un serveur proche puis un serveur éloigné pour chaque VPN. Faire au moins dix passages alternés par scénario. Garder le même point de mesure et répéter à plusieurs heures.
3. Publier les médianes et la dispersion des débits, de la latence et des pertes, avec les options exactes. Séparer tunnel simple, double saut et protection postquantique.
4. Contrôler l’IP de sortie, les chemins IPv4/IPv6 et les résolveurs DNS. Faire une capture sur l’interface physique avec du trafic de test non sensible pour distinguer tunnel, DNS et trafic direct.
5. Déclencher veille, changement de réseau, arrêt du processus et perte de connectivité vers le serveur. Observer si des paquets non autorisés sortent pendant la transition.
6. Recommencer avec le split tunneling et le DNS du navigateur, si vous les utilisez. Documenter ce qui est volontairement exclu ; ne pas présenter une exclusion choisie comme une fuite.

Quel VPN selon vos priorités ?

Si la confidentialité est votre premier critère, je commencerais par comparer Proton VPN et IVPN sur vos appareils. Ce choix découle de leurs approches de minimisation et de la documentation étudiée ; il ne constitue pas le résultat d’un test de vitesse.

Proton VPN convient à quelqu’un qui veut une solution documentée et une vérification récente de l’environnement VPN, avec Secure Core lorsqu’un double saut répond à son risque. Il faut garder la distinction entre le tunnel et le compte Proton, et ne pas compter aujourd’hui sur une fonction uniquement annoncée.

IVPN attire davantage le lecteur qui souhaite limiter l’identité fournie au départ et comprendre les mécanismes sous le capot. Sa transparence sur WireGuard est appréciable. L’ancienneté de son audit no logs reste une réserve à accepter consciemment ; ses autres audits ne la font pas disparaître.

ExpressVPN mérite l’attention pour TrustedServer et Lightway. Le point de décision est de savoir si sa collecte déclarée autour de l’utilisation vous convient. NordVPN propose également une architecture documentée et des options avancées ; prenez le temps de régler la confidentialité de l’application et de lire les conditions de chaque option.

Pour chaque fournisseur, commencez si possible par une formule courte permettant d’évaluer le service, après lecture des conditions commerciales. Vérifiez la stabilité, le blocage après une coupure et les fonctions disponibles sur votre système avant de vous engager pour plusieurs années.

• Proton VPN : offre gratuite, NetShield et Secure Core en détail↗

Les questions qui reviennent avant de choisir

« Quel est le meilleur VPN de ces quatre ? » Il n’y a pas de vainqueur universel démontré ici. Pour la confidentialité, notre première sélection va à Proton et IVPN, pour des raisons différentes. Le fonctionnement réel sur votre appareil peut ensuite trancher.

« Un VPN gratuit est-il forcément moins confidentiel ? » Non. Il faut lire son modèle de financement, ses conditions et les preuves disponibles. Le prix seul ne décrit ni les données collectées ni la qualité du logiciel.

« Le plus rapide est-il aussi le plus sûr ? » Ce sont deux propriétés distinctes. Aucun classement de vitesse n’est établi dans ce dossier. Les performances de votre ligne et les réglages choisis demandent des mesures séparées.

« Peut-on faire confiance à un service no logs ? » Regardez la définition donnée à ce terme, les données exclues de cette promesse et le périmètre des audits disponibles. Un audit apporte des éléments sur un système à une date donnée ; il ne garantit pas tout le comportement futur du service.