Mullvad est-il sûr ? Analyse de la sécurité, de la confidentialité et des audits
Mullvad est-il sûr ? Résultats d'audits indépendants, protocoles de chiffrement, analyse de juridiction, test du kill switch et vérification de la politique de zéro journal.
VPNs les plus sécurisés
Mullvad est-il sûr ? Une évaluation directe
Mullvad obtient un score de 86/100 sur notre indice de confiance. Il opère sous juridiction suédoise, facture un tarif fixe de 5 €/mois sans comptes, et applique une politique de zéro journal vérifiée. Des audits indépendants réalisés par Cure53 et Assured AB ont confirmé un nombre minimal de vulnérabilités. Mullvad ne stocke aucun journal de connexion, aucune donnée de trafic, ni aucune information personnellement identifiable sur ses 700+ serveurs répartis dans 50+ pays.
Juridiction suédoise et demandes légales de données
La Suède fait partie de l’alliance de partage de renseignements des 14 Eyes. Cela peut sembler alarmant au premier abord. En pratique, le cadre juridique révèle une histoire plus nuancée pour les fournisseurs de VPN.
La loi suédoise n’oblige pas les entreprises de VPN à conserver les données des utilisateurs. Mullvad n’a aucune obligation de conservation des données en vertu des réglementations actuelles suédoises sur les télécommunications. Cela signifie que les autorités peuvent émettre des demandes, mais Mullvad ne dispose d’aucune donnée stockée à transmettre.
En avril 2023, la police suédoise a physiquement pénétré dans les bureaux de Mullvad à Gothenburg avec un mandat de perquisition. Les agents avaient l’intention de saisir des ordinateurs contenant des données clients. Le personnel de Mullvad a expliqué qu’aucune donnée client n’existait sur les machines, et la police est repartie les mains vides. Ce test réel a prouvé que la politique de zéro journal tient face à une pression légale.
Historique des audits indépendants
Mullvad a réalisé plusieurs audits de sécurité par des tiers. Chaque audit a examiné différentes parties de l’infrastructure et des applications clients.
Audit Cure53 (2020)
Cure53, une entreprise de tests de pénétration basée à Berlin, a audité les applications VPN de Mullvad en 2020. L’équipe a identifié 7 vulnérabilités au total : 2 de gravité moyenne et 5 de faible gravité. Mullvad a corrigé les 7 problèmes avant de publier intégralement le rapport d’audit sur son site web.
Audit Assured AB (2023)
Assured AB a réalisé un audit d’infrastructure des serveurs et des systèmes internes de Mullvad en 2023. L’évaluation a couvert les configurations de serveurs, la mise en œuvre du chiffrement et les procédures de traitement des données. Les résultats ont confirmé que l’infrastructure de Mullvad correspondait à ses déclarations publiques de zéro journal. Aucune vulnérabilité critique n’a été découverte au cours de cet engagement.
Audit d’application Cure53 (2023)
Cure53 est revenu pour un second tour en 2023, se concentrant sur le code d’application mis à jour. Ce suivi a révélé moins de problèmes que l’audit de 2020. Mullvad a traité toutes les conclusions et a de nouveau publié le rapport complet pour examen public.
La publication de rapports d’audit complets est rare dans le secteur des VPN. Mullvad ne rédige pas les conclusions ni ne sélectionne les résultats favorables. Cette transparence renforce considérablement la crédibilité de ses affirmations en matière de sécurité.
Politique de journalisation : ce que Mullvad stocke et ne stocke pas
Données que Mullvad ne collecte pas
Mullvad ne consigne pas les données de trafic, les horodatages de connexion, les durées de session ou les adresses IP. Il ne stocke aucune requête DNS, aucun enregistrement d’utilisation de bande passante ni aucune attribution de serveur VPN. L’activité du compte reste entièrement dissociée du comportement de navigation ou des métadonnées de connexion.
Données que Mullvad traite
Mullvad traite le nombre total de connexions simultanées par compte (plafonné à 5). Ce compteur existe en temps réel et n’est écrit dans aucun stockage persistant. Au moment où vous vous déconnectez, ce compteur est décrémenté. Aucun historique ne persiste.
Mullvad traite également des données agrégées de charge de serveur à court terme pour l’optimisation des performances. Ces données ne contiennent aucune information permettant d’identifier les utilisateurs et se renouvellent automatiquement.
Le système de compte
Mullvad génère un numéro de compte aléatoire à 16 chiffres. Aucun e-mail, aucun nom, aucun mot de passe n’est requis. Vous pouvez payer en espèces envoyées par courrier, en Bitcoin ou en Monero. Cette conception élimine entièrement les informations personnellement identifiables du processus d’inscription.
Normes de chiffrement et protocoles
Mullvad prend en charge deux protocoles : WireGuard et OpenVPN. Les deux implémentations utilisent des normes cryptographiques solides et bien éprouvées.
Implémentation de WireGuard
WireGuard utilise ChaCha20 pour le chiffrement symétrique, Curve25519 pour l’échange de clés et BLAKE2s pour le hachage. Mullvad utilise WireGuard par défaut sur toutes les plateformes. Les poignées de main de connexion se terminent en moins de 100 millisecondes sur la plupart des réseaux.
Implémentation d’OpenVPN
Les connexions OpenVPN utilisent AES-256-GCM pour le chiffrement du canal de données. L’échange de clés repose sur des certificats RSA-4096 avec authentification SHA-512. Mullvad configure OpenVPN avec tls-auth pour prévenir les attaques par empreinte digitale et les attaques DDoS sur le tunnel VPN.
Tunnels résistants aux attaques quantiques
Mullvad a ajouté un échange de clés post-quantique aux tunnels WireGuard en 2023. Cette fonctionnalité superpose l’encapsulation de clés Classic McEliece et Kyber sur la cryptographie WireGuard standard. Mullvad a été le premier VPN commercial à déployer cette fonctionnalité sur les plateformes de bureau.
Kill switch et protection contre les fuites DNS
Comportement du kill switch
Le kill switch de Mullvad s’active par défaut sur toutes les plateformes. Il bloque tout le trafic internet lorsque le tunnel VPN tombe de manière inattendue. L’implémentation fonctionne au niveau du pare-feu, et non au niveau de l’application. Cela prévient les fuites même si l’application Mullvad plante complètement.
Sous Linux, Mullvad utilise des règles nftables pour imposer le blocage du trafic. Sous Windows, il modifie la plateforme de filtrage Windows. Sous macOS, il utilise des règles de filtre de paquets. Chaque implémentation prévient simultanément les fuites IPv4 et IPv6.
Protection contre les fuites DNS
Mullvad achemine toutes les requêtes DNS via ses propres serveurs DNS chiffrés. L’application bloque les requêtes DNS système qui tentent de contourner le tunnel. Mullvad exploite des serveurs DNS sur chaque emplacement de serveur VPN, résolvant les requêtes localement sans les transmettre à des tiers.
Les utilisateurs peuvent également configurer un DNS personnalisé dans l’application. Même avec un DNS personnalisé, les requêtes transitent toujours dans le tunnel chiffré. Les tests de fuite indépendants montrent systématiquement zéro fuite DNS, WebRTC ou IPv6 sur tous les clients Mullvad.
Incidents de sécurité passés
Descente de police (avril 2023)
Six agents de la police nationale suédoise sont entrés dans les bureaux de Mullvad à Gothenburg. Ils portaient un mandat de perquisition d’un tribunal de district à la recherche d’informations clients. Le PDG de Mullvad a expliqué que la société ne stocke aucune donnée client. La police n’a saisi aucun équipement et est repartie après que l’équipe juridique de Mullvad a contesté l’applicabilité du mandat.
Aucune violation de données connue
Au dernier cycle d’audit en date, Mullvad n’a signalé aucune violation de données. Aucune donnée utilisateur n’est apparue dans des bases de données divulguées. Aucune attaque par credential stuffing ne s’applique car Mullvad n’utilise ni mots de passe ni adresses e-mail. Le système de numéro de compte à 16 chiffres réduit considérablement la surface d’attaque.
Divulgations de vulnérabilités
Mullvad maintient une approche active de prime aux bugs et publie des avis de sécurité sur son blog. Toutes les vulnérabilités découvertes lors des audits ont reçu des correctifs dans les semaines suivant leur découverte. La société n’a subi aucune exploitation zero-day de son infrastructure de production.
Fonctionnalités de sécurité uniques
DAITA (Defense Against AI-Guided Traffic Analysis)
Mullvad a développé DAITA pour contrer les attaques d’analyse de trafic. Cette fonctionnalité remboure les paquets à des tailles uniformes et injecte des motifs de trafic leurres. Elle empêche les adversaires d’identifier les sites web visités par les utilisateurs en se basant sur les empreintes de trafic.
DNS chiffré via HTTPS (DoH)
Mullvad propose un service DoH public sur dns.mullvad.net. Les utilisateurs peuvent chiffrer les requêtes DNS même sans que le VPN soit actif. Le service comprend des profils DNS optionnels de blocage des publicités et des traceurs.
Serveurs sans disque en RAM uniquement
Mullvad fait fonctionner l’ensemble de son parc de serveurs en mode RAM uniquement. Aucun disque dur n’existe dans les serveurs. Chaque redémarrage efface complètement toutes les données. Cette architecture garantit que les saisies physiques de serveurs ne produisent aucune information utilisable.
Routage multisaut
Les utilisateurs peuvent acheminer le trafic via 2 serveurs VPN distincts dans des pays différents. Cela ajoute une deuxième couche de chiffrement et sépare le point d’entrée du point de sortie. Le multisaut est configurable directement dans l’application sans configuration manuelle.
Le bilan sur la sécurité de Mullvad
Mullvad mérite son score de confiance de 86/100 grâce à son architecture, et non à des promesses. Les serveurs en RAM uniquement, l’anonymat des comptes, les rapports d’audit publiés et l’issue vérifiée de la descente de police le distinguent. Le tarif fixe de 5 €/mois sans essais ni réductions reflète une entreprise axée sur le service plutôt que sur le volume d’abonnés. Pour les utilisateurs qui privilégient la vérification de la confidentialité au décompte des fonctionnalités, Mullvad reste l’une des options les plus solides disponibles sur ses 700+ serveurs dans 50+ pays.
Foire aux questions
Mullvad est-il vraiment sûr à utiliser ?
Oui. Mullvad obtient un score de 86/100 sur notre indice de confiance, soutenu par une politique de zéro journal vérifiée, des serveurs en RAM uniquement qui s’effacent à chaque redémarrage, et deux cycles d’audit indépendant. Cure53 a examiné les applications en 2020 et à nouveau en 2023, tandis qu’Assured AB a audité l’infrastructure en 2023. Les deux engagements n’ont trouvé aucun problème critique, et Mullvad a publié les rapports complets publiquement.
La juridiction suédoise de Mullvad expose-t-elle les données utilisateur puisque la Suède fait partie des 14 Eyes ?
Pas en pratique. La loi suédoise n’impose aucune obligation obligatoire de conservation des données aux fournisseurs de VPN, donc Mullvad n’a rien à remettre même si les autorités le demandent. Cela a tenu en avril 2023 lorsque la police suédoise a pénétré dans les bureaux de Mullvad à Gothenburg avec un mandat de perquisition à la recherche des dossiers clients et est repartie sans rien saisir, car aucune donnée n’existait.
Que s’est-il passé lors de la descente de police suédoise de 2023 chez Mullvad ?
Six agents de la police nationale suédoise ont pénétré dans les bureaux de Mullvad à Gothenburg en avril 2023 en portant un mandat du tribunal de district à la recherche d’informations clients. Le PDG de Mullvad a expliqué que l’entreprise ne conserve aucune donnée client par conception. La police est repartie sans saisir d’équipement ou de données, un test réel de la revendication de zéro journal sous pression légale directe.
Qu’ont trouvé les audits Cure53 de 2020 et 2023 de Mullvad ?
L’audit Cure53 de 2020 des applications Mullvad a identifié 7 vulnérabilités : 2 de gravité moyenne et 5 de faible gravité, toutes corrigées avant la publication du rapport. Cure53 est revenu en 2023 pour auditer le code d’application mis à jour et a trouvé moins de problèmes que le premier cycle. Mullvad a traité chaque conclusion et a publié les deux rapports complets sans redaction.
Qu’a couvert l’audit Assured AB de 2023 ?
Assured AB a audité l’infrastructure serveur et les systèmes internes de Mullvad en 2023, examinant les configurations serveur, la mise en œuvre du chiffrement et les procédures de traitement des données. L’évaluation a confirmé que l’infrastructure de Mullvad correspondait à ses déclarations publiques de zéro journal, sans vulnérabilités critiques découvertes. Combiné avec deux audits d’applications Cure53, Mullvad a désormais fait vérifier indépendamment ses applications et son infrastructure backend.
Comment fonctionne réellement le système de compte anonyme de Mullvad ?
Mullvad génère un numéro de compte aléatoire à 16 chiffres au lieu de demander un e-mail, un nom ou un mot de passe. Vous pouvez payer par carte, Bitcoin, Monero ou espèces envoyées par courrier dans une enveloppe. Cette conception élimine complètement les informations personnellement identifiables du processus d’inscription, ce qui fait partie de la raison pour laquelle sa politique de zéro journal a tenu lors de la descente de police de 2023 à ses bureaux de Gothenburg.
Quel chiffrement Mullvad utilise-t-il, et est-il résistant aux attaques quantiques ?
Mullvad utilise WireGuard par défaut, avec ChaCha20 pour le chiffrement, Curve25519 pour l’échange de clés et BLAKE2s pour le hachage. Son option OpenVPN utilise AES-256-GCM avec des certificats RSA-4096. En 2023, Mullvad a ajouté un échange de clés post-quantique superposant Classic McEliece et Kyber sur la cryptographie WireGuard standard, ce qui en fait le premier VPN commercial à déployer cette fonctionnalité sur les plateformes de bureau.
Quelles informations Mullvad collecte-t-il réellement sur mon compte ?
Très peu. Mullvad suit uniquement le nombre de connexions simultanées en temps réel, plafonné à 5, qui décrémente à zéro au moment où vous vous déconnectez et n’est jamais écrit dans un stockage persistant. Il traite également des données agrégées à court terme de charge serveur sans information permettant d’identifier l’utilisateur. Le trafic, les horodatages, les requêtes DNS et les adresses IP ne sont jamais enregistrés.
Le kill switch de Mullvad bloque-t-il fiablement les fuites si la connexion tombe ?
Oui. Le kill switch de Mullvad s’exécute au niveau du pare-feu plutôt qu’au niveau de l’application, donc il continue à bloquer le trafic même si l’application elle-même plante. Il utilise les règles nftables sous Linux, la plateforme de filtrage Windows sous Windows et les règles de filtre de paquets sous macOS, empêchant les fuites IPv4 et IPv6 dans tous les environnements.
Mullvad propose-t-il un essai gratuit ou un remboursement si je ne suis pas satisfait ?
Non, Mullvad fonctionne en paiement à l’usage sans période d’essai gratuite. Au lieu d’une fenêtre de remboursement standard, les jours inutilisés sur votre solde de compte sont remboursables si vous décidez d’arrêter. Ceci diffère de ProtonVPN et NordVPN, qui supportent tous deux les plans payants avec une garantie de remboursement de 30 jours plutôt qu’un modèle de remboursement au prorata.
Combien d’appareils puis-je utiliser sur un seul compte Mullvad ?
Un seul compte Mullvad couvre 5 connexions simultanées, moins que les 10 de NordVPN et dans la gamme 1-10 que ProtonVPN offre selon le niveau de plan. Mullvad n’a pas d’exigence de compte par appareil puisque l’inscription n’utilise qu’un numéro à 16 chiffres, donc les appareils se connectent indépendamment sans se lier à l’identité personnelle.
Comment la tarification fixe de Mullvad se compare-t-elle à ProtonVPN et NordVPN ?
Mullvad facture un tarif fixe unique à partir de 5,50 $/mois sans niveaux de remise à long terme, contrairement à ProtonVPN (à partir de 2,49 $/mois sur son plan le plus long) et NordVPN (à partir de 3,49 $/mois). En termes de performance, Mullvad se classe #7 sur 22 dans notre Speed Lab, derrière NordVPN en #1 mais devant ProtonVPN en #12.
Puis-je accéder fiablement à Netflix ou Disney+ via Mullvad ?
De manière incohérente. Mullvad ne développe pas de technologie dédiée pour contourner les géoblocages de streaming, donc les grandes plateformes comme Netflix, Disney+ et Prime Video sont souvent bloquées. Il supporte BBC iPlayer, 9Now et Channel 4, avec des résultats variant selon le serveur. Si le streaming fiable de grandes plateformes est primordial, un fournisseur avec une infrastructure de streaming dédiée serait mieux adapté.
Que faire si Mullvad est bloqué sur un réseau restrictif ou protégé par pare-feu ?
Basculez vers les paramètres d’obfuscation et QUIC de Mullvad, conçus spécifiquement pour dissimuler le trafic VPN et contourner le blocage au niveau du réseau. Le routage multisaut, qui envoie le trafic via deux serveurs distincts dans différents pays, peut également aider si un seul point de sortie est filtré. Testez ces paramètres avant de compter sur la connexion dans un environnement restrictif.