Mullvad VPN : le fournisseur qui ne connaît même pas ton nom

L'article sur les VPN expliquait qu'utiliser un VPN revient à déplacer sa confiance vers son fournisseur, pas à la supprimer, et que ce choix de fournisseur compte davantage que le simple fait d'en utiliser un. Mullvad, un VPN suédois, illustre bien ce que ce choix peut donner quand il est pris au sérieux : ni recommandation sponsorisée, ni partenariat, simplement un exemple concret et vérifiable de ce à quoi ressemble un fournisseur qui prend sa propre promesse au mot.

Un compte qui ne demande ni nom ni email

La première chose qui distingue Mullvad de la quasi-totalité des VPN commerciaux se voit dès l'inscription : aucune adresse email, aucun nom, aucun mot de passe à choisir. Le site génère un numéro de compte à 16 chiffres, et c'est ce numéro, et rien d'autre, qui sert d'identifiant et de moyen de connexion. Le paiement peut se faire par carte ou par des moyens plus classiques, mais aussi en espèces envoyées par courrier, ou en cryptomonnaie (voir l'article sur les cryptomonnaies), deux options qui permettent de rester un simple numéro du début à la fin, sans jamais associer la moindre information personnelle au compte.

La politique de confidentialité publiée par Mullvad reflète directement ce choix technique : elle indique conserver uniquement le numéro de compte, le temps d'abonnement restant, et un enregistrement de paiement quand le moyen utilisé l'exige. Le trafic, les requêtes DNS, les adresses IP et les horodatages de connexion ne sont, selon cette politique, jamais stockés.

Un prix fixe, sans piège d'abonnement

Mullvad facture un tarif unique d'environ 5 € par mois, quelle que soit la durée choisie à l'avance : pas de prix d'appel qui double au renouvellement, pas de palier "premium" avec des fonctionnalités retenues en otage, une pratique pourtant courante chez beaucoup de VPN commerciaux (voir l'article sur les VPN pour ce qu'il faut surveiller côté modèle économique). Le même tarif s'applique à un abonnement d'un mois ou de plusieurs années.

Le test grandeur nature de 2023

Une politique de confidentialité reste une promesse écrite, jusqu'à ce qu'elle soit testée en conditions réelles. Le 18 avril 2023, la police suédoise s'est présentée aux bureaux de Mullvad à Göteborg avec un mandat de perquisition, dans le cadre d'une coopération judiciaire internationale avec l'Allemagne, pour saisir des données concernant un client précis. Les enquêteurs sont repartis sans rien saisir : l'entreprise a montré comment fonctionnait son infrastructure, et la donnée demandée n'existait tout simplement pas, faute d'avoir jamais été collectée. Le directeur de Mullvad a lui-même noté qu'il s'agissait, en quatorze ans d'existence de l'entreprise, de la première visite de ce type.

L'entreprise a par ailleurs fait auditer son infrastructure plus d'une dizaine de fois par des cabinets de sécurité indépendants, dont Cure53 et Assured AB, avec des rapports rendus publics plutôt que gardés en interne.

Points de vigilance

• La Suède fait partie des pays participant à des accords de partage de renseignement entre services occidentaux (souvent résumés sous le nom de "14 Eyes") : cela ne remet pas en cause l'épisode de 2023, mais reste un facteur géopolitique à connaître, au même titre que pour n'importe quel fournisseur, quel que soit son pays
• Mullvad ne propose pas d'offre gratuite permanente, seulement un abonnement payant dès le départ
• Comme pour tout VPN, le choix du fournisseur déplace la confiance sans l'éliminer (voir de nouveau l'article sur les VPN) : rien ici ne dispense de comparer plusieurs options selon son propre usage

Pour qui

Mullvad s'adresse à quelqu'un qui a déjà compris ce qu'un VPN protège réellement, et qui cherche un fournisseur dont les engagements ont été vérifiés plutôt que simplement affirmés sur une page de vente. Ce n'est pas le seul VPN sérieux du marché, mais c'est un point de comparaison concret et documenté pour juger n'importe quel autre candidat : que collecte-t-il vraiment, et cette promesse a-t-elle déjà été mise à l'épreuve.