Compte Mullvad anonyme : ce que le numéro retire

La plupart des fournisseurs de VPN demandent une adresse e-mail et un moyen de paiement nominatif. Mullvad demande un numéro. Le site génère une suite de chiffres aléatoire, vous la rechargez, vous vous connectez avec elle. Cette page décrit ce que ce modèle retire réellement, ce qu'il laisse en place, et ce que le fournisseur dit conserver.

Ce que le numéro de compte retire

Un fournisseur ne peut pas transmettre ce qu'il n'a jamais collecté. C'est tout l'intérêt du compte numéroté, et la raison pour laquelle il mérite d'être distingué des slogans de non-journalisation, qu'affichent aussi des services qui connaissent votre e-mail et votre carte.

Mullvad décrit un compte à deux propriétés seulement : le numéro et le temps restant. L'entreprise indique ne demander à l'inscription ni nom d'utilisateur, ni mot de passe, ni adresse e-mail, et précise que n'importe qui peut générer autant de numéros qu'il le souhaite, qu'un compte peut être utilisé par plusieurs personnes ou par quelqu'un d'autre que son créateur. Rien dans le numéro ne renseigne sur son détenteur.

La contrepartie est directe : ce numéro est le seul identifiant. Il n'existe pas de procédure de récupération, puisqu'il n'y a pas d'adresse à laquelle envoyer un lien de réinitialisation. Notez-le avant de payer, hors de la machine que vous comptez protéger.

Le paiement, seul endroit où l'identité peut revenir

L'inscription est anonyme ; le paiement ne l'est pas nécessairement. C'est là que se joue l'essentiel, et la documentation de Mullvad est explicite sur la différence.

• Espèces par courrier. Vous glissez l'argent et un jeton de paiement généré sur le site dans une enveloppe. Mullvad indique ouvrir l'enveloppe, créditer le compte du montant reçu, puis détruire l'enveloppe et son contenu non monétaire, et conseille de ne pas y inscrire de nom ni d'adresse. Les devises acceptées incluent l'euro, le dollar américain, la livre sterling et la couronne suédoise.
• Monero. Mullvad indique héberger ses propres nœuds et portefeuilles, sans intermédiaire. Pour le Monero, la documentation précise que le hachage de transaction est conservé au-delà de vingt jours afin d'éviter un double crédit.
• Bitcoin et Bitcoin Cash. Acceptés, avec une adresse de réception propre à chaque paiement, supprimée après vingt jours selon la documentation. La chaîne, elle, reste publique : des bitcoins acquis sur une plateforme soumise au KYC gardent leur historique, que Mullvad n'efface pas.
• Carte, virement, PayPal, Swish. Ces moyens passent par Stripe, PayPal ou la banque SEB. Mullvad écrit que ces sociétés enregistrent tout, que cela échappe à son contrôle, et que ces paiements ne sont pas anonymes. Certaines données doivent en outre être conservées au titre des obligations comptables suédoises.

Le tarif est de 5 € par mois quelle que soit la durée choisie, avec une remise de 10 % annoncée sur les cryptomonnaies. La garantie de remboursement de quatorze jours ne s'applique ni aux paiements en espèces, pour des raisons de réglementation contre le blanchiment, ni aux paiements en cryptomonnaie.

Ce que Mullvad déclare enregistrer

La politique publiée distingue ce qui n'est pas conservé de ce qui l'est. Pour un compte, Mullvad décrit stocker le numéro et une date d'expiration ; pour une configuration WireGuard, le numéro, la clé publique et l'adresse du tunnel.

L'entreprise indique que la vérification d'un compte à la connexion, y compris le nombre de connexions simultanées, s'effectue en mémoire temporaire et n'est pas écrite sur disque, ce qui l'empêche de dire combien de connexions un compte comptait cinq minutes plus tôt. Elle décrit également conserver des métriques agrégées de supervision, des journaux d'accès web sans adresse IP purgés au bout de cinq minutes, et l'absence de statistiques envoyées à des tiers comme Google Analytics.

Ces éléments proviennent de la documentation du fournisseur. Ce sont des déclarations, pas des observations indépendantes, et c'est à ce titre qu'il faut les lire.

Juridiction et vérifications extérieures

Mullvad VPN AB est une société suédoise, détenue via Amagicom AB par ses deux fondateurs. La Suède relève du droit de l'Union européenne et coopère avec d'autres services de renseignement, ce qui ne place aucun fournisseur hors de portée d'une demande judiciaire.

L'épisode le plus documenté reste la perquisition du 18 avril 2023. D'après le compte rendu de Mullvad, au moins six policiers du service national des opérations se sont présentés au bureau de Göteborg avec un mandat pour saisir des ordinateurs contenant des données clients ; ces données n'existaient pas, et les policiers sont repartis sans rien emporter après avoir consulté le procureur. C'est un test réel de la politique de non-journalisation, à distinguer d'une promesse commerciale, mais il décrit un moment donné.

Côté audits, le quatrième audit d'infrastructure a été mené par Cure53 du 3 au 14 juin 2024 sur un serveur OpenVPN et un serveur WireGuard, code de déploiement inclus. Deux problèmes ont été relevés, l'un de gravité faible, l'autre moyenne, corrigés avant publication selon l'entreprise. Un audit couvre un périmètre défini à une date donnée.

Les limites qu'un compte anonyme ne lève pas

Le numéro de compte agit sur l'inscription. Il n'agit pas sur ce qui suit :

• L'adresse IP à la connexion. Le fournisseur voit forcément d'où vient le tunnel au moment où il s'établit. Un VPN déplace la confiance du fournisseur d'accès vers le fournisseur de VPN, il ne la supprime pas.
• Les métadonnées de paiement. Un règlement par carte ou virement laisse chez un tiers une trace reliant une personne à un compte, indépendamment de ce que Mullvad conserve.
• L'usage réel. Une session identifiée auprès d'un service en ligne reste identifiée, quel que soit le tunnel emprunté.

Comparaison des fournisseurs

IVPN suit un modèle proche, avec un identifiant de compte plutôt qu'une adresse e-mail, le paiement en Monero et un audit Cure53. LNVPN supprime le compte : vous payez en Lightning et recevez une configuration WireGuard, ce qui convient à un usage ponctuel. Proton VPN exige une adresse e-mail, puisque le VPN s'adosse à un compte Proton. Voir aussi la fiche Mullvad.

Sources

• Mullvad, politique de non-journalisation de l'activité : comptes numérotés, traitement de chaque moyen de paiement, données conservées par compte, durées de rétention.
• Mullvad, page Tarifs : tarif unique de 5 € par mois, moyens de paiement acceptés, paiement en espèces, remise de 10 % en cryptomonnaie, exclusions de remboursement.
• Mullvad, 20 avril 2023 : compte rendu de la perquisition du 18 avril 2023 à Göteborg.
• Mullvad, 27 juin 2024 : quatrième audit d'infrastructure par Cure53, périmètre et conclusions.
• Mullvad, politique de confidentialité : traitement des données personnelles lorsqu'un moyen de paiement en génère.

Page rédigée en français à partir de la documentation publiée par Mullvad et de ses rapports d'audit. Les déclarations d'un fournisseur sur ses propres pratiques sont identifiées comme telles. Divulgation.