Mullvad : le VPN qui n'a rien remis à la police — parce qu'il n'y avait rien à remettre.

Comment ça fonctionne

Mullvad est un VPN suédois à tarif unique, opéré par Amagicom AB depuis Göteborg, en activité depuis 2009. Pas de paliers tarifaires, pas de montée en gamme. Cinq euros par mois achètent un seul produit : une connexion routée vers une quarantaine de localisations, sur la pile WireGuard ou OpenVPN propre à Mullvad, avec une infrastructure entièrement en RAM. Il n'y a pas de compte au sens classique. À l'inscription, le système génère un numéro de compte à 16 chiffres, et ce numéro suffit à authentifier l'utilisateur. On recharge avec à peu près n'importe quel rail de paiement : carte bancaire, virement, Bitcoin, Bitcoin Cash, Monero, Swish, ou une enveloppe d'espèces postée à une boîte postale de Göteborg. Les applications Mullvad pour Linux, macOS, Windows, Android et iOS sont open source sur GitHub, tout comme le navigateur Mullvad Browser que la maison co-maintient avec le projet Tor.

KYC et confidentialité

L'inscription ne demande rien. Aucun champ e-mail, aucun champ téléphone, aucun champ nom ; le seul identifiant émis est le numéro de compte lui-même, que l'on est invité à conserver précieusement. La politique de non-conservation des journaux couvre les adresses IP, le trafic, les requêtes DNS et les horodatages de connexion, et elle a été mise à l'épreuve à découvert. En avril 2023, les Opérations nationales de la police suédoise ont exécuté un mandat de perquisition au siège de Göteborg pour le compte d'une enquête allemande ; après que l'équipe a démontré que les données demandées n'existaient pas, les agents ont consulté le procureur et sont repartis sans rien saisir. Un miroir .onion du portail de compte est publié pour qui préfère ne pas toucher au clearnet.

Forces et limites

L'historique d'audits est l'argument le plus solide en faveur du service. Cure53 a passé les applications et l'infrastructure au crible à plusieurs reprises depuis 2018, le plus récemment lors d'un quatrième audit d'infrastructure achevé en juin 2024, et Assured Security Consultants a mené un test d'intrusion distinct de l'application web en 2025. Le modèle tarifaire est en soi une forme d'hygiène vie privée : pas d'engagement annuel à pousser, pas de bonus de parrainage, pas de métriques de churn qui dépendent de l'identification du client. Le plafond reste réel pour autant. C'est un VPN commercial centralisé, dont les serveurs sont opérés par Mullvad, pas un mixnet ni un relais pair-à-pair ; il faut donc faire confiance à la juridiction suédoise et à la posture de l'opérateur — confiance étayée, mais confiance tout de même. Les débits tiennent la route pour la navigation et le torrent ; le réseau est plus modeste que ceux des plus gros prestataires payants et moins optimisé pour le streaming sensible à la latence.

Verdict

Mullvad est ce VPN rare qui fait correctement les choses ennuyeuses pendant dix-sept années consécutives : comptes anonymes, paiements en espèces, audits tiers récurrents, code source public, et une perquisition réelle qui n'a rien donné. Il est conçu pour les utilisateurs qui traitent la confidentialité comme une infrastructure par défaut, pas comme une option à débloquer.